Diario Oficial de la Federación, edición matutina del martes 13 de enero de 2026 (No. de publicación 009/2026), que contiene, entre otros, los Anexos 17, 21, 22, 23, 24, 27, 28 y 30 de la Resolución Miscelánea Fiscal para 2026; bases de regulación tarifaria portuaria; Convenio Específico COFEPRIS-Querétaro de Protección contra Riesgos Sanitarios; la Sentencia en la Controversia Constitucional 57/2025; informes de fideicomisos del INE; convocatorias de licitación y avisos judiciales y generales.

El Anexo 17 obliga a operadores y permisionarios de juegos con apuestas y sorteos a mantener un sistema de cómputo y un 'servidor central de monitoreo' al que el SAT tiene acceso 'en línea y en tiempo real' con disponibilidad del 99.9% anual, que recopila de forma automática y permanente la totalidad de las transacciones de apuestas y, de manera específica, genera 'un historial por cada jugador'. Para premios superiores a $10,000 se almacenan nombre del jugador, RFC, CURP, copia escaneada del documento oficial de identificación, domicilio, número de máquina y monto apostado. 1) RELEVANCIA PARA IA: Aunque el texto no menciona 'inteligencia artificial' ni 'algoritmo de decisión' (las únicas referencias a 'algoritmo' son de cifrado y de cálculo), describe la infraestructura de datos masivos sobre la que típicamente operan sistemas de analítica/perfilamiento. La construcción de un 'historial por cada jugador' consolidado en tiempo real, con identificación plena (CURP, RFC, ID escaneada) y patrones de comportamiento de juego, constituye el insumo idóneo para futuros sistemas automatizados de detección de patrones, scoring o perfilamiento (p. ej. detección de lavado de dinero, fraude o ludopatía), sin que el Anexo establezca límites, salvaguardas algorítmicas ni transparencia sobre tratamientos automatizados. 2) RIESGOS: R3 (Privacy) es el riesgo dominante: monitoreo masivo, permanente y en tiempo real de comportamiento financiero y de juego de personas físicas plenamente identificadas, con acceso estatal directo y retención (mínimo tres meses en línea más resguardos 'para consultas futuras' sin plazo máximo definido). R2 (Discrimination/Bias) es potencial: un historial individual de juego puede usarse para inferir y diferenciar a personas (perfilamiento de jugadores) sin mecanismos de impugnación. 3) GAPS REGULATORIOS: (a) no se prohíbe ni regula el uso secundario de los datos para análisis automatizado/perfilamiento; (b) no se fija un plazo máximo de retención de los resguardos 'para consultas futuras'; (c) no se prevé evaluación de impacto a la privacidad ni auditoría de cualquier tratamiento algorítmico que se aplique sobre el repositorio; (d) la única referencia de protección remite genéricamente a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, sin medidas específicas para datos sensibles biográficos y de comportamiento. 4) CONTEXTO MEXICANO: el SAT concentra un repositorio centralizado y permanente de comportamiento financiero individual; en un país con baja capacidad de enforcement de protección de datos y antecedentes de uso de facultades fiscales con fines políticos, la ausencia de límites al tratamiento automatizado y a la retención eleva el riesgo de abuso. El sistema es de cumplimiento OBLIGATORIO y describe infraestructura existente, no un piloto.

Los Anexos 27 (FATCA) y 28 (CRS de la OCDE) obligan a todas las instituciones financieras de México a identificar, clasificar y reportar de forma masiva las cuentas de personas físicas y morales con residencia fiscal extranjera, e intercambiar esa información de manera automática y anual con autoridades extranjeras (IRS de EE.UU. y jurisdicciones de la OCDE). El procedimiento de debida diligencia descansa en una 'Búsqueda Electrónica de Registros' sobre los 'datos consultables electrónicamente' del cliente para detectar 'indicios' (domicilio, teléfono, instrucciones de transferencia, poderes) que determinan automáticamente la residencia fiscal y, con ello, si la persona es reportada al extranjero. Se reporta nombre, domicilio, fecha y lugar de nacimiento, TIN, saldos y montos brutos de intereses, dividendos e ingresos. 1) RELEVANCIA PARA IA: aunque el texto no menciona 'inteligencia artificial' ni 'algoritmo', describe un régimen de cribado automatizado a gran escala sobre datos financieros personales: reglas de coincidencia de 'indicios' aplicadas sobre bases de datos consultables electrónicamente que clasifican a personas (residencia fiscal extranjera) y disparan su reporte transfronterizo. Es exactamente el tipo de proceso de clasificación/perfilamiento automatizado sobre el que, de incorporarse analítica o modelos de scoring, recae el riesgo regulatorio; el documento no establece salvaguardas frente a decisiones automatizadas, ni transparencia, ni mecanismo de impugnación para la persona clasificada y reportada. 2) RIESGOS: R3 (Privacy) es dominante: procesamiento masivo de datos financieros personales y compartición con terceros (gobiernos extranjeros) sin consentimiento individual, con conservación plurianual ('esfuerzos razonables' para obtener TIN/fecha de nacimiento de cuentas preexistentes, revisión de documentos de los últimos cinco años). R2 (Discrimination/Bias) es secundario: la clasificación automatizada por 'indicios' puede etiquetar erróneamente a una persona como residente extranjera (p. ej. por un teléfono o un poder) y reportarla, sin un mecanismo claro de apelación. 3) GAPS REGULATORIOS: (a) no se regula el uso de sistemas automatizados/algorítmicos en la 'búsqueda electrónica de registros' ni se exige supervisión humana de las clasificaciones; (b) no hay evaluación de impacto a la privacidad sobre la transferencia internacional masiva; (c) no se prevé mecanismo de impugnación ni notificación a la persona clasificada y reportada al extranjero; (d) la debida diligencia puede delegarse a 'terceros prestadores de servicios' sin requisitos de transparencia algorítmica. 4) CONTEXTO MEXICANO: se transfiere a autoridades extranjeras información financiera de millones de cuentahabientes residentes en México con capacidad local limitada de supervisión de protección de datos; la dependencia de definiciones y reglas del Tesoro de EE.UU. y la OCDE acentúa la dependencia normativa externa. El régimen es de cumplimiento OBLIGATORIO y describe infraestructura existente, no un piloto.