Muchas empresas en crecimiento llevan meses, o años, usando inteligencia artificial para tomar decisiones que afectan directamente a personas: algoritmos que filtran candidatos en recursos humanos, motores de scoring que evalúan el crédito de un cliente, chatbots que clasifican solicitudes de servicio. Lo hacen con buena intención y, en muchos casos, con resultados operativos reales. Lo que no siempre saben es que, desde el 21 de marzo de 2025, esa práctica tiene nuevas reglas en México, y el desconocimiento no exime de la sanción.
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) —publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y que abrogó la versión de 2010— no es una actualización cosmética. Es la reforma de privacidad más profunda en más de quince años, y por primera vez incorpora disposiciones específicas sobre sistemas automatizados de toma de decisiones. Dicho de otro modo: si tu empresa usa IA con datos de clientes, colaboradores o proveedores, tienes obligaciones concretas que cumplir hoy.
La narrativa dominante sobre regulación de IA en México sigue mirando hacia Bruselas: el AI Act europeo acapara la conversación y produce la ilusión de que aquí todavía hay tiempo. Esa ilusión es costosa. Mientras los directivos debaten si "eventualmente" habrá una ley de IA en el país, la LFPDPPP de 2025 ya opera con dientes reales.
El primer cambio estructural fue institucional. El INAI —el organismo que durante más de una década supervisó el cumplimiento— desapareció. Su función pasó a la Secretaría Anticorrupción y Buen Gobierno, que asumió los recursos, los expedientes en curso y la facultad de sancionar. El relevo no fue solo administrativo: señaló que la protección de datos personales es ahora materia de integridad pública, con una jerarquía distinta en el gobierno federal.
El segundo cambio fue de fondo. La ley amplió la definición de "responsable del tratamiento": ahora incluye a cualquier persona física o moral que procese datos personales, sin importar si toma decisiones formales sobre ese tratamiento. Esto significa que el proveedor externo de tu chatbot, la plataforma de RRHH que usa tu empresa, el integrador que automatizó tu proceso de cobranza, todos forman parte de una cadena de responsabilidad que puede llegar hasta tu organización.
"El procesamiento de datos mediante sistemas de IA debe ajustarse a los fines para los que se obtuvo el consentimiento. No basta con mencionarlo en letra pequeña."
— IAPP, análisis de la LFPDPPP y protección de datos en México, 2025
Aquí está el núcleo práctico. La LFPDPPP de 2025 no prohíbe el uso de IA. Sí establece condiciones que deben cumplirse cuando un sistema automatizado procesa datos personales o genera decisiones que afectan a personas.
Aviso de privacidad actualizado. El aviso debe detallar qué datos se recopilan, distinguiendo los sensibles; para qué finalidades se usan; y si existe tratamiento automatizado. Ya no es suficiente el texto genérico de 2010. Si tu empresa usa un modelo de lenguaje para atender clientes o un algoritmo para evaluar colaboradores, el aviso debe decirlo con claridad.
Consentimiento diferenciado. El artículo 7 establece que los datos financieros y los datos sensibles requieren consentimiento expreso y por escrito. Un clic en "acepto términos" no cumple el estándar para estos casos. Si tu plataforma de crédito, tu sistema de nómina o tu herramienta de evaluación de desempeño procesa estos datos, el flujo de consentimiento necesita revisión.
Derecho a revisión humana. Cuando un sistema automatizado produce efectos jurídicos adversos o afecta significativamente los derechos de una persona, esa persona puede solicitar que un ser humano revise la decisión. Esto aplica a contrataciones, créditos, seguros, evaluaciones de desempeño. Tu empresa necesita un mecanismo real para atender esas solicitudes, no solo una dirección de correo que nadie monitorea.
Evaluación de impacto (DPIA). Para sistemas de IA de alto riesgo, la normativa exige realizar evaluaciones de impacto en protección de datos antes de desplegarlos. "Alto riesgo" incluye cualquier sistema que tome o asista decisiones masivas sobre personas: scoring de clientes, filtrado de candidatos, segmentación automatizada.
Explicabilidad y auditoría. Los algoritmos deben poder explicarse. Si un algoritmo rechaza a un candidato o asigna una categoría de riesgo a un cliente, la empresa debe poder describir la lógica general del proceso. Esto no exige publicar el código fuente, pero sí implica gobernanza interna documentada.
Imagina una empresa distribuidora con 180 empleados. Tiene un chatbot de atención a clientes integrado desde hace dos años, un sistema de RRHH en la nube que genera reportes de desempeño, y un módulo de CRM que puntúa automáticamente a los clientes por probabilidad de compra. La empresa tiene un aviso de privacidad publicado en su sitio, que data de 2019, y no menciona ninguno de estos sistemas.
Ese escenario, que es representativo de cientos de empresas en crecimiento en México, configura un incumplimiento múltiple bajo la LFPDPPP de 2025: aviso desactualizado, ausencia de mecanismo para revisión humana de decisiones automatizadas, y ninguna evaluación de impacto documentada. Las sanciones pueden superar los 60 millones de pesos, según distintos análisis del marco normativo vigente.
El problema no es la tecnología. El problema es que la tecnología llegó sin que los procesos y la gobernanza de datos la acompañaran. Es exactamente el mismo patrón que hace que los proyectos de IA fallen: se compra la herramienta antes de entender el entorno en que operará.
El error frecuente es tratar el cumplimiento de la LFPDPPP como un problema jurídico que se resuelve con un abogado, un aviso nuevo y listo. Funciona para el cumplimiento mínimo, pero deja expuesta la operación real.
