Diario Oficial de la Federación, edición matutina (No. de publicación 325/2025), jueves 4 de diciembre de 2025

Este es el hallazgo más fuerte y EXPLÍCITO del documento. El Programa Institucional de FIRA (Fideicomisos Instituidos en Relación con la Agricultura, administrados por Banco de México como fiduciario y SHCP como fideicomitente) declara como eje estratégico la adopción, desarrollo y financiamiento de 'inteligencia artificial', 'manejo de datos masivos', 'Agro 4.0', biotecnología, genómica y automatización en todo el sector rural y agroindustrial. Más allá de la mención genérica, el Programa concreta usos de alto riesgo: en la Estrategia 1.3 ordena 'Desarrollar infraestructura pública de información y perfilamiento de casos de crédito al sector' y, en la estrategia transversal (AT3), 'Desarrollar soluciones tecnológicas orientadas al financiamiento agroalimentario y forestal, como estimadores de ingreso, herramientas para evaluación de riesgos y plataformas que mejoren la toma de decisiones'. También impulsa que los intermediarios financieros usen 'nuevas tecnologías de industria 4.0' para 'reducir barreras de información' y emplea 'detección remota' e 'inteligencia de datos sectorial'. RIESGOS: R2 (Discriminación/Sesgo): El perfilamiento de sujetos de crédito y los 'estimadores de ingreso'/'evaluación de riesgos' son sistemas de scoring crediticio que deciden el acceso a financiamiento. Entrenados sobre datos históricos del campo mexicano (donde el crédito está concentrado en grandes productores y hay brechas documentadas por género, etnia y tamaño), pueden amplificar la exclusión de pequeños productores, mujeres rurales, comunidades indígenas y afromexicanas —precisamente la población objetivo que el Programa dice querer incluir. R3 (Privacidad): La creación de una 'infraestructura pública de información y perfilamiento' interoperable, alimentada con bases de datos masivas de productores (cruzando INEGI, CNBV, padrones), implica tratamiento masivo de datos personales y patrimoniales sin que el texto mencione consentimiento, minimización, límites de uso secundario ni gobernanza de datos. R10 (Concentración): El uso de plataformas tipo 'AgriTech Nexus' y proveedores tecnológicos externos crea dependencia de soluciones de IA de pocos actores. GAPS: No se establecen auditoría de equidad, explicabilidad del scoring, derecho de impugnación ante una negativa algorítmica de crédito, ni evaluación de impacto en datos personales o derechos humanos.

El Programa Institucional de BANJERCITO contiene varias señales implícitas de automatización masiva y tratamiento de datos que, en su evolución, requerirán supervisión de IA aunque no se nombre. (1) DATOS DE EXTRANJEROS (R3): En los Servicios Bancarios Fronterizos, BANJERCITO, en coordinación con el Instituto Nacional de Migración, 'cobra el derecho y al mismo tiempo recaba información para integrar la base de datos de extranjeros en el país'. Es una base poblacional de control migratorio cuyo análisis automatizado (perfilamiento, cruces) es un riesgo clásico de privacidad/vigilancia, sin que el texto mencione salvaguardas. (2) IDENTIDAD DIGITAL NACIONAL (R3): El Programa se alinea a la Estrategia T2.1.1 del PND para 'Construir una identidad digital nacional', y plantea modernizar trámites fronterizos 'mediante tecnología inteligente y escaneo digital'. La identidad digital y el escaneo (potencialmente biométrico/documental) son vectores directos de R3. (3) AUTOMATIZACIÓN (R7): El objetivo 8 plantea 'innovación y desarrollo tecnológico que impacte a la automatización de procesos' y el objetivo 4 busca 'reducir las fallas humanas mediante la automatización' en los puntos fronterizos; la migración de trámites a canales digitales y 'sucursales digitales' implica un componente de desplazamiento/reconversión laboral en el contexto mexicano de informalidad. (4) PUBLICIDAD SEGMENTADA (R2 leve): Se contemplan 'campañas digitales segmentadas' y 'mensajes... acordes a su perfil' para clientes militares, lo que implica perfilamiento comercial de datos de las Fuerzas Armadas. GAP: Ninguno de estos componentes (base de datos de extranjeros, identidad digital, escaneo, automatización fronteriza) menciona protección de datos personales, evaluación de impacto, ni controles sobre uso de biometría o decisiones automatizadas.

