Aviso: este artículo es información general, no asesoría legal. Lo escribe una agencia de IA, no un despacho. Antes de tomar decisiones sobre tu aviso de privacidad o tus contratos, consulta a un abogado especialista en protección de datos. Última revisión: 2 de octubre de 2026.
Respuesta corta: México no tiene una ley general de inteligencia artificial. Lo que sí tiene, y ya te obliga si usas IA con datos de personas, es la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el Diario Oficial el 20 de marzo de 2025. Sustituyó a la ley de 2010, y la autoridad ya no es el INAI.
Qué cambió: la ley de 2010 contra la vigente
| Tema | Antes (ley de 2010) | Ahora (ley publicada 20-mar-2025) |
|---|---|---|
| Ley | LFPDPPP de 2010 | Nueva LFPDPPP, publicada el 20-mar-2025, en vigor desde el 21-mar-2025. Última reforma: 14-nov-2025 |
| Autoridad | INAI | Secretaría Anticorrupción y Buen Gobierno (el INAI desapareció) |
| Decisiones automatizadas | Sin regla expresa | Derecho a oponerte a un tratamiento automatizado que te afecte de forma significativa y evalúe aspectos personales sin intervención humana (art. 26, fracc. II) |
| Multas | Según la ley anterior | De 100 a 320,000 veces la UMA, según la infracción (art. 59) |
Fuentes: decreto en el Diario Oficial del 20-mar-2025 (copia de la Cámara de Diputados), texto vigente y, para entrada en vigor y cambio de autoridad, KPMG México y Basham.
Quién vigila: la Secretaría Anticorrupción y Buen Gobierno
Desde marzo de 2025 las funciones del INAI en materia de datos de particulares pasaron a la Secretaría Anticorrupción y Buen Gobierno. Es quien atiende las solicitudes de protección de derechos, verifica el cumplimiento y puede sancionar (arts. 38 a 59 de la ley). Contra sus resoluciones procede el juicio de amparo (art. 51). Si ves guías que todavía mandan al INAI, están desactualizadas.
VideoMira el asistente en acciónGobierno municipalQué te exige la ley cuando usas IA o un chatbot
El texto de la ley no menciona «inteligencia artificial» ni «chatbot» (lo revisamos completo). Pero un asistente que recibe nombre, teléfono, fotos o mensajes de clientes trata datos personales, y ahí aplican estas reglas:
- Aviso de privacidad (arts. 14 y 15). Debe decir quién eres y tu domicilio, qué datos tratas, para qué (distinguiendo las finalidades que requieren consentimiento), cómo limitar su uso, cómo ejercer derechos ARCO y cómo avisarás de cambios.
- Consentimiento (art. 7). Todo tratamiento lo requiere, salvo excepciones de la ley. Los datos financieros o patrimoniales piden consentimiento expreso. Se puede revocar en cualquier momento.
- Datos sensibles (art. 8). Piden consentimiento expreso y por escrito. Si tu chat puede recibir datos de salud, por ejemplo, esto te toca de cerca.
- Seguridad (arts. 18 y 19). Medidas administrativas, técnicas y físicas; y avisar de inmediato a los titulares si una vulneración afecta de forma significativa sus derechos.
- Decisiones automatizadas (art. 26, fracc. II). La persona puede oponerse cuando un tratamiento automatizado le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, y esté destinado a evaluar, sin intervención humana, aspectos como su rendimiento profesional, situación económica, salud o fiabilidad.
- Derechos ARCO (arts. 27 a 34). El responsable debe comunicar su determinación en un máximo de 20 días y ejercer estos derechos es gratuito (con excepciones de costos de reproducción).
Un caso práctico: un asistente que sólo contesta precios y horarios con la información de tu negocio es muy distinto a un sistema que decide a quién darle crédito o a quién contratar. Lo segundo es justo lo que el art. 26 pone bajo la lupa.