El cumplimiento genuino requiere entender qué datos tiene la empresa, dónde están, quién los procesa y con qué propósito. Eso es, en esencia, gobernanza de datos. Y la gobernanza de datos no es un tema legal: es la base sobre la que cualquier implementación de IA funciona bien o fracasa silenciosamente.
Según datos de la ENDUTIH, casi 8 de cada 10 mexicanos son usuarios de internet. México ocupa el tercer lugar en LatAm en adopción de IA, según el Índice Latinoamericano de IA (ILIA 2023). El volumen de datos personales que circula en sistemas empresariales locales es enorme, y la mayor parte de ese volumen no está catalogada ni gobernada.
Lo que la LFPDPPP de 2025 hace, en la práctica, es forzar a las empresas a tener esa conversación que muchas han postergado: ¿sabemos qué hacemos con los datos de nuestros clientes y colaboradores? Si la respuesta honesta es "más o menos", el regulador ya tiene jurisdicción para intervenir.
Las sanciones son el argumento más directo para actuar. Pero el riesgo reputacional es igualmente relevante, y más difícil de cuantificar. Una empresa en crecimiento que enfrenta una investigación por mal uso de datos personales en sus sistemas de IA, o peor, que aparece en un proceso de queja pública ante la Secretaría Anticorrupción y Buen Gobierno, enfrenta un daño de confianza que ninguna campaña de marketing repara rápido.
El contexto latinoamericano también presiona en esa dirección. Cada vez más empresas, especialmente corporativos con los que las medianas buscan hacer negocios, incluyen criterios de cumplimiento en privacidad de datos como parte de su proceso de evaluación de proveedores. No cumplir con la LFPDPPP puede cerrar puertas comerciales antes de que llegue cualquier sanción regulatoria.
La regulación, en ese sentido, no es el problema. Es la señal de que la gobernanza de datos ya no es un lujo de corporativos con departamentos jurídicos grandes. Es una condición operativa para cualquier empresa que quiera usar IA de forma sostenible.
En el Método 4C®, la gobernanza de datos aparece desde la primera fase: Conciencia y Compromiso. Parte del diagnóstico inicial incluye entender qué datos tiene la empresa, en qué condiciones los procesa, y si el entorno en que opera la IA cumple con los estándares legales y de calidad necesarios. No es una casilla de verificación legal. Es la diferencia entre implementar IA sobre una base sólida o sobre un castillo de arena.
Si tu empresa ya usa herramientas de IA y no tiene certeza sobre el estado de su cumplimiento con la LFPDPPP de 2025, el camino no empieza con un abogado ni con una nueva política interna. Empieza por entender qué datos tienes, cómo los procesas y qué decisiones automatizadas ya estás tomando. Eso es exactamente lo que la gobernanza de datos para IA aborda como base.
Para empresas que ya tienen IA desplegada, el post sobre cómo preparar datos antes de implementar IA es un buen punto de partida para auditar el estado actual antes de hablar de cumplimiento.
La nueva LFPDPPP de 2025 llegó a resolver un problema real: el uso acelerado de IA en empresas que nunca detuvieron a pensar en la privacidad de los datos que alimentan esos sistemas. La ley no pide perfección. Pide documentación, transparencia y un mecanismo real para respetar los derechos de las personas cuyos datos procesas.
El problema es que cumplir sin entender la operación produce papel sin sustancia. El aviso de privacidad actualizado no te protege si el flujo de datos real dice otra cosa. Por eso el cumplimiento genuino y la gobernanza de datos son la misma conversación.
Si tu empresa usa IA y no tienes claro si cumple con lo que la LFPDPPP de 2025 exige, ese es exactamente el tipo de conversación que vale tener en una Sesión 0 con Kynai: 30 minutos para diagnosticar el estado real de tu operación y saber dónde están los riesgos antes de que alguien más los encuentre.
¿La LFPDPPP de 2025 prohíbe el uso de IA en empresas?
No. La ley no prohíbe la inteligencia artificial. Establece condiciones para su uso cuando procesa datos personales: transparencia en el aviso de privacidad, consentimiento adecuado, mecanismos de revisión humana y evaluaciones de impacto para sistemas de alto riesgo.
¿Qué pasa si mi empresa ya tenía un aviso de privacidad publicado antes de 2025?
El aviso anterior no cubre las exigencias de la nueva ley si no menciona el tratamiento automatizado de datos. Si tu empresa usa IA con datos de clientes, colaboradores o proveedores, el aviso necesita actualizarse para reflejar esas prácticas con el nivel de detalle que exige la LFPDPPP de 2025.
¿Qué es una evaluación de impacto en protección de datos (DPIA)?
Es un análisis que documenta qué datos recopila un sistema de IA, para qué finalidades, qué riesgos implica para las personas involucradas y qué medidas técnicas y organizativas se aplican para mitigarlos. La ley la exige para sistemas de IA de alto riesgo, como los que toman decisiones de crédito, contratación o segmentación masiva.
¿Cuál es la autoridad que supervisa ahora la LFPDPPP en México?
Con la desaparición del INAI, la supervisión y la facultad sancionadora pasaron a la Secretaría Anticorrupción y Buen Gobierno, que asumió los recursos y los expedientes en trámite desde la entrada en vigor de la nueva ley el 21 de marzo de 2025.
¿Aplica la LFPDPPP a sistemas de IA de proveedores externos que usa mi empresa?
Sí. La ley amplió la cadena de responsabilidad. Si tu empresa usa un proveedor de chatbot, una plataforma de RRHH o cualquier sistema externo que procese datos personales de tus clientes o colaboradores, tu organización mantiene responsabilidad sobre ese tratamiento. El contrato con el proveedor debe incluir cláusulas de cumplimiento y protección de datos.