México y el vacío regulatorio de la IA

México está moviendo piezas en su gobernanza de datos justo cuando la IA avanza más rápido que las reglas que deberían ordenarla. Y ese desajuste no es solo un asunto jurídico: ya afecta cómo entrenas modelos, cómo compras software, cómo documentas decisiones automatizadas y cómo respondes cuando un sistema de alto riesgo falla.

Si trabajas en producto, legal, data o ciberseguridad, el mensaje es bastante claro: en LatAm, el cuello de botella no está siendo solo la IA en sí, sino la capacidad de demostrar de dónde salen los datos, quién los tocó, con qué permiso se usaron y si alguien revisó el sistema antes de ponerlo en producción.

Qué está pasando en México y por qué importa

El caso mexicano sirve para leer una tendencia regional. Mientras no exista una ley integral de IA en la mayoría de países de la región, los gobiernos están tratando de cubrir el hueco con reglas de datos, privacidad, transparencia y contratación pública. Eso hace que la conversación deje de ser “¿prohibimos o permitimos IA?” y pase a ser “¿puedes auditar lo que tu sistema hace con los datos?”.

La nota de referencia de El Economista apunta a una reconfiguración de la gobernanza de datos en México en medio de ese vacío regulatorio. Traducido a terreno práctico: si no hay una norma única para IA, las obligaciones se reparten entre protección de datos, gestión de riesgo, seguridad de la información y controles internos. El resultado es menos glamoroso, pero mucho más real para una empresa: más inventario, más trazabilidad y más evidencia.

Eso pega especialmente en sistemas de alto riesgo. Piensa en scoring crediticio, selección de personal, detección de fraude, priorización de atención médica o evaluación de elegibilidad para beneficios públicos. En esos casos, el problema no es solo si el modelo acierta o no. También importa si puedes explicar qué datos usó, cómo se validó, quién aprobó el despliegue y qué hizo la organización para detectar sesgos o errores.

El vacío regulatorio no significa ausencia de control

Hay una idea que conviene desterrar: si no existe una ley específica de IA, entonces no hay obligaciones. No funciona así. En la práctica, las empresas siguen sujetas a marcos de privacidad, consumo, competencia, trabajo, sector financiero y ciberseguridad. La IA solo amplifica el alcance de esos marcos.

En México, además, la discusión pública sobre datos personales y uso responsable de tecnología empuja a las organizaciones a documentar mejor sus procesos. Y eso no es un detalle administrativo. Si usas datos para entrenar o ajustar un modelo, necesitas saber si esos datos fueron recolectados con base legal, si están anonimizados o pseudonimizados, si tienen retención definida y si cruzan fronteras.

Para aterrizarlo, imagina dos escenarios:

1. Un banco usa un modelo para preaprobar créditos.
2. Una empresa de retail usa IA para segmentar clientes y ajustar ofertas.

Ambos casos pueden verse similares desde el marketing, pero regulatoriamente no pesan igual. El banco lidia con impacto financiero directo y potencial discriminación crediticia. El retail quizá no tenga ese nivel de escrutinio, pero sí puede enfrentar problemas de consentimiento, perfilado y uso indebido de datos.

Lo que ya te está pidiendo el mercado

La presión no viene solo del regulador. También viene de clientes corporativos, auditorías internas y proveedores globales. Si vendes tecnología a una multinacional, tarde o temprano te pedirán respuestas sobre:

• procedencia de los datos de entrenamiento,
• controles de acceso,
• retención y borrado,
• evaluaciones de sesgo,
• pruebas de robustez,
• y trazabilidad de cambios en el modelo.

O sea, la gobernanza de datos se está volviendo una condición de venta. No tenerla ya no es un problema de compliance aislado; es una barrera comercial.

