Fallos y errores

Es la única mención EXPLÍCITA de inteligencia artificial en toda la edición. El INEEL (antes Instituto de Investigaciones Eléctricas), como brazo tecnológico de la CFE, fija como visión a 2050 incorporar la IA, el internet de las cosas (IoT), la digitalización y la ciberseguridad industrial al desarrollo de tecnologías de generación, transmisión y distribución de electricidad. 1) Relevancia para IA: el documento sitúa explícitamente a la IA como tecnología habilitadora de la infraestructura eléctrica nacional, sector clasificado como infraestructura crítica. Aunque es una aspiración estratégica de I+D+i (no un sistema en operación), define la dirección institucional de inversión y desarrollo tecnológico del Estado en energía para las próximas dos décadas. 2) Riesgos: R10 (Concentración de poder / dependencia tecnológica): el propio PI reconoce reiteradamente la 'dependencia tecnológica extranjera' y el objetivo de 'reducir la dependencia'; el desarrollo de IA para el sector eléctrico se concentraría en pocos proveedores de modelos, hardware y plataformas, reforzando dependencia si no se construye capacidad nacional. R13 (Pérdida gradual de control): la aplicación de IA/IoT a la operación del Sistema Eléctrico Nacional implica delegación creciente de control sobre infraestructura crítica; sin requisitos de supervisión humana, auditoría y reversión, podría erosionar el control humano efectivo. R1 (Malfunctions): errores o fallas de sistemas de IA aplicados a operación de redes pueden afectar confiabilidad y seguridad del suministro. 3) Gaps: el PI menciona la IA como objetivo deseable pero NO establece principios de gobernanza, transparencia algorítmica, supervisión humana, ciberresiliencia verificable ni evaluación de riesgos para su incorporación a la infraestructura eléctrica. No hay marco regulatorio que acompañe esta visión. 4) Contexto mexicano: México carece de una ley general de IA; el sector energético es estratégico y soberano por mandato constitucional (CFE garantizando 54% de la generación). La dependencia tecnológica reconocida y la capacidad limitada de I+D+i (la plantilla del INEEL se redujo de 938 a 523 personas entre 2018 y 2024) hacen plausible que la IA para el sector se adquiera de proveedores extranjeros, profundizando el riesgo de concentración/dependencia.

La 'digitalización del sistema eléctrico nacional' y las 'redes inteligentes' (smart grids) constituyen un dominio donde la IA y el aprendizaje automático son tecnologías habilitadoras típicas, aunque aquí no se nombren explícitamente en este pasaje (sí se nombran en la visión a largo plazo, ver H1). Las redes inteligentes incorporan medición avanzada, control automatizado de flujos, optimización de despacho y mantenimiento predictivo basados en analítica de datos. 1) Relevancia para IA: 'redes inteligentes' y 'digitalización del sistema eléctrico' son eufemismos/dominios donde la automatización avanzada y la IA suelen integrarse para la gestión en tiempo real de infraestructura crítica. 2) Riesgos: R13 (pérdida gradual de control) por automatización creciente de la operación de la red; R1 (malfunctions) por errores en sistemas de control de infraestructura crítica; R10 (concentración/dependencia) por la provisión de plataformas y equipamiento de smart grids por pocos proveedores tecnológicos. 3) Gaps: el Programa enuncia las redes inteligentes como prioridad institucional pero no contempla requisitos de supervisión humana, ciberseguridad verificable, ni mecanismos de contingencia ante fallas de sistemas automatizados que controlen la red. 4) Contexto mexicano: la red eléctrica es infraestructura crítica operada por CFE/CENACE; la modernización con redes inteligentes incrementa superficie de ataque cibernético y dependencia de proveedores. Es un hallazgo emergente (mandato de desarrollar/implementar, no sistema desplegado todavía).

La convocatoria contrata 'equipamiento para la prevención y detección de fraudes y operaciones con recursos de procedencia ilícita' (PLD/antilavado). La detección de fraude y de operaciones con recursos de procedencia ilícita a escala es, hoy, una de las aplicaciones más extendidas de aprendizaje automático y analítica de patrones: estos sistemas perfilan comportamiento transaccional para emitir alertas, y constituyen el ejemplo canónico de detección automatizada de operaciones inusuales descrito en la propia taxonomía (análogo al 'Sistema de detección de fraude fiscal' y al ejemplo SADOI). Aunque el resumen de licitación no detalla la tecnología del 'equipamiento', la naturaleza de la función (detección/prevención de fraude y lavado) hace altamente probable la presencia de motores de scoring/clasificación automatizada. RIESGOS: R1 (Malfunctions): Un sistema de detección de fraude/PLD genera falsos positivos que pueden derivar en bloqueo de operaciones, congelamiento de cuentas o señalamientos sin revisión humana adecuada; los errores impactan directamente a personas. R2 (Discrimination): Los modelos de detección financiera arrastran sesgos contra patrones atípicos (economía informal, ingresos irregulares), que en México —con cerca del 60% de informalidad laboral— pueden traducirse en discriminación masiva contra poblaciones vulnerables erróneamente etiquetadas como 'inusuales'. R3 (Privacy): Implica el procesamiento masivo de comportamiento financiero sin que la convocatoria prevea salvaguardas de privacidad, transparencia metodológica ni derechos de impugnación. GAPS REGULATORIOS: 1) El resumen no transparenta si el 'equipamiento' incorpora algoritmos de clasificación/scoring ni sus tasas de error y sesgo. 2) No hay mención de revisión humana, auditoría independiente del modelo ni mecanismo de apelación para personas señaladas. 3) No se acota la retención ni el uso secundario de los datos analizados. CONTEXTO MEXICANO: Capacidad institucional limitada para auditar sistemas algorítmicos de PLD y alta informalidad económica elevan el riesgo de falsos positivos y exclusión financiera; el INAI debilitado reduce la supervisión independiente sobre el tratamiento masivo de datos financieros.

