Ley de protección de datos personales e IA: la LFPDPPP

Si en tu despacho, tu contaduría o tu inmobiliaria alguien ya pega contratos, estados de cuenta o correos de clientes en ChatGPT, Claude, Copilot o Gemini, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares ya te aplica a ese gesto. No porque hable de inteligencia artificial, que no lo hace, sino porque pegar un nombre en un chat es tratar un dato personal. Las notarías también están dentro: la Ley del Notariado de la Ciudad de México remite a esta ley para la seguridad del protocolo digital, como explicamos en la LFPDPPP y la IA en la notaría.

Esta guía te cuenta qué artículos de la LFPDPPP entran en juego, qué conviene revisar y cómo seguir usando la IA sin que los datos de tus clientes salgan de tu computadora.

¿Qué dice la LFPDPPP sobre la inteligencia artificial?

Nada, expresamente. La ley vigente es nueva: se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025, entró en vigor al día siguiente y su transitorio Segundo abrogó la ley de 2010. Su última reforma es del 14 de noviembre de 2025. En todo su texto no aparecen las palabras inteligencia artificial. El mismo decreto expidió la ley general para el sector público, que es la que rige a los ayuntamientos, y la tratamos en la IA en los municipios y la LGPDPPSO.

Eso no la deja fuera del tema. El artículo 2, fracción XIX, define tratamiento como cualquier operación, manual o automatizada, sobre datos personales, y en la lista caben la obtención, el uso, la comunicación, el almacenamiento y la transferencia. Copiar el expediente de un cliente y pegarlo en un chat es comunicarlo a una empresa que lo va a procesar y que muchas veces lo conserva.

Y dato personal, según la fracción V del mismo artículo, es cualquier información de una persona identificada o identificable, también cuando se le puede identificar de forma indirecta. El nombre, el correo, el domicilio o el RFC de tu cliente entran sin discusión.

La autoridad que vigila a los particulares ya no es el INAI, que se extinguió. El artículo 2, fracción XV, lo dice claro: la Secretaría que aplica la ley es la Secretaría Anticorrupción y Buen Gobierno, y los artículos 38 y 39 le encargan vigilar su cumplimiento y sancionar.

¿Hay una ley de inteligencia artificial en México?

Todavía no. Al 13 de octubre de 2026 no hay publicada en el Diario Oficial de la Federación ninguna ley federal o general de inteligencia artificial, ni una reforma constitucional en la materia.

Lo que hay son iniciativas. La Gaceta Parlamentaria de la Cámara de Diputados recoge, entre otras, la de la diputada Gabriela Jiménez Godoy (Morena), presentada en la Comisión Permanente el 5 de agosto de 2026, y la del diputado Jesús Valdés Peña (Morena), publicada el 22 de septiembre de 2026. Las dos proponen reformar la fracción XVII del artículo 73 de la Constitución para facultar al Congreso de la Unión a legislar sobre inteligencia artificial. Ese mismo 22 de septiembre se publicó otra, del diputado Daniel Murguía Lardizábal (Morena), que propone adicionar el artículo 2 y el artículo 16 de la propia LFPDPPP en materia de inteligencia artificial. Ninguna está aprobada. Es el paso previo a una ley general: una reforma constitucional necesita a las dos cámaras y a la mayoría de los congresos de los estados.

Para tu oficina, eso significa que hoy la regla que aplica cuando pegas datos de un cliente en un chat es la LFPDPPP, y que lo que hagas para cumplirla no depende de cómo termine ese debate.

¿Es ilegal meter datos personales en ChatGPT?

No por sí mismo. Ningún artículo de la LFPDPPP prohíbe una herramienta. Lo que la ley revisa es cómo la usas, y en la práctica eso se resume en cuatro preguntas:

1. ¿Ese uso cabe en tu aviso de privacidad? Si la finalidad no está ahí, el artículo 11 te pide consentimiento nuevo.
2. ¿Mandas sólo lo necesario? El artículo 12 limita el tratamiento a lo necesario, adecuado y relevante. Para explicar un deducible, por ejemplo, la IA no necesita el nombre del asegurado, como vemos en cómo usa la IA un agente de seguros.
3. ¿El proveedor trata los datos por tu cuenta o los recibe como tercero? De eso depende si hay transferencia, y lo vemos en la sección siguiente.
4. ¿Cuidaste la seguridad y la confidencialidad? Son los artículos 18 y 20, y su incumplimiento está en las infracciones del artículo 58.

