Diario Oficial de la Federación, No. de publicación 296/2025, Ciudad de México, martes 4 de noviembre de 2025 (Edición Matutina)

Es la única mención EXPLÍCITA de inteligencia artificial en todo el ejemplar. La Auditoría Superior de la Federación (ASF), órgano técnico de la Cámara de Diputados encargado de fiscalizar el uso de recursos públicos, licita la suscripción de un 'Chatbot de Inteligencia Artificial'. Aunque el resumen de convocatoria no detalla el uso (puede ir desde asistencia administrativa hasta apoyo en análisis de información de auditoría), el contexto institucional eleva la relevancia. RIESGOS: R1 (Malfunctions): Los chatbots basados en modelos de lenguaje (LLM) producen 'alucinaciones' -afirmaciones falsas pero convincentes-. Si los productos del chatbot se incorporan, sin verificación humana rigurosa, a análisis, dictámenes o comunicaciones de un órgano fiscalizador, errores podrían afectar la calidad de la fiscalización o señalamientos a entes auditados. El 'automation bias' (tratar el output como infalible) es un riesgo conocido. R4 (Contenido generado): Un chatbot genera texto sintético; sin trazabilidad ni control de versiones puede introducir contenido no verificado en documentos institucionales. R5 (Propiedad intelectual): Los LLM comerciales se entrenan con obras protegidas y sus salidas plantean incertidumbre sobre titularidad y posibles infracciones de derechos de autor, además de riesgos de confidencialidad si se introduce información reservada de auditoría a un servicio de terceros. GAPS: El resumen de convocatoria no establece salvaguardas de supervisión humana, verificación de exactitud, manejo de información confidencial/reservada, ni cláusulas de no entrenamiento con los datos institucionales. CONTEXTO MEXICANO: México carece de una ley específica de IA; la adquisición de herramientas de IA por entes públicos avanza más rápido que la regulación. En un órgano de fiscalización, la ausencia de lineamientos sobre uso responsable de IA es un vacío relevante.

La Dirección General de Comunicación Social de la SEDENA (institución militar) licita un 'Servicio de monitoreo de medios masivos' que abarca prensa, radio, televisión e INTERNET. Los servicios actuales de monitoreo y análisis de medios e internet a esta escala se apoyan rutinariamente en tecnologías de procesamiento de lenguaje natural (NLP), análisis de sentimiento, clasificación automática de noticias, escucha social (social listening) y minería de texto -es decir, IA aplicada-, aunque el objeto de la licitación no lo nombre. RIESGOS: R9 (Vigilancia): El monitoreo de internet por una dependencia militar puede derivar en seguimiento de la conversación pública, identificación de críticos, periodistas o activistas y análisis de redes sociales sin controles judiciales. La escala y automatización amplifican el potencial de vigilancia. R3 (Privacidad): La escucha de internet/redes implica procesamiento de datos personales y opiniones de personas identificables, frecuentemente sin su conocimiento ni base de consentimiento. R4 (Desinformación): Capacidades de monitoreo masivo pueden complementarse con identificación o respuesta a narrativas, en la frontera con operaciones de influencia. GAP REGULATORIO: El resumen no establece límites de finalidad, prohibición de perfilamiento de personas, criterios de proporcionalidad, ni controles democráticos sobre el uso de analítica automatizada por una institución armada. No hay mención de protección de datos personales ni de la libertad de expresión. CONTEXTO MEXICANO: Existe historial documentado de uso de tecnología de vigilancia (p. ej. Pegasus) contra periodistas y defensores en México. El monitoreo de medios e internet por la SEDENA, sin salvaguardas explícitas, es un hallazgo sensible dado el debilitado control civil sobre las fuerzas armadas y la limitada capacidad de fiscalización.

