Análisis del DOF · 17 de febrero de 2026
Diario Oficial de la Federación, No. de publicación 040/2026, Ciudad de México, martes 17 de febrero de 2026 (Edición Matutina)
Tipo de documento: Edición del Diario Oficial de la Federación (compendio de Decretos, Convenios, Resoluciones, Acuerdos, Reglas de Operación, Sentencia y Avisos)
Estadísticas
Metadatos
Categorías de riesgo presentes
Justificación de urgencia
El Convenio Gobernación (RENAPO)-UIF CDMX habilita el cruce masivo y cíclico de las bases nacionales de identidad (CURP) y registro civil, incluido el genograma registral (red de parentesco), al servicio de una unidad de inteligencia financiera con fines de persecución penal, sobre personas meramente 'vinculadas' a investigaciones y sin control judicial previo ni evaluación de impacto. Es la infraestructura típica sobre la que operan sistemas automatizados de perfilamiento y vigilancia (R3/R9/R2), con alto potencial de afectar la privacidad y el debido proceso de personas inocentes y de extenderse a su entorno familiar, en un contexto de protección de datos debilitada en México.
Síntesis ejecutiva
Esta edición del DOF (17/02/2026) es predominantemente administrativa: tres decretos de expropiación para el Tren Maya, una resolución de facilidades fiscales del SAT y una declaratoria inmobiliaria, una circular anticorrupción, avisos de asociaciones religiosas, un aviso de la SEP sobre la cédula profesional electrónica, reglas de operación de programas educativos (PRONI) y científicos (Secihti: Becas S190 y SNII S191), un acuerdo de adscripción de Cultura, asuntos del ISSSTE, una sentencia ambiental de la SCJN, tipos de cambio de Banxico, síntesis de fiscalización electoral del INE y convocatorias/avisos. La mayoría no guarda relación con inteligencia artificial. El hallazgo más relevante es el Convenio de Coordinación entre la Secretaría de Gobernación (RENAPO) y la Unidad de Inteligencia Financiera de la Ciudad de México, que abre el acceso y la 'confronta' masiva y cíclica de la Base de Datos Nacional de la CURP y del Registro Civil, incluyendo el 'genograma registral' (grafo de parentesco) de personas bajo investigación, para elaborar reportes de inteligencia financiera y apoyar la persecución de delitos. Aunque no menciona IA, describe la infraestructura de cruce de padrones e identidades sobre la que operan sistemas automatizados de perfilamiento y vigilancia, sin control judicial previo, evaluación de impacto, ni mecanismos de impugnación; se clasifica como riesgo Muy Alto en privacidad (R3), vigilancia estatal (R9) y, derivadamente, discriminación/falsos positivos (R2). Un hallazgo conexo es la consolidación de la CURP biométrica (huellas y fotografía) como identificador universal y obligatorio, que habilita identificación automatizada y la interoperabilidad de padrones. Un tercer hallazgo, de menor severidad, es la evaluación y categorización a gran escala de personas en los programas de la Secihti (SNII y Becas de Posgrado) sobre plataformas de 'Perfil Único' (Ápeiron/Rizoma) y la interoperabilidad de sus padrones de beneficiarios vía SIIPP-G: hoy con dictaminación humana, pero sin salvaguardas que regulen una eventual automatización del scoring/triaje ni el cruce de padrones (R2/R3). Se recomienda condicionar cualquier cruce masivo y uso de la biometría a control judicial/proporcionalidad documentada, evaluaciones de impacto en datos personales y derechos humanos, auditoría de los sistemas automatizados que en la práctica ejecutan estas confrontas, y mecanismos efectivos de notificación e impugnación para las personas afectadas, especialmente en el contexto mexicano de capacidades de enforcement y de protección de datos debilitadas.
Contexto mexicano
Consideraciones especiales
- La CURP funciona como llave única de identidad y, con el componente biométrico, como documento de identificación universal y obligatorio; concentrar el cruce de esta base con padrones de inteligencia financiera amplifica el riesgo de vigilancia y de uso político.
- El convenio habilita el acceso al 'genograma registral' (red de parentesco), extendiendo el alcance del Estado más allá del investigado hacia su entorno familiar, sin salvaguardas explícitas contra inferencias.
- Tras la extinción del INAI, la institucionalidad de protección de datos personales se ha debilitado, reduciendo los contrapesos efectivos sobre tratamientos masivos de datos biográficos y biométricos.
- La alta informalidad y la calidad heterogénea de los registros (errores y homonimias en la CURP/actas) elevan la probabilidad de falsos positivos en cruces masivos, con impacto en personas vulnerables.
- Las plataformas de identidad y currículum único (Perfil Único, Ápeiron de Secihti; padrones en SIIPP-G) muestran una tendencia a la interoperabilidad de grandes bases de datos personales del Estado, terreno fértil para automatización futura.
