DOF analysis · March 30, 2026
Diario Oficial de la Federación, edición matutina No. 074/2026 del lunes 30 de marzo de 2026, que incluye, entre otros, las Reglas para la organización y funcionamiento del Comité Técnico Consultivo para la integración del Registro Nacional de Ciudadanos; Lineamientos del estímulo fiscal a la producción cinematográfica y audiovisual; Acuerdo de simplificación de trámites ante PROFECO; Sentencia en la Acción de Inconstitucionalidad 179/2024; y el Acuerdo INE/CG102/2026 sobre incorporación de elementos de información en la Credencial para Votar
Document type: Edición matutina del DOF (compendio): Reglas, Acuerdos, Lineamientos, Circular, Sentencia SCJN y Acuerdos INE
Statistics
Metadata
Risk categories present
Urgency justification
Source content shown in its original language (Spanish).
El DOF establece el órgano coordinador del registro biométrico obligatorio de toda la población mexicana mayor de 18 años para el Registro Nacional de Ciudadanos, con interoperabilidad y confronta de datos entre dependencias civiles, fiscales, de seguridad y militares, sin prever evaluación de impacto, límites de finalidad/retención, auditorías de sesgo/precisión de los sistemas de cotejo biométrico, ni mecanismos de impugnación. Esto crea la base de datos más sensible del país con riesgo estructural de vigilancia masiva (R9), invasión de privacidad (R3) y discriminación por errores de identificación (R2). De forma concurrente, el INE incorpora datos personales sensibles (identidad de género, autoadscripción indígena/afromexicana) a la Credencial para Votar y a sus códigos QR de lectura masiva, ampliando la superficie de riesgo de privacidad y discriminación para grupos históricamente vulnerados.
Executive summary
Source content shown in its original language (Spanish).
Esta edición matutina del DOF (30 de marzo de 2026) reúne instrumentos heterogéneos; la mayoría son administrativos (registros de asociaciones religiosas, habilitación de días/horas, una circular de cumplimiento de sentencia, normas de certificación de establecimientos médicos, prohibición de pseudoefedrina/efedrina, convocatoria de peritos en telecomunicaciones, tipos de cambio y tablas de fiscalización electoral de Michoacán) y no presentan riesgos de IA. Una sentencia de la SCJN (Acción de Inconstitucionalidad 179/2024) invalida un cobro por digitalización de documentos por desproporcional; es relevante por su reflexión sobre la brecha digital y el acceso a la tecnología, pero no involucra IA. Los hallazgos de mayor relevancia para la regulación de IA son implícitos. El más crítico es el conjunto de Reglas de SEGOB que crean el Comité que coordinará el registro biométrico masivo de todas las personas mexicanas mayores de 18 años para el Registro Nacional de Ciudadanos, con "confronta de datos", "intercambio o transferencia de información" y "validación de identidad" biométrica entre múltiples dependencias (incluidas las de seguridad y militares). Aunque no se nombra la IA, el cotejo biométrico a escala nacional es IA aplicada y plantea riesgos muy altos de invasión de privacidad (R3), vigilancia poblacional (R9) y discriminación por errores de identificación (R2). En paralelo, el Acuerdo INE/CG102/2026 incorpora datos personales sensibles autopercibidos (identidad de género, autoadscripción indígena/afromexicana) a la Credencial para Votar y a sus códigos QR de lectura masiva, con riesgos de privacidad y discriminación (R3, R2). Se suman la admisión de la "CURP biométrica" como identificación en trámites de consumo (R3), la única mención explícita de IA -"Upscaling con IA" como gasto elegible del estímulo fiscal al cine (R5)- y los principios de automatización/interoperabilidad de la mejora regulatoria de PROFECO (R7, R3). Se recomienda con urgencia condicionar el despliegue del registro biométrico nacional a una evaluación de impacto en protección de datos, límites estrictos de finalidad y retención, auditorías independientes de sesgo y exactitud de los sistemas de cotejo, prohibición de uso para vigilancia/reconocimiento facial sin control judicial, y mecanismos de impugnación; así como reforzar las salvaguardas técnicas del dato sensible en los códigos QR de la Credencial para Votar.
