¿Qué es la regulación de la IA en México?
Regulación de la IA: países y regiones
México no cuenta aún con una ley ómnibus única sobre IA. A 4 de junio de 2026, la IA en México se rige principalmente a través de las normas vigentes de protección de datos, administración pública y regulación sectorial, junto con documentos de política emergentes y orientaciones éticas no vinculantes. La dirección más clara en la actualidad es una vía de orientación para el sector público: obligaciones de privacidad, evaluación de impacto para usos gubernamentales que impliquen datos personales significativos y gobernanza basada en principios, mientras que los proyectos de ley sobre IA y el trabajo de planificación nacional siguen en desarrollo.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Cuando se pregunta por la regulación de la IA en México, muchas personas esperan encontrar un AI Act específico. Esa no es la situación actual. México regula la IA a través de leyes que ya se aplican a los datos, los sistemas de gobierno y las actividades reguladas, junto con declaraciones éticas, trabajo de estrategia pública y proyectos legislativos.
Eso no significa que la IA esté sin regular. Significa que las normas están distribuidas en varios instrumentos. Algunas son vinculantes ahora mismo, en especial las reglas sobre datos personales y los controles del sector público. Otras, como la declaración de ética de enero de 2026 y los distintos proyectos de ley sobre IA, son orientadoras más que obligatorias.
Una segunda complicación es el cambio institucional. Las orientaciones técnicas más antiguas suelen proceder del INAI, pero el propio INAI fue extinguido en 2025 y las funciones clave de protección de datos fueron transferidas a la nueva estructura federal de transparencia y buen gobierno.
Por qué importa
Para fundadores, operadores, compradores y asesores, el problema práctico en México no suele ser la falta de una licencia de IA. La cuestión es si un caso de uso de IA ya activa obligaciones en materia de protección de datos, confidencialidad, administración pública, contratación, consumo, trabajo o propiedad intelectual. Si se gestionan datos de clientes, datos de empleados, datos biométricos o registros del sector público, es posible que ya existan obligaciones de cumplimiento, incluso sin un AI Act específico.
Esto cobra aún más relevancia para los sistemas gubernamentales y los orientados al gobierno. La dirección de política de México está cada vez más vinculada a la infraestructura digital pública, la nube pública, la capacidad estatal y la responsabilidad humana documentada. Eso significa que las organizaciones que venden al sector público o desarrollan herramientas de uso público deben anticipar un escrutinio sobre privacidad, explicabilidad, gestión de datos, seguridad y quién sigue siendo responsable cuando se utiliza la automatización.
Cómo funciona
México no cuenta aún con un AI Act único
A 4 de junio de 2026, México no ha promulgado una ley federal ómnibus sobre IA comparable a un AI Act transversal. El modelo actual es por capas. Las partes vinculantes provienen principalmente del derecho de datos personales, la transparencia y el derecho administrativo. La política específica sobre IA se está configurando a través de declaraciones éticas, propuestas del Senado y del Congreso, y planificación del gobierno digital. En la práctica, las primeras preguntas jurídicas suelen referirse al derecho vigente, no a un estatuto autónomo sobre IA.
La ley de protección de datos vigente realiza la mayor parte del trabajo jurídico vinculante
Los principales anclajes vinculantes son las leyes federales de protección de datos reemitidas en marzo de 2025. Se aplican a los datos personales en formato físico y electrónico, y exigen tratamiento lícito, limitación de finalidad, minimización de datos, exactitud, avisos de privacidad, medidas de seguridad y confidencialidad. En el sector privado, las personas deben poder ejercer los derechos ARCO: acceso, rectificación, cancelación y oposición. Los datos personales sensibles requieren en general consentimiento expreso por escrito. Los incidentes de seguridad relevantes deben notificarse a las personas afectadas. Si se utilizan servicios en la nube, encargados externos u otros terceros, el responsable original sigue siendo el que asume la responsabilidad y debe garantizar protecciones equivalentes.
Los organismos públicos enfrentan controles ex ante más estrictos
Las normas del sector público en México van más lejos cuando los sistemas gubernamentales tratan datos personales de forma intensiva o relevante. Si un organismo público planea lanzar o modificar sustancialmente una política, plataforma, aplicación u otra tecnología de ese tipo, debe presentar una evaluación de impacto en la protección de datos 30 días antes de su puesta en marcha, para que la autoridad pueda emitir recomendaciones no vinculantes. Los organismos públicos también deben diseñar y gestionar los sistemas de modo que las obligaciones de protección de datos se cumplan por defecto, mantener documentación de seguridad, supervisar el cumplimiento internamente e integrar los controles de privacidad en los servicios y plataformas desde el inicio.