Los convenios de subsidios a las Comisiones Locales de Búsqueda describen como atribución de la CNBP la "búsqueda forense con fines de identificación de cuerpos y restos humanos... a través de un enfoque masivo o a gran escala", así como (en los antecedentes) la prioridad de "tener la mayor cantidad de información posible" sobre las poblaciones afectadas. La identificación forense masiva a gran escala es, en la práctica internacional y mexicana, un dominio donde se emplean cada vez más tecnologías intensivas en datos: bases de datos genéticas (perfiles de ADN), cotejo biométrico, reconocimiento de patrones para confronta de datos post-mortem y ante-mortem, y cruce masivo de padrones y registros. RIESGOS IDENTIFICADOS: R3 (Privacidad): El procesamiento e integración a gran escala de datos genéticos, biométricos y personales sensibles de víctimas y familiares (datos de las "poblaciones afectadas") plantea riesgos de privacidad y de retención/uso secundario indebido. Los convenios solo invocan la legislación general de protección de datos personales sin establecer salvaguardas específicas para datos genéticos/biométricos en cotejos automatizados. R1 (Errores): La identificación automatizada o semiautomatizada de restos a gran escala conlleva riesgo de falsos positivos/negativos con consecuencias graves (identificación errónea de una persona desaparecida). No se mencionan estándares de verificación humana ni umbrales de confiabilidad. GAP REGULATORIO: El instrumento es un convenio de transferencia de subsidios y no regula las herramientas tecnológicas que podrían usarse en la identificación forense masiva; no menciona IA, cotejo automatizado de ADN/biometría, ni salvaguardas para datos genéticos. Es un gap potencial: el dominio es de alto riesgo y los recursos podrían destinarse a tecnología de cotejo masivo sin marco específico. NIVEL DE EVIDENCIA: Implícito débil (el texto no confirma uso de IA; se infiere por el dominio de identificación forense masiva). CONTEXTO MEXICANO: México enfrenta una crisis de personas desaparecidas con decenas de miles de cuerpos sin identificar; el uso de bases de datos genéticas y cotejo masivo es altamente sensible y requiere salvaguardas reforzadas para datos de víctimas y familiares.

El PEM ordena desplegar una constelación de satélites de Observación de la Tierra cuyas finalidades incluyen expresamente 'seguridad', 'Vigilancia y Seguridad', 'Defensa Nacional' y 'Vigilancia de fronteras y territorios'. Aunque el texto enmarca la OT en gestión de desastres y monitoreo ambiental, el mismo documento lista usos de seguridad/defensa como prioridades de diseño de la carga útil, e indica imágenes ópticas de Muy Alta Resolución (VHR) con resolución de hasta 31 cm y tiempos de revisita de 24 horas o menos. RIESGOS: R9 (Vigilancia autoritaria): infraestructura satelital estatal con capacidad de monitoreo persistente del territorio para fines de 'seguridad' y 'defensa' es la base material de vigilancia masiva sin orden judicial. El procesamiento de estas imágenes a escala requiere IA/visión por computadora (detección de objetos, cambio de uso de suelo, conteo y seguimiento), capacidad que el propio PEM reconoce al citar que 'la Inteligencia Artificial (IA) permite que los datos de OT se utilicen de manera rutinaria para la toma de decisiones'. R3 (Privacidad): VHR submétrica + alta revisita permite inferencias sobre actividades, asentamientos y movimientos de personas; no hay límites, garantías ni control judicial en el documento. R1 (Errores): decisiones de seguridad basadas en detección automatizada sobre imágenes (falsos positivos, mala georreferenciación) sin estándares de exactitud ni supervisión humana descritos. GAPS: el Programa no define (1) límites al uso de OT con fines de seguridad/defensa sobre población civil, (2) controles judiciales/parlamentarios, (3) evaluación de impacto en derechos humanos, (4) estándares de exactitud y supervisión humana, ni (5) régimen de retención y acceso a las imágenes y a sus productos analíticos.

