La propuesta de Ley Federal para el Desarrollo Ético, Soberano e Inclusivo de la Inteligencia Artificial adopta marcos regulatorios internacionales, obliga a clasificar los sistemas de IA por nivel de riesgo y crea una Plataforma Nacional de Auditoría Algorítmica con facultades para evaluar sistemas públicos y privados. Aunque busca proteger derechos, su exposición de motivos no desarrolla evidencia empírica suficiente para explicar por qué México necesita un aparato de supervisión de esta amplitud ni establece con claridad todas las salvaguardas frente a conflictos de interés, captura regulatoria o cargas desproporcionadas para pequeños desarrolladores.
México podría construir uno de los sistemas de supervisión de inteligencia artificial más extensos de su todavía incipiente ecosistema tecnológico si prospera una iniciativa presentada por legisladores de Morena y el Partido Verde que propone crear una autoridad especializada capaz de evaluar sistemas públicos y privados, auditar conjuntos de datos, emitir etiquetas de riesgo, recibir denuncias, participar en procedimientos sancionadores y colaborar con organizaciones civiles y organismos internacionales.
La propuesta se denomina Ley Federal para el Desarrollo Ético, Soberano e Inclusivo de la Inteligencia Artificial y tiene una característica que atraviesa prácticamente todo su articulado: no se limita a regular determinados usos de alto impacto, sino que establece una arquitectura general de clasificación y supervisión para los sistemas de inteligencia artificial que operen en México.
El alcance comienza desde el artículo 3. La legislación sería aplicable a personas físicas o morales, públicas o privadas, nacionales o extranjeras, que “desarrollen, utilicen, comercialicen, implementen o interactúen” con sistemas de inteligencia artificial que operen en territorio mexicano, afecten a personas mexicanas, utilicen infraestructura nacional o produzcan efectos jurídicos en el país.
La amplitud de esta redacción resulta especialmente relevante para el creciente sector de pequeñas empresas y desarrolladores que no entrenan modelos propios, pero construyen productos digitales sobre interfaces de programación (API) proporcionadas por compañías como OpenAI, Anthropic, Google o proveedores de modelos abiertos.
La iniciativa no establece que una persona que utiliza ocasionalmente un asistente como ChatGPT deba registrarse o someterse a una auditoría. De hecho, los sistemas considerados de riesgo mínimo quedarían exentos de autorización o supervisión especial. Sin embargo, el texto utiliza definiciones suficientemente amplias para incluir a desarrolladores, operadores, integradores y usuarios institucionales dentro de un sistema regulatorio cuya carga aumenta conforme la autoridad clasifica una aplicación como limitada, de alto riesgo o prohibida.
Un modelo regulatorio importado
La propia iniciativa reconoce que su diseño no parte exclusivamente de la experiencia mexicana. En su exposición de motivos afirma que utiliza estándares de la UNESCO, la OCDE, el Consejo de Europa y la Comisión Europea como referencias para su arquitectura legislativa. También vincula expresamente la propuesta con los Objetivos de Desarrollo Sostenible de la Agenda 2030.
El artículo 6 incorpora incluso como principio rector la “Cooperación Internacional y Multilateralismo Tecnológico”, mediante el cual México participaría en foros multilaterales para colaborar en el diseño de estándares globales de inteligencia artificial.
Una de las manifestaciones más evidentes de esta influencia internacional es el llamado Sistema de Semáforo de Riesgos, que divide los sistemas de IA en riesgo mínimo, limitado, alto y prohibido. Todos los sistemas que operen en territorio mexicano tendrían que ser clasificados de acuerdo con esta estructura.
La clasificación no es meramente descriptiva. Un sistema considerado de alto riesgo estaría obligado a realizar una evaluación previa de impacto algorítmico, someterse a auditorías técnicas y jurídicas periódicas, registrarse ante la autoridad, permanecer bajo supervisión continua e implementar mecanismos reforzados de trazabilidad y explicabilidad.
La iniciativa cita como ejemplos de alto riesgo los sistemas utilizados en salud, justicia, educación, seguridad pública, contratación laboral y vigilancia biométrica autorizada.
La existencia de obligaciones reforzadas para decisiones médicas, judiciales, laborales o policiales tiene una justificación evidente: un error puede afectar directamente derechos fundamentales. El problema comienza cuando un marco construido para esos casos excepcionales se convierte en una infraestructura general de supervisión y las fronteras entre un producto convencional y un sistema sometido a control reforzado quedan parcialmente en manos de autoridades regulatorias.
