Regulación de la IA en México y el mundo

Regular la inteligencia artificial pasó de ser un debate académico a una tarea legislativa concreta en todo el mundo. La Unión Europea ya aplica su Reglamento de IA, aunque en 2026 aplazó una parte. Estados Unidos no tiene una ley federal general y discute si los estados pueden regular por su cuenta. China regula por medidas específicas, y Brasil lleva casi dos años con su proyecto de ley en la Cámara de Diputados. Y México, a noviembre de 2026, sigue sin una ley de IA, aunque el Congreso acumula iniciativas y el gobierno abrió una discusión nacional.

Esta guía resume el estado de las cosas al 4 de noviembre de 2026, con enlaces a las fuentes oficiales: qué hay (y qué no) en México, qué normas ya aplican aunque no mencionen la IA, cómo van la UE, EE. UU., China, el Reino Unido y Brasil, qué marcos internacionales conviene conocer y qué significa todo esto para una empresa mexicana que desarrolla, vende o usa IA.

México: todavía no hay una ley de IA

A noviembre de 2026, México no tiene una ley general ni federal dedicada a la inteligencia artificial. Lo reconoce incluso la iniciativa más reciente que revisamos: la que presentaron el 29 de septiembre de 2026 senadoras y senadores del PAN para expedir una Ley General para el Desarrollo de la Inteligencia Artificial y el Impulso del Futuro Digital. Su exposición de motivos recuerda que el 17 de junio de 2026 la presidenta Claudia Sheinbaum dijo públicamente que el país no contaba con una ley general en la materia y planteó discutir su regulación.

Hay un problema de fondo: el artículo 73 de la Constitución no le da al Congreso una facultad expresa para legislar sobre IA. Por eso varias propuestas empiezan con una reforma constitucional antes de llegar a la ley. Entre las iniciativas presentadas en la LXVI Legislatura, según la recopilación de esa misma iniciativa del Senado, están:

• Reformas constitucionales al artículo 73 para facultar al Congreso, presentadas entre otros por el diputado Ricardo Monreal (febrero de 2025), la senadora Reyna Celeste Ascencio (abril de 2025), la diputada Ivonne Ortega (noviembre de 2025) y el senador Saúl Monreal (2026), además de una del PRI. La Gaceta Parlamentaria de la Cámara de Diputados registraba todavía el 7 de octubre de 2026 nuevas iniciativas para añadir esa facultad. Ninguna había sido aprobada.
• Ley Federal para el Desarrollo Ético, Soberano e Inclusivo de la IA (Morena y PVEM, abril de 2025), con un Consejo Nacional de IA, una Plataforma Nacional de Auditoría Algorítmica y una clasificación por riesgos.
• Ley General para el Uso y Control de la IA en los Sectores Público y Privado, de la senadora Juanita Guerra (PVEM).
• Ley General de Inteligencia Artificial, de diputadas y diputados del PAN (marzo de 2026).
• Los trabajos de la comisión especial del Senado sobre IA, presidida por el senador Rolando Zapata Bello, que en abril de 2026 informó que preparaba una Ley General para Regular y Fomentar el Uso de la IA.

Desde el Ejecutivo, la presidenta anunció en julio de 2026 foros para elaborar una propuesta de regulación del uso de plataformas digitales y redes sociales por niñas, niños y adolescentes, un debate en el que se cruzan los algoritmos y la IA. En resumen: hay muchas iniciativas y discusión pública, pero ninguna ley de IA aprobada. Si alguien te dice que «la ley mexicana de IA te obliga a…», pídele el número de artículo y la fecha del DOF.