El PEM reconoce EXPLÍCITAMENTE el uso de Inteligencia Artificial y cómputo en la nube para explotar de forma rutinaria los datos de Observación de la Tierra en la 'toma de decisiones... a escala', y ordena crear un Centro Nacional que CENTRALIZARÁ el procesamiento y análisis de las imágenes para 'las diversas dependencias gubernamentales', incluida la seguridad nacional, el monitoreo ambiental y la planeación urbana. RIESGOS: R10 (Concentración de poder): la centralización en la ATDT del procesamiento/análisis de imágenes de TODO el gobierno crea un punto único de control sobre inteligencia geoespacial nacional; el texto reconoce dependencia de 'terceros' para la analítica, lo que puede trasladar capacidad crítica a proveedores (incluido análisis con IA), agravando dependencia tecnológica. R9/R3: un nodo único que produce 'información procesable' a escala para todas las dependencias amplifica el potencial de vigilancia y de inferencias sobre el territorio y la población, sin que el documento prevea contrapesos. R1: usar productos de IA 'de manera rutinaria' para decisiones públicas, sin estándares de validación, fomenta el sesgo de automatización (tratar el output como infalible). GAPS: no se establecen requisitos de transparencia algorítmica, auditoría, validación de exactitud, supervisión humana, ni gobernanza de acceso para el Centro Nacional y sus capacidades de IA.

El documento adopta como objetivo sectorial el 'Uso de Inteligencia de Datos' para 'optimizar la función de gobierno y la toma de decisiones'. 'Inteligencia de datos' y 'análisis de datos' son eufemismos burocráticos que, a escala gubernamental, implican analítica avanzada y muy probablemente aprendizaje automático aplicado a datos administrativos y poblacionales. RIESGOS: R2 (Discriminación): si la 'inteligencia de datos' alimenta decisiones sobre asignación de programas, focalización territorial (el PEM ya prevé 'análisis de información que considere... condición social, nivel socioeconómico' para delimitar población objetivo) o priorización de servicios, puede reproducir sesgos contra poblaciones marginadas, indígenas o rurales. R1: decisiones de gobierno 'optimizadas' por modelos sin validación pueden incurrir en error sistemático. R3: la agregación de datos para 'inteligencia' puede habilitar inferencias sensibles sobre individuos. GAP: el objetivo se enuncia sin salvaguardas (auditoría de equidad, derecho a impugnación, transparencia del método), pese a su impacto potencial en derechos y acceso a servicios.

El Título de Asignación del nuevo ramal ferroviario Buenavista-Lechería-AIFA obliga a operar videovigilancia en estaciones, terminales y patios, además de sistemas de señalización y control de trenes, boletaje electrónico con QR/pago electrónico y registros estadísticos en 'sistemas automatizados'. Aunque el texto no menciona IA, los sistemas de videovigilancia masiva en infraestructura de transporte tienden a incorporar analítica de video (detección de personas/objetos, conteo, potencialmente reconocimiento facial) y el control de tráfico ferroviario incorpora automatización creciente. RIESGOS: R3 (Privacidad): videovigilancia masiva en espacios públicos de alto tránsito sin salvaguardas descritas (retención, prohibición de biometría, acceso) habilita vigilancia de pasajeros. R1 (Errores): la combinación de señalización/control automatizado y alarmas en un servicio crítico exige confiabilidad y supervisión humana. GAP: no se establecen límites al uso de analítica/biometría sobre el video, ni reglas de retención o de acceso de terceros (el Asignatario es privado).

Los convenios de subsidios para búsqueda de personas facultan a la CNBP para la 'búsqueda forense con fines de identificación de cuerpos y restos humanos... a través de un enfoque masivo o a gran escala'. La identificación humana masiva (confronta de perfiles genéticos/ADN, datos biométricos, dactiloscopia, cruce de bases de datos forenses y de personas desaparecidas) es un dominio donde se aplican o se aplicarán algoritmos de coincidencia (matching) y análisis automatizado a gran escala. RIESGOS: R3 (Privacidad): el tratamiento masivo de datos biométricos y genéticos de víctimas y familiares es altamente sensible; los convenios solo remiten a la normativa general de datos personales, sin salvaguardas específicas para identificación forense automatizada. R1 (Errores): errores de coincidencia en identificación masiva tienen consecuencias graves (identificaciones falsas, revictimización). R2 (Sesgo): sistemas de identificación pueden tener desempeño desigual según calidad de muestras o poblaciones. GAP: dominio crítico de derechos humanos donde el cruce automatizado a gran escala no se acompaña de estándares de exactitud, validación pericial humana, ni gobernanza específica de datos genéticos/biométricos.