Multas y sanciones: las cifras reales
La cifra de «2 % de los ingresos» que circula en guías viejas (incluida la versión anterior de este artículo) no aparece en la ley vigente. Las multas están en veces la Unidad de Medida y Actualización (UMA). Con la UMA 2026 de $117.31 diarios (ContadorMx, con base en INEGI), los topes calculados son:
| Supuesto (art. 59) | Rango en UMA | Equivale a (UMA 2026) |
|---|---|---|
| Infracciones de las fracciones II a VII del art. 58 | 100 a 160,000 | $11,731 a $18,769,600 |
| Infracciones de las fracciones VIII a XVIII | 200 a 320,000 | $23,462 a $37,539,200 |
| Reiteración de infracciones | Multa adicional de 100 a 320,000 | $11,731 a $37,539,200 |
| Datos sensibles | Las sanciones pueden incrementarse hasta por dos veces los montos | Hasta el doble |
Los importes en pesos son nuestro cálculo (UMA × rango); la autoridad decide el monto según la naturaleza del dato, si hubo intención, la capacidad económica y la reincidencia (art. 60). Además existen delitos con prisión de 3 meses a 3 años (art. 62) y de 6 meses a 5 años (art. 63) por vulneraciones con ánimo de lucro o tratamiento con engaño; las penas se duplican con datos sensibles (art. 64).
Lo que todavía no existe
- Ley general de IA: no hay. Hay iniciativas en el Congreso, entre ellas una de reforma al artículo 73 constitucional y propuestas de ley presentadas en 2026, según IT Sitio (3-ago-2026). Ninguna es ley hoy.
- Reglamento de la nueva LFPDPPP: la ley daba 90 días al Ejecutivo para ajustar la regulación. Hasta donde pudimos verificar (indicio: Sharkit, 9-jul-2026), sigue sin publicarse. La falta de reglamento no suspende tus obligaciones: la ley ya está vigente.
- Propiedad intelectual de lo que genera una IA: es un tema abierto y reformado hace poco. Pídele opinión a un especialista en vez de asumir que tienes derechos de autor sobre todo.
Qué puedes hacer esta semana (criterio, no consejo legal)
- Lista cada herramienta de IA que toca datos de clientes o empleados: tu chat, tu CRM, tus correos automáticos.
- Revisa que tu aviso de privacidad mencione al asistente y distinga finalidades necesarias de voluntarias. Como ejemplo, el nuestro está en iamanos.com/privacidad, con una sección sobre el asistente de IA. Es un ejemplo, no un modelo que debas copiar.
- Define cómo un cliente pide hablar con una persona. Si el asistente evalúa algo que afecta a alguien, debe haber revisión humana.
- Pregunta a tu proveedor dónde se guardan las conversaciones y por cuánto tiempo.
- Lleva todo a revisión con tu abogado.
Despachos y fuentes citables
- KPMG México: resumen de la nueva ley
- Basham, Ringe y Correa
- Santos Elizondo
- Cuatrecasas
- Crowe México
- Texto vigente y reformas (Cámara de Diputados)
Preguntas frecuentes
¿Existe una ley de inteligencia artificial en México?
No. Al 2 de octubre de 2026 hay iniciativas, pero ninguna es ley. La IA se regula de forma indirecta, sobre todo por la ley de protección de datos.
VideoMira el asistente en acciónDespachos de arquitectura¿El INAI sigue existiendo?
No. Sus funciones en datos de particulares las asumió la Secretaría Anticorrupción y Buen Gobierno desde marzo de 2025.
¿Mi chatbot necesita aviso de privacidad?
Si recibe datos personales (nombre, teléfono, fotos, mensajes), sí: la ley exige informar quién eres, qué datos tratas y para qué. Cómo redactarlo es tema de tu abogado.
¿Cuál es la multa máxima?
Hasta 320,000 veces la UMA por infracción, con multa adicional por reiteración y posible aumento si hay datos sensibles. No es un porcentaje de ingresos.
Siguientes pasos
Si usas o piensas usar un asistente de IA en tu negocio, revisa cómo funcionan los asistentes de iAmanos y sus planes. Para el detalle por sector, lee LFPDPPP y empresas IA, cumplimiento con CNBV, SAT e IMSS y el AI Act europeo y las empresas mexicanas.
Esto no sustituye asesoría legal. iAmanos no da asesoría legal ni de privacidad: el aviso de cada negocio lo define su propio asesor.
