Diario Oficial de la Federación, edición matutina (MAT), No. de publicación 096/2026, martes 21 de abril de 2026

Este es el hallazgo más relevante del documento. El IMSS licita un "motor de Enrolamiento y Verificación Biométrica Facial", es decir, un sistema de reconocimiento facial para registrar (enrolar) y verificar la identidad de personas. El reconocimiento facial es una tecnología de Inteligencia Artificial (visión por computadora / redes neuronales convolucionales) que se nombra explícitamente como tal en su función biométrica. RIESGOS: R3 (Privacy): Implica el procesamiento masivo de datos biométricos sensibles (rasgos faciales) de potencialmente millones de derechohabientes del IMSS, categoría de dato personal de la más alta sensibilidad bajo la legislación mexicana. La convocatoria no especifica salvaguardas de privacidad, base de licitud del tratamiento, consentimiento informado, plazo de retención de plantillas biométricas, ni controles de acceso/cifrado. R1 (Malfunctions): Los motores de verificación facial presentan tasas de falsos positivos/negativos. Un error de verificación puede negar indebidamente el acceso a servicios de salud, pensiones o trámites a un derechohabiente legítimo, o permitir suplantación. R2 (Discrimination): Está ampliamente documentado que los algoritmos de reconocimiento facial tienen tasas de error diferenciadas por fenotipo, género y edad (sesgo demográfico). En una población mexicana diversa esto puede traducirse en exclusión diferenciada de grupos vulnerables. R9 (Surveillance): La creación de una infraestructura de enrolamiento y verificación facial a escala institucional constituye una capacidad de identificación poblacional reutilizable que, sin controles, puede derivar en vigilancia o cruce con otras bases gubernamentales. GAPS REGULATORIOS: 1. La convocatoria es un mero resumen administrativo; no se conoce evaluación de impacto a la protección de datos personales (EIPD) ni dictamen del organismo garante. 2. No hay mención de auditoría de equidad/sesgo del motor biométrico ni de estándares mínimos de precisión. 3. No se establece mecanismo de impugnación humana ante errores de verificación. 4. No se define límite de finalidad ni prohibición de uso secundario o compartición con terceros. CONTEXTO MEXICANO: México carece a la fecha de una ley específica de IA y de reglas robustas sobre reconocimiento facial en el sector público. El reciente proceso de extinción/transformación del INAI debilita la supervisión sobre tratamientos biométricos masivos. La capacidad de enforcement de protección de datos es limitada, justo cuando una institución del tamaño del IMSS despliega biometría facial.

El convenio de salud pública entre la Secretaría de Salud y Nuevo León presupuesta y mide como indicador la capacitación de responsables estatales en un "Curso de Inteligencia Artificial para su aplicación en la Salud Pública". Es una mención EXPLÍCITA de IA. El hallazgo es de severidad media: en sí mismo es una acción de formación (positiva, fomenta capacidades). El riesgo regulatorio (R1) surge de manera prospectiva: si tras la capacitación se introducen herramientas de IA en decisiones de salud pública (tamizaje, priorización, atención a víctimas de violencia de género/sexual) sin gobernanza, supervisión humana ni validación clínica, podrían producirse errores con impacto directo en personas. El documento no describe ninguna herramienta concreta, por lo que el riesgo es de monitoreo, no de daño presente. CONTEXTO MEXICANO: La adopción de IA en el sector salud avanza sin un marco específico de validación de algoritmos clínicos (no existe equivalente local a un esquema de "dispositivo médico basado en IA" maduro). Capacitar sin acompañar de lineamientos de uso responsable es un gap potencial.

El convenio de salud contempla el uso de "chatbots" como canal de comunicación bidireccional con la población para promover estilos de vida saludables. Los chatbots modernos suelen apoyarse en modelos de lenguaje (IA generativa/conversacional). RIESGOS: R1 (Malfunctions): Un chatbot de salud puede entregar información incorrecta o "alucinada" si se basa en LLMs sin verificación; en contexto sanitario, orientaciones erróneas pueden afectar conductas de salud. R8 (Reduced Social Connection): La sustitución de orientación humana por interacción automatizada en poblaciones vulnerables puede mermar la calidad del vínculo y de la atención. Es de severidad media porque se trata de comunicación promocional, no de diagnóstico, y porque el documento no detalla la tecnología subyacente (puede ser un árbol de reglas y no IA). Se reporta como gap de monitoreo.