El Reglamento Interior de la ASF crea una Unidad Especializada en Inteligencia y Análisis (Artículo 21) con Direcciones Generales de Inteligencia y Análisis A y B (Artículo 33) cuyas atribuciones describen, de forma acumulada, un aparato de analítica masiva y automatizada. En el Artículo 33: 'Desarrollar modelos analíticos de riesgo aplicados al gasto público' (fracc. VI), 'Administrar sistemas institucionales de alertas analíticas' (fracc. VIII), 'Diseñar plataformas tecnológicas para análisis masivo de información' (fracc. XI), 'Integrar sistemas de análisis automatizado del gasto público' (fracc. XII), 'Analizar comportamiento fiscal de la proveeduría gubernamental' (fracc. IV) e 'Integrar bases de datos institucionales para análisis analítico' (fracc. VII). El Artículo 21 refuerza el alcance: la Unidad es competente 'para integrar, sistematizar y analizar información financiera, fiscal, patrimonial y administrativa relacionada con el ejercicio de los recursos públicos federales y federalizados, con el objeto de identificar riesgos, irregularidades y posibles esquemas de corrupción', y entre sus atribuciones figuran 'Dirigir el Sistema Institucional de Inteligencia para la Fiscalización del Gasto Público' (fracc. IV), 'Supervisar el desarrollo de modelos analíticos y herramientas de inteligencia institucional' (fracc. VIII), 'Supervisar el funcionamiento de sistemas institucionales de alertas' (fracc. XII), 'Coordinar el análisis de redes empresariales vinculadas con el gasto público' (fracc. XV) y vincular las denuncias y peticiones ciudadanas con la información financiera, fiscal y patrimonial 'con el objeto de identificar patrones de riesgo' (fracc. XVI-XVII). De forma complementaria, el Artículo 32 (Auditoría Forense) habilita 'Recabar, analizar y procesar... aquella información contenida en los diversos medios de almacenamiento y bases de datos, para lo cual podrá utilizar herramientas tecnológicas e informáticas especializadas' (fracc. VII). POR QUÉ ES RELEVANTE PARA IA: La combinación de 'modelos analíticos de riesgo', 'sistemas de análisis automatizado', 'alertas analíticas', 'análisis masivo de información' y 'análisis de redes empresariales' sobre el gasto público y sobre proveedores de gobierno es la descripción funcional típica de sistemas de scoring de riesgo, link-analysis y detección de anomalías basados en estadística avanzada y, plausiblemente, machine learning, aunque el texto nunca menciona 'inteligencia artificial', 'algoritmo' ni 'modelo predictivo'. RIESGOS: R9 (vigilancia/inteligencia): se institucionaliza un 'Sistema Institucional de Inteligencia' y análisis de comportamiento de servidores públicos y de la proveeduría gubernamental, integrando bases de datos de múltiples fuentes (financiera, fiscal, patrimonial, administrativa) y vinculándolas con denuncias ciudadanas, lo que constituye perfilamiento y vigilancia administrativa a gran escala. R3 (privacidad): la integración y cruce sistemático de información financiera, fiscal y PATRIMONIAL de personas servidoras públicas, particulares y redes empresariales, sin límites explícitos de retención ni de finalidad secundaria, configura un tratamiento masivo de datos personales y patrimoniales con riesgo de inferencias sensibles. R2 (sesgo): los modelos de riesgo que priorizan a quién auditar o sancionar pueden incorporar sesgos (p. ej., contra proveedores pequeños o de ciertas regiones) que se traducen en selección desigual para fiscalización. R1 (errores): las 'alertas analíticas' y 'diagnósticos' automatizados pueden producir falsos positivos que detonen procedimientos de responsabilidad o multas contra servidores públicos o particulares. GAPS: No se establece transparencia metodológica de los 'modelos analíticos de riesgo', ni auditoría independiente de los mismos, ni derecho de contradicción específico frente a una alerta generada automáticamente, ni estándares de precisión, ni supervisión humana obligatoria sobre la selección automatizada de objetivos de fiscalización, ni límites de retención y finalidad para el 'Registro de Información y Datos relacionados con los Recursos Federales'. CONTEXTO MEXICANO: La ASF es un órgano clave del control del gasto; dotarla de analítica masiva e 'inteligencia' sin salvaguardas de gobernanza algorítmica ni de protección de datos replica el riesgo observado en otros sistemas estatales de 'inteligencia' donde la opacidad impide auditar sesgos o errores y donde existe riesgo de uso selectivo o político de las herramientas.