Gobernanza de datos: el nuevo centro de gravedad

Cuando se habla de IA, mucha gente se va directo al modelo. Pero el valor real, y también el riesgo real, suele estar antes: en el dato. Si tus datos están sucios, incompletos o mal etiquetados, el modelo aprende basura. Si tus datos están bien gobernados, reduces errores, pero también puedes demostrar cómo llegaste a una decisión.

Ese punto es clave en LatAm, donde muchas organizaciones todavía tienen datos dispersos entre CRM, ERP, hojas de cálculo, repositorios locales y proveedores externos. En ese contexto, pedir una auditoría de IA sin antes ordenar el dato es como pedir una inspección técnica de un auto sin revisar si tiene motor.

Qué incluye una gobernanza de datos útil

No necesitas un manual de 200 páginas para empezar. Sí necesitas, como mínimo, estos componentes:

• inventario de datasets usados por sistemas de IA,
• clasificación de sensibilidad de cada dataset,
• registro de origen, dueño y fecha de actualización,
• políticas de retención y borrado,
• controles de acceso por rol,
• evidencia de consentimiento o base legal cuando aplique,
• bitácora de cambios en features, prompts o parámetros,
• y un proceso de revisión antes de producción.

La mayoría de empresas ya tiene algo de esto repartido entre áreas. El problema es que está fragmentado. Un equipo de data tiene el linaje, legal tiene los consentimientos, seguridad tiene los accesos y producto tiene las decisiones de negocio. Si no unes todo, no puedes auditar nada.

Tabla: qué pide una auditoría de IA y quién suele responder

Lo interesante es que esta tabla, que parece interna, ya se parece mucho a lo que varias empresas tienen que mostrar cuando un cliente grande les hace due diligence. Por eso la gobernanza de datos dejó de ser un tema de “ordenamos después” y pasó a ser infraestructura de negocio.

Auditorías de sistemas de alto riesgo: el verdadero filtro

Si la gobernanza de datos es el cimiento, las auditorías son el filtro que va a separar proyectos serios de pilotos improvisados. Y eso se nota más en sistemas de alto riesgo porque ahí no alcanza con decir que el modelo tiene buena precisión promedio.

Un sistema puede acertar 92% de las veces y aun así ser problemático si el 8% de error se concentra en un grupo específico. También puede funcionar bien en pruebas, pero degradarse cuando cambian las condiciones del mercado, los datos de entrada o el comportamiento de los usuarios.

Qué debería revisar una auditoría mínima

Una auditoría útil no se limita a un checklist genérico. Debería cubrir al menos estos puntos:

1. Finalidad del sistema: para qué se usa y qué decisión apoya.
2. Datos de entrada: origen, permisos, calidad y vigencia.
3. Métricas técnicas: precisión, recall, falsos positivos, falsos negativos y drift.
4. Impacto por segmento: si falla más en mujeres, jóvenes, regiones o perfiles de menor ingreso.
5. Supervisión humana: quién puede revertir o bloquear una salida del sistema.
6. Registro de incidentes: cómo se documentan errores y cómo se corrigen.
7. Pruebas de robustez: qué pasa si cambian los datos o si hay inputs maliciosos.

Si quieres verlo como proceso, una auditoría madura suele pasar por tres capas: técnica, legal y operativa. Sin las tres, te queda un informe bonito, pero no una defensa real frente a una autoridad, un cliente o un juez.

Ejemplo realista de impacto

Supón que una fintech en México usa IA para aprobar microcréditos. Si el modelo rechaza más solicitudes de una zona específica porque los datos históricos reflejan menor bancarización, el sesgo puede parecer “estadísticamente lógico” y aun así ser un problema regulatorio y reputacional.

En ese caso, una auditoría debería responder preguntas como:

• ¿la variable geográfica está justificada?
• ¿se probó si actúa como proxy de nivel socioeconómico?
• ¿hay revisión humana para rechazos automáticos?
• ¿puede el cliente apelar la decisión?

Sin esas respuestas, el riesgo no es solo técnico. Es de negocio.

