IA y datos personales, lo que tu empresa debe cuidar en México

Imagina una clínica dental en Guadalajara que conecta un asistente con IA a su WhatsApp. En la primera semana, el bot ya recibió nombres, teléfonos, fotos de radiografías y mensajes como "tengo diabetes, ¿me pueden hacer una extracción?". Nadie en la clínica pensó que eso es información de salud, que la ley trata como dato sensible, y que ahora viaja a un proveedor de IA que quién sabe dónde la guarda. Así de rápido se cruzan la IA y datos personales en un negocio.

Ese es el punto ciego más común en una PyME: se piensa en la tecnología y se olvida que cada conversación con un cliente es información protegida por la ley. Y la ley cambió recientemente.

Esta guía te explica, en lenguaje de negocio, qué dice la legislación vigente en México y qué debes revisar en cada etapa de un proyecto de IA. No sustituye la asesoría de un abogado especialista, pero te ayuda a hacer las preguntas correctas.

Qué cambió con la nueva ley de 2025

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que entró en vigor al día siguiente y abrogó la ley de 2010. Puedes consultar el texto vigente en la página oficial de la Cámara de Diputados.

Los puntos que más le importan a una empresa:

• Cambió la autoridad. Con la desaparición del INAI, ahora la Secretaría Anticorrupción y Buen Gobierno es la encargada de vigilar el cumplimiento, resolver procedimientos e imponer sanciones.
• Las obligaciones de fondo siguen ahí: aviso de privacidad, consentimiento, seguridad, derechos ARCO.
• Se reconoce expresamente el derecho a oponerse a decisiones automatizadas que produzcan efectos jurídicos no deseados o afecten significativamente a la persona (artículo 26). Esto es muy relevante si usas IA para evaluar personas.
• La ley remite a un reglamento para varios procedimientos. Verifica con tu asesor qué disposiciones reglamentarias están vigentes al momento de implementar tu proyecto.

La ley ha tenido reformas posteriores a su publicación, así que consulta siempre la versión actualizada antes de tomar decisiones.

Etapa 1: cuando recolectas datos

Todo empieza en el momento en que tu asistente, formulario o chatbot le pide algo a una persona.

Tu aviso de privacidad debe reflejar el uso de IA

La ley exige que informes, como mínimo, quién eres y tu domicilio, qué datos tratas (señalando los sensibles), para qué los usas, cómo puede la persona limitar su uso, cómo ejercer sus derechos ARCO y cómo le avisarás de cambios. También debes distinguir las finalidades que requieren consentimiento de las que no.

Para medios electrónicos, como un chat de WhatsApp, se permite un aviso simplificado que enlace al aviso integral. En la práctica, el primer mensaje de tu asistente puede incluir una línea breve con el enlace a tu aviso completo.

El tipo de consentimiento depende del tipo de dato

Volviendo a la clínica: si el asistente va a recibir información de salud, no basta con que el paciente siga escribiendo. Hace falta un mecanismo de consentimiento expreso y por escrito. Una alternativa práctica es diseñar el asistente para que no pida datos de salud y, si el paciente los menciona, lo canalice a recepción.

El dato más fácil de proteger es el que nunca recolectaste. Pide solo lo indispensable.

Etapa 2: cuando un proveedor de IA procesa los datos

Cuando tu chatbot envía el mensaje de un cliente a un modelo de IA, ese proveedor trata datos por tu cuenta. En términos de la ley, la persona física o moral que trata datos personales por cuenta del responsable es un encargado. Tú sigues siendo el responsable frente al titular.

Antes de contratar, pregunta a cualquier proveedor de IA o de chatbot:

1. ¿Usan las conversaciones para entrenar sus modelos? ¿Se puede desactivar?
2. ¿En qué país se procesan y almacenan los datos?
3. ¿Cuánto tiempo conservan la información y cómo se borra?
4. ¿Qué medidas de seguridad tienen y cómo avisan si hay una vulneración?
5. ¿Firman un contrato o acuerdo de tratamiento de datos?

Aunque la ley no detalla el formato de ese acuerdo, dejar por escrito las obligaciones de confidencialidad y seguridad del proveedor es una buena práctica que te protege.

Transferencias a terceros

Si compartes datos con alguien que no es tu encargado ni el titular (por ejemplo, un socio comercial o una aseguradora), eso es una transferencia. Debes comunicarle tu aviso de privacidad y las finalidades, y tu aviso debe incluir una cláusula sobre si la persona acepta la transferencia, salvo los casos de excepción que la propia ley enumera.

Etapa 3: cuando guardas la información

Las conversaciones de un asistente se acumulan rápido. Cada una puede contener nombres, teléfonos, direcciones y más.

