Análisis del DOF · 10 de abril de 2026
Diario Oficial de la Federación, edición matutina, No. de publicación 087/2026, viernes 10 de abril de 2026. Incluye, entre otros: Programa Nacional de Semillas 2026-2030; Programa Nacional de Asistencia Social 2026-2030; Programa Nacional de Prestación de Servicios para la Atención, Cuidado y Desarrollo Integral Infantil 2026-2030; Respuesta a los comentarios del Proyecto de Norma Oficial Mexicana PROY-NOM-137-SSA1-2024, Etiquetado de dispositivos médicos; y Sentencia del Tribunal Pleno de la SCJN en la Acción de Inconstitucionalidad 47/2025
Tipo de documento: Edición Matutina del DOF (compilado): Decretos, Programas Nacionales, Resolución antidumping, Circular, Respuesta a comentarios de Proyecto de NOM, Sentencia de la SCJN, Avisos
Estadísticas
Metadatos
Categorías de riesgo presentes
Síntesis ejecutiva
Esta edición matutina del DOF (10 de abril de 2026) es un compilado heterogéneo: decretos de habilitación portuaria (Loreto) y tres programas nacionales de carácter social y agrícola (Semillas 2026-2030; Asistencia Social 2026-2030; Atención, Cuidado y Desarrollo Integral Infantil 2026-2030), una resolución antidumping sobre microalambre para soldar, una circular anticorrupción, la respuesta a comentarios del Proyecto de Norma Oficial Mexicana PROY-NOM-137-SSA1-2024 sobre etiquetado de dispositivos médicos, una sentencia de la SCJN sobre leyes de ingresos municipales de Oaxaca, y publicaciones rutinarias de Banco de México e INEGI. La gran mayoría del documento no tiene relación, ni explícita ni implícita, con inteligencia artificial. El único hallazgo relevante para IA es implícito y se concentra en el PROY-NOM-137-SSA1-2024: la norma introduce y define la categoría 'Software como Dispositivo Médico (SaMD/ScDM)', que es la puerta regulatoria a través de la cual ingresan al mercado mexicano los programas informáticos de uso médico, una proporción creciente de los cuales incorpora algoritmos de aprendizaje automático e IA para diagnóstico, pronóstico y monitoreo. La norma, sin embargo, regula únicamente el ETIQUETADO y la trazabilidad documental (identificador de versión, denominación, registro sanitario, instrucciones de uso), no la seguridad, validación clínica, transparencia ni el sesgo del algoritmo subyacente. Esto configura un riesgo R1 (mal funcionamiento/errores de software diagnóstico con consecuencias clínicas directas) y R2 (desempeño desigual del modelo en la población mexicana), y un GAP regulatorio claro: México regula la etiqueta del software médico inteligente sin regular su núcleo algorítmico. La severidad máxima es Alta. No se considera de atención urgente porque se trata de un proyecto de norma en fase de respuesta a comentarios (no de un sistema ya desplegado) y porque el riesgo es prospectivo; sin embargo, se recomienda que COFEPRIS desarrolle un régimen específico para dispositivos médicos habilitados con IA antes de la publicación definitiva. De forma secundaria y prospectiva (H3), los programas nacionales sociales (Asistencia Social y Atención, Cuidado y Desarrollo Integral Infantil) mandatan construir 'sistemas robustos de información estadística', registros y bases de datos sobre NNA, migrantes y personas con discapacidad (PFPNNA, RENCAI ligado al Atlas Nacional de Riesgos, credencialización de la discapacidad) para diseñar 'atención diferenciada'. Hoy no involucran IA, pero son infraestructuras de datos sensibles que, de incorporar analítica predictiva o focalización algorítmica, materializarían riesgos R2 (perfilamiento/triage de menores) y R3 (privacidad de poblaciones vulnerables); se registran como gap de vigilancia con severidad Media, sin gobernanza de datos ni salvaguardas explícitas en los programas.
Contexto mexicano
Consideraciones especiales
- El SaMD de diagnóstico/pronóstico se desarrolla mayoritariamente en el extranjero y se importa; México termina regulando la etiqueta de productos cuyo comportamiento depende de modelos opacos foráneos (dependencia tecnológica).
