Diario Oficial de la Federación, No. de publicación 077/2026, Ciudad de México, miércoles 1 de abril de 2026 (Edición Matutina)

El Acuerdo INE/CG103/2026 incorpora a los códigos bidimensionales QR de alta densidad de la Credencial para Votar (CPV/CPVE) datos biométricos dactilares (dos minucias bajo estándar ANSI/INCITS 378 o ISO/IEC 19794-2), datos personales sensibles (identidad sexogenérica autopercibida, autoidentificación indígena/afromexicana) y el domicilio cifrado. Aunque el texto no menciona 'inteligencia artificial', la 'validación biométrica' y 'autenticación biométrica precisa y robusta' a escala poblacional con 'interoperabilidad con sistemas biométricos gubernamentales y privados nacionales e internacionales' constituye precisamente el sustrato de despliegue de sistemas de reconocimiento/cotejo biométrico automatizado (matching) que típicamente operan con algoritmos de comparación y, crecientemente, modelos de aprendizaje automático. RIESGOS: R3 (Privacy): se introduce biometría dactilar en un documento de identidad portado por casi toda la población adulta y se habilita su lectura por 'entidades gubernamentales como privadas'. La interoperabilidad nacional e internacional con bases biométricas multiplica los puntos de exposición y el riesgo de cotejo masivo, retención y uso secundario fuera del fin electoral. Es un dato biométrico irrevocable: una filtración no se puede 'cambiar' como una contraseña. R9 (Surveillance): la credencial de votar es la identificación de facto en México; convertirla en llave de autenticación biométrica interoperable con sistemas de gobierno y privados crea la infraestructura técnica para identificación/seguimiento de personas (incluidos disidentes, periodistas, opositores) a partir del cotejo de huella en múltiples contextos, sin que el Acuerdo establezca límites a la consulta por terceros ni controles judiciales. R2 (Discrimination): los sistemas de matching biométrico presentan tasas de error diferenciadas (mayores tasas de falso rechazo/aceptación en ciertos grupos poblacionales, personas con huellas desgastadas por trabajo manual, adultos mayores), lo que puede traducirse en denegación de trámites o servicios. Además, la inclusión opcional de 'autoidentificación indígena y/o afromexicana' e 'identidad sexogenérica autopercibida' en el QR es información sensible que, de filtrarse o consultarse, expone a discriminación. GAPS REGULATORIOS: 1. No se establecen límites técnicos ni jurídicos a qué entidades privadas pueden leer/cotejar las minucias, ni mecanismos de auditoría de accesos. 2. No se fija estándar de precisión mínima ni protocolo ante falsos negativos que impidan ejercer derechos o realizar trámites. 3. No se regula la retención, ni se prohíbe la creación de bases biométricas espejo por terceros tras la lectura. 4. La 'interoperabilidad internacional' carece de salvaguardas de transferencia transfronteriza de datos biométricos. 5. Se confía la protección a 'consentimiento' y 'aviso de privacidad' y derechos ARCO, insuficientes frente a un dato biométrico irrevocable y de uso potencialmente masivo. CONTEXTO MEXICANO: la CPV es el principal documento de identidad; el antecedente de la cancelada Cédula Única de Identidad Digital y los reiterados intentos de bases biométricas nacionales (y filtraciones del Padrón Electoral) muestran capacidad de enforcement limitada del INAI y riesgo real de uso indebido por actores estatales y privados.