Capacidad de implementación
Media-Baja. Las unidades de inteligencia financiera y RENAPO cuentan con capacidades técnicas para cruzar y consultar grandes bases, pero el marco carece de controles algorítmicos, auditoría independiente, evaluaciones de impacto y, tras la desaparición del INAI, de un órgano garante de datos personales con fuerza para supervisar tratamientos masivos. El convenio prevé suspensión de accesos por mal uso, pero la verificación depende del propio RENAPO, sin supervisión externa especializada.
Precedentes relevantes
- Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO) y Ley General de Transparencia y Acceso a la Información Pública (LGTAIP), invocadas en el propio convenio como marco de confidencialidad.
- Ley General de Población y Acuerdo de 1996 sobre adopción y uso de la CURP por la APF; reforma constitucional al artículo 4o. (derecho a la identidad) y marco de la CURP biométrica.
- Jurisprudencia de la SCJN sobre protección de datos personales, debido proceso y proporcionalidad de medidas de vigilancia.
- Debate sobre el Registro Nacional de Usuarios de Telefonía Móvil (PADRÓN/biometría) declarado inconstitucional por la SCJN, como precedente sobre límites a la concentración biométrica estatal.
Hallazgos
Hallazgos detectados por el análisis. Expande cada uno para ver el fragmento original y las recomendaciones.
Identidad y Población / Inteligencia Financiera y Persecución Penal Implícito - Tecnología Muy Alta
Dominio regulatorio
Identidad y Población / Inteligencia Financiera y Persecución Penal
Vacío regulatorio
Sí
Fragmento original
“RENAPO” verificará los datos que le solicite la “UIF CDMX” mediante el Proceso de Confrontas a la “BDNCURP”, a fin de verificar la identidad jurídica de los sujetos vinculados con la comisión de delitos en materia de lavado de dinero, operación con recursos de procedencia ilícita y financiamiento al terrorismo, dentro de la Ciudad de México, para la elaboración de los reportes de inteligencia financiera Análisis de relevancia
1) RELEVANCIA PARA IA: Aunque el convenio no menciona 'inteligencia artificial', describe la infraestructura técnica típica sobre la que operan sistemas automatizados de detección/perfilamiento: una 'Confronta' masiva y cíclica (semestral) de la Base de Datos Nacional de la CURP (BDNCURP) y de la Base de Datos Nacional del Registro Civil (BDNRC) contra el universo de personas bajo investigación de una Unidad de Inteligencia Financiera, vía 'Servicios Web de CURP', consulta en línea y en tiempo real, y acceso al 'genograma registral' (grafo de parentesco/filiación) de las personas físicas bajo investigación. Estos 'cruces de padrones' (matching de identidades y redes familiares) son precisamente el tipo de operación que en la práctica se automatiza con técnicas de análisis de datos/aprendizaje automático (record linkage, link analysis, scoring de riesgo). 2) RIESGOS: R3 (Privacy) por procesamiento masivo de datos personales sensibles (identidad biográfica, filiación, vivencia/defunción) de personas que NO necesariamente están imputadas, sino solo 'vinculadas' a una investigación, sin orden judicial previa y con retención no acotada; R9 (vigilancia) por integración operativa de grandes bases de datos poblacionales nacionales al servicio de una unidad de inteligencia con fines de persecución penal (lavado, delincuencia organizada, etc.), extendiendo el alcance del Estado a la red familiar (genograma) del investigado; R2 (discriminación) porque la 'confronta' alimenta reportes de inteligencia que pueden derivar en señalamientos a personas inocentes (falsos positivos por homonimia/errores de la CURP) sin proceso de impugnación previo. 3) GAPS: el convenio regula confidencialidad y suspensión de accesos, pero NO regula: si el cruce/análisis se realiza mediante sistemas automatizados, auditoría algorítmica, evaluación de impacto a la privacidad, derecho de las personas a conocer/impugnar su inclusión en una 'confronta', tasa de error aceptable, ni límites a inferencias derivadas del genograma. 4) CONTEXTO MEXICANO: la concentración de identidad en la CURP (que el propio DOF de hoy reconoce como documento de identidad con huellas dactilares y fotografía) y la falta de un órgano garante de datos fuerte tras la desaparición del INAI elevan el riesgo de abuso y de uso político.
Recomendaciones
- Exigir que cualquier 'Proceso de Confrontas' o tratamiento de la BDNCURP/BDNRC y del genograma registral con fines de inteligencia se sujete a control judicial previo o, al menos, a registro auditable y proporcionalidad documentada por caso.
- Prohibir explícitamente la elaboración de perfiles o inferencias automatizadas sobre la red familiar (genograma) más allá de la verificación estricta de identidad del sujeto investigado.
- Establecer una evaluación de impacto en la protección de datos personales y derechos humanos antes de operar los servicios web de cruce masivo, con dictamen de un órgano garante de datos.
- Garantizar mecanismos de notificación e impugnación para personas erróneamente vinculadas (falsos positivos por homonimia o errores de la CURP) y límites de retención de los resultados de la confronta.
- Transparentar si los cruces se ejecutan con herramientas automatizadas/algorítmicas y, en su caso, someterlas a auditoría independiente de equidad y precisión.