Mexican context
Source content shown in its original language (Spanish).
Special considerations
- El Registro Nacional de Ciudadanos y la CURP biométrica concentran datos biométricos de toda la población adulta en un país con instituciones de control débiles y antecedentes de filtraciones masivas de padrones y de uso político de bases de datos gubernamentales.
- La interoperabilidad del registro biométrico con dependencias de seguridad (SSPC) y militares (SEDENA, Marina) eleva el riesgo de vigilancia poblacional, en un contexto de creciente militarización de funciones civiles.
- La Credencial para Votar es el documento de identificación de uso más extendido en México; añadir datos sensibles (identidad de género, origen étnico/afromexicano) a su QR de lectura masiva amplía el riesgo de discriminación contra grupos históricamente vulnerados.
- La brecha digital es estructural (la propia SCJN, en este mismo DOF, reconoce que más de 25 millones de personas no tienen acceso regular a internet, sobre todo en zonas rurales e indígenas), por lo que la automatización y digitalización de trámites debe preservar canales presenciales.
- Los sistemas de cotejo biométrico presentan tasas de error diferenciadas por grupo poblacional (edad avanzada, fenotipos subrepresentados, personas con discapacidad), lo que en ausencia de auditorías puede negar identidad o servicios a los más vulnerables.
Enforcement capacity
Media-Baja. La reciente reconfiguración del órgano garante de transparencia y protección de datos (antes INAI), cuyas opiniones aparecen citadas pero no como controles vinculantes, debilita la supervisión independiente del tratamiento de datos biométricos y sensibles. SEGOB y el INE cuentan con capacidad técnica para operar las bases, pero no se aprecian en estos instrumentos mecanismos de auditoría externa, impugnación efectiva ni límites de finalidad que un ente garante con recursos limitados pueda hacer cumplir frente a despliegues de escala nacional.
Relevant precedents
- Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados y Ley Federal de Protección de Datos Personales en Posesión de los Particulares (principios de finalidad, consentimiento y minimización).
- Discusión y litigios en torno a la creación de la CURP biométrica y al Padrón Nacional de Usuarios de Telefonía Móvil (PANAUT), declarado inconstitucional por la SCJN por riesgos a la privacidad y a la protección de datos biométricos.
- Opinión técnica del entonces INAI DGNC010/2024 sobre tratamiento de datos personales sensibles, citada en el propio Acuerdo INE/CG102/2026.
- Jurisprudencia y sentencias del TEPJF (SUP-JDC-4/2026 y acumulados, SUP-JDC-2442/2025) y de la SCJN sobre autoadscripción indígena e identidad de género como datos basados en autodeterminación.
- Sentencia de la SCJN en la Acción de Inconstitucionalidad 179/2024 (incluida en este DOF) sobre proporcionalidad de cobros por digitalización y reconocimiento de la brecha digital como factor de vulnerabilidad.
Findings
Findings detected by the analysis. Expand each one to see the original fragment and recommendations.
Source content shown in its original language (Spanish).