Hay una salida que la propia ley prevé. El artículo 9, fracción III, dice que no hace falta el consentimiento del titular cuando los datos se someten a un procedimiento previo de disociación, que el artículo 2 define como el que impide asociarlos a la persona o identificarla. Qué cuenta como disociar, y qué no, lo explicamos en la guía de disociación de datos personales.

Dicho en corto: pegar el expediente completo de un cliente en una cuenta personal, sin que el aviso lo contemple, es lo que te deja expuesto. Pegar el mismo caso sin nombre, sin RFC y sin nada que lo identifique es otra conversación. Si eres abogado, a eso se suma el secreto profesional frente a la IA.

Ley Federal de Protección de Datos Personales y ChatGPT: ¿encargado o transferencia?

La ley distingue dos figuras que deciden qué papeles necesitas.

• Persona encargada (artículo 2, fracción XII): quien trata datos personales por cuenta del responsable.
• Transferencia (artículo 2, fracción XX): toda comunicación de datos, dentro o fuera de México, a alguien distinto del titular, del responsable o de la persona encargada.

La ley no dice en cuál de las dos cae cada herramienta de IA. Nuestro criterio es que depende del contrato y no de la marca: una cuenta de empresa cuyas condiciones digan que el proveedor trata los datos sólo para darte el servicio se parece más a una persona encargada, y una cuenta personal en la que lo que escribes puede servir para los fines del propio proveedor, como entrenar sus modelos, se parece más a una transferencia. La ley no lo resuelve por marca, y la autoridad tampoco lo ha hecho.

Si es transferencia, el artículo 35 te pide comunicarle al receptor tu aviso de privacidad y las finalidades a las que el titular sujetó sus datos, y que el aviso diga si el titular acepta o no la transferencia. El artículo 36 enumera los casos en que se puede transferir sin consentimiento, como un contrato celebrado en interés del titular o el mantenimiento de la relación jurídica con él. Pedirle a un chat que te resuma el expediente no aparece en esa lista con esas palabras.

¿Qué IA cumple la LFPDPPP?

Ninguna por su marca, y no es una forma de esquivar la pregunta. La ley no certifica productos ni publica una lista de herramientas aprobadas: regula tratamientos, es decir, lo que tú haces con unos datos, para qué y con quién. El mismo ChatGPT puede estar bien usado en un despacho y mal usado en el de al lado.

Lo que sí da una pauta concreta es el Reglamento de la ley, publicado en el DOF el 21 de diciembre de 2011. Se expidió para la ley de 2010. La ley de 2025 no lo abrogó: su transitorio Segundo abroga la ley anterior sin mencionar el Reglamento, y su transitorio Décimo Segundo ordenó al Ejecutivo adecuar los reglamentos en noventa días naturales para armonizarlos con la ley nueva. A la fecha de esta guía no se ha publicado uno nuevo, y la Cámara de Diputados lo sigue compilando como texto vigente. Su artículo 52 dice que, cuando contratas un servicio de cómputo en la nube por adhesión a sus condiciones generales, sólo puedes usar aquellos en los que el proveedor cumpla una serie de requisitos. Un chat de IA en línea se contrata exactamente así.

Con esa lista y los artículos de la ley, la revisión queda en siete puntos:

punto	qué preguntarte	dónde está
1. Contrato	¿Hay un contrato que diga que el proveedor trata los datos por tu cuenta?	Ley, art. 2, fr. XII; Reglamento, art. 51
2. Finalidades	¿Usa lo que escribes para fines propios, como entrenar sus modelos?	Reglamento, arts. 50, fr. II, y 52, fr. II, inciso b
3. Propiedad	¿Sus condiciones le permiten quedarse con la titularidad de tu información?	Reglamento, art. 52, fr. I, inciso c
4. Conservación	¿Garantiza la supresión cuando termina el servicio?	Reglamento, art. 52, fr. II, inciso d
5. Accesos	¿Quién más puede leerlo: tu administrador, sus revisores, sus subcontratistas?	Reglamento, art. 52, fr. I, inciso b, y fr. II, inciso e
6. Tu equipo	¿Tu gente sabe qué puede pegar y guarda confidencialidad?	Ley, art. 20
7. Lo que entra	¿Qué datos llegan de verdad a la ventana del chat?	Ley, art. 12

Los cinco primeros dependen del proveedor y del plan que contrates. Por regla general, las cuentas de empresa traen contrato y no entrenan con tus datos por defecto, y las personales sí pueden hacerlo si no apagas el ajuste. El detalle de cada herramienta, con la fecha de sus documentos, está en las guías de qué hacen con tus datos ChatGPT, Claude, Gemini y Copilot, enlazadas a lo largo de esta página. Son preguntas que también te puede hacer un cliente grande en su cuestionario de ciberseguridad.

