Diario Oficial de la Federación, No. de publicación 308/2025, edición matutina (MAT) del jueves 13 de noviembre de 2025

RELEVANCIA PARA IA: La adquisición de 'equipos de captación de datos biométricos' junto con 'licencia de software' por una dependencia jurídica del gobierno estatal es un indicador fuerte de implementación de un sistema de identificación/verificación biométrica. Estos equipos rara vez operan sin capas de procesamiento algorítmico (cotejo 1:1 o 1:N, motores de reconocimiento facial/dactilar, antifraude), por lo que la IA está presente o muy probablemente se incorporará sin nombrarse. RIESGOS ESPECÍFICOS: R3 (Privacy): Los datos biométricos son datos personales sensibles, irrevocables (no se pueden 'reemplazar' como una contraseña). La convocatoria no establece finalidad específica, base de licitud, periodo de retención, ni medidas de seguridad o de minimización. El 'software' adquirido podría inferir o cotejar contra bases de datos sin control. R9 (Surveillance): Al ser una dependencia jurídica/gubernamental estatal, existe riesgo de uso para identificación, registro y seguimiento de personas sin orden judicial ni controles democráticos. GAPS REGULATORIOS: 1. No se menciona el aviso de privacidad ni evaluación de impacto en protección de datos personales (no hay referencia a la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados). 2. No hay especificación del proveedor del software ni del país de origen (dependencia tecnológica de proveedores extranjeros de biometría). 3. No se establece límite de uso secundario, interoperabilidad con otras bases, ni auditoría algorítmica del motor de cotejo. CONTEXTO MEXICANO: México carece de un marco robusto de gobernanza biométrica a nivel estatal; la capacidad de enforcement del órgano garante local es limitada. La adquisición vía convocatoria evita el escrutinio que tendría un programa biométrico explícito.

RELEVANCIA PARA IA: El convenio establece la videograbación sistemática de verificaciones sanitarias y de la atención al sector regulado, así como 'instalaciones físicas para videovigilancia y monitoreo' y un 'centro de control' de resguardo. Aunque se describe como control de gestión y anticorrupción, la acumulación masiva de video genera la infraestructura típica sobre la cual se despliegan posteriormente analíticas de video e identificación automatizada (reconocimiento facial, conteo, alertas), sin que el instrumento lo mencione ni lo prohíba. RIESGOS ESPECÍFICOS: R3 (Privacy): Captura de imagen de personas verificadas, personal y partes interesadas; 'material clasificado' sin reglas públicas de acceso, retención o destrucción. GAPS REGULATORIOS: 1. No se define el periodo de conservación ni las condiciones de acceso al 'material clasificado'. 2. No se prohíbe explícitamente el uso de analítica automatizada/biométrica sobre las videograbaciones. 3. No hay aviso de privacidad para las personas grabadas. CONTEXTO MEXICANO: La videovigilancia gubernamental tiende a expandir su uso más allá de su finalidad original ('function creep'); la falta de límites tecnológicos explícitos en el convenio es un gap relevante.

RELEVANCIA PARA IA: Las Disposiciones crean y operan registros electrónicos (SIREPP/SIRAPP) que concentran y cruzan datos personales y laborales identificados por CURP, RFC y Número de Seguridad Social, compartidos sistemáticamente entre CONSAR, IMSS, INFONAVIT, SAT y STPS para validar 'consistencia y fiabilidad' y emitir 'opiniones de cumplimiento' que condicionan beneficios fiscales. El cruce masivo automatizado de padrones entre autoridades fiscalizadoras es precisamente el sustrato sobre el que opera la analítica de datos y, eventualmente, la detección automatizada de inconsistencias. RIESGOS ESPECÍFICOS: R3 (Privacy): Interconexión de bases con identificadores únicos (CURP/RFC/NSS) sin que el instrumento mencione límites de finalidad, minimización ni aviso de privacidad. R2 (Discrimination/Bias): El registro puede clasificar a un patrón como 'inconsistente' u 'opinión de cumplimiento negativa' afectando derechos sin que se describan criterios auditables ni un mecanismo de impugnación robusto; si esa clasificación se automatiza, puede perpetuar sesgos o errores. GAPS REGULATORIOS: 1. No se define si la verificación de 'consistencia y fiabilidad' es automatizada y, en su caso, su trazabilidad y derecho de revisión humana. 2. No hay referencia a protección de datos personales en el cruce interinstitucional. 3. No se establece recurso de apelación claro frente a la marca de 'registro inconsistente'. CONTEXTO MEXICANO: El cruce de padrones es de uso creciente en la administración pública; la ausencia de gobernanza de datos y de salvaguardas frente a decisiones automatizadas es un gap estructural.

