Imagina que un cliente solicita un crédito en tu plataforma y el sistema lo rechaza en segundos, sin que nadie de tu equipo haya visto el caso. Ese cliente tiene ahora el derecho de exigir que una persona revise esa decisión. Si tu empresa no puede explicar cómo llegó el algoritmo a esa conclusión, ni quién puede intervenir para revisarla, ya tienes un problema de cumplimiento y de reputación al mismo tiempo.

Esto ya no es un escenario hipotético para las empresas que operan en México. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025 y vigente desde el día siguiente, sustituyó por completo a la ley de 2010 y trajo consigo obligaciones específicas sobre el uso de inteligencia artificial y sistemas automatizados de toma de decisiones.

Qué cambió realmente con la nueva LFPDPPP

El cambio más comentado ha sido institucional: con la desaparición del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, la Secretaría Anticorrupción y Buen Gobierno se convirtió en la nueva autoridad encargada de vigilar el cumplimiento de la protección de datos personales en el país. Pero el cambio que de verdad debería quitarte el sueño como responsable de una MiPyME o de una empresa que atiende clientes en México no es de organigrama de gobierno, es de operación diaria.

La ley endureció las condiciones bajo las que una empresa puede informar y tratar los datos de sus clientes, especialmente cuando esos datos alimentan un algoritmo que toma decisiones sobre personas reales. Ya no basta con un aviso de privacidad genérico que diga que se usan los datos para mejorar el servicio. Si tu empresa utiliza inteligencia artificial para otorgar créditos, filtrar candidatos, calcular primas de seguro o segmentar clientes por nivel de riesgo, el aviso de privacidad debe explicar en lenguaje sencillo cómo funciona ese proceso y qué consecuencias puede tener para el titular de los datos.

Los derechos ARCO no cambiaron de nombre, pero sí de alcance

Acceso, Rectificación, Cancelación y Oposición siguen siendo los cuatro derechos que cualquier persona puede ejercer sobre sus datos personales frente a una empresa. Lo que cambió es lo que esos derechos significan cuando hay un algoritmo de por medio.

El punto más delicado es el derecho de Oposición aplicado a decisiones automatizadas. Cuando un tratamiento automatizado produce efectos jurídicos no deseados o afecta de manera significativa los intereses o derechos de una persona, sin que haya intervención humana en la evaluación de aspectos como su rendimiento laboral, su situación económica o su estado de salud, el titular puede oponerse y pedir que un humano revise el caso. En otras palabras, tu empresa necesita un mecanismo real de “humano en el circuito”, no solo una casilla de opción en el sitio web que nadie sabe cómo operar.

Esto tiene implicaciones muy concretas para el área de tecnología, no solo para el área legal:

¿Quién revisa la decisión cuando un cliente se opone? Si la respuesta es “nadie, porque el sistema no permite intervención manual”, tienes una brecha de cumplimiento.

¿Puedes rastrear cómo llegó el algoritmo a esa conclusión? Si tus registros no permiten reconstruir la lógica detrás de una decisión automatizada, no podrás responder una solicitud de Acceso ni defenderte ante una auditoría.

¿Tu aviso de privacidad distingue entre el aviso simplificado y el integral? El primero cubre el primer contacto con el titular, el segundo debe detallar con mayor profundidad la lógica del tratamiento automatizado, incluyendo el uso de inteligencia artificial.

El error que están cometiendo muchas empresas en México

Un error común entre las PyMEs mexicanas es asumir que, si no tienen un departamento de ciencia de datos ni modelos de machine learning propios, esto no les aplica. La realidad es distinta. Si tu empresa usa un chatbot que recolecta nombre, correo o teléfono, o una herramienta externa que califica leads o filtra solicitudes de forma automática, ya estás procesando datos personales bajo un esquema automatizado y la ley te alcanza igual.

Otro error frecuente es pensar que la desaparición del INAI significó menos vigilancia. Ocurrió justo lo contrario: la nueva autoridad hereda los recursos y las facultades para vigilar el cumplimiento de la ley, y los procedimientos que ya estaban en marcha continúan sustanciándose bajo el nuevo marco. La inercia de “esto seguramente ya no aplica” es, en la práctica, el mayor riesgo de cumplimiento que puede tener una empresa hoy.

Qué puede hacer tu empresa hoy mismo

No se trata de contratar más abogados ni de generar un manual de 300 páginas que nadie va a leer. Se trata de que el cumplimiento esté integrado en cómo opera tu tecnología, no solo en un contrato firmado. Como punto de partida, cualquier empresa debería poder responder con claridad estas tres preguntas:

Primero, si algún sistema dentro de tu operación toma decisiones sobre personas sin intervención humana, y qué tan significativo es el impacto de esas decisiones en la vida de tus clientes o candidatos.

Segundo, si tu aviso de privacidad refleja con precisión ese tratamiento automatizado, o si sigue redactado pensando solo en el mundo anterior a la inteligencia artificial generativa.

Tercero, si existe un proceso documentado y funcional para que un humano revise una decisión automatizada cuando un titular ejerce su derecho de Oposición.

La protección de datos personales dejó de ser un tema exclusivamente legal para convertirse en un tema de arquitectura tecnológica y de gobernanza. Las empresas que entiendan esto antes que sus competidores no solo evitarán sanciones, sino que construirán una relación de confianza más sólida con sus clientes, algo que en el entorno actual vale más que cualquier campaña de marketing.

¿Tu empresa ya sabe si sus sistemas automatizados cumplen con estos requisitos, o todavía opera bajo el supuesto de que un aviso de privacidad genérico es suficiente?

Contacto