Diario Oficial de la Federación, No. de publicación 041/2026, edición matutina del miércoles 18 de febrero de 2026, cuyo instrumento más relevante para IA es el 'Protocolo Nacional para la Activación de la Alerta Nacional de Búsqueda, Localización e Identificación de Personas Desaparecidas y No Localizadas'

Esta es la única MENCIÓN EXPLÍCITA de 'inteligencia artificial' en todo el documento. Autoriza a las instituciones de procuración de justicia a usar IA para amplificar artificialmente ('impacto a nivel viral de forma orgánica') la difusión de Fichas de Búsqueda en redes sociales e internet. RIESGOS: R4 (Disinformation): El uso de IA para lograr viralidad 'orgánica' es paradójico: la viralidad orgánica genuina no se fabrica algorítmicamente. Sistemas que amplifican contenido para simular organicidad (bots, generación/optimización automatizada de publicaciones, cuentas coordinadas) se acercan a técnicas de manipulación de plataformas y astroturfing. Aunque el fin es legítimo (localizar personas), la infraestructura y técnicas son las mismas que las de campañas de influencia; normalizar su uso estatal sin salvaguardas abre la puerta a su empleo en otros contextos (electoral, político). La frase 'de forma orgánica y verificada' no define qué autoridad verifica ni cómo se evita la generación de contenido sintético. R1 (Malfunctions): Un sistema de IA que decide qué, cuándo y cómo amplificar podría difundir fichas con errores, fotografías de personas equivocadas, o mantener viralidad de fichas ya resueltas, causando daño reputacional a terceros homónimos o erróneamente identificados. R3 (Privacy): La amplificación masiva e indefinida de datos personales y fotografías de personas desaparecidas (y de quienes aparecen en su entorno) por sistemas de IA, sin caducidad temporal (numeral 21.14: 'permanece activa indefinidamente'), implica un tratamiento intensivo de datos personales cuya minimización y supresión no está garantizada. GAPS: No define qué se entiende por 'programas con el uso de inteligencia artificial'; no exige transparencia algorítmica, auditoría, ni evaluación de impacto; no prohíbe generación de contenido sintético; no establece controles contra el uso dual de esa misma infraestructura para fines distintos a la búsqueda (pese a que el numeral 7 prohíbe usos distintos, no aterriza salvaguardas técnicas).

El Protocolo articula la Plataforma Única de Identidad (PUI), administrada vía RENAPO/ATDT, como 'fuente primaria de consulta permanente y en tiempo real' interconectada con múltiples 'bases de datos o sistemas de información' para 'búsquedas continuas'. El numeral 29 establece un 'monitoreo de CURP' permanente: 'si se detecta un uso de la CURP de la persona desaparecida, se comunica de inmediato a las autoridades competentes' (numeral 21.14), y el numeral 30 ordena al RENAPO comunicar de inmediato cualquier 'uso de la CURP o coincidencia de datos identificativos'. RIESGOS: R3 (Privacy): Esto describe una arquitectura de vigilancia de identidad en tiempo real: cada vez que la CURP de una persona se 'usa' (trámite, servicio, registro de salud, financiero, etc.) el sistema lo detecta y lo reporta. Aunque el fin declarado es localizar desaparecidos, la capacidad técnica subyacente es el rastreo continuo de la actividad de una persona a través de toda su huella administrativa nacional. No se especifican límites sobre qué 'usos de la CURP' se monitorean ni qué bases se interconectan. R9 (Authoritarian Surveillance): Una plataforma que interconecta bases poblacionales y permite 'búsquedas continuas' y 'consulta permanente y en tiempo real' por la CURP es, en términos de capacidad, un sistema de seguimiento poblacional. Sin controles judiciales ni límites estrictos de finalidad y acceso, esta infraestructura es susceptible de uso para vigilar opositores, periodistas o activistas. El Protocolo prohíbe usos distintos (numeral 7) pero no impone garantías técnicas ni control judicial sobre las consultas. GAPS: No exige orden o control judicial para activar el monitoreo continuo de CURP; no enumera ni limita las bases interconectadas; no fija mecanismos de minimización, registro de accesos auditable por un tercero independiente, ni supresión tras la localización; no contempla notificación a la persona localizada sobre el tratamiento de sus datos. CONTEXTO MEXICANO: México ha avanzado hacia una CURP biométrica y plataformas de identidad unificada; la capacidad de enforcement de límites de privacidad se debilitó tras la extinción del INAI, lo que eleva el riesgo de abuso de una infraestructura de interconexión tan amplia.

