La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada el 20 de marzo de 2025, no menciona la inteligencia artificial, pero aplica a cualquier tratamiento de datos, manual o automatizado. Si usas IA con datos de tus clientes, tu empresa sigue siendo la responsable: necesitas un aviso de privacidad que cubra ese uso, medidas de seguridad, un proveedor que no entrene con tus datos y una persona que revise las decisiones automáticas que afecten a tus clientes. Las multas llegan a 320,000 veces la UMA.
¿Qué dice la ley mexicana sobre usar IA con datos de clientes?
Nada específico, y eso no te exime. La ley vigente define «tratamiento» como cualquier operación con datos personales hecha por procedimientos manuales o automatizados: obtenerlos, usarlos, almacenarlos, transferirlos. Mandar el historial de un cliente a un modelo de IA para que redacte una respuesta es tratamiento.
La ley pide que respetes ocho principios (licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad) y nombra como autoridad a la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del antiguo INAI en esta materia. Su última reforma se publicó el 14 de noviembre de 2025.
Sobre el reglamento: a noviembre de 2026, la lista de reglamentos vigentes de la Cámara de Diputados sigue mostrando el Reglamento de esta ley publicado en 2011, y no encontramos uno nuevo. Revisa con tu asesor legal qué partes aplican.
Este artículo profundiza el paso 2 de cómo implementar IA sin arriesgar. No es asesoría legal: úsalo para llegar preparado con tu abogado.
¿Qué datos personales no deberías darle a una IA?
Los sensibles, salvo que tengas una razón legítima y el consentimiento correcto. La ley llama sensibles a los datos que tocan la esfera más íntima de la persona o cuyo mal uso puede generar discriminación o un riesgo grave. Para tratarlos necesitas el consentimiento expreso y por escrito del titular, con firma autógrafa, firma electrónica o un mecanismo de autenticación.
En la práctica, para una distribuidora o una manufacturera: datos de salud de empleados, expedientes de nómina con información médica o cualquier dato que revele origen étnico, creencias, opiniones políticas o preferencia sexual no deberían pasar por un asistente de IA sin un análisis previo. Y en general, aplica la proporcionalidad: si la IA solo necesita el número de pedido, no le mandes el expediente completo del cliente.
Lo que te cuesta no hacerlo: las multas por infracciones con datos sensibles pueden duplicarse.
¿El proveedor de IA es un «encargado» o un «tercero» para la ley?
Depende de para quién trabaja con los datos. La ley distingue dos figuras:
- Persona encargada: trata los datos por cuenta de tu empresa. Es el caso de un proveedor de IA que procesa tus conversaciones solo para darte el servicio.
- Transferencia: comunicar datos a alguien distinto del titular, de tu empresa o del encargado. Si el proveedor usa los datos para sus propios fines (por ejemplo, mejorar sus modelos), se parece más a esto. Para transferir, la ley exige comunicarle el aviso de privacidad y las finalidades, y el receptor asume las mismas obligaciones que tú.
Por eso importa tanto lo que dice el contrato del proveedor sobre entrenamiento y retención. No es un detalle técnico: define en qué figura legal estás.
¿Qué debe decir tu aviso de privacidad si usas IA?
Lo mismo que siempre, pero actualizado al uso real. La ley exige que el aviso incluya, al menos: quién eres y tu domicilio; qué datos tratas, identificando los sensibles; las finalidades, distinguiendo las que requieren consentimiento; cómo puede el titular limitar el uso; cómo ejercer los derechos de acceso, rectificación, cancelación y oposición (ARCO); y cómo le avisarás de cambios.
Si vas a usar IA para una finalidad nueva (por ejemplo, analizar conversaciones de WhatsApp para calificar prospectos), revisa que esté cubierta. Si un agente atiende a tus clientes por ese canal, revisa también las reglas de WhatsApp para agentes de IA.
¿Tus clientes pueden oponerse a decisiones que toma una IA?
Sí. Es probablemente el punto más importante para quien usa IA en crédito, cobranza o selección de personal. La ley da derecho a oponerse cuando los datos de una persona son objeto de un tratamiento automatizado que le produce efectos jurídicos no deseados o afecta de manera significativa sus intereses, y que está destinado a evaluarla sin intervención humana: su situación económica, su fiabilidad, su comportamiento, entre otros.
Traducido: si una IA decide sola a quién le das crédito o a quién le subes la cobranza, ese cliente puede oponerse. La salida práctica es que una persona revise y firme esas decisiones. Si usas Claude, la Política de Uso de Anthropic que entra en vigor el 12 de noviembre de 2026 va en la misma línea: en usos de alto riesgo como finanzas o empleo exige una persona con autoridad para cambiar la recomendación y que el afectado sepa que se usó IA.
¿Qué revisar del proveedor de IA antes de mandarle datos?
