Ley de IA en México: qué reglas ya te aplican aunque no exista una ley general

En México no existe una ley general de inteligencia artificial en vigor: la iniciativa sigue en el Senado y requiere antes reformar los artículos 3 y 73 de la Constitución. Eso no significa vacío legal: las empresas ya responden por su IA bajo las normas de datos personales, trabajo y derechos de autor, y ante su regulador sectorial. Para bancos y aseguradoras, la pregunta ya no es cuándo llegará la ley, sino qué tan gobernada está la IA que ya usan.

Dónde está la ley hoy (octubre de 2026)

Desde abril de 2023 se han presentado 85 iniciativas en el Congreso para regular la IA y 67 siguen pendientes, según un recuento publicado el 6 de octubre. La Ley General necesita antes una reforma constitucional, y aún no hay fecha para votarla.

En paralelo, el debate se está moviendo hacia otro lado. El 7 de octubre, en el México Digital Summit, el presidente de la comisión de IA del Senado, Rolando Zapata, propuso empezar por un plan nacional de IA con horizonte de cinco a diez años y una ley general “de fomento y uso”, flexible y con un consejo consultivo. Su frase resume el momento: “No podemos gobernar tecnología dinámica con instituciones estáticas”.

Hay además propuestas más estrictas sobre la mesa, como la iniciativa presentada el 24 de julio en la Cámara de Diputados, que plantea semáforos de riesgo, un Consejo Nacional de IA y una Plataforma Nacional de Auditoría Algorítmica. Siguen siendo propuestas, pero muestran hacia dónde se inclina la conversación: clasificar por riesgo y poder auditar las decisiones de un algoritmo.

Lo que ya aplica, aunque no haya ley de IA

Ámbito	Qué ya está en vigor
Datos personales	La ley de protección de datos de particulares aplica cuando la IA trata datos de personas identificables. Si tus equipos usan herramientas como ChatGPT o Copilot con datos personales, el aviso de privacidad debe decirlo. Desde 2025, las facultades del INAI pasaron a la Secretaría Anticorrupción y Buen Gobierno.
Trabajo	El artículo 291-J de la Ley Federal del Trabajo exige transparencia en las reglas con que las plataformas digitales asignan tareas. Desde el 14 de mayo de 2026, usar la voz o la imagen de una persona con IA requiere consentimiento expreso, con multas de 1,000 a 5,000 UMA.
Propiedad intelectual	La Segunda Sala de la Suprema Corte confirmó que la autoría protegida corresponde a una persona física, al negar el registro de un avatar generado con IA. Lo que la IA produce sola puede quedar sin protección.
Sector financiero	Banxico y la CNBV ya hablan de IA de forma pública. Para una entidad regulada, el principio es que la IA puede apoyar la decisión, pero la entidad sigue siendo la responsable.

Lo que dicen los reguladores financieros

Banxico. En un documento publicado el 18 de junio de 2026, “Inteligencia artificial y estabilidad financiera: canales potenciales de transmisión de riesgos”, advierte que “la opacidad de los modelos de IA dificulta la supervisión y la gestión de riesgos” y que la concentración de proveedores eleva el riesgo de puntos únicos de falla. Entre enero y mayo de 2026 detectó ocho intrusiones cibernéticas en instituciones financieras.

CNBV. Su titular, Ángel Cabrera, dijo el 25 de septiembre que el regulador apoyará la adopción de IA y buscará “una regulación más suficiente, moderna”. No dio plazos ni cambios concretos, pero la señal es clara: la regulación va a llegar por el lado del supervisor del sector, no solo por una ley general.

FSB, esta semana. El 15 de octubre, el Consejo de Estabilidad Financiera publicó sus directrices definitivas sobre la gestión de riesgos de la IA agéntica para bancos y otras empresas financieras. Piden reforzar la supervisión humana en los casos de mayor riesgo y definir criterios claros, basados en riesgo, para saber cuándo un agente debe pedir aprobación humana. No son obligatorias en México por sí mismas, pero marcan hacia dónde se mueven los supervisores.

El problema de fondo: muchas pruebas, poca operación

Según el estudio México Inteligente, del Centro México Digital, con datos del Censo Económico 2024 del INEGI, solo 8.4% de las empresas del sector financiero y de seguros con 10 o más empleados usa IA. Y un estudio de Accenture, el IPADE y el Consejo de Empresas Globales calcula que 66% de las empresas mexicanas está atrapado en pilotos de IA que no escalan.