El sexto depende de ti. El séptimo depende de quien escribe, y es el único que puedes resolver hoy sin firmar nada: si lo que llega al chat no identifica a nadie, los otros seis pesan mucho menos. Y para resolver el sexto tienes una plantilla de política de uso de IA lista para firmar.

Los principios de la LFPDPPP cuando pegas datos en un chat

El artículo 5 enumera ocho principios: licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. Cuatro pesan más en el día a día con la IA.

Licitud (artículo 6). Los datos se tratan conforme a la ley, privilegiando los intereses del titular y su expectativa razonable de privacidad. Tu cliente te dio su estado de cuenta para que le hicieras la declaración, no para que viajara a un servidor que no conoce.

Consentimiento (artículo 7). Por regla general basta el consentimiento tácito: el titular conoció tu aviso de privacidad y no se opuso. Pero los datos financieros o patrimoniales piden consentimiento expreso, salvo las excepciones de los artículos 9 y 36, y los datos sensibles, según el artículo 8, expreso y por escrito. En una contaduría, casi todo lo que se pega es financiero.

Finalidad (artículo 11). El tratamiento se limita a las finalidades del aviso. Para una finalidad distinta hay que volver a pedir consentimiento.

Proporcionalidad (artículo 12). Sólo se trata lo necesario, adecuado y relevante para esas finalidades. Para que un asistente te ayude a redactar una carta de cobranza no necesita el nombre del deudor; le basta con saber que hay un deudor.

Ese último principio es el que más ayuda. A nuestro juicio, si el dato no hace falta para la pregunta, lo más proporcional es que no llegue al chat. Para saber qué datos sobran en un texto típico, revisa qué ocultar antes de pegar en la IA.

Tu aviso de privacidad y la inteligencia artificial

El artículo 15 fija lo mínimo que debe decir un aviso de privacidad: quién eres, qué datos tratas y cuáles son sensibles, para qué finalidades, qué opciones tiene el titular para limitar su uso, cómo ejercer los derechos ARCO y cómo avisarás de los cambios.

La ley no exige escribir inteligencia artificial en el aviso. Lo que sí conviene es comprobar dos cosas. Primero, que la finalidad por la que pegas datos en un chat ya esté entre las que tu cliente conoce. Segundo, que, si el proveedor funciona como tercero, el aviso contemple esa transferencia.

Si ninguna de las dos se cumple, tienes dos caminos: actualizar el aviso y avisar a tus clientes como manda el propio aviso, o hacer que el chat reciba el texto sin datos que identifiquen a nadie. El segundo es más rápido y no cambia lo que ya firmaron contigo.

Deber de seguridad y confidencialidad: lo que pesa en la multa

El artículo 18 obliga a todo responsable a mantener medidas de seguridad administrativas, técnicas y físicas contra el daño, la pérdida o el uso, acceso o tratamiento no autorizado. Y añade que deben considerar el riesgo, la sensibilidad de los datos y el desarrollo tecnológico. En nuestra opinión, un equipo que pega expedientes en cuentas personales de IA, sin que nadie lo sepa, es justo el tipo de riesgo que ese artículo pide tener en cuenta. Y si ya pasó, borrar los chats de ChatGPT limpia la cuenta, no lo que el proveedor ya recibió.

Cuando una vulneración de seguridad afecta de forma significativa los derechos patrimoniales o morales de tus clientes, el artículo 19 te obliga a informarles de forma inmediata. Qué hacer paso a paso si alguien ya pegó datos en un chat está en la guía de vulneración de seguridad con IA.