La Secretaría de Seguridad Pública del Estado de Coahuila adquiere 'KITS DE MONITOREO REMOTO Y SERVICIO DE TRANSMISION DE DATOS'. En el dominio de seguridad pública, los sistemas de monitoreo remoto suelen integrar cámaras, sensores, geolocalización y plataformas de análisis que cada vez más incorporan analítica de video, detección automática y reconocimiento -capacidades de IA-, aunque el objeto no lo especifique. RIESGOS: R9 (Vigilancia): El monitoreo remoto por una secretaría de seguridad pública puede habilitar vigilancia poblacional continua. Sin límites, escala hacia control de movimientos y actividades de la ciudadanía. R3 (Privacidad): La transmisión y almacenamiento de datos de monitoreo implica tratamiento de datos personales (potencialmente imágenes/ubicación) sin que el resumen mencione consentimiento, retención o salvaguardas. GAP REGULATORIO: No se especifican límites de uso, políticas de retención de datos, prohibición de reconocimiento biométrico sin control judicial, ni mecanismos de auditoría. Es un caso típico de adquisición de tecnología de vigilancia sin marco de garantías. CONTEXTO MEXICANO: Coahuila tiene antecedentes graves de desapariciones y violencia; la tecnología de monitoreo puede ser útil para seguridad, pero sin controles también puede facilitar abusos. La capacidad estatal de fiscalizar el uso de estas herramientas es limitada.

El Acuerdo crea un 'Modelo de Certificación' del INAES que opera enteramente en línea ('Todas las etapas de este procedimiento operarán en línea a través del sistema del Modelo de Certificación') y prevé validación AUTOMÁTICA del cumplimiento de requisitos (Art. 22). Para ello recaba un volumen amplio de datos personales y sensibles de cada socio: CURP, RFC, NSS, domicilio, estado civil, credencial de elector, y atributos sensibles como pertenencia a lengua indígena/afrodescendiente y discapacidad (Art. 35, fracción III), integrados con el Padrón Nacional de Sociedades Cooperativas. RIESGOS: R3 (Privacidad): Concentración y cruce de datos personales y sensibles de miles de socios en un sistema gubernamental, con validación automatizada. El Acuerdo invoca protección de datos en términos generales, pero no detalla minimización, retención específica del sistema, ni límites a usos secundarios o interconexión con otros padrones. R2 (Sesgo/Discriminación): Recabar atributos sensibles (lengua indígena, discapacidad, estado civil) en un sistema que decide automáticamente el cumplimiento de requisitos y el otorgamiento/revocación de certificaciones crea el riesgo de decisiones automatizadas con impacto diferencial. La certificación condiciona el acceso a beneficios de fomento y a contrataciones públicas, por lo que errores o sesgos del sistema afectan oportunidades económicas. Aunque el Acuerdo prevé recurso de revisión, no establece auditoría de equidad ni explicabilidad de la validación automática. GAP REGULATORIO: No hay evaluación de impacto en protección de datos, ni análisis de sesgo, ni transparencia sobre la lógica de la validación automática, ni límites a la interconexión de padrones. CONTEXTO MEXICANO: La economía social incluye a poblaciones vulnerables (indígenas, mujeres, personas con discapacidad). Recabar y procesar automáticamente sus datos sensibles exige salvaguardas reforzadas; la capacidad institucional del INAES para auditar su propio sistema es incierta.

Los Convenios con Colima y Guerrero financian la instalación de sistemas de videovigilancia en los Centros de Justicia para las Mujeres para 'supervisión constante' de las áreas. Se trata de CCTV con fin legítimo de protección de víctimas, no de vigilancia masiva ni reconocimiento facial declarado, por lo que el riesgo es BAJO y se reporta principalmente como gap potencial. RIESGO: R3 (Privacidad): La videovigilancia 'constante' graba a víctimas de violencia (población especialmente vulnerable), personal y menores que acuden a la ludoteca. Si los sistemas incorporaran -hoy o a futuro- analítica de video o reconocimiento facial, o si no se controla el acceso, retención y resguardo de las grabaciones, podría comprometerse la confidencialidad e integridad de las usuarias. GAP: Los Anexos describen el equipamiento (cámaras, almacenamiento) pero no establecen políticas de retención, control de acceso a las imágenes, prohibición de analítica biométrica, ni protocolos de protección de datos específicos para datos de víctimas. CONTEXTO MEXICANO: La protección de datos de víctimas de violencia es especialmente sensible; filtraciones podrían exponerlas a sus agresores. Conviene blindar el sistema frente a futuras ampliaciones tecnológicas (p. ej. reconocimiento facial).