Identidad y Registro de Población (Registro Nacional de Ciudadanos) Implícito - Tecnología Very High
Regulatory domain
Identidad y Registro de Población (Registro Nacional de Ciudadanos)
Regulatory gap
Yes
Original fragment
actividades o acciones que conlleven despliegue operativo para el registro de los datos biométricos de las personas mayores de 18 años, el intercambio o transferencia de información, confronta de datos o la validación de identidad respecto de los datos de identidad biométrica que posean dichos integrantes o que auxilien para su obtención Relevance analysis
1) Relevancia para IA: Estas Reglas crean el órgano que coordinará el registro biométrico masivo de TODAS las personas mexicanas mayores de 18 años para integrar el Registro Nacional de Ciudadanos (RNC). El "registro de datos biométricos", la "confronta de datos", el "intercambio o transferencia de información" entre dependencias (SEDENA, Marina, SHCP, IMSS, ISSSTE, INFONAVIT, etc.) y la "validación de identidad" a escala nacional son tareas que en la práctica se ejecutan mediante sistemas automatizados de identificación biométrica (reconocimiento facial, dactilar, iris/voz) y motores de cotejo (matching) que constituyen IA aplicada, aunque el texto no la nombre. 2) Riesgos: R3 (privacidad) por la conformación de la base biométrica más sensible del país sin que el documento prevea límites de retención, finalidad estricta, minimización ni controles de acceso; R9 (vigilancia) porque la interoperabilidad de padrones biométricos con dependencias de seguridad y militares habilita potencial vigilancia poblacional e identificación en cualquier contexto; R2 (discriminación) porque los sistemas de cotejo biométrico presentan tasas de error diferenciadas (falsos negativos) que pueden negar identidad/servicios a poblaciones específicas (personas mayores, indígenas, personas con discapacidad, fenotipos subrepresentados). 3) Gaps: el instrumento es puramente orgánico (define un Comité y sus sesiones) y NO regula la tecnología de captura/cotejo, no exige evaluación de impacto en protección de datos, no fija auditorías de sesgo ni precisión mínima, no prevé mecanismos de impugnación ante errores de identificación, ni supervisión del órgano garante. 4) Contexto mexicano: la creación de la CURP biométrica y del RNC se da en un país con instituciones de control débiles, antecedentes de filtraciones masivas de padrones y uso de bases de datos gubernamentales con fines político-electorales o de seguridad; la concentración de datos biométricos de toda la población es un riesgo estructural de abuso.
Recommendations
- Condicionar el despliegue del registro biométrico a una Evaluación de Impacto en la Protección de Datos Personales (EIPDP) pública y a la opinión vinculante del órgano garante en materia de datos personales.
- Establecer en norma los principios de finalidad específica, minimización, retención limitada y prohibición de uso secundario (especialmente para seguridad o inteligencia) sin orden judicial.
- Exigir auditorías independientes de exactitud y de sesgo de los sistemas de cotejo biométrico, con umbrales mínimos de desempeño y reporte de tasas de error por grupo poblacional.
- Crear un procedimiento ágil de impugnación y corrección para personas afectadas por errores de identificación biométrica, con revisión humana.
- Prohibir expresamente el uso del RNC y de la identidad biométrica para reconocimiento facial en vía pública o vigilancia masiva sin control judicial y legislativo.
Electoral - Registro Federal de Electores y Credencial para Votar Implícito - Riesgo/Gap Regulatorio High
Regulatory domain
Electoral - Registro Federal de Electores y Credencial para Votar
Regulatory gap
Yes
Original fragment
el dato concerniente a la identidad de género autopercibida es considerado como dato personal sensible, toda vez que se refiere a la esfera más íntima de las personas titulares y su utilización indebida puede dar origen a discriminación o conllevar un riesgo grave para éstas Relevance analysis
1) Relevancia para IA: El INE determina incorporar a la Credencial para Votar (CPV) y a sus códigos bidimensionales (QR) datos personales sensibles autopercibidos (identidad de género: M/H/NB; autoidentificación indígena/afromexicana y pueblo de pertenencia conforme al Catálogo del INPI). La CPV es el documento de identificación más usado en México y su Padrón Electoral es una de las bases de datos personales más grandes del país, consultada/validada de forma automatizada (lectura de QR mediante la app "Valida INE-QR", cotejo en trámites públicos y privados). Incorporar categorías especialmente protegidas a un identificador de uso masivo crea un nuevo flujo de datos sensibles susceptible de tratamiento automatizado, cruce y perfilamiento. 2) Riesgos: R3 (privacidad) por el almacenamiento de datos sensibles en un documento y en QR de lectura amplia, con riesgo de exposición, inferencia o uso secundario más allá del fin electoral; R2 (discriminación) porque la visibilización de pertenencia étnica, afromexicana o de identidad de género puede exponer a las personas a discriminación o perfilamiento si los datos se filtran o se cruzan con otros sistemas. 3) Gaps: aunque el Acuerdo invoca consentimiento expreso y protección reforzada de datos personales sensibles (opinión del INAI), no detalla salvaguardas técnicas contra la lectura no autorizada del QR por terceros (verificadores privados), ni limita el cruce del Padrón con otras bases, ni prevé qué entidades podrán leer el dato sensible del QR ni con qué controles. 4) Contexto mexicano: en un entorno de uso extendido de la CPV como identificación universal y de proliferación de lectores de QR, la inclusión de datos sensibles amplía la superficie de riesgo para grupos históricamente discriminados.
