Aviso de privacidad e inteligencia artificial: qué tiene que decir

Tu aviso de privacidad no tiene que decir la palabra «inteligencia artificial». La ley no la menciona. Lo que sí tiene que decir es para qué usas los datos de tus clientes, a quién se los comunicas y cómo pueden ejercer sus derechos. Y si en la oficina, o en la recepción de un consultorio, alguien pega un expediente en ChatGPT, Claude, Copilot o Gemini, ese uso tiene que caber en lo que el aviso ya promete.

Esta guía repasa lo que pide la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el DOF el 20 de marzo de 2025, y después, como criterio nuestro, qué conviene revisar si tu equipo trabaja con chats de IA. No es una plantilla ni asesoría legal.

Qué es el aviso de privacidad, según la LFPDPPP

El artículo 2 lo define como el documento que el responsable pone a disposición de la persona titular, en papel, en formato electrónico o en cualquier otro, desde el momento en que recaba sus datos, para informarle los propósitos del tratamiento. El artículo 14 lo resume: a través del aviso, la empresa informa la existencia y las características principales del tratamiento para que la persona pueda decidir con conocimiento.

Dos definiciones del mismo artículo 2 importan para lo que sigue. Tratamiento es cualquier operación con datos personales, por medios manuales o automatizados: obtenerlos, usarlos, comunicarlos, almacenarlos, transferirlos. Y persona encargada es quien trata datos personales por cuenta del responsable. Si quieres el panorama completo de la ley frente a la IA, lo explicamos en la guía sobre la LFPDPPP y la inteligencia artificial.

Qué tiene que decir: el contenido mínimo

El artículo 15 pide que el aviso contenga, al menos:

• la identidad y el domicilio del responsable;
• los datos personales que se van a tratar, identificando los sensibles;
• las finalidades del tratamiento, distinguiendo las que requieren consentimiento;
• las opciones y medios para limitar el uso o la divulgación de los datos;
• los mecanismos, medios y procedimientos para ejercer los derechos ARCO (acceso, rectificación, cancelación y oposición);
• el procedimiento y el medio para comunicar los cambios al aviso.

A eso se suma el artículo 35: el aviso debe contener una cláusula que indique si la persona acepta o no la transferencia de sus datos. Y el artículo 7 pide que el aviso establezca los mecanismos para revocar el consentimiento.

Sobre los datos sensibles hay que ir con más cuidado: el artículo 8 exige consentimiento expreso y por escrito para tratarlos. Si en tu despacho o en tu oficina manejas datos de salud, creencias u otros de esa lista, revisa qué cuenta como dato personal sensible.

Omitir en el aviso alguno de los elementos del artículo 15 está tipificado como infracción. La autoridad que vigila la ley es la Secretaría Anticorrupción y Buen Gobierno. En los ayuntamientos y demás sujetos obligados la supervisión se reparte de otra forma, como contamos en quién vigila a los municipios sin el INAI.

Cuándo se entrega, y en qué modalidad

El artículo 16 dice cómo ponerlo a disposición:

• Si los datos se obtienen en persona con formatos impresos, el aviso se da a conocer en ese momento, salvo que se haya entregado antes.
• Si se obtienen por un medio electrónico, óptico, sonoro, visual u otra tecnología, se entrega en modalidad simplificada, con al menos los cuatro primeros puntos del artículo 15 (identidad, datos, finalidades y opciones para limitar su uso), y se indica dónde consultar el aviso de privacidad integral.

En la práctica, es común tener las dos versiones: la integral, completa, y la simplificada, que va en el formulario de la web o en el mensaje de WhatsApp con un enlace a la integral.

Transferencia o encargado: la diferencia que importa

La ley distingue dos situaciones que en la oficina se confunden:

• Transferencia (art. 2, fracción XX) es comunicar datos a alguien distinto de la persona titular, del responsable y de la persona encargada. El artículo 35 obliga a comunicarle al tercero el aviso de privacidad y las finalidades, y el tercero asume las mismas obligaciones que el responsable. El artículo 36 enumera los casos en que se puede transferir sin consentimiento, como cuando la transferencia está prevista en una ley o cuando es necesario por un contrato en interés de la persona.
• Persona encargada es quien trata los datos por cuenta del responsable (art. 2, fracción XII). La definición de transferencia lo deja fuera expresamente.