El artículo 20 pide controles para que todas las personas que intervienen en el tratamiento guarden confidencialidad, también después de terminar su relación contigo. Eso incluye a tu asistente, a tu becario y al asesor que entró el mes pasado. En una clínica, también a la recepcionista que arma un presupuesto con IA.

Las consecuencias están en los artículos 58 y 59. Incumplir el deber de confidencialidad, vulnerar la seguridad de tus bases de datos o transferir datos fuera de los casos permitidos se sanciona con multas de 200 a 320,000 veces la Unidad de Medida y Actualización, que pueden subir hasta el doble si los datos son sensibles. Una de las pólizas cibernéticas que revisamos cubre multas y defensa en procedimientos de la LFPDPPP, como contamos en cómo comparar dos pólizas de ciberriesgos.

Cómo usar IA con datos de clientes sin que salgan de tu computadora

Nonimo es una app para Windows y Mac que resuelve el paso más delicado: lo que llega al chat. Seleccionas el texto, presionas una tecla y, en tu propia computadora, los datos personales se cambian por marcadores como [PERSONA_1] antes de pegarlo en ChatGPT, Claude, Copilot o Gemini. Cuando copias la respuesta y presionas la misma tecla, los datos regresan a su lugar. Si lo que tienes es una base de clientes exportada en CSV, puedes ocultar los datos del archivo exportado antes de subirlo.

En textos mexicanos oculta nombres de personas, correos, fechas de nacimiento y domicilios rotulados, la CURP y el RFC. A Nonimo no le llega ni una palabra de tu texto: todo ocurre en tu equipo. Y la CURP cada vez dice más de una persona: ahora sirve también para vincular tu línea de celular con la CURP.

No sustituye a tu aviso de privacidad ni a tus contratos, pero ataca de frente la proporcionalidad: la IA trabaja con la estructura del caso y tu cliente sigue siendo sólo tuyo. Y si quieres contárselo a tus clientes, tienes dos versiones de cláusula de IA para tus contratos.

LFPDPPP e IA según tu giro

• Despachos de abogados. Contratos, demandas y correos con la contraparte llevan nombres, domicilios y datos patrimoniales. Mira cómo lo resolvemos para despachos de abogados.
• Contadores. Estados de cuenta, constancias y declaraciones son datos financieros que, por el artículo 7, piden consentimiento expreso. Tienen su propia página para despachos contables.
• Consultorios y clínicas. Las notas y los expedientes llevan datos de salud, que son sensibles. Cómo usar un chat con ellos sin exponer al paciente está en inteligencia artificial en la medicina.
• Inmobiliarias. Solicitudes de renta, avales y copias de credenciales pasan por el correo y por la IA todos los días. Ve cómo cuidarlos en inmobiliarias.

Si lo que circula es una credencial:

• Si la copia llega completa, conviene saber qué dice cada número de la INE.
• Antes de guardarla o reenviarla, revisa qué pueden hacer con una copia de tu INE.
• Y si a tu cliente se la robaron, aquí está cómo reportar una INE robada y tramitar la reposición.

Y si tienes que entregar un documento con datos de terceros, puedes hacer una versión pública del PDF antes de mandarlo.

Revisa además las propiedades del archivo, porque el nombre de quien lo redactó también es un dato personal.

Fuentes

Consultadas el 13 de octubre de 2026.

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025, última reforma DOF 14-11-2025. Texto vigente en la Cámara de Diputados. Artículo 2, fracciones V, IX, XII, XV, XIX y XX; artículos 5 a 9, 11, 12, 15, 18 a 20, 35, 36, 38, 39, 58 y 59; transitorios Segundo, Cuarto, Quinto y Décimo Segundo.
• Reglamento de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicado en el DOF el 21 de diciembre de 2011. Texto en la Cámara de Diputados. Artículos 50, 51 y 52.
• Gaceta Parlamentaria de la Cámara de Diputados, número 7105, 17 de agosto de 2026: iniciativa de la diputada Gabriela Jiménez Godoy que reforma la fracción XVII del artículo 73 constitucional en materia de inteligencia artificial.
• Gaceta Parlamentaria de la Cámara de Diputados, número 7130-II-1, 22 de septiembre de 2026: iniciativa del diputado Jesús Valdés Peña con el mismo objeto, e iniciativa del diputado Daniel Murguía Lardizábal que adiciona los artículos 2 y 16 de la LFPDPPP en materia de inteligencia artificial.