Diario Oficial de la Federación, No. de publicación 140/2026, Ciudad de México, viernes 29 de mayo de 2026 (Edición Matutina). Incluye, entre otros: Estatuto Laboral del Centro Nacional de Inteligencia; Acuerdo de Coordinación Interinstitucional mediante el cual se crea el Comité Técnico de la Infraestructura de Supercómputo Coatlicue; Acuerdo de la Comisión Nacional de Energía por el que se expide su Manual de Organización General; Acuerdo que modifica las Reglas y criterios de carácter general en materia de comercio exterior de la Secretaría de Economía; y diversos convenios de coordinación.

Este es el hallazgo MÁS RELEVANTE y EXPLÍCITO de la edición. El Acuerdo crea el órgano de gobernanza (Comité Técnico) de la supercomputadora 'Coatlicue', infraestructura nacional concebida explícitamente para 'fortalecer las capacidades nacionales en materia de supercómputo e inteligencia artificial' y para el 'procesamiento masivo de datos'. Se vincula con el Cluster Nacional de Supercómputo e Inteligencia Artificial (CNSCIA) y con el Barcelona Supercomputing Center (BSC-CNS). 1) RELEVANCIA PARA IA: Es infraestructura de cómputo de frontera que habilitará el entrenamiento y ejecución de modelos de IA ('proyectos, procesos o modelos a ejecutar en Coatlicue'). El Comité decidirá qué 'modelos' se ejecutan, abriendo el acceso tanto a instituciones públicas como privadas. 2) RIESGOS: R10 (Concentración de poder) — la capacidad de cómputo de IA es un cuello de botella estratégico; concentrar su gobernanza y asignación (mínimo 25% reservado a la APF) en un Comité con criterios discrecionales puede determinar qué actores acceden a la frontera de IA en México, y el memorándum con el BSC implica dependencia de un proveedor extranjero clave. R3 (Privacidad) — procesará 'información en custodia de las dependencias y entidades' clasificada por 'criticidad y sensibilidad', incluidos potencialmente datos personales masivos, sin que el Acuerdo establezca evaluaciones de impacto en protección de datos. R9 (Vigilancia) — la orientación a 'problemas estratégicos nacionales' y la activación 'ante situaciones de emergencia nacional' abre la puerta a usos de seguridad/inteligencia con cómputo masivo sin controles democráticos explícitos. R13 (Pérdida de control) — al ser infraestructura crítica que soportará modelos cuyos resultados alimentarán decisiones públicas, exige salvaguardas de supervisión humana no previstas. R15 (Emergentes) — IA + supercómputo en dominios estratégicos es un campo de riesgos imprevistos. 3) GAPS REGULATORIOS: El Acuerdo regula gobernanza administrativa (integración del Comité, sesiones, presupuesto) pero NO establece: estándares de seguridad de modelos, evaluaciones de capacidades peligrosas (dual-use), criterios éticos o de derechos humanos para aprobar 'modelos', transparencia sobre qué proyectos se ejecutan, ni límites a usos en vigilancia. Los criterios de evaluación de solicitudes quedan diferidos a 'Lineamientos' aún no emitidos. 4) CONTEXTO MEXICANO: Coatlicue es pieza del 'Plan México' y de la apuesta por soberanía tecnológica. La capacidad de enforcement y de auditoría técnica independiente sobre modelos de IA es incipiente en México; la apertura a 'iniciativa privada' sin reglas de gobernanza algorítmica puede reproducir asimetrías de poder.

El Estatuto Laboral del Centro Nacional de Inteligencia (CNI, antes CISEN) regula el régimen de personal (selección, control de confianza, profesionalización, baja) del principal órgano de inteligencia civil del Estado mexicano. Aunque su contenido es estrictamente laboral y NO menciona tecnología, su relevancia es de GAP REGULATORIO en el contexto de IA. 1) RELEVANCIA PARA IA: Los centros de inteligencia modernos son usuarios intensivos de herramientas de análisis masivo de datos, integración de bases de datos, análisis predictivo de criminalidad/disidencia y, crecientemente, IA para procesar comunicaciones e información de fuentes abiertas. El CNI realiza 'tareas de inteligencia en materia de seguridad pública' y tendría acceso potencial a infraestructura como Coatlicue (ver H1). 2) RIESGOS: R9 (Vigilancia autoritaria) — la inteligencia estatal apoyada en IA puede habilitar vigilancia masiva, análisis de opositores y perfilamiento sin controles. R3 (Privacidad) — procesamiento de datos personales sensibles. El Estatuto fortalece la capacidad institucional (capacitación, especialización, poligrafía) sin contrapeso de gobernanza algorítmica. 3) GAP: El instrumento es la oportunidad para introducir obligaciones de capacitación en ética de IA, protocolos de uso responsable de analítica avanzada y control de confianza sobre el manejo de sistemas automatizados; nada de ello aparece. 4) CONTEXTO MEXICANO: México carece de un marco robusto de control democrático y judicial sobre inteligencia; antecedentes como el uso de Pegasus subrayan el riesgo de vigilancia sin salvaguardas. La opacidad reservada del Centro (información 'confidencial y reservada') dificulta la fiscalización de cualquier capacidad de IA que adquiera.