El Reglamento prevé expresamente el 'desarrollo e implantación de sistemas automatizados de apoyo a la función fiscalizadora' que 'procesan y generan insumos y elementos relevantes' de los informes de auditoría. Es un mandato de automatización del procesamiento de información y generación de contenido de los informes de fiscalización. POR QUÉ ES RELEVANTE PARA IA: 'Sistemas automatizados' que 'procesan y generan insumos' de informes son candidatos naturales a incorporar procesamiento de lenguaje, extracción automática de datos o generación asistida de texto; el riesgo es que outputs automatizados se traten como infalibles (automation bias) en documentos con consecuencias jurídicas (informes individuales que detonan responsabilidades). RIESGOS: R1 (errores/automation bias): si el sistema genera insumos erróneos que se incorporan a informes oficiales sin verificación humana suficiente, puede derivar en señalamientos indebidos. R9 (de forma incipiente): el procesamiento automatizado de información de entidades fiscalizadas amplía la capacidad de vigilancia administrativa. GAPS: No se exige verificación humana de los insumos generados automáticamente, ni trazabilidad sobre qué partes de un informe son producto de un sistema automatizado. CONTEXTO MEXICANO: La fiscalización superior tiene efectos sancionatorios y reputacionales; la automatización sin controles de calidad y trazabilidad puede comprometer el debido proceso de entidades y servidores públicos.

La Resolución de la CNBV regula los requerimientos de capital por riesgo de crédito y reconoce a las instituciones autorizadas para usar 'Modelos basados en calificaciones internas' (internal ratings-based, IRB) para estimar Probabilidad de Incumplimiento, Severidad de la Pérdida y Exposición. Asimismo sustituye los Anexos 20 y 22 que establecen metodologías de 'Puntaje Crediticio Total' (credit scoring) que asignan puntos a personas morales y físicas con actividad empresarial para estimar su Probabilidad de Incumplimiento. POR QUÉ ES RELEVANTE PARA IA: Los 'Modelos basados en calificaciones internas' y el credit scoring son precisamente el tipo de sistemas donde las instituciones financieras incorporan cada vez más machine learning. El marco prescribe la mecánica estadística (puntajes por indicadores, factores cuantitativos y cualitativos) pero no regula el caso en que esos modelos internos sean modelos de IA/ML, ni su gobernanza (auditoría de sesgo, explicabilidad, contestabilidad). RIESGOS: R2 (discriminación): el scoring de acreditados —incluidas personas físicas con actividad empresarial— determina acceso y costo del crédito; modelos internos opacos pueden incorporar sesgos (p. ej., por sector económico, región o informalidad) y amplificar exclusión financiera. R1 (errores): errores en los modelos internos de calificación pueden traducirse en negativas de crédito o requerimientos de capital mal calibrados. GAPS: El marco no exige explicabilidad ni auditoría de sesgo de los modelos internos de calificación, ni un derecho del acreditado a conocer y objetar los factores que determinaron su puntaje, ni controles específicos para modelos de IA/ML usados como 'calificaciones internas'. CONTEXTO MEXICANO: Con alta informalidad económica (~60%), muchos acreditados presentan patrones financieros atípicos o 'Sin información', rango al que el propio anexo asigna puntajes que pueden penalizar el acceso al crédito; la falta de gobernanza de modelos internos profundiza la exclusión de poblaciones ya vulnerables.

Los oficios del SAT comunican listados masivos de contribuyentes presuntamente emisores de comprobantes que amparan operaciones inexistentes (EFOS), 'detectados' por la autoridad por carecer de activos, personal, infraestructura o capacidad material. La detección a gran escala de inconsistencias entre la facturación electrónica (CFDI) y la capacidad operativa real es un caso típico de analítica masiva de datos fiscales y cruces automatizados, aunque el texto no describe la metodología ni menciona IA. POR QUÉ ES RELEVANTE PARA IA: La 'detección' sistemática de patrones de facturación inexistente sobre el universo de CFDI es la clase de tarea que el SAT realiza con minería de datos y modelos de riesgo; el efecto jurídico (presunción que puede volverse definitiva con consecuencias graves: pérdida de efectos fiscales de los comprobantes) recae sobre contribuyentes individuales, incluidas personas físicas. RIESGOS: R1 (errores/automation bias): falsos positivos en la detección pueden señalar indebidamente a contribuyentes legítimos (p. ej., negocios reales de baja infraestructura formal). R2 (sesgo): los criterios de 'ausencia de activos/personal/infraestructura' pueden penalizar desproporcionadamente a microempresas y a la economía informal/semiformal. GAPS: Aunque el 69-B prevé un plazo de 15 días para desvirtuar (garantía de audiencia), el documento no transparenta la metodología de detección ni si hubo intervención humana en la selección; no hay estándares públicos de tasa de error ni auditoría del sistema de detección. CONTEXTO MEXICANO: La carga de la prueba recae en el contribuyente con plazos cortos; en un país con baja capacidad de defensa fiscal de pequeños contribuyentes, los falsos positivos pueden causar daño económico y reputacional difícil de revertir.

