Diario Oficial de la Federación, Tomo No. 136/2026, martes 26 de mayo de 2026, Edición Matutina (MAT)

Es la ÚNICA mención explícita de 'inteligencia artificial' en todo el documento. InnovaBienestar (CPI coordinado por la Secihti, hoy S.A.P.I. de C.V.) implementará RPA e IA generativa para automatizar procesos internos y, conforme al Objetivo 5, transferir esos procesos/desarrollos a las dependencias de la APF para reducir el gasto público del gobierno federal. R7 (Desplazamiento laboral): automatizar procesos administrativos con RPA/IA generativa expandida a toda la APF como modelo de reducción de costos implica sustitución de tareas humanas; 'reducir el gasto público' es eufemismo que suele incluir reducción de plazas. R13 (Pérdida de control): se adopta IA generativa sin requisito de supervisión humana, auditoría o gobernanza algorítmica. R1 (Malfunctions): la IA generativa 'alucina'; usarla en trámites oficiales sin verificación produce errores. CONTEXTO MEXICANO: transferencia masiva de IA generativa 'de bajo costo' a la APF sin marco de gobernanza, sin evaluación de impacto laboral, con débil enforcement. Temporalidad: mandato a futuro cercano (2026-2030).

El TFJA opera un 'Sistema de Justicia en Línea Versión 2.0' para sustanciar electrónicamente expedientes contencioso-administrativos. La suspensión de plazos por 'contingencia técnica operativa' evidencia dependencia de infraestructura digital crítica para la impartición de justicia. Aunque el extracto no menciona IA, los sistemas de justicia en línea de nueva generación incorporan crecientemente módulos de clasificación automatizada, asignación y apoyo a la decisión (R1). El tratamiento masivo de expedientes con datos personales también implica R3. R1 (un fallo del sistema ya obligó a suspender plazos, mostrando fragilidad operativa que en justicia es crítica); riesgo si se incorporan automatizaciones sin supervisión humana. GAP: no hay transparencia pública sobre qué funciones del sistema están automatizadas, ni salvaguardas frente a la introducción de componentes algorítmicos. CONTEXTO MEXICANO: la digitalización de la justicia avanza sin un marco específico de gobernanza algorítmica; las fallas técnicas afectan la seguridad jurídica de las partes.

Los litigios involucran a operadores de pagos móviles digitales y plataformas fintech ('Operadora de Pagos Móviles de México', 'Alquimiadigital.MX'). Las plataformas fintech de pagos y crédito operan sistemas automatizados de scoring, detección de fraude y onboarding (KYC) que típicamente usan ML/IA, con riesgos de R2 (discriminación algorítmica en acceso a servicios financieros) y R3 (procesamiento masivo de datos personales financieros). La presencia de una acción colectiva de la PROFECO y amparos contra estas entidades señala fricciones de consumidor en el ecosistema digital de pagos. R2 (sesgo en decisiones automatizadas sobre acceso/condiciones de servicios financieros), R3 (datos financieros sensibles), R10 (concentración en pocos operadores de infraestructura de pagos digitales). GAP: los edictos son meramente procesales y no abordan la dimensión algorítmica; no existe en el DOF de esta fecha regulación que exija auditoría de los sistemas automatizados de estas fintech. CONTEXTO MEXICANO: alta exclusión financiera e informalidad; los sistemas automatizados de las fintech pueden perpetuar exclusión de poblaciones sin historial crediticio formal.

Aparecen disputas marcarias ante el IMPI y la Sala Especializada en Propiedad Intelectual del TFJA que involucran a plataformas digitales tecnológicas (p.ej. 'Playtomic', plataforma de reservas deportivas). El dominio de propiedad intelectual es el principal afectado por la IA generativa (entrenamiento con obras protegidas, outputs derivados, titularidad de marcas/obras generadas). R5 (incertidumbre sobre derechos de PI frente a contenido y marcas en el ecosistema digital). Severidad Media porque se trata de procedimientos marcarios convencionales sin componente generativo explícito. GAP: el marco de la Ley Federal de Protección a la Propiedad Industrial y de Derechos de Autor no aborda explícitamente la titularidad ni la protección frente a outputs de IA generativa. CONTEXTO MEXICANO: México depende de proveedores tecnológicos extranjeros; la digitalización de servicios genera disputas de PI que el marco actual no anticipa para contenido generado por IA.