Las instituciones cambiaron tras el INAI
El mapa institucional cambió en 2025. Tras la reforma constitucional y legislativa, el antiguo INAI fue extinguido y sus funciones fueron redistribuidas. Dentro del poder ejecutivo federal, la Secretaría Anticorrupción y Buen Gobierno cuenta ahora con una Unidad de Protección de Datos Personales, respaldada por direcciones para los sectores público y privado, con atribuciones sobre procedimientos de protección de derechos, verificación, conciliación y sanciones. Transparencia para el Pueblo forma ahora parte de la arquitectura federal de transparencia más amplia. Los materiales más antiguos del INAI siguen siendo relevantes como orientación técnica, pero el ámbito institucional es ahora diferente.
La política avanza a través de la estrategia y la orientación no vinculante
El camino de México en materia de IA no se limita a las restricciones. También abarca la infraestructura digital pública, la capacidad estatal y la ética. Esto se refleja en el foro interinstitucional sobre IA y supercomputación de junio de 2025 y en la Declaración de ética y buenas prácticas para el uso y desarrollo de la IA en México de enero de 2026, emitida por Secihti y ATDT. La declaración es expresamente no vinculante, pero tiene importancia política porque enmarca la IA en torno a los derechos, la responsabilidad humana con rendición de cuentas, la explicabilidad, la gobernanza colectiva, el beneficio social, la conciencia del impacto, las necesidades nacionales, la educación, la diversidad cultural y lingüística, y el manejo responsable de los datos.
La gobernanza digital del sector público forma parte del panorama regulatorio
México también está construyendo la gobernanza de la IA a través de la maquinaria del gobierno digital. La planificación y los informes federales vinculan ahora la IA a la infraestructura de nube pública, las plataformas de datos gubernamentales, la ciberseguridad, la formación de funcionarios públicos y la revisión tecnológica previa a la contratación. Esto significa que la gobernanza operativa está emergiendo a través de cómo el Estado construye, adquiere y aloja tecnología, no solo a través de proyectos legislativos.
Es probable que haya cambios a corto plazo, pero el marco jurídico sigue sin consolidarse
El Congreso y el Senado trabajan activamente en textos relacionados con la IA, incluidos proyectos de leyes marco, una posible estrategia nacional de IA o plan, y reformas que afectan a los deepfakes, la clonación de imagen y voz, los derechos de autores e intérpretes y otros daños vinculados a la IA generativa. Los trabajos del Senado en 2025 y 2026 han debatido abiertamente una futura Ley General de IA, una posible autoridad nacional de IA y evaluaciones de impacto algorítmico en el sector público. Sin embargo, a 4 de junio de 2026, esto sigue siendo una agenda legislativa en movimiento, no un código consolidado.
Ejemplos
Un ejemplo claro del sector público es VisitMexico. En 2025, el gobierno federal informó que el portal fue lanzado con un asistente virtual de viajes basado en IA. Esto muestra cómo México ya está desplegando IA en los servicios públicos a través del gobierno digital y la política sectorial, incluso sin un régimen de licencias de IA específico.
Un segundo ejemplo es de infraestructura más que de legislación. El gobierno federal informó que tres entidades federales fueron migradas al centro de datos público de Aguascalientes y que allí se añadió capacidad de GPU de alto rendimiento para proyectos de IA y analítica avanzada. Esto muestra la vía de gobernanza de México como una de infraestructura pública centralizada, alojamiento soberano y capacidad estatal interna, no solo de redacción de normas.
Un tercer ejemplo es el proceso formal previo al lanzamiento para un organismo público que desea desplegar un sistema intensivo en datos personales. Bajo el marco de protección de datos del sector público, ese organismo debe preparar y presentar una evaluación de impacto en la protección de datos con antelación, y la orientación del INAI sobre IA también recomienda evaluar el impacto en la privacidad antes de la implementación. En otras palabras, el uso de IA en el sector público en México tiene cada vez más la expectativa de generar un rastro documental antes de la puesta en marcha, no solo después de que surja un problema.
Malentendidos frecuentes
México no tiene ninguna regulación sobre IA. Incorrecto. México ya aplica la legislación vigente en materia de protección de datos, transparencia, derecho administrativo y normativa sectorial a los usos de la IA.
La declaración de ética de enero de 2026 es un reglamento vinculante. Incorrecto. Es una orientación, no un estatuto federal obligatorio sobre IA.
El INAI sigue aplicando la normativa sobre IA y protección de datos de la misma manera que antes. Incorrecto. La orientación más antigua del INAI sigue siendo relevante, pero el propio INAI fue extinguido y sus funciones fueron transferidas en 2025.