Ahora, el chat de IA. La ley no dice en cuál de las dos cae un proveedor de IA, porque no habla de IA. Es criterio nuestro: depende de las condiciones del servicio que contrataste. Si el proveedor trata los datos sólo para darte el servicio, se parece más a un encargado. Si las condiciones le permiten usarlos para sus propios fines, conviene analizarlo con más cuidado. Esa lectura de los términos la tiene que hacer quien asesore a tu empresa.

Lo que conviene revisar si tu equipo usa chats de IA

Lo que sigue es criterio nuestro, no una lista de la ley. Si alguien en tu equipo pega datos de clientes en un chat de IA, revisa en tu aviso:

1. Finalidades. El artículo 11 limita el tratamiento a las finalidades del aviso; para una distinta hay que pedir consentimiento otra vez. Si el aviso dice «elaborar contratos» y el chat se usa para eso, puede caber. Si se usa para algo que el aviso no menciona, habría que pedir el consentimiento de nuevo.
2. Datos. ¿Entran al chat datos sensibles? Entonces el aviso debe identificarlos y tienes que contar con el consentimiento expreso. En un consultorio casi cualquier nota los lleva, como explicamos en IA en la medicina.
3. Transferencia o encargado. Según lo que viste en la sección anterior, quizá haga falta la cláusula del artículo 35.
4. Medidas de seguridad. El artículo 18 pide medidas de seguridad administrativas, técnicas y físicas, tomando en cuenta el riesgo y la sensibilidad de los datos. Una política de qué se puede pegar en un chat, y qué no, es una de ellas. Revisar los metadatos de los archivos que salen de la oficina es otra. Un seguro de ciberriesgos puede responder después de un incidente, pero no sustituye esas medidas.
5. Oposición al tratamiento automatizado. El artículo 26, fracción II, permite oponerse cuando un tratamiento automatizado evalúa, sin intervención humana, aspectos como la situación económica, la fiabilidad o el rendimiento profesional, y produce efectos jurídicos no deseados o afecta de forma significativa. Si usas IA para decidir sobre clientes, por ejemplo para filtrar solicitudes, revisa cómo lo atiendes.

Cada giro tiene su caso típico. En un despacho, el chat se usa para resumir expedientes; en una firma contable, para ordenar estados de cuenta; en una inmobiliaria, para redactar contratos de arrendamiento. Tenemos notas específicas para despachos de abogados.

Menos datos fuera, menos que explicar

Hay una forma de simplificar la conversación: que los datos personales no salgan de la computadora. Nonimo es una app para Windows y Mac que, antes de pegar el texto en el chat, cambia por marcadores los nombres, los correos, la fecha de nacimiento y el domicilio cuando van rotulados, y la CURP y el RFC. El chat recibe el texto con marcadores, y a Nonimo no le llega el texto: todo pasa en tu equipo. Cuando copias la respuesta de la IA y presionas la misma tecla, los datos regresan a su lugar. Si también quieres decirlo en el contrato con tu cliente, es lo que describe la versión A de nuestra cláusula de IA para el contrato de servicios profesionales.

Como criterio prudente nuestro, no como regla de la ley: si los datos personales no llegan al proveedor de IA, hay menos que explicar en el aviso sobre ese uso. No sustituye revisar el aviso con quien asesore a tu empresa, pero puede reducir el número de preguntas. Y si alguien ya pegó datos de clientes, cómo borrar el historial de ChatGPT explica qué se borra y qué conserva el proveedor.

Si llevas la contabilidad de varios clientes, mira cómo funciona en despachos contables.

Y si manejas expedientes de arrendatarios y propietarios todos los días, revisa cómo se usa en inmobiliarias.