Metiste el CV de un candidato a ChatGPT para armar un resumen más rápido. O subiste las evaluaciones de desempeño de tu equipo a Copilot para sacar un reporte antes de la junta.
Nadie firmó nada. Nadie lo autorizó. Y seguramente ni lo pensaste dos veces — así se usa la IA en la mayoría de las oficinas mexicanas en 2026: como una fotocopiadora con opiniones.
Aquí está lo que casi nadie se detiene a preguntar: qué le pasa a tu empresa si usa IA con información de su gente sin autorización. La respuesta corta: sí hay consecuencias, aunque México no tenga todavía una ley general de inteligencia artificial.
Usar IA con información de tu equipo sin autorización tiene un costo real
El Senado cerró abril de 2026 sin aprobar el proyecto integral de IA. Necesita antes reformar los artículos 3 y 73 constitucionales, algo que exige mayoría calificada y aval de los congresos estatales.
La presidenta Sheinbaum reconoció el vacío el 17 de junio y anunció foros de consulta entre agosto y septiembre. Sus conclusiones llegarán al Congreso como propuesta, no como ley.
Es fácil leer esto como zona gris y actuar en consecuencia. Es el mismo cálculo que hacía todo mundo con el software pirata en los 2000: “si no hay quien lo persiga, no existe el riesgo.” Spoiler: sí existía, solo tardó en tocar la puerta.
Porque aunque no exista una ley de IA como tal, sí existen dos leyes vigentes que ya te alcanzan cuando metes información de tu gente a una IA sin su consentimiento: la protección de datos personales y el derecho laboral.
¿A dónde van los datos que le das a tu IA todos los días?
Cuando subes información de un empleado —salario, evaluación, expediente médico, hasta su CV— a una herramienta de IA sin declarar esa finalidad en tu aviso de privacidad, estás violando la Ley Federal de Protección de Datos Personales en Posesión de los Particulares.
Las facultades de supervisión, que antes tenía el extinto INAI, hoy las ejerce la Secretaría Anticorrupción y Buen Gobierno. Y su tabla de sanciones no es simbólica:
| Infracción | Multa en UMA | Equivalente en pesos (UMA 2026) |
|---|---|---|
| No atender solicitudes ARCO / aviso de privacidad inadecuado | 100 a 160,000 UMA | ~$11,731 a $18,769,600 |
| Transferir datos sin consentimiento / usarlos para fin distinto | 200 a 320,000 UMA | ~$23,462 a $37,539,200 |
| Datos sensibles (salud, biométricos, financieros) | Hasta el doble | Hasta ~$75,078,400 |
$75 millones de pesos es el precio de convertir un “oye, súbelo rápido a ChatGPT antes de la junta” en la decisión más cara de tu trimestre — y posiblemente de tu carrera.
Si además hubo ánimo de lucro en la vulneración, la ley contempla prisión de 3 meses a 3 años. No es una multa que te llega por correo — es un expediente con tu nombre.
Cómo se calculan las multas y quién las impone
La UMA 2026 vale $117.31 pesos diarios. Cada infracción se mide en múltiplos de esa unidad, y quien la impone depende de qué ley violaste.
Si el problema es de datos personales, la sanciona la Secretaría Anticorrupción y Buen Gobierno. Si es de derecho laboral —un sistema de IA que discrimina en reclutamiento o evaluación de desempeño—, la impone la Secretaría del Trabajo, con multas de 250 a 5,000 UMA: entre $29,327 y $586,550 pesos.
Un dato que suelen reportar los mismos despachos de compliance, aunque sin metodología pública verificable: buena parte de las empresas mexicanas que usan IA en RH no han actualizado su aviso de privacidad. Se los atribuyo explícitamente como cifra autorreportada por esas consultoras, no como dato verificado de forma independiente.
Lo que sí está confirmado en ley: si reincides dentro de dos años, la multa se duplica automáticamente.
Lo que le espera a tu empresa si sigue usando IA sin permiso de tu gente
En el peor escenario: multa millonaria, proceso ante la Secretaría Anticorrupción, y potencialmente una demanda laboral si el uso de esos datos derivó en una decisión discriminatoria —un despido, una promoción negada, una evaluación sesgada por un algoritmo que nadie auditó.
En el escenario más común, y menos dramático: no pasa nada hoy. Queda un aviso de privacidad mal declarado esperando a que alguien lo note.
Es la misma tranquilidad de manejar veinte años sin cinturón de seguridad — hasta que un día no. Y ese día nunca avisa con anticipación.
Para quien ya subió un expediente a un modelo de lenguaje esta semana, la duda tiene una respuesta muy concreta, escrita en el Diario Oficial — no es hipotética.
Lo barato, en este caso, es la prevención: un aviso de privacidad correctamente actualizado cuesta una fracción de cualquiera de estos rangos de multa. Si quieres entender cómo aplicar IA en tu negocio sin exponer a tu empresa a este tipo de riesgo, en nuestro curso de IA para principiantes lo trabajamos desde la base, no desde el susto legal.
Y si esto ya te dejó pensando en qué tan lista está tu empresa para adoptar IA con criterio y no por impulso, en las conferencias de inteligencia artificial que doy para equipos directivos abordamos justo este tipo de decisiones antes de que se conviertan en expediente.
Si quieres que te avise cuando publique el siguiente análisis sobre regulación y negocio, puedes sumarte a la lista de correo.
Supervisado por Santiago González y Musi.
