85 iniciativas de IA en el Congreso y ninguna pasó: las reglas que ya aplican a tu empresa aunque no lo sepas

Tu empresa puede estar usando IA para evaluar candidatos, asignar crédito o manejar a sus trabajadores de reparto, y ya hay una ley que te obliga a explicar cómo funciona el algoritmo, con multas que llegan hasta $50 millones de pesos si no lo haces. Y mientras tanto, el Congreso lleva tres años sin ponerse de acuerdo en una ley general.

Ese es el verdadero estado de la regulación de IA en México en 2026: caos legislativo arriba, obligaciones reales abajo.

El circo del Congreso: 85 iniciativas, 67 sin dictamen

Desde abril de 2023, el Congreso mexicano ha visto circular 85 iniciativas relacionadas con inteligencia artificial. De esas, 67 siguen durmiendo en comisiones sin ningún dictamen. La Comisión del Senado trabajó todo el primer semestre de 2026 en un borrador de “Ley General para Regular y Fomentar la IA en México” de nada menos que 223 artículos distribuidos en 14 títulos. El periodo ordinario cerró en abril de 2026. Sin votación en el pleno. Sin publicación.

En julio arrancó una nueva ronda legislativa en la Cámara de Diputados, con Ricardo Monreal a la cabeza. El 24 de julio se presentó una propuesta con sistema de semáforo de riesgo para clasificar los sistemas de IA: verde para los inocuos, rojo para los que tocan derechos humanos. Todo muy bien en papel. En el pleno, ni rastro.

Mientras los legisladores debaten quién pone su nombre en la ley, la regulación sectorial ya lleva meses operando y las empresas que no lo saben son las que van a llevar el golpe.

Lo que YA aplica hoy: el artículo 291-J

La reforma más concreta que ya tiene dientes es la del artículo 291-J de la Ley Federal del Trabajo, publicada el 24 de diciembre de 2024 en el DOF. Entró en vigor 180 días después, lo que significa que desde mediados de 2025 ya es exigible.

¿Qué dice? Si tu plataforma digital asigna tareas, pedidos, rutas o evalúa el rendimiento de tus trabajadores usando un algoritmo, estás obligado a:

• Entregarles un documento en lenguaje simple que explique cómo funciona el algoritmo
• Dejar claro qué factores del sistema pueden afectar la relación laboral
• Comunicar cualquier cambio en el sistema con anticipación y obtener aceptación
• Garantizar que el algoritmo no sea discriminatorio ni ponga en riesgo la salud del trabajador

¿Eso aplica solo a Uber, Rappi y DiDi? Son los casos más obvios. Pero cualquier empresa que tenga trabajadores cuyas tareas sean asignadas o evaluadas algorítmicamente está en la misma situación. Si tu sistema de CRM o de recursos humanos usa scoring para asignar cuentas o evaluar vendedores, estás en el radar.

La nueva LFPDPPP y las decisiones automatizadas

El INAI ya no existe. Desde marzo de 2025, sus facultades pasaron a la Secretaría Anticorrupción y Buen Gobierno, y la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares entró en vigor ese mismo día.

Lo que cambió específicamente para la IA: ya no puedes poner en tu aviso de privacidad frases vagas como “sus datos podrán ser utilizados para otros fines comerciales”. Ahora, si usas IA para tomar o influir en decisiones sobre tus clientes o empleados, debes:

1. Decirlo explícitamente en el aviso de privacidad con el propósito específico
2. Explicar qué tipo de decisiones automatizadas se toman con sus datos
3. Garantizar el derecho a solicitar revisión humana si una decisión afecta significativamente sus derechos

Ese último punto es lo más importante: crédito denegado por un algoritmo, rechazo de solicitud de empleo, exclusión de un servicio de salud. Si la IA lo decidió, el usuario tiene derecho a pedir que un humano lo revise. Y tú tienes que tener ese proceso funcionando, documentado y accesible.