Estrategias, agendas y acciones del gobierno

Que no haya ley no significa que no haya política pública. Estos son los antecedentes principales:

• Estrategia de IA de 2018. En 2018 el gobierno federal publicó el informe «Hacia una estrategia de IA en México», que proponía trabajar en cinco áreas: gobierno y servicios públicos, datos e infraestructura digital, investigación y desarrollo, capacidades y talento, e innovación e industria. La base de datos de políticas de la OCDE la registra junto con la agenda posterior.
• Agenda Nacional Mexicana de IA (IA2030Mx). La coalición IA2030Mx, de academia, industria, sociedad civil y gobierno, impulsó desde 2018 una agenda con horizonte a 2030. La OCDE la registra como «Mexican National AI Agenda (2018-2030)». No tiene fuerza obligatoria.
• Agencia de Transformación Digital y Telecomunicaciones (ATDT). Se creó con la reforma a la Ley Orgánica de la Administración Pública Federal publicada en el DOF el 28 de noviembre de 2024. Su artículo 42 Ter le encarga, entre otras cosas, las políticas de gobierno digital, el análisis de datos de la administración pública y la «política nacional en materia de soberanía tecnológica». Con la Ley en Materia de Telecomunicaciones y Radiodifusión (DOF, 16 de julio de 2025), la regulación del sector pasó a una Comisión Reguladora de Telecomunicaciones, órgano desconcentrado de la ATDT que sustituyó al IFT.
• Principios de Chapultepec. El 29 de enero de 2026, la Secihti y la ATDT presentaron la Declaración de ética y buenas prácticas para el uso y desarrollo de la IA, con diez principios como «si una decisión no puede explicarse, no debe automatizarse» y «toda decisión apoyada por IA debe tener responsables humanos». Es una guía orientadora, no una norma obligatoria.
• Cómputo público. En noviembre de 2025 el gobierno presentó Coatlicue, una supercomputadora pública con una inversión anunciada de 6 mil millones de pesos y 24 meses de construcción a partir de enero de 2026. Es una apuesta de IA soberana más que una regulación.

Normas mexicanas que ya aplican a la IA

El hecho de que no haya una ley de IA no deja a la tecnología fuera de la ley. Las normas generales aplican a cualquier sistema, use o no IA:

• Datos personales. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF, 20 de marzo de 2025; vigente desde el 21 de marzo) regula cualquier tratamiento automatizado de datos personales. Su artículo 26 permite oponerse a decisiones automatizadas sin intervención humana que afecten de forma significativa. La autoridad es la Secretaría Anticorrupción y Buen Gobierno, que sustituyó al INAI. Lo explicamos a fondo en Privacidad y datos: cómo usar IA sin exponerte.
• Derechos de autor y trabajo artístico. El 14 de mayo de 2026 se publicó en el DOF una reforma a la Ley Federal del Trabajo y a la Ley Federal del Derecho de Autor sobre los artistas intérpretes y ejecutantes. Obliga a pactar en el contrato las condiciones y el pago por el uso de su imagen o voz mediante IA (nuevo art. 305 Bis de la LFT). Extiende la protección de la imagen a los resultados generados por IA. Reconoce el derecho a oponerse a la suplantación por IA que genere clones de sus interpretaciones o simule su voz de manera identificable, salvo en la parodia, la sátira o la imitación creativa. Y precisa que los programas de computación, «incluidos los de inteligencia artificial», se protegen como obras literarias (art. 102 de la LFDA). Es la primera reforma federal que menciona la IA de forma expresa en este terreno. Para el debate de fondo sobre obras generadas por IA, consulta derechos de autor e IA.
• Protección al consumidor. El artículo 32 de la Ley Federal de Protección al Consumidor exige que la información y la publicidad sean veraces, comprobables y claras. Esto aplica si anuncias que tu producto «usa IA» o si un chatbot da información comercial falsa a tus clientes.
• Telecomunicaciones. La Ley en Materia de Telecomunicaciones y Radiodifusión de 2025 no regula la IA de forma específica, pero sí regula la infraestructura y los servicios por los que viajan los datos y los contenidos.
• Normas penales y de otras materias. El fraude, la extorsión o la suplantación cometidos con IA siguen siendo delitos según los códigos penales. La clonación de voz para extorsionar no necesita una ley nueva para perseguirse.