El Acuerdo prevé la operación de un 'Sistema que permita la validación de datos' contra la base del Registro Nacional de Población (RENAPO) para sustituir la presentación física de actas (nacimiento, matrimonio, defunción) en los trámites de armas de fuego, explosivos y pirotecnia. Aunque no se nombra 'inteligencia artificial', se trata de una confronta automatizada de identidad/padrones contra una base de datos poblacional nacional, mecanismo que normalmente se apoya en reglas de coincidencia y, crecientemente, en analítica/cotejo automatizado de datos personales. 1) Relevancia para IA: la interoperabilidad y validación automática de datos personales contra RENAPO es la antesala de sistemas de cotejo de identidad que pueden incorporar componentes algorítmicos; el resultado del cotejo condiciona el acceso a un trámite en un dominio crítico (control de armas). 2) Riesgos: R3 (Privacidad): se procesan y confrontan datos personales sensibles (incluida la identidad y, en otros trámites del mismo Acuerdo, la CURP biométrica) contra una base nacional, sin que el texto detalle límites de finalidad, minimización, conservación, ni controles de acceso del lado de la SEDENA. R2 (Discriminación/Sesgo): un cotejo erróneo o datos no homologados en RENAPO pueden negar o retrasar trámites a personas con registros incompletos (población rural, indígena, migrante o con actas no digitalizadas), reproduciendo brechas de la digitalización. R1 (Malfunctions): el propio Acuerdo reconoce que el Sistema podría 'no poder validar la información', es decir, contempla fallas; si la validación automática se trata como infalible podría producir falsos negativos que afecten derechos. 3) Gaps: no se establece autoridad de control de privacidad (INAI/sucesor), evaluación de impacto en protección de datos, derecho de impugnación del solicitante ante un cotejo fallido, ni auditoría del Sistema de validación. 4) Contexto mexicano: la confronta con RENAPO/CURP es una pieza recurrente de la 'identidad digital' nacional; en un dominio tan sensible como el de armas de fuego, la ausencia de salvaguardas explícitas y la capacidad limitada de supervisión de protección de datos elevan el riesgo de uso indebido o de errores no apelables.

Los dos Convenios de subsidios para acciones de búsqueda de personas describen como atribución de la CNBP la 'búsqueda forense con fines de identificación de cuerpos y restos humanos' con un 'enfoque masivo o a gran escala', además de la 'identificación humana complementaria'. Aunque el texto no nombra 'inteligencia artificial', la identificación forense de personas a gran escala (con el universo de personas desaparecidas y no localizadas de México) se apoya de forma característica en tecnologías de cotejo automatizado de patrones: comparación de perfiles genéticos (matching de ADN contra bancos de datos), reconocimiento facial/reconstrucción, cotejo dactilar y odontológico, todos ellos sistemas algorítmicos de comparación de patrones biométricos. 1) Relevancia para IA: el cotejo 'a gran escala' de restos humanos contra bases de datos de personas desaparecidas y de familiares (perfiles genéticos, biométricos) es precisamente un dominio donde la analítica automatizada y los algoritmos de matching son la herramienta estándar; el subsidio financia 'proyectos' y equipamiento sin acotar las salvaguardas de los sistemas de identificación que se empleen. 2) Riesgos: R3 (Privacidad/datos sensibles): se procesan datos genéticos y biométricos —los más sensibles— de víctimas, restos y de familiares que aportan muestras de referencia, sin que el Convenio detalle límites de finalidad, conservación, controles de acceso ni interoperabilidad de los bancos forenses. R1 (Malfunctions/Errores): una identificación forense errónea (falso positivo/negativo en el cotejo de ADN o biométrico) tiene consecuencias gravísimas —entregar restos equivocados a una familia, cerrar una búsqueda indebidamente—; si el resultado algorítmico se trata como concluyente sin verificación pericial humana, se materializa el automation bias en un dominio crítico. R2 (Sesgo): bases de referencia incompletas o sesgadas (poblaciones rurales, indígenas, migrantes con menor registro genético/biométrico) pueden producir tasas de identificación desiguales. 3) Gaps: el Convenio no establece estándares de exactitud, validación pericial humana obligatoria del cotejo, auditoría de los sistemas de identificación, ni régimen específico de protección de los datos genéticos/biométricos forenses y de los familiares donantes de muestras. 4) Contexto mexicano: México enfrenta una crisis de más de cien mil personas desaparecidas y miles de cuerpos sin identificar; la presión por identificar 'a gran escala' incentiva la adopción de herramientas automatizadas de cotejo masivo justo cuando la autoridad de protección de datos atraviesa una reconfiguración, lo que eleva el riesgo de errores no apelables y de tratamiento indebido de datos genéticos sensibles.