La Comisión Federal de Electricidad (CFE) licita un 'sistema de vehículos aéreos no tripulados multirotor' (drones) para su Cuerpo de Seguridad Física. Los sistemas modernos de drones de seguridad rara vez son meros aparatos de vuelo manual: incorporan de forma rutinaria navegación autónoma, estabilización, planificación de rutas y -de manera creciente- analítica de video embarcada (detección y seguimiento automático de personas y objetos, lectura de matrículas, alertas de intrusión). Es decir, IA aplicada de vigilancia aérea, aunque el objeto de la convocatoria no lo nombre. RIESGOS: R9 (Vigilancia): El despliegue de drones por el cuerpo de seguridad de una empresa estatal estratégica habilita vigilancia aérea de perímetros e instalaciones que, sin límites, puede extenderse a comunidades aledañas, manifestantes (p. ej. opositores a proyectos energéticos), o terceros, con captura masiva y persistente de imágenes desde el aire. R3 (Privacidad): La captación aérea de imágenes implica tratamiento de datos personales (rostros, vehículos, ubicaciones) de personas identificables sin su conocimiento ni base de consentimiento, frecuentemente sobrevolando propiedad privada o vía pública. R1 (Malfunctions): La navegación autónoma o asistida de un sistema aéreo no tripulado introduce riesgos de fallo (pérdida de control, colisión, geolocalización errónea) con impacto físico potencial sobre personas e infraestructura. GAP REGULATORIO: El resumen de convocatoria no establece límites de finalidad, prohibición de captación de imágenes fuera del perímetro de la instalación, políticas de retención y supresión de las grabaciones aéreas, prohibición de incorporar reconocimiento biométrico/facial, ni controles de proporcionalidad y autorización para el vuelo sobre zonas pobladas. Tampoco menciona la regulación de la AFAC sobre operación de aeronaves no tripuladas. CONTEXTO MEXICANO: México carece de marco específico sobre uso de drones de vigilancia por entes públicos; existe historial de uso de tecnología de vigilancia contra críticos. La adquisición de capacidades de vigilancia aérea por una empresa energética estratégica, sin salvaguardas explícitas, es un hallazgo sensible que el análisis original omitió.

El Aeropuerto Internacional Benito Juárez (AICM) licita la 'ampliación y reforzamiento de los sistemas de CCTV'. Las plataformas de videovigilancia en infraestructura aeroportuaria de alto tránsito incorporan cada vez más analítica de video (detección de objetos abandonados, conteo y seguimiento de personas, y -con frecuencia creciente- reconocimiento facial para control de accesos o búsqueda de personas), por lo que la 'ampliación y reforzamiento' del CCTV puede traer aparejada capacidad de analítica automatizada aunque el objeto no lo especifique. RIESGOS: R3 (Privacidad): La videovigilancia masiva en un espacio de altísima afluencia procesa imágenes de millones de personas; si incorpora analítica biométrica o facial, implica tratamiento de datos sensibles sin consentimiento. R9 (Vigilancia): Un sistema de CCTV reforzado en un nodo de movilidad nacional puede habilitar identificación y seguimiento de personas (incluyendo periodistas, activistas o disidentes) si se conecta con bases de datos o reconocimiento facial sin controles. GAP: El resumen no precisa si el reforzamiento incluye analítica de video o reconocimiento facial, ni establece límites de finalidad, retención, o prohibición de biometría sin base legal. Es un caso típico de ampliación de capacidad de vigilancia sin marco de garantías, de menor severidad que los casos de SEDENA/Coahuila por tratarse de seguridad operativa aeroportuaria, pero que merece reportarse como gap potencial. CONTEXTO MEXICANO: La debilidad del marco de protección de datos tras la extinción del INAI y la ausencia de regulación sobre reconocimiento facial en espacios públicos hacen relevante vigilar las ampliaciones de CCTV en infraestructura crítica.