Compromisos internacionales de México

México es uno de los adherentes a los Principios de IA de la OCDE (2019, actualizados en 2024), como miembro de esa organización. Como Estado miembro de la UNESCO, forma parte de los países que adoptaron en noviembre de 2021 la Recomendación sobre la Ética de la IA. Además, firmó la declaración de la Cumbre de Acción sobre la IA de París (febrero de 2025). En cambio, no aparece entre los países de la Declaración de Bletchley (noviembre de 2023). Ninguno de estos instrumentos es vinculante.

Unión Europea: el Reglamento de IA y el «Digital Omnibus»

El Reglamento de IA, el Reglamento (UE) 2024/1689, es la primera ley integral de IA de una gran economía. Clasifica los sistemas por nivel de riesgo: prácticas prohibidas, sistemas de alto riesgo, obligaciones de transparencia y reglas para los modelos de IA de uso general. Según la Comisión Europea, entró en vigor el 1 de agosto de 2024 y se aplica por etapas.

Calendario vigente (tras la reforma de 2026)

• 2 de febrero de 2025: prohibiciones (como la puntuación social o ciertos usos de reconocimiento de emociones en el trabajo y la escuela) y obligaciones de alfabetización en IA.
• 2 de agosto de 2025: reglas de gobernanza y obligaciones para los proveedores de modelos de IA de uso general. En julio de 2025, la Comisión publicó un código de buenas prácticas voluntario para esos modelos.
• 2 de agosto de 2026: aplicación general del Reglamento, incluidas las obligaciones de transparencia del artículo 50 (avisar cuando se interactúa con una IA y marcar el contenido sintético), con excepciones.
• 2 de diciembre de 2026: plazo para que los sistemas generativos que ya estaban en el mercado antes del 2 de agosto de 2026 cumplan con el marcado del artículo 50(2), y entrada en aplicación de las nuevas prohibiciones sobre material íntimo no consentido y material de abuso sexual infantil generado por IA.
• 2 de diciembre de 2027: obligaciones de los sistemas de alto riesgo del Anexo III (empleo, educación, crédito, servicios esenciales, entre otros). Originalmente aplicaban desde el 2 de agosto de 2026.
• 2 de agosto de 2028: sistemas de alto riesgo integrados en productos regulados (Anexo I). Originalmente era el 2 de agosto de 2027.

Qué es el «Digital Omnibus» sobre IA y en qué estado está

La Comisión propuso el 19 de noviembre de 2025 un paquete de simplificación que, entre otras cosas, aplazaba las obligaciones de alto riesgo. El Consejo fijó su posición el 13 de marzo de 2026, los colegisladores llegaron a un acuerdo político en mayo de 2026, el Parlamento Europeo lo aprobó el 16 de junio y el Consejo dio su visto bueno final el 29 de junio. Ya no está en trámite: es el Reglamento (UE) 2026/1744, del 8 de julio de 2026, publicado en el Diario Oficial de la UE el 24 de julio y en vigor desde el 27 de julio de 2026. Además de las fechas anteriores, el texto adoptado cambia el artículo 4: la obligación de «garantizar» un nivel de alfabetización en IA pasa a ser un deber de promoverla. También amplía los espacios controlados de pruebas (sandboxes), da más competencias a la Oficina de IA y ajusta la relación con las normas sectoriales de producto.

Las sanciones no cambiaron en lo esencial: el Reglamento prevé multas de hasta 35 millones de euros o el 7% de la facturación mundial anual por usar prácticas prohibidas, y montos menores para otros incumplimientos (art. 99). Lo más importante para una empresa mexicana es el alcance extraterritorial. El Reglamento aplica a los proveedores que comercialicen sistemas en la UE aunque estén establecidos fuera, y a los proveedores y usuarios de terceros países cuando la información de salida del sistema se utilice en la Unión (art. 2).

