IA y datos personales en 2026: qué cambió y qué le toca hacer a tu empresa

México: una ley nueva, no una reforma

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Entró en vigor al día siguiente y abrogó la ley de 2010.

El cambio más visible es institucional: el INAI desapareció y sus atribuciones pasaron a la Secretaría Anticorrupción y Buen Gobierno. Si tu aviso de privacidad o tus contratos siguen nombrando al INAI como autoridad, están desactualizados.

Lo que más probablemente afecte a tu empresa es menos visible: la ley de 2025 cambió lo que el aviso de privacidad tiene que decir.

• Tiene que detallar los datos personales que se tratan e identificar cuáles de ellos son sensibles.
• Tiene que distinguir las finalidades que requieren consentimiento de las que no lo requieren.
• Ya no es obligatorio informar ahí sobre las transferencias de datos, algo que la ley anterior sí exigía.
• El plazo de conservación de los datos pasó a ser un concepto formal de la ley, y el deber de confidencialidad se amplió.

Europa: la Ley de IA puede alcanzarte aunque operes desde México

La Ley de IA de la UE no se limita a empresas europeas. Aplica a quien pone sistemas de IA en el mercado de la Unión, y también a proveedores y usuarios de fuera cuando los resultados del sistema se utilizan dentro de ella. Si vendes a clientes europeos, operas allá o tus sistemas toman decisiones sobre personas en la UE, te conviene revisarla.

El 24 de julio de 2026 se publicó el Reglamento (UE) 2026/1744 —conocido como el Digital Omnibus sobre IA—, en vigor desde el 27 de julio. Movió varias fechas. Así quedó el calendario:

1. 2 feb 2025Prácticas prohibidas (art. 5), como la puntuación social.
2. 2 ago 2026Transparencia (art. 50): avisar a las personas que interactúan con un sistema de IA y marcar el contenido sintético.
3. 2 dic 2026Límite para marcar el contenido sintético de los sistemas que ya estaban en el mercado antes del 2 de agosto de 2026.
4. 2 dic 2027Alto riesgo del anexo III: por ejemplo, selección de personal, evaluación crediticia, acceso a servicios esenciales y educación. Antes estaba previsto para agosto de 2026.
5. 2 ago 2028Alto riesgo en productos ya regulados (anexo I), como dispositivos médicos o elevadores.

El Omnibus también agregó una prohibición —los sistemas usados para generar imágenes íntimas no consentidas o material de abuso sexual infantil— y suavizó la obligación de alfabetización en IA: ahora basta con medidas de apoyo y documentar la capacitación, sin certificar la competencia de cada persona.

La lección práctica tiene dos lados. No hace falta correr por un plazo que se movió a 2027. Pero si ya tienes un chatbot o un asistente de cara al público, la obligación de transparencia aplica hoy.

El error más común: «riesgo bajo» no significa «sin regulación»

Los dos marcos miden cosas distintas. La Ley de IA clasifica el sistema según lo que hace y a quién afecta. La ley de datos personales regula la información que se usa, haya o no inteligencia artificial de por medio.

Un tablero interno de analítica puede ser de riesgo mínimo bajo la Ley de IA y, al mismo tiempo, estar tratando datos de salud de empleados que la ley mexicana obliga a identificar como sensibles. Quien lee solo una de las dos clasificaciones llega justo a la conclusión equivocada.

Por eso la primera pregunta no es «¿qué tan riesgoso es este modelo?», sino «¿qué datos toca, de quién y dónde opera?».

Qué hacer este trimestre

1. Haz un inventario de tus sistemas de IA —incluidos los que llegaron dentro de otro software— y anota a quién afectan sus resultados.
2. Para cada uno, registra qué datos personales usa, cuáles son sensibles y si salen del país hacia algún proveedor.
3. Actualiza tu aviso de privacidad a la ley de 2025: autoridad vigente, datos tratados, datos sensibles identificados y finalidades separadas según requieran o no consentimiento.
4. Si tienes exposición a la Unión Europea, clasifica cada sistema según la Ley de IA y arma el calendario con las fechas vigentes, no con las originales.
5. Nombra a un responsable del gobierno de IA. Un inventario sin dueño queda obsoleto en un trimestre.