México no tiene ley de inteligencia artificial. En la legislatura pasada se presentaron al menos cinco iniciativas para regularla y ninguna prosperó, según el registro del Centro de Competencia (CeCo, enero 2025). La apuesta actual —una Ley General de IA con 223 artículos y 10 transitorios, construida en el Senado tras consultas con 72 especialistas— seguía en comisiones, sin dictamen ni fecha de votación, a mediados de mayo de 2026.
Eso no significa que operes en el vacío. Si tu empresa usa IA con datos de clientes o empleados, ya tiene obligaciones vigentes desde marzo de 2025, con multas de hasta 320,000 UMA: unos $37.5 millones de pesos con la UMA 2026 ($117.31 diarios, INEGI). El doble si involucra datos sensibles.
Qué hay en la mesa del Congreso (y qué tan en serio va)
- Ley General de IA (Senado). La comisión que preside Rolando Zapata Bello armó un borrador de 14 títulos con enfoque de riesgos similar al europeo: usos prohibidos, sistemas de alto riesgo, régimen de sanciones. A mayo de 2026, sin fecha para el pleno.
- Reforma al artículo 73 constitucional. Presentada el 3 de febrero de 2026, facultaría expresamente al Congreso para legislar en materia de IA. Sin ella, cualquier ley general nace vulnerable a impugnaciones.
- Deepfakes. El 29 de abril de 2026, Diputados aprobó con 455 votos tipificar como delito crear imágenes sexuales falsas con IA. Falta el Senado.
Lectura práctica: es improbable una ley de IA operativa antes de 2027, y sus reglamentos llegarían hasta 180 días después de publicada.
Lo que ya te aplica hoy, sin ley de IA
La nueva LFPDPPP (vigente desde el 21 de marzo de 2025)
La ley publicada en el DOF el 20 de marzo de 2025 abrogó la de 2010, eliminó al INAI y pasó la vigilancia a la Secretaría Anticorrupción y Buen Gobierno. Tres cambios que importan si usas IA:
- "Responsable" ampliado: cualquier persona física o moral que trate datos personales, aunque no decida sobre el tratamiento. Subir datos de clientes a una herramienta de IA te encuadra.
- Aviso de privacidad más exigente: debe detallar qué datos tratas e identificar los sensibles (biométricos, salud, financieros).
- Multas de 200 a 320,000 UMA (de ~$23,000 a $37.5 millones), duplicables con datos sensibles.
Sector financiero
La CNBV exige desde 2019 verificación biométrica de clientes para prevenir robo de identidad. Si le vendes tecnología o servicios a bancos, SOFOMs o fintechs, heredas sus requisitos de gestión de proveedores: tus sistemas de IA los auditará tu cliente antes que el gobierno.
El contraste con Europa (y por qué te importa)
El AI Act está vigente desde agosto de 2024: prohibiciones desde febrero de 2025, obligaciones para modelos de propósito general desde agosto de 2025, multas de hasta €35 millones o 7% de la facturación global. Pero en noviembre de 2025 la Comisión Europea propuso posponer las reglas de alto riesgo y el 6 de mayo de 2026 se alcanzó el acuerdo político: se van a diciembre de 2027.
Dos implicaciones para una empresa mexicana: si tienes clientes o usuarios en la UE, el AI Act te aplica de forma extraterritorial; y el borrador mexicano copia su lógica de riesgos, así que prepararte con ese marco no es trabajo tirado.
Checklist: cumplimiento mínimo viable
- Inventaría las herramientas de IA en uso, incluidas las no autorizadas (el "shadow AI" de tu equipo).
- Mapea qué datos personales entran a cada una; marca los sensibles.
- Actualiza tu aviso de privacidad al estándar de la nueva LFPDPPP.
- Revisa contratos con proveedores de IA: cláusulas de no-entrenamiento con tus datos y de tratamiento de datos personales.
- Publica una política interna de uso de IA (1 página: qué se puede subir, qué no).
- Mantén a un humano en el circuito en decisiones que afectan personas: crédito, contratación, despidos.
- Documenta todo. Ante una verificación de la Secretaría Anticorrupción, el expediente es tu defensa.
Los pasos 1 a 5 caben en dos semanas de trabajo enfocado. ¿No sabes por dónde arrancar el inventario? Hablemos.