La ley te obliga a mantener medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración o acceso no autorizado. Para una PyME, esto se traduce en:

• Accesos con usuario y contraseña individuales, y verificación en dos pasos.
• Que solo las personas que lo necesitan puedan ver el historial de conversaciones.
• Una política de conservación: por ejemplo, borrar o anonimizar conversaciones después de cierto tiempo si ya no las necesitas.
• Respaldos protegidos.

Si ocurre una vulneración que afecte de forma significativa los derechos patrimoniales o morales de las personas, la ley exige informarles de inmediato. Ten listo un plan básico de qué hacer y quién avisa. Para medidas concretas, revisa nuestra guía de ciberseguridad para PyMEs.

Etapa 4: cuando una persona ejerce sus derechos

Cualquier persona puede pedirte acceso, rectificación, cancelación u oposición sobre sus datos (derechos ARCO). Con la ley vigente:

• Tienes hasta 20 días desde que recibes la solicitud para comunicar tu respuesta.
• Si procede, debes hacerla efectiva dentro de los 15 días siguientes.
• Ambos plazos pueden ampliarse una sola vez por un periodo igual, si se justifica.
• El ejercicio de estos derechos es gratuito, salvo costos de reproducción o envío.

Con IA, el reto práctico es saber dónde están los datos de una persona: en el CRM, en el historial del chatbot, en la plataforma de WhatsApp, en hojas de cálculo. Haz un mapa de dónde vive la información de tus clientes antes de que alguien te la pida.

IA y datos personales cuando evalúas a personas

Filtrar candidatos, calificar prospectos para crédito o decidir a quién se le aprueba un servicio son usos donde el artículo 26 cobra relevancia. Si una evaluación automatizada, sin intervención humana, afecta significativamente a alguien, esa persona puede oponerse.

La recomendación práctica es simple: que la IA sugiera y una persona decida en todo lo que tenga consecuencias importantes para alguien. Esto también reduce otros riesgos de usar IA en tu empresa, como el sesgo.

Cuánto puede costar no cumplir

La ley contempla apercibimientos y multas que van de 100 a 320,000 veces la Unidad de Medida y Actualización (UMA), según la infracción, con multas adicionales por reincidencia. En infracciones que involucran datos sensibles, las sanciones pueden incrementarse hasta dos veces. Más allá de la multa, el costo de perder la confianza de tus clientes suele ser mayor.

Checklist rápida para tu proyecto de IA

• Aviso de privacidad actualizado que mencione el uso de proveedores tecnológicos y la IA.
• Aviso simplificado con enlace en el primer contacto del chatbot.
• Lista de datos que el asistente no debe pedir.
• Mecanismo de consentimiento expreso para datos financieros y, por escrito, para sensibles.
• Proveedor de IA revisado: entrenamiento, ubicación, conservación y seguridad.
• Accesos restringidos al historial de conversaciones.
• Política de conservación y borrado.
• Procedimiento para atender derechos ARCO en plazo.
• Revisión humana en decisiones que afecten a personas.

Preguntas frecuentes

¿Sigue existiendo el INAI para temas de datos personales?

No. Con la nueva ley publicada en marzo de 2025, la autoridad encargada de vigilar la protección de datos personales en posesión de particulares es la Secretaría Anticorrupción y Buen Gobierno.

¿Necesito un aviso de privacidad si solo uso un chatbot en WhatsApp?

Sí. Si el chatbot recibe nombres, teléfonos o cualquier dato que identifique a una persona, estás tratando datos personales. Puedes usar un aviso simplificado en el chat que enlace a tu aviso integral.

¿Puedo usar ChatGPT u otra herramienta con datos de mis clientes?

Puedes, pero con cuidado: revisa si el plan que usas entrena con tus datos, dónde se procesan y si tu aviso de privacidad contempla ese uso. Para información sensible o financiera, usa planes empresariales con garantías contractuales o evita pegar esos datos.

¿Qué pasa si mi chatbot recibe datos de salud sin que yo los pida?

Ocurre con frecuencia. Lo recomendable es configurar el asistente para que no solicite ese tipo de información, la canalice a una persona y no la almacene más de lo necesario, además de tener un mecanismo de consentimiento adecuado si tu servicio realmente requiere esos datos.

Por dónde empezar

Revisa tu aviso de privacidad esta semana y compáralo con lo que realmente hacen tus herramientas de IA. Después haz el mapa de dónde viven los datos de tus clientes y define qué información tu asistente nunca debe pedir. Con eso resuelves la mayor parte del riesgo. Si atiendes pacientes, nuestra guía de IA para consultorios médicos y dentales aterriza estos temas a ese giro.

En Emproyecta diseñamos chatbots con IA pensando en la privacidad desde el inicio: qué datos se piden, dónde se guardan y cuándo se pasa la conversación a una persona. Para los temas legales, te recomendamos validar con un abogado especialista en protección de datos.