Diario Oficial de la Federación, edición matutina No. 012/2026, jueves 15 de enero de 2026, que contiene, entre otros: Decreto que reforma la Ley General para la Igualdad Sustantiva entre Mujeres y Hombres y diversas leyes en materia de igualdad sustantiva; Decreto que reforma la Ley General de Salud (salud digital, infraestructura, arbitraje médico, hemoderivados); Anexos 21-30 de las Reglas Generales de Comercio Exterior para 2026; Acuerdo de variables de la fórmula del FAISMUN 2026; Reglas de Operación del PROCODES 2026; Sentencia en la Acción de Inconstitucionalidad 15/2025; y acuerdos administrativos

Este fragmento, dentro del nuevo Capítulo de Salud Digital de la Ley General de Salud, describe textualmente capacidades que corresponden a analítica avanzada, big data y, casi con certeza, modelos de aprendizaje automático/IA, aunque la ley nunca usa los términos 'inteligencia artificial' o 'algoritmo'. 'Analizar grandes volúmenes de datos para identificar patrones', 'optimizar diagnósticos' y 'personalizar tratamientos' son indicadores fuertes de sistemas de apoyo a la decisión clínica basados en IA. RIESGOS: R1 (Malfunctions): el uso de IA para 'optimizar diagnósticos' en un dominio crítico (salud) puede producir errores con consecuencias directas para la vida; el texto no exige supervisión humana obligatoria, validación clínica, ni estándares de desempeño/seguridad del modelo. R2 (Discrimination): la personalización de tratamientos y el análisis de patrones a partir de datos históricos pueden amplificar sesgos contra poblaciones indígenas, rurales o de menores ingresos, especialmente porque la propia ley reconoce la 'brecha tecnológica' (Art. 71 Quinquies V) y la cobertura desigual. R3 (Privacy): se procesan 'grandes volúmenes de datos' de pacientes (registros médicos electrónicos, telesalud) integrados entre instituciones (Art. 71 Ter VI); aunque se mencionan protocolos de protección de datos personales (Art. 71 Quater IV, 71 Septies II), no se regula el uso secundario de datos para entrenamiento de modelos, ni la inferencia sensible. GAPS: 1. No se exige transparencia ni auditabilidad de los sistemas que 'identifican patrones' u 'optimizan diagnósticos'. 2. No se establece obligatoriedad de supervisión humana en decisiones clínicas asistidas por IA. 3. No hay evaluación de impacto algorítmico ni análisis de sesgo previo al despliegue. 4. No se regula el uso de datos de salud para entrenar modelos ni el consentimiento para ello. CONTEXTO MEXICANO: la dependencia de proveedores tecnológicos extranjeros, la baja capacidad de validación clínica de algoritmos y la desigualdad digital pueden derivar en sistemas mal calibrados para la población mexicana y en una 'brecha digital en salud' que el propio articulado reconoce pero no resuelve con salvaguardas de IA.

El artículo 105 ordena consolidar el Sistema Nacional de Información en Salud para la 'generación de productos de inteligencia en salud' destinados a la 'toma de decisiones en salud pública'. La expresión 'productos de inteligencia' aplicada a un repositorio nacional de información nominal y estadística (Arts. 7o. IX Bis y X, 13 B-V) sugiere analítica masiva de datos y, potencialmente, modelos predictivos/IA, sin nombrarlos. RIESGOS: R1: si las decisiones de política pública y asignación de recursos se basan en 'inteligencia' generada automáticamente sin verificación, los errores se propagan a escala poblacional. R3: implica integración de información nominal (identificable) de prestadores públicos y privados en una base nacional, con riesgo de re-identificación e inferencias sensibles. GAPS: no se especifica metodología, gobernanza algorítmica, ni límites al cruce de datos nominales; la salvaguarda se limita a 'las disposiciones aplicables en materia de protección de datos personales'. CONTEXTO MEXICANO: la centralización de datos de salud en un órgano federal, sin un marco específico de IA, eleva el riesgo de uso secundario y de decisiones automatizadas opacas en un sistema con capacidad de auditoría limitada.

Los Anexos de las Reglas Generales de Comercio Exterior para 2026 hacen referencia recurrente al 'mecanismo de selección automatizado' (también 'módulo de selección automatizado'), que es el sistema que decide automáticamente qué operaciones de importación/exportación se someten a reconocimiento aduanero (el llamado 'semáforo fiscal'). Aunque el DOF solo lo cita operativamente, se trata de un sistema de decisión automatizada existente que perfila operaciones y, de evolucionar hacia modelos de riesgo basados en IA/ML (tendencia internacional en aduanas), implicaría perfilamiento. RIESGOS: R1: errores del sistema pueden someter o liberar indebidamente mercancías, con efectos económicos y de seguridad. R2: si la selección incorpora variables de riesgo, puede generar trato diferenciado y sesgo contra ciertos importadores/regiones. R9: es infraestructura de control y vigilancia del comercio que, integrada con bases de datos, puede usarse para análisis sistemático de actores. GAP: el documento no transparenta los criterios de selección, su naturaleza algorítmica, ni mecanismos de impugnación de un resultado de 'rojo' atribuible al sistema. CONTEXTO MEXICANO: el mecanismo es preexistente y de uso masivo; la opacidad sobre su lógica y la ausencia de auditoría pública independiente son consistentes con un gap regulatorio en torno a decisiones automatizadas del Estado.