- COFEPRIS tiene capacidad técnica limitada para auditar algoritmos de aprendizaje automático; un régimen que solo exige identificador de versión no detecta el reentrenamiento ni la deriva del modelo.
- Software médico con IA entrenado con datos no representativos puede tener desempeño desigual en poblaciones indígenas, rurales o de distinto fototipo de piel, profundizando brechas de acceso y calidad en salud.
- Los tres programas nacionales (asistencia social, primera infancia) contemplan construir 'sistemas robustos de información estadística' y registros sobre poblaciones vulnerables (NNA, migrantes, personas con discapacidad); aunque hoy no involucran IA, son infraestructuras de datos sensibles cuyo eventual uso analítico/predictivo debería vigilarse a futuro (privacidad).
Capacidad de implementación
Media-Baja. COFEPRIS cuenta con marco de tecnovigilancia y registro sanitario, pero carece de capacidades especializadas para evaluación de software con IA (validación de modelos, auditoría de sesgo, control de versiones de modelos que se reentrenan). La adopción de definiciones y guías IMDRF facilita la armonización internacional y la coordinación, pero también importa los vacíos aún no resueltos en esos estándares respecto a IA. El cumplimiento de requisitos de etiquetado es verificable; la calidad/seguridad del algoritmo, no.
Precedentes relevantes
- NOM-241-SSA1-2021, Buenas prácticas de fabricación de dispositivos médicos, y NOM-137-SSA1-2008 (antecedente del Proyecto en revisión).
- Ley General de Salud y atribuciones de COFEPRIS en materia de registro sanitario y tecnovigilancia de dispositivos médicos.
- Ley de Infraestructura de la Calidad y Reglamento de la Ley Federal sobre Metrología y Normalización (marco de elaboración de NOM citado en la propia respuesta a comentarios).
- Guías IMDRF (incluida IMDRF/GRRP WG/N52 Principles of Labeling for Medical Devices and IVD Medical Devices) y los trabajos IMDRF sobre Machine Learning-enabled Medical Devices como referencia internacional para regular SaMD con IA.
- Ley Federal de Protección de Datos Personales en Posesión de Particulares y atribuciones del INAI, relevantes para los datos clínicos de entrenamiento del SaMD.
Hallazgos
Hallazgos detectados por el análisis. Expande cada uno para ver el fragmento original y las recomendaciones.
Salud Pública / Regulación Sanitaria de Dispositivos Médicos (COFEPRIS) Implícito - Tecnología Alta
Dominio regulatorio
Salud Pública / Regulación Sanitaria de Dispositivos Médicos (COFEPRIS)
Vacío regulatorio
No
Fragmento original
Software como Dispositivo Médico (SaMD, Programa informático destinado a utilizarse para uno o más fines médicos cuyos propósitos no son parte de un dispositivo médico de soporte físico Un SaMD es un dispositivo médico e incluye un dispositivo médico de diagnóstico in vitro (DMDIV). Análisis de relevancia
El Proyecto de NOM-137-SSA1-2024 introduce y define expresamente la categoría regulatoria 'Software como Dispositivo Médico (SaMD/ScDM)': un programa informático con fines médicos (diagnóstico, pronóstico, monitoreo, tratamiento) que puede ejecutarse en plataformas computacionales generales, incluir aplicaciones móviles e interconectarse con otros dispositivos. A nivel internacional, una proporción creciente y mayoritaria del SaMD de diagnóstico/pronóstico incorpora algoritmos de aprendizaje automático e inteligencia artificial (clasificadores de imagen médica, scores de riesgo clínico, software de apoyo a la decisión). Aunque la NOM no nombra 'inteligencia artificial', define la puerta de entrada regulatoria a esos productos en México. RIESGOS: R1 (Malfunctions & Errors): el SaMD de diagnóstico puede producir falsos positivos/negativos, 'alucinar' o degradarse fuera de su población/dominio de entrenamiento; un error de software diagnóstico tiene consecuencias clínicas directas. El instrumento que aquí se regula es únicamente el ETIQUETADO (identificador de versión, fecha de edición, denominación, registro sanitario, instrucciones de uso), no la validación clínica del algoritmo, la métrica mínima de desempeño, la detección de deriva del modelo (model drift) ni la transparencia de su lógica. R2 (Discrimination & Bias): el SaMD entrenado con datos no representativos de la población mexicana puede tener desempeño desigual por sexo, edad, fototipo de piel u origen étnico; la NOM no exige reportar la población de validación ni análisis de desempeño diferencial. El texto sí define 'desempeño clínico' con sensibilidad/especificidad y valores predictivos basados en prevalencia, pero no obliga a declararlos de forma desagregada para software con componente de IA. Esto es un hallazgo de tecnología con un GAP regulatorio implícito (ver H2): se regula la etiqueta del software médico sin regular la seguridad, validación o explicabilidad del algoritmo subyacente.
