Diario Oficial de la Federación, Edición Matutina No. de publicación 339/2025, Ciudad de México, miércoles 17 de diciembre de 2025

1) RELEVANCIA PARA IA: La ciberseguridad de la APF es hoy un dominio donde la IA es central tanto en la defensa (detección automatizada de amenazas, análisis de comportamiento de red, respuesta automatizada a incidentes, correlación de logs con machine learning) como en el ataque (malware adaptativo, phishing y deepfakes generados con IA). El Acuerdo crea una Política General obligatoria para toda la APF, designa a la Dirección General de Ciberseguridad como autoridad rectora, faculta evaluaciones y auditorías, y ordena emitir lineamientos técnicos en 180 días. Sin embargo, el contenido sustantivo no se publica en el DOF: solo se remite a un PDF alojado en un servidor de la ATDT, lo que impide el análisis forense del texto vinculante. 2) RIESGOS: R3/R9 porque cualquier política de ciberseguridad de gobierno habilita el monitoreo y correlación masiva de tráfico, accesos y metadatos de sistemas que contienen datos de millones de personas; si esa vigilancia se apoya en analítica/IA sin controles, deriva en vigilancia desproporcionada. R13 porque la respuesta automatizada a incidentes y la dependencia de herramientas de seguridad opacas en infraestructura crítica gubernamental introducen riesgo de pérdida gradual de supervisión humana efectiva. 3) GAPS: el Acuerdo no menciona inteligencia artificial, no fija requisitos de transparencia algorítmica, supervisión humana, auditoría de sesgos ni límites a la vigilancia derivada de las herramientas de ciberseguridad; además, al diferir todo el contenido a un PDF externo se debilita la certeza jurídica y la trazabilidad. 4) CONTEXTO MEXICANO: la APF depende fuertemente de proveedores tecnológicos extranjeros de ciberseguridad (concentración de poder, R10 latente); la capacidad de auditoría técnica del Estado es limitada; y existen antecedentes de vigilancia estatal abusiva (caso Pegasus) que obligan a tratar con cautela cualquier facultad de monitoreo centralizado.

1) RELEVANCIA PARA IA: El INEGI es el mayor concentrador de datos personales del país (Censo, encuestas, registros, padrones), incluidos datos biométricos y sensibles (origen racial/étnico, salud, genética, opiniones políticas, preferencia sexual). Estos Lineamientos regulan el tratamiento de dichos datos y reconocen expresamente 'Sistemas de tratamiento ... automatizados a través de una herramienta tecnológica'. Los grandes acervos de datos personales del INEGI son materia prima típica de modelos de IA (entrenamiento, inferencia, perfilamiento sociodemográfico). 2) RIESGOS: R3 por el procesamiento masivo de datos biométricos y sensibles, con varios supuestos de tratamiento y transferencia sin consentimiento (Art. 81: seguridad nacional, transferencias entre sujetos obligados, finalidades 'compatibles o análogas'), lo que abre puertas a usos secundarios. R2 porque inferencias y perfilamiento sociodemográfico construidos sobre estos datos pueden derivar en discriminación si se usan para focalizar políticas, asignar recursos o evaluar personas. 3) GAPS: los Lineamientos no contemplan en absoluto el tratamiento automatizado mediante IA: no regulan decisiones automatizadas que produzcan efectos jurídicos, no exigen evaluaciones de impacto algorítmico, no reconocen el derecho a no ser objeto de decisiones individuales automatizadas ni a impugnar inferencias, y no fijan salvaguardas específicas para entrenamiento de modelos con datos sensibles. 4) CONTEXTO MEXICANO: el marco mexicano de datos personales (recién reformado, con el INAI en transición hacia un órgano de la Secretaría Anticorrupción y Buen Gobierno) aún carece de reglas sobre IA, dejando vacíos frente a usos de IA sobre datos públicos de alto valor poblacional.