Numerosas licitaciones del sector público adquieren plataformas tecnológicas (ERP corporativos, redes SDWAN, licenciamiento de software de gran escala, cableado estructurado, telemedición). Estos sistemas empresariales modernos incorporan crecientemente módulos de automatización inteligente y analítica (eufemismos 'mejoras', 'soluciones tecnológicas'). La dependencia de proveedores únicos de software (ERP, suites de licenciamiento) refuerza R10 (concentración/dependencia tecnológica externa). La automatización de procesos administrativos vía ERP conlleva potencial R7 (reducción de plazas). R10 (dependencia de proveedores extranjeros de software crítico de gobierno), R7 (automatización administrativa). Severidad Media: son adquisiciones de software estándar sin IA explícita confirmada. GAP: las convocatorias no exigen transparencia sobre componentes algorítmicos/IA de los sistemas adquiridos ni soberanía de datos. CONTEXTO MEXICANO: compras públicas de tecnología sin requisitos de auditabilidad algorítmica ni cláusulas de soberanía digital.

Se adquieren sistemas automatizados de control y alerta para infraestructura crítica (sistema de alerta sísmica del tren interurbano; sistemas de control EHC de centrales termoeléctricas de la CFE). Estos sistemas de control industrial (SCADA/ICS) son infraestructura crítica donde la automatización opera con creciente autonomía y donde la IA se incorpora para predicción y optimización. R1 (fallo de sistema automatizado en infraestructura crítica de transporte/energía con daños directos), R13 (delegación creciente de control a sistemas automatizados en infraestructura crítica). Severidad Media porque son sistemas de control convencionales sin IA avanzada confirmada. GAP: las convocatorias no establecen requisitos de supervisión humana, capacidad de reversión manual ('botón de emergencia') ni ciberseguridad de los sistemas de control. CONTEXTO MEXICANO: infraestructura crítica energética y de transporte con marcos de ciberseguridad incipientes.

El Centro Nacional de Diseño de Semiconductores 'Kutsari' diseñará circuitos integrados para 'defensa, salud y seguridad'. Los semiconductores son el sustrato físico de los sistemas de IA. R10 (Concentración/soberanía digital): el Programa reconoce 'alta dependencia tecnológica del extranjero' y busca reducir dependencia de 'grandes corporaciones internacionales'; el control de semiconductores es central para la autonomía en IA, pero concentra capacidad estratégica en un CPI estatal con figura mercantil que atrae inversión privada, crea spin-offs y alianzas con fundiciones líderes a nivel mundial (riesgo de captura/dependencia de socios extranjeros). R12 (Escalada bélica): chips para 'defensa' y 'seguridad' son tecnología de doble uso; pueden habilitar sistemas militares autónomos, drones o vigilancia/ciberguerra, sin que el documento prevea controles de exportación ni salvaguardas de uso final. R11 (dual-use): chips para 'equipo médico/salud' con capacidad de cómputo tienen aplicaciones duales. GAP: ausencia total de marco de control de doble uso, límites a aplicaciones militares autónomas o gobernanza de uso final. CONTEXTO MEXICANO: México carece de régimen robusto de control de exportaciones dual-use y de política de IA militar.

El Programa SEDATU construye y alimenta la 'Plataforma Nacional de Información Registral y Catastral', integrando datos de propiedad inmobiliaria de los tres órdenes de gobierno con 'interconexión e interoperabilidad' permanente, sistemas de información geográficos e incorporación de nuevas tecnologías. Aunque no menciona IA, estas plataformas de datos masivos geoespaciales son la base sobre la que se aplican analítica predictiva, valuación automatizada (AVM), perfilamiento patrimonial y cruce de bases. R3 (Privacidad): repositorio nacional sensible (quién posee qué y dónde) sin salvaguardas específicas sobre inferencias o usos secundarios; el Convenio sólo remite genéricamente a leyes de datos. R9 (Vigilancia): un padrón nacional interoperable de propiedad permite vigilancia patrimonial y, cruzado con bases fiscales/seguridad, perfilamiento sin orden judicial; el Convenio promueve explícitamente el aprovechamiento de los datos por el sector comercial, abriendo uso secundario y comercialización. R10: centralización de un activo informacional estratégico. GAP: sin EIPD, sin límites a analítica/IA sobre la plataforma, sin reglas de cruce. CONTEXTO MEXICANO: con INAI debilitado y débil enforcement, un sistema nacional interoperable de propiedad sin salvaguardas algorítmicas es riesgo de vigilancia patrimonial y discriminación territorial.