Recomendaciones
- Incorporar en la NOM (o en norma/lineamiento complementario de COFEPRIS) un régimen específico para SaMD con componente de aprendizaje automático/IA: exigencia de declarar la población y el conjunto de datos de validación, métricas mínimas de desempeño (sensibilidad, especificidad, valores predictivos) y su desagregación por subgrupos.
- Requerir en el etiquetado/instrucciones de uso del SaMD una advertencia sobre el grado de autonomía del software, la necesidad de supervisión humana del profesional de salud y las limitaciones del modelo (dominio de uso previsto).
- Establecer obligaciones de farmacovigilancia/tecnovigilancia para SaMD con IA que cubran la deriva del modelo y las actualizaciones del algoritmo posteriores al registro sanitario.
- Armonizar con guías internacionales (IMDRF Machine Learning-enabled Medical Devices, FDA/Health Canada Good Machine Learning Practice) además de las guías IMDRF de etiquetado ya citadas.
Categorías de riesgo
Salud Pública / Regulación Sanitaria de Dispositivos Médicos (COFEPRIS) Implícito - Riesgo/Gap Regulatorio Alta
Dominio regulatorio
Salud Pública / Regulación Sanitaria de Dispositivos Médicos (COFEPRIS)
Vacío regulatorio
Sí
Fragmento original
El software que se incorpora a un dispositivo médico o que esté diseñado para ser utilizado como Software como dispositivo médico (SaMD) podrá identificarse con un identificador, tal como la versión, nivel de revisión o fecha de lanzamiento/edición. Análisis de relevancia
El régimen de etiquetado que finalmente adopta la NOM para SaMD se limita a requisitos de identificación y trazabilidad documental: denominación genérica y distintiva, número de registro sanitario, identificador (versión/revisión/fecha de edición), advertencias, indicación de uso, instrucciones e identificación del fabricante; y permite etiqueta electrónica cuando el software no tiene forma física. Estos requisitos son adecuados para inventario y trazabilidad, pero NO abordan los riesgos propios del software médico inteligente. GAP REGULATORIO: para un SaMD que incorpore IA/aprendizaje automático, la NOM no exige (1) declaración de la lógica del algoritmo o de su carácter de 'caja negra'; (2) métricas de desempeño clínico desagregadas ni la población de validación; (3) mecanismos de actualización del modelo y control de versiones de los pesos/datos (más allá de un identificador de versión); (4) advertencia sobre supervisión humana obligatoria; (5) atribución/licenciamiento de datos de entrenamiento (relevante para R5 cuando el modelo se entrena con imágenes o expedientes clínicos de terceros). El identificador de versión es un control mínimo: en modelos que se reentrenan, un mismo 'identificador' puede ocultar cambios sustanciales de comportamiento clínico. R1: la ausencia de requisitos de validación/desempeño en el etiquetado deja al usuario clínico sin información para juzgar la fiabilidad del software diagnóstico. R5: software médico entrenado con datos protegidos plantea cuestiones de propiedad intelectual y trazabilidad de datasets que la norma no toca. CONTEXTO MEXICANO: COFEPRIS tiene capacidad limitada de evaluación técnica de algoritmos; la mayoría del SaMD se desarrolla en el extranjero y se importa, por lo que México regula 'la etiqueta' de un producto cuyo comportamiento real depende de modelos opacos foráneos (dependencia tecnológica). La adopción mayoritaria de definiciones IMDRF facilita armonización, pero también traslada a México vacíos no resueltos internacionalmente.
Recomendaciones
- Emitir un capítulo o NOM/lineamiento específico de COFEPRIS para dispositivos médicos habilitados con IA/aprendizaje automático, distinto del régimen genérico de etiquetado, que cubra validación clínica, manejo de deriva del modelo y control de versiones de modelos que se reentrenan.
