El marco actual: LFPDPPP e IA
México regula el uso de IA que procesa datos personales principalmente a través de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025, que abrogó la ley homónima de 2010. Esta ley, aunque no contiene reglas específicas sobre IA, aplica plenamente a los sistemas de inteligencia artificial que tratan datos de personas físicas identificables o identificadas.
Desde el 21 de marzo de 2025 la autoridad de control es la Secretaría Anticorrupción y Buen Gobierno, que sustituyó al extinto INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales). El INAI había emitido criterios y guías interpretativas que aclaraban cómo se aplicaba la LFPDPPP a contextos de IA, especialmente en lo relativo a decisiones automatizadas, profilado y transferencia de datos a sistemas de IA en la nube.
Decisiones automatizadas: lo que la LFPDPPP exige
La LFPDPPP exige que el aviso de privacidad informe sobre el uso automatizado de datos personales para tomar decisiones que afecten significativamente a los titulares. En el contexto IA, esto incluye los modelos de scoring crediticio, los sistemas de selección de personal, los algoritmos de precios dinámicos en seguros, y los sistemas de detección de fraude. Los titulares de datos tienen derecho de acceso, rectificación, cancelación y oposición (derechos ARCO), incluyendo el derecho a oponerse a decisiones basadas únicamente en tratamiento automatizado.