El convenio de coadyuvancia para la Alerta de Violencia de Género con Nuevo León (subsidio federal de la Secretaría de las Mujeres) describe la operación del BANAVIM (Banco Nacional de Datos e Información sobre casos de Violencia contra las Mujeres): 'registro de datos y conformación de expedientes electrónicos', 'monitoreo de los registros del BANAVIM' y la contratación de personal para 'realizar análisis de inteligencia social para integrar estrategias para la prevención de violencia contra las mujeres'. El enlace estatal es el 'Director de Inteligencia Social y Sistema Multifuente'. RELEVANCIA PARA IA: Aunque no se nombra IA, 'análisis de inteligencia social' sobre un 'sistema multifuente' que integra expedientes electrónicos de víctimas constituye analítica de datos personales altamente sensibles (violencia sexual, feminicidio, salud, ubicación) con fines de 'prevención' (es decir, anticipación/predicción). Es exactamente el tipo de tratamiento que, al escalar con técnicas analíticas/algorítmicas, cae en R3 (procesamiento masivo de datos sensibles, inferencias) y R2 (focalización/priorización de casos y territorios que puede sesgarse). GAP: No hay mención de protección reforzada de datos sensibles, anonimización para el componente analítico, control de acceso, ni evaluación de impacto. El riesgo es que datos de víctimas se usen para perfilamiento territorial o se filtren.

El INE convoca a la licitación LP-INE-041/2025 para un 'Servicio de monitoreo, digitalización y sistematización de información en medios convencionales para la elaboración de productos informativos'. El monitoreo y sistematización masiva de medios por una autoridad electoral es un dominio donde la analítica automatizada (clasificación de contenido, detección de menciones, análisis de sentimiento) es habitual y se vincula con R9 (monitoreo/vigilancia de información pública), R3 (agregación de información que puede incluir datos personales de actores políticos y ciudadanos) y, por contexto electoral, R4 (productos informativos sobre el discurso público pueden cruzarse con desinformación). Es una señal débil (resumen de convocatoria sin detalle técnico), pero relevante porque es un dominio crítico (electoral) y la frontera entre 'sistematización de medios' y vigilancia/perfilamiento del discurso depende de cómo se implemente. GAP: La convocatoria no precisa si el servicio usará procesamiento automatizado/IA, qué datos personales tratará, ni salvaguardas; el riesgo regulatorio se detecta por el dominio, no por el detalle.

PEMEX convoca a la contratación de un 'Servicio de monitoreo local y remoto de la información generada por la aplicación de diversas técnicas de diagnóstico y análisis de condición e integrada a través de sistema de administración del mantenimiento predictivo, para las instalaciones de Petróleos Mexicanos'. El 'mantenimiento predictivo' (predictive maintenance) y el 'análisis de condición' sobre datos de sensores son dominios donde la analítica avanzada y el aprendizaje automático son la práctica habitual de la industria para anticipar fallas de equipos críticos (turbinas, ductos, plantas de proceso). RELEVANCIA PARA IA: Aunque la convocatoria no nombra 'IA', es exactamente el tipo de sistema que la taxonomía marca por keywords ('predictivo', 'analítica predictiva' -> R2/R9; 'infraestructura crítica', 'servicios esenciales' -> R1+R13). Se trata de infraestructura crítica energética nacional. R1 (Malfunctions): un modelo predictivo mal calibrado puede generar falsos negativos (no anticipar una falla real, con riesgo de seguridad industrial/ambiental) o falsos positivos (paros y costos injustificados); el riesgo se eleva si sus salidas se tratan como infalibles sin supervisión humana experta. R13 (Pérdida gradual de control): la delegación creciente de decisiones de operación y mantenimiento de instalaciones críticas a sistemas de análisis remoto de condición, sin requisitos explícitos de supervisión humana, explicabilidad ni capacidad de reversión, es el patrón típico de pérdida gradual de control sobre infraestructura crítica. R9 (señal débil): el monitoreo remoto continuo de instalaciones estratégicas concentra datos operativos sensibles de seguridad nacional energética. Es una señal implícita y de severidad Media: es una contratación de servicio (no un sistema autónomo en operación causando daño), pero el dominio (infraestructura energética crítica) eleva su pertinencia regulatoria. GAP: la convocatoria (resumen) no precisa si el servicio usa modelos de ML/IA, qué nivel de autonomía tiene la recomendación de mantenimiento, ni exige supervisión humana, explicabilidad o protocolos de verificación antes de actuar sobre equipos críticos.