El Protocolo diseña un sistema de distribución de alertas que opera 'sin intervención manual' y 'autónomamente' cuando un registro alcanza estatus 'procedente', enviando de forma 'automatizada y sincrónica' (numeral 21.4) la Ficha de Búsqueda con datos personales y fotografía a un repositorio masivo de destinatarios públicos y privados, con escalamiento automático (panel semáforo, numeral 21.11). RIESGOS: R1 (Malfunctions): La automatización del disparo sin revisión humana previa significa que un registro erróneo, duplicado, malicioso o con datos de una persona equivocada se difunde masiva e irreversiblemente. El numeral 18 reconoce que la 'verificación inicial no será condicionante para la canalización inmediata', es decir, la difusión puede preceder a la verificación. Un falso positivo se propaga a fiscalías, transportistas, telecom, financieras, hoteles, etc. R13 (Gradual Loss of Control): El diseño prioriza automatización, sincronía y 'alta disponibilidad sin ventanas de indisponibilidad' por encima de puntos de control humano, lo que reduce la posibilidad de detener o revertir un alertamiento erróneo en curso. R3 (Privacy): La difusión automatizada y masiva de datos personales y biométricos blandos (fotografía, señas particulares, condición de vulnerabilidad) a cientos de entes privados, sin caducidad temporal, multiplica los puntos de exposición y descontrol de datos sensibles. GAPS: No se establece un 'botón de emergencia' o mecanismo verificable de reversión inmediata ante errores; no se fija responsabilidad ni proceso de rectificación cuando la difusión automatizada incluye datos erróneos; no hay límites a la retención de la ficha por los cientos de entes privados receptores.

Las convocatorias del Servicio Profesional de Carrera publicadas en esta edición establecen que el Sistema TrabajaEn 'se realizará de forma automática la revisión curricular', asignando un 'folio de rechazo que lo descartará del concurso' cuando la información del currículum no sea 'compatible con el perfil del puesto vacante'. Es decir, un cribado automatizado descarta candidatos antes de cualquier evaluación humana. Aunque no se menciona 'IA', el filtrado automatizado de aspirantes a empleo es un dominio de alto riesgo de discriminación algorítmica según la taxonomía (R2: 'algoritmos de selección de personal en sector público', 'selección automatizada'). RIESGOS: R2 (Discrimination): Un filtro curricular automatizado puede perpetuar sesgos (por formato del CV, palabras clave, instituciones educativas, brechas de empleo) y descartar candidatos sin revisión humana ni explicación. No se publica la lógica de coincidencia, los criterios de descarte, ni un mecanismo de impugnación específico del descarte automatizado. R7 (Labor): La automatización de etapas de reclutamiento en el sector público refleja la sustitución de funciones humanas de cribado, con impacto en la equidad del acceso al empleo público. GAPS: No hay transparencia sobre cómo opera el cribado automatizado, ni auditoría de equidad, ni derecho a revisión humana del descarte. Es un gap menor pero recurrente y sistemático en todas las convocatorias.