1) RELEVANCIA PARA IA: Las convocatorias del Servicio Profesional de Carrera establecen como primera etapa una 'Revisión curricular de forma automatizada' realizada por el sistema TrabajaEn (Registro de aspirantes). PRECISIÓN TRAS RELECTURA: el 'doble descarte' descrito en las convocatorias corresponde en realidad a la Etapa II (exámenes de conocimientos técnicos con mínimo 80 y generales con mínimo 60 en escala 0-100), no a la Etapa I automatizada; la revisión curricular automatizada del TrabajaEn opera hoy como filtro de elegibilidad/registro basado en reglas (cotejo contra catálogos de carreras, campos y años de experiencia), no como scoring por IA. Aun así es un caso de filtrado automatizado del acceso a oportunidades laborales en el sector público y un precedente relevante: si en el futuro ese filtro incorporara scoring/IA, el riesgo R2 se materializaría con fuerza. 2) RIESGOS: R2 (Media) porque los filtros automatizados de currículos pueden replicar sesgos (por escolaridad, palabras clave, brechas laborales) y, sin auditoría de equidad ni mecanismo de impugnación específico del filtrado, excluir personas sin revisión humana; hoy el efecto es acotado por tratarse de reglas de elegibilidad. R7 (contexto) porque la automatización de etapas de reclutamiento reduce la intervención humana en la selección. 3) GAPS: las convocatorias no informan los criterios del filtrado automatizado de la Etapa I, no garantizan revisión humana del rechazo automatizado ni un recurso de impugnación específico, ni prevén auditoría de sesgo para un eventual scoring. 4) CONTEXTO MEXICANO: en un país con alta desigualdad educativa y digital, el filtrado automatizado puede penalizar a quienes tienen trayectorias no estándar o menor alfabetización digital para registrar su información en la plataforma.

1) RELEVANCIA PARA IA: La descripción de funciones de una plaza vacante alude a 'Sistemas Inteligentes de Transporte' que incluyen 'medidores de velocidad', 'pesaje dinámico', 'cobro electrónico-telepeaje' y 'minería de datos' sobre la red federal de caminos y puentes. Estos sistemas capturan de forma masiva matrículas, trayectos, velocidades y medios de pago de personas usuarias, y la minería de datos sobre ellos puede habilitar perfilamiento de movilidad y analítica predictiva. 2) RIESGOS: R3 por la recolección masiva de datos de tránsito y de pago (geolocalización implícita de personas) susceptibles de inferencias sensibles; R9 (potencial) porque la integración de lectura de placas, velocidad y telepeaje puede servir a vigilancia de desplazamientos. 3) GAPS: se trata de una descripción de funciones administrativas, no de una norma con salvaguardas; no hay mención de límites de retención, anonimización, consentimiento ni control sobre el cruce de estos datos. 4) CONTEXTO MEXICANO: evidencia temprana (implícito débil) de capacidades de monitoreo vial que, sin marco específico, podrían reutilizarse para vigilancia.

1) RELEVANCIA PARA IA: La descripción de funciones de un puesto de Comunicación Social/Vocería de la SHCP establece como tarea el 'monitoreo y la selección de la información transmitida en medios electrónicos y emergentes' y la 'consolidación' y 'análisis de datos generados por diversas fuentes de información'. El monitoreo masivo de medios y el 'análisis de datos' de múltiples fuentes son justamente el tipo de eufemismo bajo el cual la analítica/IA (clasificación de noticias, análisis de sentimiento, escucha social) se incorpora sin nombrarse. 2) RIESGOS: R3/R9 (Media, implícito débil) porque, si esa capacidad de monitoreo de medios y escucha social se extendiera al seguimiento de personas, periodistas o críticos del gobierno, derivaría en vigilancia; el fragmento, sin embargo, acota la finalidad a la imagen institucional y al apoyo a decisiones de comunicación, lo que mantiene el riesgo en grado bajo. 3) GAPS: no hay mención de límites, transparencia ni proporcionalidad sobre el alcance del monitoreo de medios ni sobre el tratamiento de datos personales que pudiera capturar la 'escucha' de medios. 4) CONTEXTO MEXICANO: dado el antecedente de uso de capacidades de monitoreo estatal con fines distintos a los declarados (caso Pegasus), conviene acotar normativamente cualquier sistema de monitoreo de medios gubernamental para que no derive en seguimiento de la disidencia.