Cómo se está moviendo LatAm, país por país

México no está solo en esto. En la región, la regulación de IA avanza a ritmos distintos, pero casi todos los países están chocando con el mismo punto: no pueden regular bien si no saben qué datos se usan, dónde están y quién responde por ellos.

Brasil ha sido uno de los mercados más activos en discusión regulatoria y es un buen espejo para entender lo que viene en la región. Chile, Colombia, Perú y Ecuador también han tenido debates sobre protección de datos, gobierno digital y uso de IA en el sector público o privado. El detalle es que muchas veces la conversación avanza más rápido en papel que en capacidad operativa.

Lo que cambia para empresas regionales

Si operas en varios países de LatAm, ya no te sirve una política genérica de “uso responsable de IA”. Necesitas una arquitectura de cumplimiento por capas:

• una base regional para datos y seguridad,
• anexos locales por país,
• criterios de riesgo por caso de uso,
• y un proceso de aprobación antes de lanzar modelos en producción.

Esto también afecta a proveedores. Si vendes software con IA en México y luego quieres entrar a Ecuador o Colombia, te van a pedir pruebas de gobernanza, no solo una demo. Y si tu stack depende de modelos de terceros, también tendrás que mostrar cómo gestionas subprocesadores, transferencias internacionales y retención.

Dónde se atasca más el mercado

Hay tres cuellos de botella que se repiten:

• falta de inventario de datos,
• falta de responsables claros,
• falta de métricas de riesgo comparables.

No es casualidad que muchos proyectos de IA se queden en piloto. El problema no es que el modelo no funcione. El problema es que nadie quiere firmar el despliegue sin saber qué pasa si algo sale mal.

Qué deberías hacer si trabajas con IA en México o LatAm

Si estás montando o comprando sistemas de IA, el mejor momento para ordenar esto fue ayer. El segundo mejor momento es ahora. No necesitas esperar una ley perfecta para empezar a operar con controles serios.

Plan de acción en 6 pasos

1. Haz inventario de casos de uso: separa IA generativa, scoring, recomendación, clasificación y automatización de decisiones.
2. Clasifica el riesgo: define cuáles afectan derechos, dinero, empleo, salud o acceso a servicios.
3. Mapea datos y permisos: identifica origen, base legal, retención y transferencias.
4. Define revisión humana: establece en qué casos una persona puede corregir o anular la salida del sistema.
5. Documenta pruebas: guarda métricas, versiones del modelo y resultados por segmento.
6. Prepara respuesta a incidentes: si el sistema falla, necesitas saber quién actúa y en cuánto tiempo.

Si quieres ordenar esto con equipos de producto, te puede servir cruzarlo con tu proceso de lanzamiento. Por ejemplo, antes de activar un modelo en producción, exige una revisión de riesgo similar a la que harías en un cambio crítico de infraestructura. Si te interesa ese enfoque, también puedes revisar nuestro artículo sobre /blog/gobernanza-de-datos y el de ciberseguridad en IA.

Un criterio simple para decidir si un sistema está listo

Hazte esta pregunta: si mañana te piden explicar por qué el sistema tomó una decisión concreta sobre una persona, ¿puedes reconstruir la cadena completa en menos de una hora? Si la respuesta es no, todavía no tienes una gobernanza lista para un entorno de alto riesgo.

Y ojo: esto no significa frenar la innovación. Significa evitar que la IA se convierta en una caja negra que luego nadie quiere tocar cuando aparezcan reclamos, auditorías o sanciones.

Tabla resumen

La discusión sobre IA en México no va solo de legislación pendiente. Va de quién puede demostrar control sobre los datos y sobre las decisiones que un sistema automatizado toma con ellos. Y en LatAm, esa capacidad ya está separando a las empresas que pueden escalar de las que solo están experimentando.

Si tu organización quiere usar IA en serio, el punto de partida no es comprar otro modelo. Es ordenar datos, definir responsabilidades y dejar evidencia suficiente para que una auditoría no te tome por sorpresa.