El Protocolo ordena a las Comisiones de Búsqueda 'Coordinarse con C4, C5 o sus equivalentes para la implementación de acciones de búsqueda y monitoreo en tiempo real'. Según la matriz de keywords de la taxonomía, 'C5', 'vigilancia', 'monitoreo' y 'tiempo real' son indicadores directos de R3 + R9. Los Centros de Control, Comando, Comunicación, Cómputo (C4/C5) en México operan rutinariamente videovigilancia urbana masiva, en muchos casos con analítica de video y reconocimiento facial/biométrico, así como lectura automatizada de placas. El Protocolo activa esa infraestructura para 'monitoreo en tiempo real' de personas desaparecidas, lo que en la práctica implica el rastreo de una persona (y de cuantas aparezcan en su entorno) a través de redes de cámaras con análisis automatizado. RIESGOS: R9 (Authoritarian Surveillance): Conectar el alertamiento de búsqueda con C4/C5 y 'monitoreo en tiempo real' moviliza la capacidad de vigilancia poblacional del Estado. Sin control judicial, límites de finalidad verificables ni registro auditable independiente, la misma capacidad técnica (cámaras + analítica + reconocimiento facial) es susceptible de uso para vigilar opositores, periodistas o activistas, especialmente porque el numeral 21.8 obliga a 'cotejar la Ficha de Búsqueda contra la población residente o atendida'. R3 (Privacy): El monitoreo en tiempo real mediante C4/C5 procesa datos biométricos (rostro) y de localización de un universo indeterminado de personas captadas por las cámaras, no solo de la persona buscada. R1 (Malfunctions): El reconocimiento facial tiene tasas de error y sesgo conocidos (mayores falsos positivos en mujeres y personas de piel oscura); una coincidencia errónea puede derivar en la detención o el señalamiento de una persona inocente. GAPS: El Protocolo no menciona qué tecnologías de los C4/C5 se emplean, no exige control judicial para el monitoreo en tiempo real, no impone umbrales de precisión ni auditoría del reconocimiento facial, no limita la conservación de las imágenes captadas durante la búsqueda, ni regula el cotejo biométrico contra poblaciones. CONTEXTO MEXICANO: Las entidades federativas han desplegado C5 con reconocimiento facial (CDMX, Coahuila, entre otras) sin marco federal robusto de protección de datos tras la extinción del INAI, lo que eleva el riesgo de uso indebido de esta infraestructura conectada ahora a la Alerta Nacional de Búsqueda.

El Protocolo faculta a las Fiscalías a 'Generar... mecanismos de actualización de imágenes, incluyendo progresión de edad, para mantener vigente y efectiva la difusión de la Ficha de Búsqueda'. La 'progresión de edad' (age progression) es hoy una tarea típicamente resuelta con modelos generativos de imagen (IA/ML), es decir, contenido sintético que representa cómo lucría una persona desaparecida tras varios años. Aunque el fin es legítimo, se trata de la generación algorítmica del rostro de una persona real que se difundirá masivamente como si fuera fidedigna. RIESGOS: R4 (Disinformation & Deepfakes): Es generación de contenido sintético (un rostro inferido, no real) difundido a escala nacional. Sin etiquetado de que la imagen es una estimación generada algorítmicamente, el público y otras autoridades pueden tratarla como una fotografía real, lo que puede inducir identificaciones erróneas. Normalizar la generación de rostros sintéticos de personas por fiscalías, sin estándares ni trazabilidad, abre la puerta a su uso indebido en otros contextos. R1 (Malfunctions): Una progresión de edad imprecisa o sesgada puede dirigir la búsqueda hacia personas equivocadas (homónimos visuales) y causar daño reputacional o detenciones erróneas de terceros parecidos a la imagen generada. GAPS: No se exige etiquetar la imagen como 'estimación generada' ni informar la técnica empleada; no se fija control de calidad, validación humana ni responsabilidad por errores de la imagen sintética; no se prohíbe el uso de estas herramientas generativas para fines distintos a la búsqueda. CONTEXTO MEXICANO: La capacidad técnica de progresión de edad suele provenir de software o proveedores externos, lo que añade dependencia tecnológica y dificulta la auditoría; la difusión se hace a cientos de entes privados sin caducidad, multiplicando la circulación de un rostro sintético no etiquetado.