Análisis del DOF · 3 de diciembre de 2025
Diario Oficial de la Federación, No. de publicación 324/2025, Ciudad de México, miércoles 3 de diciembre de 2025 (Edición Matutina)
Tipo de documento: Edición del Diario Oficial de la Federación (compilación: Decretos, Reglamento, Resoluciones, Acuerdos, Programas Institucionales, Disposiciones, Sentencia, Convocatorias y Avisos)
Estadísticas
Metadatos
Categorías de riesgo presentes
Síntesis ejecutiva
Esta edición del DOF del 3 de diciembre de 2025 es una compilación multisectorial dominada por instrumentos administrativos y de gobernanza: el Reglamento de la Ley de la Empresa Pública del Estado, Petróleos Mexicanos; disposiciones bancarias y del SAR (CNBV/CONSAR); los Programas Institucionales 2025-2030 de BANCOMEXT, NAFIN y CONDUSEF; la actualización del Compendio Nacional de Insumos para la Salud (catálogo de medicamentos y dispositivos); una sentencia de la SCJN en materia de competencia fiscal sobre hidrocarburos y energía; un acuerdo del INE sobre asignación de tiempos en radio y televisión; y una extensa sección de avisos judiciales y convocatorias del Servicio Profesional de Carrera. Ningún documento menciona explícitamente inteligencia artificial. Se identifican dos hallazgos implícitos relevantes. Primero, la mayoría de las convocatorias del Servicio Profesional de Carrera establecen una 'revisión curricular en forma automatizada' por la plataforma TrabajaEn como primer filtro de selección de aspirantes a plazas públicas; es una decisión automatizada sobre acceso al empleo (R1 errores, R2 discriminación) sin transparencia del criterio ni garantía explícita de revisión humana significativa del descarte. Segundo, el Acuerdo de la Comisión Nacional de Energía obliga a instalar GPS con monitoreo y geolocalización en tiempo real, retención de datos por 12 meses e interoperabilidad (incluido RFID ferroviario) para el transporte de petrolíferos y Gas LP, creando una infraestructura de rastreo masivo (R3 privacidad, R9 vigilancia) sobre la que se aplican o aplicarán técnicas de analítica/IA, sin límites de finalidad ni salvaguardas de datos suficientes. Los riesgos son de severidad media-alta y de carácter de gap regulatorio (ausencia de transparencia, auditoría, revisión humana y límites de uso), no de daño inmediato. Se recomienda exigir transparencia y auditabilidad del cribado automatizado en el reclutamiento público, garantizar impugnación con revisión humana, y acotar por norma la finalidad, el acceso y la retención de los datos de geolocalización masiva en el sector energético.
Contexto mexicano
Consideraciones especiales
- TrabajaEn es la plataforma única federal del Servicio Profesional de Carrera: un cribado automatizado opaco impacta a un universo masivo de aspirantes en todo el país y puede excluir silenciosamente a personas con trayectorias atípicas o baja literacidad digital.
- La compromiso del PND/Plan México con cursos y atención en lenguas indígenas contrasta con un primer filtro automatizado que exige captura estandarizada en español en el portal, posible fuente de exclusión.
- La capacidad estatal de geolocalización masiva en tiempo real del transporte de hidrocarburos se crea en un contexto de enforcement débil de protección de datos y antecedentes de 'function creep' en capacidades de vigilancia.
- El SAR opera una 'Base de Datos Nacional' y la Administración Pública usa portales como ComprasMX y TrabajaEn: el ecosistema de bases de datos interoperables eleva el riesgo agregado de perfilamiento aunque cada instrumento individual parezca inocuo.
Capacidad de implementación
Media-Baja. La protección de datos personales tras la desaparición del INAI quedó a cargo de la Secretaría Anticorrupción y Buen Gobierno (órgano 'Transparencia para el Pueblo'), con capacidad institucional aún en consolidación. La supervisión técnica de sistemas automatizados de reclutamiento y de infraestructuras de geolocalización requiere capacidades especializadas de auditoría algorítmica que el aparato regulatorio mexicano todavía no ha desarrollado plenamente.
Precedentes relevantes
- Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (citada expresamente en las convocatorias del SPC para el tratamiento de datos de aspirantes).
- Ley del Servicio Profesional de Carrera en la Administración Pública Federal y su Reglamento (art. 36 y 36 Bis), que rigen la selección y el descarte de aspirantes.
- Ley del Sector Hidrocarburos y Ley de la Comisión Nacional de Energía, marco del sistema de balizado, GPS y trazabilidad de unidades de transporte.
- Disposiciones de carácter general de la CNBV (Ley de Instituciones de Crédito) y Ley para Regular las Instituciones de Tecnología Financiera, marco del sector financiero digital mencionado en esta edición.
Hallazgos
Hallazgos detectados por el análisis. Expande cada uno para ver el fragmento original y las recomendaciones.