RELEVANCIA PARA IA: El Acuerdo digitaliza trámites, simplifica la acreditación de Guías de Turistas usando la CURP como identificador, traslada los trámites al 'Portal Ciudadano Único de Trámites y Servicios' y ordena la interoperabilidad entre plataformas, bajo la coordinación de la Agencia de Transformación Digital y Telecomunicaciones (Autoridad Nacional de Simplificación y Digitalización). La interoperabilidad de plataformas gubernamentales centradas en la CURP es la base sobre la que se construyen perfiles ciudadanos unificados y, potencialmente, validaciones automatizadas de identidad. RIESGOS ESPECÍFICOS: R3 (Privacy): Concentración e interconexión de datos de identidad (CURP) entre plataformas sin que el Acuerdo describa salvaguardas de protección de datos, minimización o controles de acceso. GAPS REGULATORIOS: 1. No se menciona aviso de privacidad ni base de licitud para la interoperabilidad entre plataformas. 2. No se acota el uso secundario de los datos centralizados en el Portal Ciudadano Único. 3. La simplificación elimina la presentación física de documentos pero no establece controles del tratamiento digital resultante. CONTEXTO MEXICANO: La creación de un 'expediente ciudadano' interoperable centrado en la CURP avanza más rápido que la gobernanza de datos; conviene vigilar que la digitalización no derive en perfilamiento o vigilancia administrativa.

RELEVANCIA PARA IA: La Cámara de Senadores licita un 'Servicio de monitoreo, alertas, análisis y recopilación de información en medios impresos, electrónicos y digitales' para su Coordinación de Comunicación Social, junto con mantenimiento de circuito cerrado de televisión (CCTV). El monitoreo masivo y el 'análisis' automatizado de medios digitales (incluidas redes sociales) es uno de los casos de IA implícita más típicos: estos servicios operan rutinariamente con procesamiento de lenguaje natural (NLP), clasificación automática de sentimiento, detección de actores/temas y alertas algorítmicas, sin que la convocatoria lo nombre. Es precisamente el patrón que el árbol de decisión señala como vigilancia/monitoreo de medios (R9) aunque no diga 'inteligencia artificial'. RIESGOS ESPECÍFICOS: R9 (Authoritarian Surveillance): El monitoreo y análisis sistemático de la conversación pública/mediática por un órgano del Estado puede derivar en seguimiento de periodistas, críticos, opositores o movimientos sociales, y en la elaboración de inteligencia sobre el discurso público sin controles democráticos ni transparencia sobre los criterios algorítmicos. R3 (Privacy): La 'recopilación de información' en medios digitales suele implicar el tratamiento de datos personales de autores de publicaciones (perfiles de redes sociales, identidades, opiniones), datos que pueden ser sensibles (opinión política), sin aviso de privacidad ni límites de finalidad. R8 (Reduced Social Connection): El análisis algorítmico de medios y redes para fines de comunicación institucional puede retroalimentar estrategias de mensajería personalizada/segmentada y amplificación, con efectos sobre el debate público. GAPS REGULATORIOS: 1. La convocatoria no especifica la tecnología empleada (NLP, scraping de redes, modelos de clasificación) ni prohíbe el perfilamiento de personas identificadas. 2. No hay aviso de privacidad, límite de finalidad, periodo de retención ni prohibición de uso secundario de la información recopilada. 3. No se establece transparencia ni auditoría sobre los criterios de 'alertas' y 'análisis' (qué se monitorea, sobre quién y para qué). CONTEXTO MEXICANO: El monitoreo gubernamental de medios y redes ha sido objeto de preocupación por su uso contra periodistas y activistas; la contratación vía convocatoria de adquisiciones, sin marco de gobernanza de datos ni de algoritmos, eleva el riesgo de 'function creep' hacia inteligencia política. La capacidad de los órganos garantes para supervisar este tratamiento es limitada.