Una Plataforma Nacional capaz de auditar sistemas públicos y privados
El centro de esa infraestructura sería la Plataforma Nacional de Auditoría Algorítmica (PNAA). La iniciativa la define como un órgano técnico con autonomía técnica y operativa, adscrito al Consejo Nacional de Inteligencia Artificial. Su objeto sería evaluar conjuntos de datos de entrenamiento, arquitecturas y sistemas de IA, tanto públicos como privados. También podría desarrollar o contratar herramientas de análisis automatizado y sistemas de inteligencia artificial destinados a detectar riesgos.
La PNAA tendría facultades para auditar conjuntos de datos, identificar sesgos estructurales, evaluar modelos mediante métricas de equidad, explicabilidad y trazabilidad, publicar informes técnicos, asignar etiquetas de riesgo y validar la idoneidad técnica de determinados sistemas antes de que puedan registrarse oficialmente. También recibiría quejas ciudadanas y colaboraría con instituciones nacionales e internacionales en la elaboración de metodologías de auditoría.
En los sistemas considerados de alto riesgo, la evaluación de la PNAA sería un requisito previo para su inscripción en el Registro Nacional de Sistemas de Inteligencia Artificial. Los reportes, indicadores y etiquetas generados por la plataforma serían además públicos, salvo excepciones relacionadas con seguridad nacional, protección de datos o derechos de terceros.
Por sí misma, una institución capaz de auditar algoritmos gubernamentales no resulta necesariamente problemática. Al contrario: México carece actualmente de mecanismos suficientemente robustos para conocer cómo funcionan numerosos sistemas automatizados utilizados por autoridades, particularmente en ámbitos como seguridad pública, biometría o asignación de beneficios.
La dificultad está en que la iniciativa no limita esta capacidad a los sistemas utilizados por el Estado. Construye una plataforma con facultades para intervenir también sobre actores privados y la inserta dentro de una red mucho más extensa de fiscalización.
El artículo 128 permite a las autoridades requerir información técnica, jurídica o administrativa a desarrolladores, operadores y usuarios institucionales; realizar auditorías, verificaciones e inspecciones físicas o digitales; acceder mediante una “orden fundada” a registros de funcionamiento, trazabilidad o bases de datos; y ordenar la suspensión temporal o definitiva de sistemas que incumplan la legislación o sean considerados riesgos inaceptables.
El proyecto contiene así mucho más que una regulación de resultados dañinos. Establece una infraestructura preventiva de supervisión tecnológica.
¿Qué problema mexicano justifica esta arquitectura?
Ésta es probablemente la pregunta central. La exposición de motivos identifica problemas legítimos: opacidad algorítmica, discriminación, desigualdad, vulneración de derechos y concentración del poder tecnológico. También sostiene que México enfrenta un vacío jurídico frente a sistemas automatizados capaces de afectar reputaciones, oportunidades y derechos.
Pero entre reconocer esos riesgos y crear una autoridad nacional con capacidad para clasificar, auditar, registrar, inspeccionar y contribuir a la suspensión de sistemas existe un salto regulatorio considerable.
La exposición de motivos consultada no presenta un inventario detallado de daños provocados por sistemas de IA en México, una estimación económica o social de esos daños, una caracterización cuantitativa del mercado nacional de aplicaciones de IA, un análisis del costo regulatorio para pequeñas empresas o una comparación sistemática entre la solución propuesta y alternativas menos intrusivas.
Tampoco ofrece evidencia que demuestre que el ecosistema mexicano de desarrolladores de software representa actualmente un riesgo que justifique someterlo a una estructura nacional permanente de vigilancia algorítmica.
La ausencia de ese análisis es especialmente llamativa porque la propia iniciativa incorpora el principio de proporcionalidad. De acuerdo con el artículo 6, cualquier medida relacionada con IA que afecte derechos deberá ser idónea, necesaria y equilibrada respecto del fin legítimo perseguido, evitando restricciones excesivas o arbitrarias.
La misma prueba debería aplicarse a la propia regulación. No basta con demostrar que la inteligencia artificial puede producir riesgos. Sería necesario demostrar también que los poderes regulatorios creados para enfrentarlos son necesarios, proporcionales y superiores a otras alternativas.
Organizaciones civiles dentro del sistema de supervisión
Otro elemento especialmente sensible aparece en la incorporación de organizaciones de la sociedad civil dentro de la arquitectura institucional.
La participación de organizaciones civiles, universidades, empresas y expertos en procesos de consulta pública es normal en una democracia plural. Sin embargo, la iniciativa va más allá de la consulta.
El Consejo Nacional de Inteligencia Artificial estaría integrado, entre otros sectores, por representantes de organizaciones de la sociedad civil, comunidades tecnológicas, colectivos ciudadanos, universidades y empresas. Sus integrantes podrían proponer criterios éticos, técnicos y jurídicos para la evaluación de riesgos, certificación y auditoría de sistemas.