Los Convenios de salud obligan a reportar datos al SINAVE y a múltiples sistemas de información específicos (VIH/SIDA, salud sexual y reproductiva, infancia) y a operar la plataforma SIAFFASPE. Estos sistemas concentran datos sensibles de millones de personas (categorías especialmente protegidas: VIH, salud sexual, menores) y son la base natural de futura analítica predictiva epidemiológica e IA diagnóstica. R3 (Privacidad): procesamiento masivo de datos sensibles sin salvaguardas sobre inferencias, anonimización, retención o usos secundarios. R1 (Malfunctions): si se incorpora IA a la vigilancia epidemiológica (tendencia internacional), errores afectarían respuestas de salud pública. R2 (Discriminación): datos de VIH/salud sexual cruzados pueden derivar en discriminación por perfilamiento. GAP: el Convenio trata estos sistemas como mero reporte administrativo, sin gobernanza de datos sensibles ni previsión ante automatización futura. CONTEXTO MEXICANO: alta sensibilidad, poblaciones vulnerables y débil enforcement de protección de datos.

NOTA DE CALIBRACIÓN (implícito débil): el fragmento citado es VERBATIM correcto, pero el software 'Herramienta de Seguimiento y Control' es en realidad una herramienta administrativa de recursos humanos del Servicio Profesional de Carrera (aparece junto a reglamento, catálogo de puestos, manual de organización y de procedimientos), NO un sistema de videovigilancia, biometría o policía predictiva. Por ello la severidad se modera respecto de los demás hallazgos de seguridad: la base probatoria de este hallazgo descansa en lo que los fondos FASP/FOFISP TÍPICAMENTE financian (videovigilancia C5/C4, bases de datos criminales, reconocimiento facial/biométrico y análisis predictivo), no en el texto del documento, que no menciona ninguna de esas tecnologías. Es un gap regulatorio razonable pero de evidencia más débil que H1-H4 y H8. Los Convenios FOFISP y FASP financian el fortalecimiento de instituciones de seguridad pública (software de seguimiento administrativo, evaluaciones de control de confianza, capacitación policial, bases de datos del SNSP). R9 (Vigilancia): la modernización tecnológica de seguridad con recursos federales se realiza sin condicionamientos sobre IA/biometría/análisis predictivo, dejando abierta —no documentada— la adquisición de esas tecnologías. R3 (Privacidad): las evaluaciones de control de confianza implican datos biométricos sensibles. R2: eventuales evaluaciones automatizadas de desempeño policial podrían incorporar sesgos. GAP: el Convenio no establece salvaguardas sobre el tipo de tecnología adquirida con los fondos, ni prohíbe reconocimiento facial o policía predictiva, ni exige evaluación de impacto en derechos humanos. CONTEXTO MEXICANO: historial de adquisición de tecnología de vigilancia con fondos de seguridad y débiles controles democráticos sobre IA policial.