Recommendations
- Especificar controles técnicos de cifrado y de control de acceso para que el dato sensible contenido en el QR solo sea legible por la propia persona titular o por autoridades expresamente facultadas.
- Prohibir y sancionar el uso de la lectura del QR de la CPV por verificadores privados para perfilar o discriminar por origen étnico, condición afromexicana o identidad de género.
- Realizar y publicar una evaluación de impacto en la protección de datos personales sensibles antes de implementar la captura del dato a escala nacional.
- Garantizar mecanismos sencillos de rectificación y de retiro del dato sensible, y reforzar el consentimiento informado granular (visible impreso vs. solo en QR).
Risk categories
Identidad / Protección al Consumidor (uso de CURP biométrica como identificación) Implícito - Tecnología High
Regulatory domain
Identidad / Protección al Consumidor (uso de CURP biométrica como identificación)
Regulatory gap
Yes
Original fragment
Identificación Oficial (INE o Pasaporte Vigente, o CURP biométrica) en la modalidad presencial o en el extranjero Relevance analysis
1) Relevancia para IA: El Acuerdo de PROFECO admite la "CURP biométrica" como identificación oficial para trámites de consumo (procedimiento conciliatorio, casas de empeño). La CURP biométrica es un identificador único asociado a datos biométricos (huella, rostro) cuya validación implica cotejo biométrico automatizado contra una base nacional, normalizando el uso de identidad biométrica en trámites administrativos cotidianos. 2) Riesgos: R3 (privacidad) por la expansión del uso de identidad biométrica a contextos comerciales (casas de empeño) y de consumo, lo que multiplica los puntos de captura/verificación biométrica y la posibilidad de retención por terceros privados. 3) Gaps: el Acuerdo es de simplificación administrativa y no regula cómo se valida la CURP biométrica, quién retiene o accede al dato biométrico, ni qué salvaguardas protegen a la persona consumidora frente a entes privados (casas de empeño) que la requieren. 4) Contexto mexicano: la adopción de la CURP biométrica como identificación de uso general, sin un marco robusto de protección, profundiza la dependencia de infraestructura biométrica centralizada y los riesgos de filtración o uso indebido por particulares poco supervisados.
Recommendations
- Aclarar que la verificación de la CURP biométrica en trámites ante particulares (p. ej. casas de empeño) se realice sin que estos retengan o almacenen los datos biométricos.
- Establecer que el uso de la CURP biométrica sea opcional y nunca condición exclusiva, manteniendo alternativas no biométricas de identificación.
- Vincular el tratamiento de la CURP biométrica por particulares a obligaciones de protección de datos personales y a supervisión del órgano garante.