La reforma fortalece grandes infraestructuras de datos: el Banco Nacional de Datos e Información sobre Casos de Violencia contra las Mujeres (Art. 42 XIII), el Registro Nacional de Medidas u Órdenes de Protección (Art. 34 Duodecies) y un 'mecanismo de alerta temprana' (Art. 42 XXVIII), con la previsión de 'análisis de tendencias e identificación de áreas críticas'. Estos sistemas concentran datos altamente sensibles de víctimas, adolescentes, niñas y niños, y de personas agresoras. RIESGOS: R2: si el 'análisis de tendencias' o la 'alerta temprana' se automatizaran con scoring o perfilamiento (no descartable en su implementación), podrían producir sesgos o decisiones automatizadas sobre personas. R3: la integración y compartición de registros nominales de violencia (incluida la trazabilidad de órdenes de protección) implica tratamiento masivo de datos personales sensibles, con riesgo de re-victimización si se filtran o se usan indebidamente. GAP: la ley ordena integrar, compartir y analizar estos datos, pero no establece límites a la analítica automatizada, ni evaluación de impacto, ni gobernanza algorítmica; la única referencia es genérica a la protección de datos personales. CONTEXTO MEXICANO: dada la sensibilidad de los datos (víctimas y agresores) y la capacidad institucional limitada para asegurar bases de datos, el gap es relevante para prevenir abusos y filtraciones.

Distinto del Artículo 105 (H2), este fragmento es el mandato operativo de constituir bases de datos —locales y una 'base nacional de información en salud' (Art. 7o. X)— con 'información nominal' (identificable) aportada por TODOS los prestadores 'tanto públicos como privados', con finalidad de 'evaluación del desempeño'. Aunque el texto no menciona IA, la concentración nacional de datos clínicos nominales es el insumo y la precondición de la analítica avanzada/IA descrita en el Capítulo de Salud Digital (Art. 71 Ter VII) y de los 'productos de inteligencia en salud' (Art. 105). RIESGOS: R3 (Privacy): integración a escala nacional de información nominal de pacientes de prestadores públicos y privados, con riesgo de re-identificación, inferencias sensibles y uso secundario; la única salvaguarda es la remisión genérica a la 'protección de datos personales en posesión de sujetos obligados'. R2 (Discrimination): la 'evaluación del desempeño' a partir de datos históricos puede generar trato diferenciado entre regiones/prestadores y, si se automatiza, sesgos no auditados. GAP: la ley ordena integrar, cruzar y evaluar datos nominales sin establecer minimización, anonimización, límites al cruce, gobernanza algorítmica, ni evaluación de impacto en privacidad. CONTEXTO MEXICANO: centralización masiva de datos de salud (incluido el sector privado) frente a capacidad institucional limitada de ciberseguridad y de enforcement del órgano garante de datos personales, en un entorno de cambios institucionales.

La CFE convoca a la adquisición de un 'sistema de vehículos aéreos no tripulados (drones) multirotor' para su Cuerpo de Seguridad Física (protección de infraestructura crítica energética). La convocatoria no menciona IA, pero los sistemas modernos de drones de seguridad incorporan habitualmente componentes de IA: navegación autónoma, detección de objetos/intrusos, seguimiento y videovigilancia. Es una adquisición de tecnología de vigilancia por un actor estatal/empresa pública. RIESGOS: R9 (Authoritarian Surveillance): despliegue de vigilancia aérea por una entidad pública sobre instalaciones y su entorno (que puede incluir comunidades aledañas, manifestaciones o protestas contra proyectos energéticos), sin un marco específico de transparencia, límites o control judicial. R3 (Privacy): captación aérea de imágenes/video que puede recoger datos personales de terceros sin consentimiento ni salvaguardas. GAP: el documento es una convocatoria de compra sin especificación de capacidades de IA, políticas de uso, retención de imágenes, ni controles de privacidad; no existe un marco general que regule el uso de drones de vigilancia por entidades públicas. CONTEXTO MEXICANO: la adquisición de tecnología de vigilancia (drones) por empresas públicas en contexto de conflictos socioambientales por proyectos energéticos, sin reglas de proporcionalidad ni rendición de cuentas, es consistente con un gap regulatorio sobre vigilancia estatal asistida por tecnología.