- Exigir un 'model card' o ficha técnica del algoritmo (datos y población de entrenamiento/validación, métricas, limitaciones, requisito de supervisión humana) como parte del expediente de registro sanitario del SaMD.
- Definir, junto con INDAUTOR/IMPI, criterios de trazabilidad y licenciamiento de los datos de entrenamiento cuando incluyan imágenes médicas o expedientes clínicos de pacientes mexicanos.
- Desarrollar capacidades de evaluación algorítmica en COFEPRIS (o vía convenios con instituciones académicas) para auditar SaMD de alto riesgo importado, evitando regular solo la etiqueta de productos cuyo núcleo es una caja negra extranjera.
Categorías de riesgo
Asistencia Social / Protección de Niñas, Niños y Adolescentes y poblaciones vulnerables (SNDIF, PFPNNA) Implícito - Riesgo/Gap Regulatorio Media
Dominio regulatorio
Asistencia Social / Protección de Niñas, Niños y Adolescentes y poblaciones vulnerables (SNDIF, PFPNNA)
Vacío regulatorio
Sí
Fragmento original
Realizar análisis de contextos, identificación de problemáticas prioritarias y el diseño de estrategias de atención diferenciada dirigidas a NNA, utilizando información proveniente de registros administrativos, sistema especializados y bases de datos desarrollados por la PFPNNA. Análisis de relevancia
Los tres programas nacionales sociales aprobados en esta edición (Asistencia Social 2026-2030 y Atención, Cuidado y Desarrollo Integral Infantil 2026-2030) mandatan construir y fortalecer infraestructuras de datos sobre poblaciones altamente vulnerables: 'un sistema robusto de información estadística' sobre NNA, registros administrativos y bases de datos de la PFPNNA usados para diseñar 'estrategias de atención diferenciada dirigidas a NNA', el RENCAI (Registro Nacional de Centros de Atención Infantil) que alimenta el Atlas Nacional de Riesgos, y la credencialización/certificación de la discapacidad. Hoy el documento NO menciona ni IA ni analítica automatizada: la atención diferenciada se diseña de forma administrativa. Sin embargo, este es precisamente el tipo de infraestructura (padrones de menores, migrantes, personas con discapacidad, datos de pobreza desagregados) sobre la que, de aplicarse a futuro analítica predictiva, scoring de riesgo o focalización algorítmica, se materializarían riesgos R2 y R3. R2 (Discrimination & Bias): la 'atención diferenciada' y la 'identificación de problemáticas prioritarias' sobre NNA a partir de bases de datos son funciones que, automatizadas, equivalen a perfilamiento/triage de menores; sin auditoría de equidad podrían reproducir sesgos contra población indígena, migrante o con discapacidad. R3 (Privacy Invasions): se concentran datos personales sensibles de menores y grupos vulnerables (situación migratoria, discapacidad, institucionalización en CAS, violencia sexual) sin que el programa establezca salvaguardas de minimización, límites de uso secundario o gobernanza de datos. Es un hallazgo de tipo GAP/vigilancia prospectiva: no hay IA confirmada (por eso severidad Media, no Alta ni urgente), pero por la 'Regla de Gap Regulatorio' de la taxonomía, un dominio de alto riesgo (decisiones diferenciadas sobre menores) que construye padrones masivos sin mencionar gobernanza de datos ni IA debe registrarse como hallazgo y monitorearse.
Recomendaciones
- Establecer, en las reglas de operación de estos programas y de los sistemas de la PFPNNA/RENCAI, principios de minimización de datos, propósito limitado y prohibición de uso secundario de los datos de NNA y poblaciones vulnerables.
- Condicionar cualquier futura incorporación de analítica predictiva, scoring o focalización algorítmica sobre estos padrones a una evaluación de impacto en privacidad y en derechos de la niñez, con supervisión del INAI y la CNDH.
- Exigir supervisión humana y mecanismos de impugnación cuando la 'atención diferenciada' o priorización derive de tratamientos automatizados de datos sobre menores.
- Vigilar a futuro que el cruce del RENCAI con el Atlas Nacional de Riesgos y otras bases no derive en perfilamiento de familias o comunidades sin control democrático.
Categorías de riesgo