El Decreto crea y consolida un sistema digital ('Sistema Institucional de Medicina Preventiva') que concentra expedientes clínicos digitales, exámenes psicofísicos integrales y toxicológicos, y un 'padrón del personal' (Artículo 5, fracción IV) de conductores del transporte terrestre federal. Sobre esa base se emiten dictámenes de 'aptitud' o 'no aptitud psicofísica' que determinan el acceso al empleo (licencia federal). Aunque el texto no menciona IA, describe la infraestructura de datos sensibles de salud y la toma de decisiones sobre personas que constituye el sustrato típico sobre el que se despliegan sistemas de scoring/clasificación automatizada. RIESGOS: R3 (Privacidad): procesamiento masivo y digitalización de datos personales sensibles de salud (incluida toxicología) de miles de conductores, con un 'catálogo de personal apto' consultable por el público (Artículo 28) que expone número de expediente clínico y resultado de aptitud. No se establecen límites de retención, ni control sobre el uso secundario o la interconexión del padrón con otros sistemas. R2 (Discriminación): los dictámenes de no aptitud afectan el derecho al trabajo; si en el futuro se automatiza la evaluación (umbrales clínicos, detección de alteraciones), podrían amplificarse sesgos contra personas con discapacidad, condiciones crónicas o variabilidad clínica, sin auditoría de equidad ni análisis de impacto. R1 (Errores): la constancia se vincula a la prevención de accidentes; errores de captura, suplantación o decisiones automatizadas sin supervisión humana calificada podrían provocar negaciones injustas o falsos 'aptos'. GAPS: no hay previsión sobre supervisión humana en decisiones de aptitud, ni sobre auditabilidad/algoritmos, ni derecho de impugnación reforzado frente a decisiones basadas en datos, ni evaluación de impacto en privacidad para el sistema institucional. CONTEXTO MEXICANO: capacidad limitada de la Dirección y de terceros autorizados para garantizar seguridad de datos; el INAI/órganos de transparencia enfrentan recursos acotados para supervisar un padrón nacional de datos de salud.

El Aeropuerto Internacional Felipe Ángeles (AIFA, Santa Lucía, Zumpango) publica dos licitaciones contiguas para el mantenimiento y soporte técnico de un 'Sistema Inteligente de Transporte' (ITS) (LA-07-HZI-...-N-83-2026) y de un 'Sistema de Videovigilancia y Control de Acceso' (LA-07-HZI-...-N-84-2026). La denominación 'Sistema Inteligente de Transporte' es un eufemismo técnico (taxonomía: 'sistema inteligente', 'herramientas tecnológicas') que típicamente integra analítica de video, reconocimiento de matrículas (ANPR), conteo y clasificación de flujos, y fusión de sensores; combinado con un sistema de videovigilancia y control de acceso, configura infraestructura susceptible de incorporar analítica automatizada y biometría sobre personas en un nodo de transporte estratégico. Aunque las licitaciones son de mantenimiento de sistemas existentes (no su creación), evidencian que la infraestructura ya opera y que el DOF no la acompaña de ninguna salvaguarda sobre tratamiento de datos personales, retención o supervisión humana. RIESGOS: R3 (Privacidad): captación y procesamiento de imágenes/accesos de personas usuarias del aeropuerto; si el ITS o el sistema de control de acceso emplean biometría o ANPR, se tratan datos personales potencialmente sensibles sin que el instrumento publique avisos de privacidad ni límites. R9 (Vigilancia): un ITS más videovigilancia y control de acceso en infraestructura aeroportuaria operada por el Estado puede reutilizarse para monitoreo poblacional o cruce con otras bases (migración, seguridad) sin controles democráticos explícitos. R1 (Errores): la analítica automatizada de transporte/acceso aplicada a operación crítica aeroportuaria puede generar falsos positivos/negativos (p. ej. denegación de acceso) sin supervisión humana calificada. GAP: el DOF anuncia el mantenimiento de un sistema 'inteligente' sin transparentar qué capacidades de analítica/biometría incorpora, ni exigir evaluación de impacto, minimización o auditoría. CONTEXTO MEXICANO: el AIFA es operado por el Estado (Defensa/empresa pública); la ausencia de regulación de reconocimiento facial/biometría y de transparencia algorítmica deja sin marco la adopción tecnológica silenciosa en un nodo de transporte de alto tránsito.

Múltiples convocatorias del Servicio Profesional de Carrera publicadas en esta edición establecen una etapa de 'Revisión curricular en forma automatizada' a través de la plataforma TrabajaEn, en la que el sistema asigna automáticamente un folio de participación o de RECHAZO que descarta a la persona del concurso. Aunque el texto no menciona 'inteligencia artificial', describe una TOMA DE DECISIONES AUTOMATIZADA sobre el acceso de personas a oportunidades de empleo público, que es precisamente el supuesto central de R2. RIESGOS: R2 (Discrimination & Bias): El descarte automático se realiza por coincidencia/cotejo de los datos curriculares capturados contra el catálogo de requisitos del puesto. Si el catálogo, los criterios de carrera genérica o el parseo de la experiencia están mal configurados, el sistema puede excluir sistemáticamente a personas calificadas (por ejemplo, perfiles atípicos, equivalencias profesionales no contempladas, o errores de captura), reproduciendo sesgos sin análisis de impacto diferencial. No se documenta auditoría de equidad ni mecanismo efectivo de impugnación del rechazo automático (solo una ventana limitada de 'reactivación de folios'). R1 (Malfunctions & Errors): El descarte es tratado como infalible ('automation bias'); un error del sistema (falso negativo) elimina al candidato del proceso sin revisión humana previa en esa etapa. Nivel de evidencia: implícito fuerte de automatización por reglas; no hay evidencia de uso de ML/IA avanzada, por lo que la severidad se mantiene Media. Es un mecanismo presente y operando a escala nacional en la APF. CONTEXTO MEXICANO: La plataforma TrabajaEn es administrada por la Unidad de Políticas para el Servicio Público de la Secretaría Anticorrupción y Buen Gobierno y se aplica de forma homogénea en toda la APF, por lo que cualquier sesgo o error de configuración se amplifica a nivel federal. La capacidad institucional para auditar el algoritmo de cotejo y atender impugnaciones individuales es limitada.