El Acuerdo de SEMARNAT crea el Certificado de Libre de Deforestación basándose en el Sistema Nacional de Monitoreo Forestal y una plataforma geoespacial (art. 24 LGDFS) para verificar que predios no estén en zonas deforestadas; los Anexos de SADER operan vigilancia epidemiológica fitozoosanitaria. El monitoreo forestal nacional y la verificación geoespacial dependen crecientemente de teledetección satelital y modelos de machine learning para clasificar deforestación/cambio de uso de suelo, aunque el texto no lo menciona. R1 (Malfunctions): la emisión/negación de un certificado con efectos económicos directos (apoyos, exportación) basada en clasificación automatizada de imágenes puede producir falsos positivos/negativos sin mecanismo claro de impugnación. R3: geolocalización de predios y actividades de personas. R15: uso emergente de IA geoespacial en regulación ambiental sin gobernanza. GAP: el Acuerdo no establece metodología transparente, derecho de impugnación ni supervisión humana sobre la verificación. CONTEXTO MEXICANO: vincula el certificado a restricciones no arancelarias a la exportación, elevando el impacto de un eventual error algorítmico.

El INEGI elimina seis Indicadores Clave del sistema de impartición de justicia penal (tasas de sentencia condenatoria, sentencias a adolescentes, carga de trabajo judicial) por imposibilidad metodológica tras reformas. La justicia penal es dominio de altísimo riesgo para IA (policía predictiva, evaluación de riesgo/reincidencia tipo COMPAS, scoring judicial); la existencia y calidad de datos estadísticos sobre sentencias es la materia prima que alimentaría y permitiría auditar eventuales sistemas algorítmicos de justicia. R2 (Discriminación): eliminar indicadores sobre tasas de sentencia condenatoria y justicia para adolescentes reduce la capacidad de detectar sesgos sistemáticos, justamente los datos necesarios para auditar discriminación algorítmica si se introdujera IA en justicia. R9: menor transparencia estadística del desempeño punitivo del Estado. GAP: aunque es metodología estadística sin mención de IA, debilita la infraestructura de transparencia/datos indispensable para una eventual gobernanza de IA en justicia penal. Hallazgo de baja-media prioridad, contextual.

El Acuerdo designa funcionarios facultados para solicitar a concesionarios de telecomunicaciones y a 'proveedores de servicios de aplicaciones y contenidos' la información asociada a líneas de comunicación móvil (que incluye datos de geolocalización en tiempo real, metadatos de comunicaciones y datos de tráfico). La gestión, cruce y análisis masivo de estos datos de localización y comunicaciones por las fiscalías se realiza casi invariablemente mediante herramientas analíticas y de minería de datos que pueden incorporar ML/IA (analítica predictiva, vinculación de identidades, georreferenciación). La nueva Ley en Materia de Telecomunicaciones y Radiodifusión (2025) amplía el universo de obligados a 'proveedores de servicios de aplicaciones y contenidos', acercándose a la vigilancia sobre plataformas digitales. R3 (invasión de privacidad mediante acceso a geolocalización y metadatos) y R9 (vigilancia estatal sin controles tecnológicos adecuados; riesgo de uso contra periodistas/opositores documentado en México con Pegasus). GAP: el Acuerdo solo designa funcionarios; no establece salvaguardas sobre el tratamiento algorítmico/automatizado de los datos obtenidos, ni límites de retención, auditoría, o trazabilidad del análisis. CONTEXTO MEXICANO: México carece de un marco robusto de control judicial efectivo sobre vigilancia y tiene antecedentes de abuso (Pegasus); la descentralización a fiscalías estatales con menor capacidad de enforcement amplifica el riesgo.

El Acuerdo del INE regula la difusión de propaganda gubernamental durante el periodo electoral en Coahuila, listando campañas institucionales exceptuadas o improcedentes. El régimen regula 'frases, imágenes, voces o símbolos' pero NO contempla la generación sintética de contenido (deepfakes de audio/voz e imagen) ni el uso de IA generativa para crear o personalizar propaganda, vector creciente de manipulación electoral. R4 (desinformación y contenido sintético en contexto electoral, severidad Muy Alta por amenaza a estabilidad democrática). El Acuerdo prohíbe 'voces o símbolos' que incidan en el resultado, pero no aborda clonación de voz por IA ni imágenes generadas. GAP: ausencia total de menciones a contenido generado por IA, etiquetado de contenido sintético, o verificación de autenticidad de materiales de propaganda. CONTEXTO MEXICANO: procesos electorales locales con capacidad de fiscalización limitada del INE estatal; la accesibilidad de herramientas de IA generativa hace de bajo costo la producción de propaganda sintética dirigida.