Estados Unidos: órdenes ejecutivas y leyes estatales

EE. UU. no tiene una ley federal general de IA. La política federal se hace sobre todo por órdenes ejecutivas:

• Orden Ejecutiva 14179 (23 de enero de 2025), «Removing Barriers to American Leadership in AI», que revocó el enfoque de la administración anterior y ordenó elaborar un plan de acción (texto oficial). El resultado fue America's AI Action Plan, presentado en julio de 2025.
• Orden Ejecutiva 14365 (11 de diciembre de 2025), «Ensuring a National Policy Framework for AI». Busca un estándar nacional «mínimamente gravoso». Creó un grupo de trabajo del Departamento de Justicia para impugnar las leyes estatales de IA que considere contrarias a esa política, ordenó a Comercio identificar las leyes estatales «onerosas» y condicionar ciertos fondos federales de banda ancha, y pidió proponer al Congreso un marco federal que desplace las leyes estatales, con excepciones como la protección infantil.

Hasta donde pudimos verificar, a noviembre de 2026 el Congreso no había aprobado esa ley federal de preferencia, y legisladores de decenas de estados se habían opuesto públicamente, según Route Fifty. Mientras tanto, las leyes estatales siguen vigentes:

• Colorado: su ley de IA de 2024 (SB 24-205), la primera de corte integral, nunca llegó a aplicarse. El 14 de mayo de 2026 el gobernador firmó la SB 26-189, que la deroga y la sustituye por reglas sobre tecnología de decisiones automatizadas en decisiones «consecuentes» (empleo, vivienda, crédito, salud, educación, seguros). Exige documentación técnica de los desarrolladores a partir del 1 de enero de 2027, avisos al consumidor, una explicación tras un resultado adverso y la posibilidad de pedir revisión humana.
• California: la SB 53 (Transparency in Frontier AI Act), firmada el 29 de septiembre de 2025 y vigente desde el 1 de enero de 2026, obliga a los grandes desarrolladores de modelos de frontera a publicar sus marcos de seguridad, reportar incidentes críticos y proteger a los denunciantes internos, según el análisis del Future of Privacy Forum.
• Texas: la Texas Responsible AI Governance Act (HB 149), firmada en junio de 2025 y vigente desde el 1 de enero de 2026, fija límites al uso de IA por el gobierno y ciertas conductas prohibidas, crea un consejo estatal de IA y un sandbox regulatorio, de acuerdo con DLA Piper.

Además, las agencias federales aplican las leyes de siempre (de competencia, de protección al consumidor, contra la discriminación), y el marco de gestión de riesgos de IA del NIST sigue siendo la referencia voluntaria más usada por las empresas estadounidenses.

China: medidas específicas y etiquetado obligatorio

China no tiene una ley integral de IA, pero sí una regulación detallada por tipo de servicio. Las Medidas provisionales para la gestión de servicios de IA generativa, vigentes desde el 15 de agosto de 2023, obligan a los proveedores que ofrecen servicios al público a cuidar la legalidad de los datos de entrenamiento, etiquetar los contenidos y cumplir trámites de seguridad. Las Medidas de identificación de contenido sintético generado por IA, emitidas en marzo de 2025 por la Administración del Ciberespacio y otras dependencias y vigentes desde el 1 de septiembre de 2025, exigen etiquetas visibles y marcas implícitas en los metadatos, con una norma técnica nacional obligatoria. Por último, la reforma a la Ley de Ciberseguridad aprobada en octubre de 2025 y vigente desde el 1 de enero de 2026 incorporó por primera vez un artículo sobre IA que combina el fomento con la gestión de riesgos, según Reed Smith.

Reino Unido y Brasil

Reino Unido: sin ley general, con enfoque por principios

El Reino Unido mantiene un enfoque por principios: los reguladores sectoriales aplican sus normas a la IA, sin una ley horizontal. En enero de 2025 el gobierno publicó el AI Opportunities Action Plan, y el 14 de febrero de 2025 rebautizó su instituto de seguridad como AI Security Institute. En datos aprobó la Data (Use and Access) Act 2025. A septiembre de 2026, el país seguía sin una legislación integral de IA, pese a los anuncios de una ley sobre modelos de frontera.