Los convenios de subsidios para acciones de búsqueda de personas describen una 'búsqueda forense con fines de identificación de cuerpos y restos humanos... a través de un enfoque masivo o a gran escala'. La identificación humana masiva (cotejo de perfiles genéticos, dactiloscópicos y otros datos biométricos contra bases de datos de personas desaparecidas y familiares) es, en la práctica contemporánea, un proceso intensivo en datos que frecuentemente se apoya en sistemas automatizados de matching/análisis a gran escala, aunque el documento no lo nombre explícitamente. RIESGOS: R3 (Privacy Invasions): El procesamiento 'masivo o a gran escala' de datos biométricos y genéticos altamente sensibles (de personas fallecidas y de familiares que aportan muestras de referencia) implica riesgos de privacidad si no hay límites claros de finalidad, retención, seguridad y prohibición de uso secundario. Los convenios solo remiten genéricamente a la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. R1 (Malfunctions & Errors): Un error en un cotejo de identificación masiva (falso positivo/negativo) tiene consecuencias graves e irreversibles para las familias (identificación errónea de restos), lo que exige supervisión pericial humana y estándares de validación que el instrumento no detalla. GAP REGULATORIO: El convenio es un instrumento de transferencia de recursos y no regula salvaguardas específicas para el tratamiento automatizado/masivo de datos biométricos y genéticos en la identificación humana, ni estándares de verificación, auditoría o trazabilidad de los sistemas que se empleen. Nivel de evidencia: implícito medio; la severidad se fija en Media porque el documento describe la facultad pero no confirma un sistema de IA específico. Es un dominio crítico que amerita monitoreo. CONTEXTO MEXICANO: México enfrenta una crisis de más de 100,000 personas desaparecidas; el Sistema Nacional de Búsqueda y los bancos forenses operan con recursos limitados, lo que incrementa el riesgo de errores y de tratamiento inseguro de datos genéticos sensibles de poblaciones ya vulnerables.

Este es el único hallazgo con MENCIÓN EXPLÍCITA de 'inteligencia artificial' en todo el DOF. El Consejo de Salubridad General incorpora al Compendio Nacional de Insumos para la Salud (catálogo de adquisición de obligatoria observancia para las instituciones públicas del Sistema Nacional de Salud) un 'Equipo Quirúrgico Robotizado' que incluye un 'Ecosistema Digital Quirúrgico' que graba videos quirúrgicos, los sube a la nube y emplea IA para analizarlos, además de un difuminado automático ('difumina automáticamente el video fuera del cuerpo'). RIESGOS: R1 (Malfunctions): El difuminado automático de privacidad y el análisis de IA son sistemas que pueden fallar; un error en el blurring puede exponer rostros del paciente o del personal, y un análisis erróneo de la técnica quirúrgica tratado como infalible (automation bias) puede inducir conclusiones incorrectas sobre el desempeño médico. El equipo robotizado opera en pacientes adultos en urología, ginecología y cirugía general, dominio crítico donde un fallo causa daño directo. R3 (Privacy): Se transfieren videos de procedimientos quirúrgicos (datos personales sensibles de salud) a la 'nube' con 'acceso a la plataforma de forma remota', creando una cadena de procesamiento y retención fuera del control de la unidad médica. El texto no especifica ubicación de los servidores, proveedor, periodo de retención, ni régimen de consentimiento del paciente para el uso secundario de sus videos en 'bibliotecas' que los cirujanos 'pueden compartir'. GAPS: El Compendio describe el insumo como especificación técnica de compra, pero NO establece requisitos de auditoría del algoritmo, localización de datos, consentimiento informado del paciente para la nube/biblioteca, ni estándares de exactitud del difuminado de privacidad. CONTEXTO MEXICANO: La dependencia tecnológica de proveedores extranjeros de equipo médico-IA y la capacidad limitada del INAI/COFEPRIS para auditar flujos de datos clínicos a la nube agravan el riesgo de transferencia internacional de datos de salud sin salvaguardas verificables.