Identidad Digital y Datos Personales (CURP biométrica) Implícito - Riesgo/Gap Regulatorio Alta
Dominio regulatorio
Identidad Digital y Datos Personales (CURP biométrica)
Vacío regulatorio
Sí
Fragmento original
cuando la CURP contenga huellas dactilares y fotografía será el documento de identificación de aceptación universal y obligatoria en todo el territorio nacional Análisis de relevancia
1) RELEVANCIA PARA IA: El documento reitera el marco legal de una CURP biométrica (con huellas dactilares y fotografía) de 'aceptación universal y obligatoria'. Una clave biométrica nacional única es el sustrato habilitante de sistemas de identificación/verificación automatizada (incluido el reconocimiento facial/dactilar) y de la interoperabilidad de padrones que aparece en el mismo DOF (convenio RENAPO-UIF, padrones SIIPP-G, plataformas Perfil Único/Ápeiron de Secihti). 2) RIESGOS: R3 por la creación de un identificador biométrico universal y obligatorio que, combinado con la consulta interinstitucional masiva, permite trazabilidad y vinculación de datos de toda la población. 3) GAPS: el aviso se limita a aclarar que las cédulas profesionales NO son identificación oficial, pero ni este instrumento ni el convenio del mismo DOF regulan salvaguardas frente al uso de la biometría para identificación automatizada masiva, ni límites a su consulta o a inferencias. 4) CONTEXTO MEXICANO: la adopción acelerada de la CURP biométrica como llave única de identidad, sin un régimen robusto de protección de datos biométricos, concentra riesgo sistémico de vigilancia y de filtraciones.
Recomendaciones
- Regular específicamente el uso de los datos biométricos de la CURP para identificación o verificación automatizada, prohibiendo el reconocimiento facial/dactilar masivo sin base legal y control judicial.
- Definir límites estrictos de finalidad, acceso, retención y seguridad para la base biométrica nacional y auditorías periódicas independientes.
- Asegurar consentimiento informado, minimización de datos y derechos efectivos (acceso, rectificación, oposición) sobre los datos biométricos.
Categorías de riesgo
Ciencia y Educación (evaluación de personas e interoperabilidad de padrones) Implícito - Riesgo/Gap Regulatorio Media
Dominio regulatorio
Ciencia y Educación (evaluación de personas e interoperabilidad de padrones)
Vacío regulatorio
Sí
Fragmento original
Realizar el trámite SECIHTI-01-014-A de reconocimiento en el SNII en términos de las convocatorias, para lo cual las personas solicitantes deberán crear, actualizar o validar su Perfil Único Currículum Vitae (PU CVU), en las plataformas informáticas que establezca la Secretaría Análisis de relevancia
1) RELEVANCIA PARA IA: Las Reglas de Operación del SNII (S191) y de Becas de Posgrado (S190) sustentan una evaluación y categorización a gran escala de personas (investigadoras y becarias) sobre plataformas digitales de 'Perfil Único' / Currículum Vitae Único (Ápeiron, Rizoma) que concentran trayectoria académica, producción y datos personales de decenas de miles de personas (45,000+ en el SNII). La evaluación se realiza por comisiones dictaminadoras con 'criterios específicos de evaluación', y el resultado clasifica a la persona en categorías y niveles (Candidato, Niveles 1-3, Emérito) de los que dependen apoyos económicos. Aunque hoy la dictaminación es humana, este es exactamente el tipo de proceso de scoring/categorización de personas susceptible de incorporar analítica o priorización automatizada conforme las plataformas se modernizan, y la base normativa no lo regula ni lo excluye. 2) RIESGOS: R2 (evaluación/categorización de personas que condiciona el acceso a recursos y reconocimiento, con potencial de sesgo en criterios y en cualquier preselección/triaje algorítmico futuro); R3 por la integración del Padrón de Beneficiarios de estos programas con el Sistema Integral de Información de Padrones de Programas Gubernamentales (SIIPP-G) de la Secretaría Anticorrupción y Buen Gobierno, que interoperabiliza grandes bases de datos personales del Estado. 3) GAPS: las reglas no exigen transparencia algorítmica, auditoría de equidad ni análisis de impacto si se incorporan herramientas automatizadas a la dictaminación o a la integración/cruce de padrones; el recurso de reconsideración existe para el SNII pero no contempla escenarios de decisión asistida por sistemas. 4) CONTEXTO MEXICANO: la tendencia a un 'Perfil Único' y a la interoperabilidad vía SIIPP-G concentra datos personales del sector académico en pocas plataformas, terreno fértil para automatización futura sin contrapesos de protección de datos tras la extinción del INAI.
Recomendaciones
- Establecer que cualquier uso de analítica, scoring o triaje automatizado en la evaluación del SNII o en la asignación de becas se transparente y se someta a auditoría de equipo y a supervisión humana calificada con derecho de impugnación.
- Regular y documentar el alcance del cruce del Padrón de Beneficiarios con el SIIPP-G, con minimización de datos, límites de finalidad y evaluación de impacto en protección de datos personales.
- Publicar los criterios específicos de evaluación y métricas de resultados desagregadas para permitir detección de sesgos (género, región, institución, área).
Categorías de riesgo