La referencia al 'mecanismo de selección automatizado' alude al sistema aduanero (semáforo fiscal) que decide automáticamente qué mercancías se revisan físicamente al cruzar la frontera. Es un sistema de decisión automatizada preexistente que típicamente incorpora reglas y, cada vez más, análisis de riesgo basado en datos. 1) RELEVANCIA PARA IA: La selección automatizada de mercancías para inspección es un caso clásico de toma de decisiones automatizada que puede evolucionar (o ya operar) con modelos de scoring de riesgo / machine learning. 2) RIESGOS: R1 (Errores) — falsos positivos/negativos del mecanismo afectan tiempos y costos de importadores y la eficacia del control aduanero. R2 (Sesgo) — el scoring de riesgo aduanero puede discriminar sistemáticamente a ciertos contribuyentes, orígenes o perfiles sin transparencia ni recurso. La severidad se evalúa Media porque la regla solo menciona el mecanismo de forma incidental, sin regular su lógica. 3) GAP: No se establece transparencia sobre los criterios de selección, ni auditoría de equidad, ni mecanismo de impugnación específico para el resultado del sistema automatizado. 4) CONTEXTO MEXICANO: Con alta dependencia del comercio exterior, una selección automatizada opaca puede generar trato desigual entre operadores y oportunidades de discrecionalidad.

El Manual de Organización de la Comisión Nacional de Energía asigna funciones de 'monitoreo del comportamiento de los mercados', 'detección de posibles incumplimientos e ilícitos' y 'análisis de datos para la correcta supervisión', además de 'automatización de los procesos sustantivos' en su área de TIC. 1) RELEVANCIA PARA IA: La detección de prácticas anticompetitivas y de anomalías en mercados energéticos mediante 'monitoreo' y 'análisis de datos' es un dominio donde se aplican o aplicarán modelos de analítica/aprendizaje automático para deteccion de patrones, sin mención explícita (eufemismo regulatorio). 2) RIESGOS: R1 (Errores) — un sistema de detección automatizada de incumplimientos puede señalar erróneamente a permisionarios, con consecuencias sancionadoras. R9 — capacidad de vigilancia/monitoreo del comportamiento de actores del mercado, aquí enfocada a entidades reguladas (no a personas), por lo que la severidad es Media. 3) GAP: El Manual es organizativo y no establece transparencia metodológica ni garantías de revisión humana sobre eventuales sistemas automatizados de detección. 4) CONTEXTO MEXICANO: La recién creada Comisión Nacional de Energía concentra atribuciones de regulación técnica y sancionadora; cualquier automatización de su monitoreo debe contar con debido proceso para los sujetos regulados.

El Convenio de salud pública con Oaxaca obliga a alimentar el Sistema Nacional de Vigilancia Epidemiológica (SINAVE/SINAVE), plataformas de 'vigilancia entomológica' y el sistema financiero SIAFFASPE con datos de salud poblacional. 1) RELEVANCIA PARA IA: La vigilancia epidemiológica concentra datos sensibles de salud susceptibles de análisis predictivo y modelos de IA (predicción de brotes, perfilamiento poblacional). Es un dominio de alto valor para IA donde el instrumento no menciona salvaguardas algorítmicas. 2) RIESGOS: R3 (Privacidad) — agregación de datos de salud de poblaciones vulnerables. La severidad es Media porque el Convenio es de transferencia de insumos y reportería, sin describir tratamiento automatizado, pero la infraestructura de datos es la base para futuros usos de IA. 3) GAP: No hay referencia a protección de datos personales en salud más allá de la reportería, ni a límites para usos secundarios analíticos. 4) CONTEXTO MEXICANO: Los sistemas de información en salud son fragmentados; su consolidación con analítica avanzada requiere gobernanza de datos sensibles que hoy no está prevista en estos convenios.

Los Convenios con la CNBP financian acciones de búsqueda e 'identificación forense... a través de un enfoque masivo o a gran escala', y el marco sectorial busca 'tener la mayor cantidad de información posible' sobre poblaciones afectadas. 1) RELEVANCIA PARA IA: La identificación forense masiva a gran escala (cotejo de perfiles genéticos, biométricos y huellas dactilares) y la consolidación de bases de datos forenses son dominios donde se aplican algoritmos de comparación y, potencialmente, IA. El Sistema Nacional de Búsqueda contempla bases de datos robustas. 2) RIESGOS: R3 (Privacidad) — manejo de datos biométricos y genéticos altamente sensibles de víctimas y familiares. R1 (Errores) — el cotejo biométrico/genético 'masivo o a gran escala' es un sistema de coincidencia de alto riesgo donde los falsos positivos/negativos tienen consecuencias gravísimas e irreversibles: entregar restos a la familia equivocada, cerrar erróneamente una búsqueda o no identificar a una persona realmente presente en la base. La presión por procesar 'a gran escala' incentiva la automatización del cotejo sin revisión humana experta suficiente, y el convenio no fija umbrales de confianza ni supervisión pericial. La severidad de R1 y R3 se evalúa Media porque el instrumento es un convenio de subsidio (financiero) que no describe el tratamiento automatizado, pero habilita la infraestructura de datos forenses masivos que operará dicho cotejo. 3) GAP: Aunque los convenios incluyen cláusulas de confidencialidad y protección de datos personales, no abordan los riesgos específicos del cotejo algorítmico/biométrico a gran escala (tasa de error, validación pericial obligatoria de coincidencias) ni la gobernanza de bases de datos genéticas. 4) CONTEXTO MEXICANO: Con más de 100 mil personas desaparecidas, la presión por identificación a gran escala es legítima y urgente; ello no exime de salvaguardas frente a errores de coincidencia y usos indebidos de datos biométricos sensibles.