Empleo / Función Pública (Servicio Profesional de Carrera en la Administración Pública Federal) Implícito - Tecnología Alta
Dominio regulatorio
Empleo / Función Pública (Servicio Profesional de Carrera en la Administración Pública Federal)
Vacío regulatorio
Sí
Fragmento original
Revisión curricular (en forma automatizada por la herramienta www.trabajaen.gob.mx) Análisis de relevancia
1) RELEVANCIA PARA IA: Decenas de convocatorias del Servicio Profesional de Carrera publicadas en esta edición describen la 'Revisión curricular en forma automatizada por la herramienta www.trabajaen.gob.mx' como la Etapa I (primer filtro) del proceso de selección. Se trata de un sistema de cribado automatizado (screening) que decide qué personas aspirantes avanzan a las siguientes etapas a partir del cotejo entre el perfil del puesto y los datos capturados por la persona en el portal TrabajaEn. Aunque no se nombra 'inteligencia artificial', es un sistema de toma de decisiones automatizada sobre el acceso a oportunidades de empleo público que, en su evolución (matching semántico, scoring de méritos/experiencia), incorpora o puede incorporar técnicas de IA/ML. 2) RIESGOS: R2 (Discriminación/Sesgo): el descarte automatizado por incongruencias entre lo capturado y los catálogos del sistema, o por una codificación rígida de requisitos, puede excluir injustamente a personas con trayectorias atípicas, formación en lenguas originarias, o que no dominan la captura del CV en el formato exigido, amplificando barreras de acceso. R1 (Errores): un error de configuración, de captura o de la 'herramienta' puede descartar a candidaturas idóneas sin revisión humana en esa etapa (varias convocatorias condicionan la 'reactivación de folios' a causas tasadas y plazos breves). 3) GAPS REGULATORIOS: No se publica la lógica/criterios del cribado automatizado, ni métricas de error, ni una garantía explícita de revisión humana significativa del descarte en Etapa I; el derecho de impugnación se limita a la 'reactivación de folios' por causas administrativas, no a impugnar la decisión algorítmica de fondo; no hay evaluación de impacto en derechos ni análisis de sesgo del filtro. 4) CONTEXTO MEXICANO: TrabajaEn es la plataforma única de reclutamiento del SPC a nivel federal, por lo que el filtro automatizado afecta a un volumen masivo de personas aspirantes en todo el país; la baja literacidad digital de parte de la población y la falta de transparencia sobre el cribado agravan el riesgo de exclusión silenciosa.
Recomendaciones
- Publicar de forma transparente los criterios y reglas del cribado automatizado de la revisión curricular en TrabajaEn, y permitir su auditoría independiente.
- Garantizar revisión humana significativa y un mecanismo de impugnación efectivo frente a descartes producidos en la Etapa I automatizada, más allá de la mera reactivación de folios.
- Exigir una evaluación de impacto en derechos y un análisis de sesgo del sistema, con atención a personas con trayectorias atípicas y hablantes de lenguas originarias.
- Definir y publicar tasas máximas aceptables de error/falsos descartes y someter la herramienta a pruebas periódicas de equidad.
Categorías de riesgo
Energía / Hidrocarburos (trazabilidad y geolocalización de unidades de transporte y distribución) Implícito - Riesgo/Gap Regulatorio Media
Dominio regulatorio
Energía / Hidrocarburos (trazabilidad y geolocalización de unidades de transporte y distribución)
Vacío regulatorio
Sí
Fragmento original
la obligación de contar y mantener activo y vigente un sistema GPS que permita en todo momento su monitoreo y geolocalización en tiempo real por parte de la Comisión, así como conservar de forma íntegra y segura los registros generados por el sistema GPS, durante un periodo mínimo de doce meses Análisis de relevancia
1) RELEVANCIA PARA IA: El Acuerdo obliga a las personas permisionarias de transporte y distribución de petrolíferos, Gas LP y petroquímicos a instalar GPS con monitoreo y geolocalización en tiempo real por parte de la Comisión, retención de registros por al menos 12 meses, y reporte mediante sistemas de Identificación Automática de Equipos (RFID) en la red ferroviaria. Se construye así una infraestructura estatal de rastreo masivo y permanente de flotas, con datos de ubicación, rutas, origen-destino y horarios. Aunque su fin declarado es la trazabilidad para combatir el robo/comercio ilícito de combustibles, la geolocalización masiva continua es la materia prima sobre la que se aplican (o se aplicarán) sistemas de analítica de movilidad, detección de patrones y análisis predictivo —dominios típicos de IA/ML. 2) RIESGOS: R3 (Privacidad): aunque se trata de unidades comerciales permisionadas, el rastreo en tiempo real y la conservación prolongada de datos de localización permiten inferencias sobre conductores, operaciones y terceros; el Acuerdo no detalla límites de finalidad, controles de acceso ni salvaguardas de protección de datos personales asociados al operador/conductor. R9 (Vigilancia): se crea capacidad estatal de monitoreo masivo y permanente con interoperabilidad, susceptible de expansión de uso (function creep) más allá del control energético. 3) GAPS REGULATORIOS: No se establecen límites explícitos al uso secundario de los datos de geolocalización, ni controles independientes (p. ej. supervisión de protección de datos) sobre el acceso de la autoridad, ni reglas claras de minimización y eliminación tras los 12 meses; tampoco se prevé análisis del riesgo de reidentificación de personas. 4) CONTEXTO MEXICANO: La debilidad institucional en enforcement de protección de datos y los antecedentes de uso de capacidades de vigilancia para fines distintos al original elevan el riesgo de abuso; conviene acotar finalidad y acceso desde el diseño.
Recomendaciones
- Acotar por norma la finalidad de los datos de geolocalización en tiempo real, prohibiendo expresamente su uso secundario sin base legal y orden de autoridad competente.
- Establecer controles de acceso auditables, minimización de datos y reglas de eliminación verificables al término del periodo de retención de 12 meses.
- Incorporar salvaguardas de protección de datos personales de operadores y conductores, con supervisión independiente, antes de aplicar analítica de patrones o predictiva sobre la infraestructura.
- Publicar evaluaciones de impacto a la privacidad si se integran capacidades de análisis automatizado o cruce con otras bases de datos.
Categorías de riesgo