Risk categories
Fiscal / Industria audiovisual y cinematográfica Explícito Medium
Regulatory domain
Fiscal / Industria audiovisual y cinematográfica
Regulatory gap
Yes
Original fragment
Upscaling con IA Relevance analysis
1) Relevancia para IA: Es la ÚNICA mención explícita de inteligencia artificial en todo el documento. Los Lineamientos reconocen como gasto elegible el "Upscaling con IA" descrito como "Aumento de resolución mediante algoritmos", incorporando formalmente el uso de IA generativa/de mejora de imagen en la cadena de producción audiovisual subsidiada con recursos públicos (crédito fiscal). 2) Riesgos: R5 (propiedad intelectual) de forma incipiente, pues el uso de herramientas de IA para reconstruir/aumentar resolución de imagen y otros procesos (efectos visuales, CGI) plantea cuestiones sobre la titularidad de outputs generados con IA, el uso de modelos entrenados con obras protegidas y la trazabilidad/atribución. El riesgo es de severidad Media: la mención es marginal (un rubro de gasto en un anexo) y no implica generación masiva ni decisiones automatizadas sobre personas. 3) Gaps: los Lineamientos subsidian el uso de IA en postproducción sin exigir transparencia sobre las herramientas empleadas, ni resolver la autoría/derechos de los contenidos mejorados o generados con IA, ni condicionar el estímulo a licenciamiento lícito de los modelos. 4) Contexto mexicano: relevante para la política de protección del patrimonio audiovisual y los derechos de autoras y autores nacionales frente a la adopción de herramientas de IA financiadas con incentivos fiscales.
Recommendations
- Incluir en los criterios de elegibilidad requisitos de transparencia sobre el uso de herramientas de IA (upscaling, VFX, CGI) y de licenciamiento lícito de los modelos empleados.
- Aclarar la titularidad de los derechos de autor sobre contenidos modificados o generados con IA que reciban estímulo fiscal.
- Requerir trazabilidad y atribución de los segmentos producidos o aumentados con IA para proteger los derechos de creadores.
Risk categories
Mejora regulatoria / Digitalización de trámites (PROFECO) Implícito - Riesgo/Gap Regulatorio Medium
Regulatory domain
Mejora regulatoria / Digitalización de trámites (PROFECO)
Regulatory gap
Yes
Original fragment
ciudadana, utilidad social, ciberseguridad, neutralidad tecnológica, innovación, usabilidad, automatización, soberanía tecnológica, compartición de la innovación, accesibilidad, multicanalidad Relevance analysis
1) Relevancia para IA: El Acuerdo se sustenta en los principios de la Ley Nacional para Eliminar Trámites Burocráticos, que mandata "automatización", "interoperabilidad de sistemas institucionales", "soberanía tecnológica" y "neutralidad tecnológica", y migra trámites a formularios electrónicos y portales (REPEP, Distintivo Digital, Portal Ciudadano Único). Estos eufemismos burocráticos ("automatización", "transformación digital") suelen anteceder la incorporación de sistemas de procesamiento automatizado de datos y, eventualmente, de clasificación o atención automatizada (chatbots, motores de reglas) en la gestión de trámites. 2) Riesgos: R7 (desplazamiento laboral) de forma potencial y de baja intensidad por la automatización de la atención de trámites; R3 (privacidad) por la digitalización e interoperabilidad de padrones de consumidores (REPEP, Registro Público de Consumidores) que concentra datos personales en plataformas en línea. 3) Gaps: el Acuerdo no menciona IA ni decisiones automatizadas; si en el futuro se incorporan motores de clasificación o resolución automática de trámites, no existe en este instrumento previsión de supervisión humana, explicabilidad ni derecho a revisión. 4) Contexto mexicano: la digitalización acelerada de trámites en un contexto de brecha digital (más de 25 millones sin acceso regular a internet, como reconoce la propia SCJN en este mismo DOF) puede excluir a poblaciones vulnerables si la automatización no preserva canales presenciales.
Recommendations
- Mantener canales presenciales y asistidos para personas sin acceso digital, preservando el principio de multicanalidad frente a la automatización.
- Si se incorporan sistemas automatizados de clasificación o resolución de trámites, garantizar supervisión humana, explicabilidad y derecho a revisión.
- Aplicar protección reforzada y minimización de datos en los padrones digitalizados de consumidores e interoperables entre instituciones.
Risk categories