Las multas que ya existen

Las sanciones vigentes bajo la nueva ley van en tres niveles:

Gravedad	Sanción estimada	Ejemplo de infracción
Leve	$50,000 a $500,000 MXN	Aviso de privacidad sin mención de IA
Grave	$500,000 a $5 millones MXN	No hacer evaluación de impacto, sesgo no corregido
Muy grave	$5 a $50 millones MXN	Discriminación masiva, IA prohibida, reincidencia

Y hay un multiplicador: si el sistema involucra datos sensibles como salud, biometría u origen étnico, la sanción puede duplicarse. Además de la multa, la Secretaría puede ordenar la suspensión del sistema hasta que se regularice y publicar la sanción en sitios oficiales. O sea, no solo te cobran, también te exponen.

Hace unos meses cubrimos cómo México blindó por ley a los doblajistas contra la IA: esa reforma a la LFT de mayo de 2026 que protege voz e imagen de artistas contra la IA generativa también forma parte de este mosaico regulatorio que crece sin una ley general que lo organice.

La Agencia Nacional de IA: propuesta, no realidad

Mucho se ha hablado de una “Agencia Nacional de IA” como parte del borrador del Senado. La propuesta existe: si la ley general se aprobara, el Ejecutivo tendría 90 días para instalarla. Pero como la ley no ha pasado, la agencia tampoco existe. Por ahora, quien coordina la política de IA del gobierno federal es la Agencia de Transformación Digital y Telecomunicaciones (ATDT), que está desarrollando un Plan Nacional de IA. Sin fecha confirmada de publicación.

Una cifra que contextualizan el tema: solo el 4.8% de los fabricantes mexicanos con más de 10 empleados usa IA, comparado con el 19.1% del promedio de la OCDE. Hay un rezago enorme. Y ese rezago convive con un marco regulatorio que ya empieza a morder.

Qué debe hacer tu empresa HOY

La postura que resume bien el tema: no hace falta esperar a que exista una ley aprobada para operar con orden. Los pasos mínimos que ya son exigibles:

Si usas plataformas con trabajadores:

• Documenta y explica tu algoritmo de asignación en lenguaje simple
• Incluye la política algorítmica en el contrato laboral
• Crea un proceso de notificación ante cambios en el sistema

Si usas IA en decisiones sobre clientes o empleados:

• Actualiza tus avisos de privacidad con mención explícita de IA y sus finalidades específicas
• Establece un mecanismo de revisión humana para decisiones automatizadas significativas
• Realiza evaluaciones de impacto si operas en áreas de alto riesgo (crédito, salud, empleo)

Si manejas datos biométricos o sensibles:

• Audita los algoritmos que los procesan al menos una vez al año
• Documenta el propósito específico de cada modelo en uso

El costo de no cumplir ya se mide en millones de pesos. Y si adoptar IA sin gobernanza ya es caro, como vimos con Uber quemando su presupuesto entero de IA en 4 meses, añadir el riesgo regulatorio encima complica aún más el panorama para empresas que van sin framework.

Lo que viene: el semáforo de riesgo

La propuesta del 24 de julio de 2026 introduce una clasificación de sistemas de IA en categorías de riesgo. Si esto avanza, las empresas con sistemas de “riesgo alto” como reconocimiento facial, scoring crediticio o sistemas de contratación tendrán obligaciones adicionales de auditoría y transparencia. Para los de “riesgo prohibido”, directamente fuera del mercado.

Todavía es propuesta. Pero la dirección está clara: lo que no se regula hoy por una ley general, se va regulando sector por sector. Y al ritmo que va, cuando la ley general llegue, las empresas ya van a tener que cumplir con veinte reformas distintas de todos modos.

El Congreso puede tardar lo que quiera. Las obligaciones ya llegaron.

¿Tu empresa ya tiene documentados los algoritmos que usa? ¿O todavía esperando a que “haya una ley de verdad” para moverse? Tira en los comentarios cómo van con el tema.

Fuentes

• Observatorio IA México: seguimiento de iniciativas legislativas
• IT Sitio: regulación de IA por sectores en México
• Madigen: ley de IA en México 2026 para empresas
• Magokoro: regulación de IA en México, multas y obligaciones
• Gobierno CDMX: síntesis de la reforma LFT sobre plataformas digitales
• Infobae: México perfila su primera ley de inteligencia artificial