Solo los organismos públicos deben preocuparse por las normas actuales sobre IA. Incorrecto. Las organizaciones del sector privado que utilizan IA con datos personales siguen expuestas a obligaciones de aviso, consentimiento, ARCO, seguridad, verificación y sanciones.
La futura ley de IA de México ya está definida. Incorrecto. Existen varias iniciativas y propuestas, pero el panorama legislativo sigue en movimiento.
Riesgos y límites
El mayor límite es la fragmentación. México no es aún una jurisdicción con un único estatuto sobre IA. Es necesario mapear distintas capas jurídicas, en especial la ley de datos personales, el derecho público y los requisitos sectoriales específicos, en lugar de buscar un código de IA completo.
También existe una distinción entre la gobernanza del sector público y la del sector privado. Los organismos públicos enfrentan una estructura ex ante más estricta, especialmente cuando el tratamiento de datos personales es intensivo o relevante. Las organizaciones del sector privado siguen teniendo obligaciones reales, pero a través de una combinación diferente de consentimiento, aviso, seguridad, gestión de derechos y sanciones.
El derecho indicativo no debe confundirse con un puerto seguro. Los principios de Chapultepec y los materiales más antiguos del INAI son útiles para diseñar la gobernanza, pero no sustituyen a las obligaciones vinculantes de las leyes de protección de datos. Tampoco garantizan que un regulador acepte controles débiles.
Este es un tema en rápida evolución. La estructura institucional federal cambió en 2025, los trabajos del Senado y del Congreso continuaron en 2026, y algunos materiales oficiales apuntan ya a un Plan Nacional de IA. La política públicamente visible está emergiendo con claridad, pero aún no se ha consolidado en un instrumento único. Las organizaciones deben por tanto tratar a México como una jurisdicción en la que la dirección de gobernanza es clara, pero la forma estatutaria definitiva sigue abierta.
Qué hacer a continuación
Los responsables deben tratar México como una jurisdicción de gobernanza ahora, AI Act después. Conviene comenzar con un inventario actualizado de los usos de IA, fuentes de datos, proveedores, interfaces públicas y puntos de toma de decisiones automatizada. A continuación, hay que contrastar cada uso con los requisitos de aviso de privacidad, consentimiento, minimización, retención, respuesta a brechas, controles de proveedores y gestión de derechos ARCO.
Si se desarrollan soluciones para el gobierno o se despliegan en el sector público, conviene añadir responsabilidad humana documentada, umbrales de explicabilidad, disciplina en la contratación y, cuando el tratamiento de datos personales sea intensivo o relevante, un proceso formal de evaluación de impacto antes del lanzamiento. Conviene mantener la orientación más antigua del INAI en el conjunto de controles, pero actualizar las responsabilidades a la estructura institucional post-INAI vigente.
Por último, conviene monitorear la actividad legislativa federal y la orientación institucional del Senado, ATDT, Secihti y la Secretaría Anticorrupción y Buen Gobierno. En México, la carga de cumplimiento inmediata ya es real, y la capa explícita de IA puede endurecerse aún más.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene México ya un AI Act específico?
No. A 4 de junio de 2026, México no cuenta aún con una ley federal ómnibus única sobre IA en vigor.
¿Qué leyes son más relevantes en este momento?
Los anclajes jurídicos vinculantes más importantes en la actualidad son las leyes federales de datos personales, junto con las normas de administración pública, transparencia y otras reglas sectoriales específicas aplicables al contexto en que se utiliza la IA.
¿Es jurídicamente vinculante la declaración de enero de 2026?
No. Es un instrumento no vinculante de ética y buenas prácticas destinado a orientar la política y el comportamiento institucional.
¿Quién gestiona ahora la aplicación de la protección de datos a nivel federal?
Tras la reforma institucional de 2025, las funciones clave de protección de datos fueron transferidas a la estructura federal de buen gobierno, en especial a la Secretaría Anticorrupción y Buen Gobierno y a los organismos de transparencia relacionados.
¿Necesitan los organismos públicos una evaluación de impacto antes de utilizar IA?
Si el sistema, plataforma o tecnología previsto implica un tratamiento intensivo o relevante de datos personales, las normas de protección de datos del sector público exigen una evaluación de impacto en la protección de datos antes de su puesta en marcha.
¿Deben las empresas privadas esperar a una futura ley de IA antes de actuar?
No. Las organizaciones del sector privado ya deben cumplir con las obligaciones de aviso, consentimiento, seguridad, ARCO y gestión de encargados cuando su uso de IA implica datos personales.
¿Avanza México hacia una legislación sobre IA más explícita?
Sí. Los trabajos del Senado y del Congreso en 2025 y 2026 muestran un movimiento activo hacia una regulación de la IA más explícita, pero el modelo jurídico definitivo sigue sin consolidarse.