Cuatro preguntas: ¿entrena con tus datos?, ¿cuánto tiempo los guarda?, ¿quién más los ve? y ¿puedes borrarlos? Las respuestas cambian según el producto, incluso dentro del mismo proveedor:
| Producto | ¿Entrena con tus datos? | Retención publicada |
|---|---|---|
| Claude para empresas y API (Anthropic) | No por defecto, salvo que envíes comentarios o lo autorices | API: borrado en 30 días; conversaciones marcadas por seguridad, hasta 2 años |
| Claude Free, Pro o Max (cuentas personales) | El usuario elige | Si lo permite, hasta 5 años sin identificar |
| Plataforma de WhatsApp Business (Meta) | Los términos prohíben usar esos datos para entrenar IA, salvo un modelo exclusivo tuyo | Revisar en los términos de Meta |
| Meta Business Agent | Meta puede usar el contenido para mejorar sus modelos de IA | Revisar en sus términos |
| Agentes de IA de Odoo 20 | Revisar con Odoo y con el proveedor del modelo (OpenAI o Gemini) | Conversaciones con agentes: hasta 30 días después del último mensaje |
Datos consultados en noviembre de 2026; los proveedores cambian sus políticas. La conclusión práctica: que tu equipo use cuentas empresariales, no personales, cuando trabaja con información de clientes. Más detalle sobre Claude en lo nuevo de Anthropic en 2026 y sobre Odoo en la IA que ya viene dentro de Odoo 20.
¿Qué multas hay por mal manejo de datos personales?
De 100 a 320,000 veces la Unidad de Medida y Actualización (UMA), según la infracción, con una multa adicional si se repite y el doble en datos sensibles. La ley también establece delitos: de tres meses a tres años de prisión a quien, autorizado para tratar datos y con ánimo de lucro, provoque una vulneración de seguridad.
Además, la ley obliga a informar de inmediato al titular de las vulneraciones de seguridad que afecten de forma significativa sus derechos patrimoniales o morales. Si un proveedor de IA sufre una fuga con datos de tus clientes, como responsable, el aviso te corresponde a ti.
¿Qué medidas concretas debe tomar tu empresa?
La ley pide medidas de seguridad administrativas, técnicas y físicas, proporcionales al riesgo y a la sensibilidad de los datos. Los marcos técnicos de referencia, como el perfil de IA generativa del NIST y el Top 10 de OWASP, coinciden en lo básico. Aterrizado:
- Inventario. Anota qué herramientas de IA usa tu equipo, con qué datos y con qué cuenta.
- Cuentas empresariales. Prohíbe usar cuentas personales de IA con datos de clientes.
- Datos mínimos. La IA ve solo lo que necesita para la tarea. OWASP recomienda limitar el acceso a datos sensibles con el principio de menor privilegio.
- Contrato. Revisa que el proveedor no entrene con tus datos y cuánto los conserva.
- Aviso de privacidad. Actualízalo para cubrir el uso real de IA.
- Persona en el bucle. Las decisiones que afectan crédito, cobranza o empleo las revisa una persona.
- Confidencialidad y rastro. La ley obliga a que quien trata datos guarde confidencialidad; que cada acción de la IA quede registrada en tu sistema.
Si tus datos viven en hojas sueltas, ordenarlos en un solo sistema con permisos por usuario facilita casi todo lo anterior; es parte de una implementación de Odoo.
Glosario
- Responsable
- La empresa que decide sobre el tratamiento de los datos personales. Si usas IA con datos de tus clientes, eres tú.
- Persona encargada
- Quien trata datos por cuenta del responsable, como un proveedor de servicios.
- Datos sensibles
- Los que tocan la esfera más íntima de la persona o cuyo mal uso puede discriminarla.
- Derechos ARCO
- Acceso, rectificación, cancelación y oposición: lo que el titular puede pedir sobre sus datos.
- UMA
- Unidad de Medida y Actualización, referencia en pesos que se usa para calcular multas.
Preguntas frecuentes
¿La ley de datos personales prohíbe usar inteligencia artificial?
No. La ley no menciona la IA, pero aplica a cualquier tratamiento de datos, manual o automatizado. Puedes usarla si cumples sus principios y obligaciones.
¿Necesito el consentimiento de mis clientes para usar IA con sus datos?
Depende de la finalidad y del tipo de dato. Para datos sensibles, la ley exige consentimiento expreso y por escrito. Para el resto, revisa con tu asesor si tu aviso de privacidad cubre ese uso.
¿Quién es la autoridad de datos personales ahora que no existe el INAI?
La Secretaría Anticorrupción y Buen Gobierno, según la ley publicada el 20 de marzo de 2025.
¿Puedo usar ChatGPT o Claude gratis con datos de clientes?
No es recomendable. En las cuentas personales las condiciones de entrenamiento y retención son distintas a las empresariales, y tu empresa sigue siendo responsable de esos datos.
¿Qué hago si mi proveedor de IA sufre una fuga de datos?
La ley te obliga a informar de inmediato a los titulares afectados de forma significativa. Ten un procedimiento escrito antes de que pase.
Fuentes: Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-03-2025, última reforma 14-11-2025), arts. 2, 5, 8, 15, 18, 19, 20, 26, 35, 59 y 62 · Cámara de Diputados, historial de reformas de la LFPDPPP · Cámara de Diputados, reglamentos de leyes federales vigentes, consultado en noviembre de 2026 · Anthropic Privacy Center, «Is my data used for model training?», agosto de 2026 · Anthropic Privacy Center, «How long do you store my data?», julio de 2026 · Anthropic Privacy Center, «How long do you store my organization's data?», julio de 2026 · Anthropic, «2026 Usage Policy update», octubre de 2026 · Meta, «Meta Terms for WhatsApp Business Platform», sección 4.7, septiembre de 2026 · Meta, «Meta Business Agents and Platform Terms of Service», julio de 2026 · Odoo, «Odoo 20 Release Notes», septiembre de 2026 · OWASP, Top 10 para aplicaciones con LLM 2025: divulgación de información sensible · NIST AI 600-1, perfil de IA generativa, julio de 2024