Se adquiere software geoestadístico y de análisis de datos para una Unidad de Bioentomología en el marco del programa de vigilancia del Dengue. Es un caso de analítica de datos georreferenciados aplicada a vigilancia epidemiológica; aunque el software descrito parece ser de estadística/SIG y no necesariamente IA, encaja en la categoría de "análisis/minería de datos" que puede incorporar modelos predictivos. RIESGO R3 (Privacy): El análisis geoestadístico de casos puede implicar geolocalización de personas/hogares con casos de enfermedad, dato sensible de salud. El riesgo es de severidad media porque la finalidad (control vectorial) es legítima y no hay indicios de uso indebido; se reporta como gap de buenas prácticas de minimización y agregación de datos.

El IMSS licita la actualización de su plataforma analítica a "SAS Viya". SAS Viya es la plataforma de SAS de analítica avanzada, machine learning e inteligencia artificial nativa en la nube (incluye modelado predictivo, ML automatizado, forecasting y procesamiento de datos a gran escala). Aunque la convocatoria no usa la expresión "inteligencia artificial", la adquisición es una capacidad de IA/analítica de la institución de seguridad social más grande del país, que procesa datos de salud, pensiones, cotizaciones y padrones de millones de derechohabientes. Este hallazgo fue OMITIDO en el análisis original y es la omisión más material del documento, pues junto con el motor biométrico facial (H1) configura un ecosistema institucional de IA aplicada a datos personales sensibles a escala masiva. RIESGOS: R3 (Privacy): El despliegue de una plataforma de analítica/ML sobre las bases del IMSS implica el procesamiento masivo de datos personales sensibles (salud, biométricos, socioeconómicos) sin que la publicación evidencie base de licitud, minimización, límite de finalidad ni evaluación de impacto. R2 (Discrimination): Modelos predictivos/ML aplicados a decisiones sobre derechohabientes (priorización, detección de "riesgo", asignación de recursos o servicios) pueden incorporar y amplificar sesgos sin auditoría de equidad ni mecanismos de impugnación. R1 (Malfunctions): Decisiones operativas o de gestión basadas en outputs analíticos no validados pueden producir errores con impacto en el acceso a prestaciones. GAPS REGULATORIOS: 1. La convocatoria es un resumen administrativo; no consta evaluación de impacto a la protección de datos ni gobernanza de modelos. 2. No hay mención de transparencia algorítmica, validación, ni supervisión humana de las decisiones derivadas de la analítica. 3. No se define límite de finalidad ni prohibición de uso secundario/cruce de bases. CONTEXTO MEXICANO: México carece de ley específica de IA y de reglas robustas sobre analítica avanzada en el sector público; la reconfiguración del órgano garante de datos debilita la supervisión justo cuando el IMSS moderniza su plataforma de IA/ML sobre datos sensibles masivos.

El IMSS licita licenciamiento de Tableau, plataforma de inteligencia de negocio (BI), análisis y visualización de datos. Por sí sola no constituye IA, pero forma parte —junto con SAS Viya (H5) y el motor biométrico facial (H1)— de la infraestructura de explotación de datos del IMSS sobre padrones masivos de derechohabientes. Este hallazgo fue OMITIDO en el análisis original. Se reporta como gap de buenas prácticas de minimización/agregación más que como daño presente. RIESGO R3 (Privacy): El análisis y visualización de datos personales de derechohabientes debe sujetarse a límites de finalidad, minimización y agregación; la convocatoria no evidencia salvaguardas. Severidad media porque Tableau es herramienta de BI/visualización, no de decisión automatizada por sí misma.

El IMSS licita un "Servicio de Monitoreo de Información y Publicidad en Medios de Comunicación". Los servicios modernos de monitoreo masivo de medios y redes sociales se apoyan rutinariamente en técnicas de IA (procesamiento de lenguaje natural, análisis de sentimiento, reconocimiento de entidades y rastreo a gran escala de menciones), aunque la convocatoria no use la expresión "inteligencia artificial". Este hallazgo —del tipo "monitoreo masivo de medios"— fue OMITIDO en el análisis original. RIESGOS: R9 (Surveillance): El monitoreo sistemático de medios y publicidad puede escalar al rastreo de menciones, voces críticas o periodistas; sin límites claros, configura una capacidad de vigilancia comunicacional de un ente estatal. La severidad es media porque la finalidad declarada es institucional (seguimiento de información y publicidad), no vigilancia poblacional directa. R8 (Reduced Social Connection): Si el monitoreo alimenta análisis de sentimiento/engagement para orientar comunicación, aplican consideraciones de amplificación algorítmica. GAP: No se conoce la metodología, el alcance (incluye redes sociales y datos personales de usuarios), ni salvaguardas frente a perfilamiento de personas.