Un piloto sin responsable, sin control de datos y sin métricas difícilmente llega a producción en una entidad regulada. La gobernanza no frena la adopción: es lo que permite pasar de la prueba a la operación sin que el riesgo crezca al mismo ritmo.

Qué debería tener gobernado tu empresa hoy

Esta lista es una lectura de Ceiba, no un requisito legal, pero sigue las señales que ya dan Banxico, la CNBV, el FSB y las propuestas legislativas:

Inventario de sistemas de IA y de los datos que tocan, incluidos los que los equipos adoptaron por su cuenta.
Un responsable humano por decisión, con autoridad para detenerla o corregirla, no solo para revisarla.
Criterios de aprobación humana para agentes de IA: qué puede hacer solo y cuándo debe pedir permiso.
Trazabilidad y explicabilidad: poder explicar cómo decidió un sistema, que es justo lo que Banxico señala como riesgo.
Aviso de privacidad actualizado con el uso de IA sobre datos personales.
Control de proveedores y dependencias, para no depender de un único modelo o plataforma.

Como marco de referencia, ISO/IEC 42001 y el NIST AI RMF ordenan estos controles y facilitan responder a un supervisor, a un auditor o a un cliente.

Cómo lo aborda Ceiba

Aquí está la diferencia entre instalar IA y adoptarla. El MOA es la capacidad institucional gobernada, medible y sostenible para adoptar inteligencia artificial en la empresa: define quién responde por cada sistema, cómo se mide su desempeño y cómo se mantiene en el tiempo. Parte de un diagnóstico de madurez por cuatro ejes (personas, gobernanza, operación y tecnología) y se apoya en referentes como ISO/IEC 42001, el NIST AI RMF y la supervisión humana.

Si además estás sumando talento externo para construir con IA, revisa Staff augmentation en México 2026: qué exigir además de talento.

Preguntas frecuentes

¿Hay una ley de inteligencia artificial en México? No hay una ley general de IA en vigor. La iniciativa sigue en el Senado y, para aprobarla, primero hay que reformar los artículos 3 y 73 de la Constitución. Mientras tanto, la IA se rige por normas existentes de datos personales, trabajo, derechos de autor y las reglas de cada sector.

¿Qué leyes regulan hoy el uso de IA en México? Aplican la ley de protección de datos personales en posesión de particulares cuando la IA trata datos de personas, el artículo 291-J de la Ley Federal del Trabajo para algoritmos de plataformas digitales y las reformas de mayo de 2026 sobre el uso de voz e imagen con IA. En banca, además, responden ante la CNBV y Banxico.

¿Qué dice el regulador financiero mexicano sobre la IA? Banxico publicó en junio de 2026 un documento sobre IA y estabilidad financiera que advierte opacidad de los modelos, concentración de proveedores y riesgos cibernéticos. El titular de la CNBV dijo el 25 de septiembre que buscará una regulación más suficiente y moderna, sin dar plazos ni cambios concretos.

¿Qué es la gobernanza de IA? Es el conjunto de decisiones, roles y controles que define quién responde por cada sistema de IA, con qué datos opera, cómo se supervisa y cómo se mide su desempeño. Marcos de referencia como ISO/IEC 42001 y el NIST AI RMF la ordenan, y la supervisión humana es su control más importante.

¿Qué debe hacer una empresa mexicana hoy frente a la IA? Hacer un inventario de los sistemas de IA que usa, incluidos los que adoptaron los equipos por su cuenta, asignar un responsable humano por decisión, actualizar el aviso de privacidad, documentar cómo decide cada sistema y definir cuándo un agente debe pedir aprobación humana.

¿Cuándo se aprobaría una ley general de IA en México? No hay fecha. Según el seguimiento legislativo, 85 iniciativas se han presentado desde abril de 2023 y 67 siguen pendientes. La presidencia de la comisión de IA del Senado propone primero un plan nacional con horizonte de cinco a diez años y una ley general de fomento y uso.

¿Sabes qué sistemas de IA tiene tu organización y quién responde por cada uno? Conversemos y revisamos juntos en qué nivel de madurez están.

Fuentes (consultadas el 19 de octubre de 2026):