Brasil: el PL 2338/2023 sigue en la Cámara

El Proyecto de Ley 2338/2023, el marco legal de IA de Brasil, fue aprobado por el Senado en diciembre de 2024 y pasó a la Cámara de Diputados, donde una comisión especial lo analiza desde mayo de 2025. Tiene un enfoque por riesgos inspirado en el europeo, con usos prohibidos, obligaciones reforzadas para el alto riesgo y un sistema de gobernanza coordinado por la autoridad de protección de datos (ANPD). A principios de octubre de 2026 no se había votado: el relator había dicho que la votación sería después de las elecciones de octubre, según el seguimiento de Bairo Gonzalez. Si la Cámara lo modifica, volverá al Senado.

Marcos internacionales y estándares

• Convenio Marco del Consejo de Europa sobre IA y derechos humanos, democracia y Estado de derecho (CETS 225). Se adoptó el 17 de mayo de 2024 y se abrió a firma el 5 de septiembre de 2024. Es el primer tratado internacional vinculante sobre IA y está abierto a países no europeos. La Unión Europea completó su ratificación en 2026, según el Consejo de Europa. Para entrar en vigor necesita cinco ratificaciones, al menos tres de Estados miembros del Consejo. No encontramos registro de que México lo haya firmado.
• Principios de la OCDE sobre IA (2019, actualizados en mayo de 2024): 47 adherentes, entre ellos México. Su definición de «sistema de IA» inspiró la del Reglamento europeo.
• Recomendación de la UNESCO sobre la Ética de la IA (noviembre de 2021): la primera norma mundial de ética de la IA, adoptada por los Estados miembros de la UNESCO, con herramientas como la evaluación del grado de preparación de cada país.
• ISO/IEC 42001:2023: la norma certificable de sistemas de gestión de IA. No es una ley, pero la ISO/IEC 42001 se está volviendo el lenguaje común para demostrar gobernanza de IA ante clientes y auditores, y se alinea bien con las exigencias europeas.

Tabla comparativa por jurisdicción

Qué significa para una empresa mexicana

Pongamos dos casos ilustrativos: una empresa de software en Guadalajara que vende a clientes europeos un sistema para filtrar currículos, y una cadena de farmacias en Monterrey que usa un chatbot para atender a sus clientes. Su situación regulatoria es muy distinta.

1. Si vendes a la UE o tus resultados se usan allá, el Reglamento europeo te aplica. Un sistema de selección de personal es de alto riesgo (Anexo III): desde el 2 de diciembre de 2027 necesitarás gestión de riesgos, gobernanza de datos, documentación técnica, registro, supervisión humana y evaluación de conformidad. Usa el aplazamiento para prepararte, no para olvidarte del tema.
2. Si tienes un chatbot o generas contenido sintético para usuarios europeos, ya rigen las obligaciones de transparencia del artículo 50: avisar que se interactúa con una IA y marcar el contenido generado.
3. Si vendes en EE. UU., revisa estado por estado. Colorado exigirá desde 2027 avisos y revisión humana en decisiones automatizadas, y California y Texas ya tienen leyes vigentes. Vigila además el litigio federal sobre la preferencia frente a las leyes estatales.
4. En México, tu riesgo real hoy está en los datos personales (aviso de privacidad, consentimiento, oposición a decisiones automatizadas), en la publicidad veraz y en los derechos de imagen y voz. Una evaluación de impacto algorítmico no es obligatoria, pero te prepara para lo que venga.
5. Adopta un marco de gobernanza reconocido (ISO/IEC 42001 o el AI RMF del NIST): sirve en todas las jurisdicciones y responde a los cuestionarios de cumplimiento de clientes grandes.
6. Documenta desde ahora: inventario de sistemas, proveedores de modelos, datos usados, riesgos y responsables humanos. Todas las leyes en trámite piden más o menos lo mismo.