El nuevo Reglamento Interior de la Auditoría Superior de la Federación (ASF) crea una 'Unidad de Inteligencia y Análisis' con dos Direcciones Generales cuyas atribuciones describen una infraestructura de analítica avanzada sobre el gasto público: 'modelos analíticos de riesgo', 'sistemas institucionales de alertas analíticas', 'plataformas tecnológicas para análisis masivo de información' y 'sistemas de análisis automatizado del gasto público', incluyendo el 'análisis del comportamiento fiscal de proveedores gubernamentales'. Otras disposiciones (art. 24, frac. V y XII, y art. 13, frac. VI) facultan a 'supervisar el desarrollo de modelos analíticos y herramientas de inteligencia institucional', 'coordinar el análisis de redes empresariales vinculadas con el gasto público' y 'participar en el análisis para el desarrollo e implantación de sistemas automatizados de apoyo a la función fiscalizadora'. Aunque no se nombra 'inteligencia artificial', 'modelos analíticos de riesgo', 'alertas analíticas automatizadas' y 'análisis masivo/automatizado' son eufemismos típicos de minería de datos y machine learning para scoring de riesgo y detección de patrones. RIESGOS: R2 (Discrimination/Bias): los modelos de riesgo y el 'análisis del comportamiento fiscal de proveedores' equivalen a un scoring que puede señalar/penalizar a entes y personas (proveedores, servidores públicos) con base en patrones históricos sesgados, afectando desproporcionadamente a proveedores pequeños o atípicos. R1 (Malfunctions/Errors): las 'alertas analíticas' y el 'análisis automatizado' pueden producir falsos positivos que detonen procedimientos de fiscalización, responsabilidades o inhabilitaciones (como las circulares de inhabilitación a empresas que aparecen en esta misma edición) sin que el Reglamento exija revisión humana calificada, explicabilidad ni derecho de contradicción frente al resultado del modelo. R9 (Surveillance): la integración de 'bases de datos institucionales' y el 'análisis masivo de información' financiera de proveedores y entes públicos concentra capacidad analítica que, sin controles, puede usarse selectivamente con fines distintos a la fiscalización (presión sobre adversarios u opositores). GAPS REGULATORIOS: 1. No se exige transparencia ni auditabilidad de los 'modelos analíticos de riesgo' (metodología, variables, tasa de error). 2. No se prevé supervisión humana obligatoria antes de que una 'alerta analítica' derive en consecuencias para una persona o ente. 3. No hay derecho de impugnación específico frente a decisiones informadas por sistemas automatizados. 4. No se delimita la interconexión de bases de datos ni el uso secundario de la información. CONTEXTO MEXICANO: la ASF tiene alto impacto reputacional y jurídico; un sistema de scoring de riesgo sin garantías de debido proceso, en un entorno de informalidad y heterogeneidad de proveedores, puede amplificar errores y prestarse a uso político de la fiscalización.

Varios instrumentos de esta edición (Acuerdos de simplificación de SEMARNAT, Acuerdo tarifario CFE/CNE y la propia digitalización transversal del Plan Nacional de Desarrollo 2025-2030, Eje Transversal 2 'Innovación pública para el desarrollo tecnológico nacional') mandatan una política nacional de 'simplificación, digitalización y reducción en tiempos de resolución de trámites' y 'modernización de operaciones gubernamentales'. El lenguaje ('modernización administrativa', 'digitalización', 'fortalecimiento de capacidades tecnológicas públicas', 'herramientas electrónicas', 'Ventanilla Electrónica Ambiental') es exactamente el eufemismo burocrático bajo el cual suele introducirse automatización y, eventualmente, IA, sin nombrarla ni regular sus riesgos. GAP: No es un uso confirmado de IA, sino un mandato amplio de modernización/digitalización que (i) abre la puerta a automatizar resoluciones de trámites (con riesgo R1/R2 si se delega decisión sobre personas) y (ii) puede implicar reducción de plazas humanas (R7) en un país con alta informalidad laboral. El texto no establece principios de supervisión humana, explicabilidad ni evaluación de impacto para cuando estas plataformas incorporen automatización o IA. CONTEXTO MEXICANO: la digitalización acelerada sin marco de gobernanza de IA puede profundizar la brecha digital (poblaciones sin acceso o alfabetización digital quedan excluidas de trámites 'simplificados') y concentrar dependencia de proveedores tecnológicos.