Más importante todavía, el artículo 26 permite que la PNAA celebre convenios de colaboración con organizaciones de la sociedad civil, instituciones académicas y organismos internacionales para desarrollar auditorías conjuntas.
La iniciativa también contempla la creación de observatorios ciudadanos o académicos especializados en el “monitoreo de IA”, cuyas evaluaciones podrían incorporarse a los mecanismos de participación regulatoria. Esto plantea un problema distinto de la participación ciudadana tradicional.
Las organizaciones civiles no son órganos constitucionales ni autoridades electas. Su legitimidad proviene de su trabajo, conocimiento especializado y capacidad de representación social, no del voto ciudadano. Por ello, cuando su intervención pasa de emitir opiniones a participar en auditorías capaces de influir sobre la situación regulatoria de terceros, resulta indispensable establecer controles especialmente rigurosos de independencia.
En el texto revisado no aparecen expresamente mecanismos denominados “conflicto de interés” o “recusación”.
La ausencia resulta relevante porque una organización podría simultáneamente participar en campañas públicas sobre determinada tecnología, recibir financiamiento de actores con intereses en el sector, integrar espacios de gobernanza, promover investigaciones o denuncias y eventualmente colaborar en una auditoría relacionada con el mismo ámbito.
El problema no es asumir que una organización determinada actuará de mala fe. El problema es que una buena arquitectura institucional debe diseñarse suponiendo que cualquier actor, gobierno, empresa, universidad u organización civil, puede tener intereses propios.
Una legislación que permita su participación en funciones de evaluación debería establecer, como mínimo, obligaciones de transparencia financiera, declaración de intereses, incompatibilidades, recusación, metodologías auditables, responsabilidades por uso de información confidencial y procedimientos claros para impugnar los resultados de una auditoría.
El riesgo para las pequeñas empresas mexicanas
La propuesta contiene otra contradicción. Uno de sus objetivos declarados es alcanzar soberanía tecnológica, fortalecer el talento mexicano y apoyar el desarrollo de empresas nacionales de inteligencia artificial. Incluso encarga al Consejo diseñar políticas específicas para promover soluciones desarrolladas por micro, pequeñas y medianas empresas.
Sin embargo, la infraestructura regulatoria que crea puede representar precisamente una barrera de entrada para esas empresas. Una gran compañía tecnológica puede mantener equipos completos de abogados, especialistas en protección de datos, seguridad, auditoría, ética y cumplimiento normativo. Una startup mexicana que integra un modelo de lenguaje mediante API puede estar formada por tres o cuatro personas y muy posiblemente sin la capacidad de solventar contrataciones de abogados o representantes jurídicos, por lo que pare una pyme sería muy más difícil comprobar que su sistema no genera daños, esto podría derivar en desmotivación entre pequeños desarrolladores para llevar a cabo proyectos que puedan ser etiquetados por el Estado Mexicano como de alto riesgo. Desalentar a las PyMES afectaría al desarrollo tecnológico del país.
Esto se debe a que de acuerdo con la iniciativa, si su aplicación entra en una categoría de alto riesgo o un sector sensible, deberá asumir evaluaciones de impacto, documentación, trazabilidad, auditorías, mecanismos de apelación, supervisión humana y reportes regulatorios.
Además, el proyecto establece responsabilidad objetiva para los sistemas considerados de alto riesgo: ante un daño, no sería necesario demostrar dolo o negligencia. Cuando intervienen varias empresas o personas en el sistema, contempla también responsabilidad solidaria salvo que exista evidencia clara de una división de funciones y controles efectivos. Ese esquema plantea una pregunta particularmente compleja para la nueva economía de aplicaciones basadas en modelos externos.
Si un desarrollador mexicano construye un servicio utilizando una API de un modelo estadounidense y el sistema genera un daño, ¿qué parte corresponde al proveedor del modelo y cuál al desarrollador que diseñó la aplicación?
La iniciativa no resuelve con suficiente precisión las complejas cadenas tecnológicas contemporáneas en las que modelo, infraestructura, datos, interfaz y producto final pueden pertenecer a entidades distintas.
El resultado paradójico es que una legislación concebida para promover la soberanía tecnológica podría elevar los costos regulatorios de entrada para desarrolladores nacionales mientras las compañías globales que proporcionan la infraestructura fundamental cuentan con recursos suficientes para absorberlos.
Regular daños no exige poner al ecosistema bajo sospecha
México necesita reglas para determinados usos de inteligencia artificial. Un sistema de reconocimiento facial utilizado por una policía no debe recibir el mismo tratamiento que un asistente para organizar documentos. Un algoritmo que decide el acceso a una prestación pública no puede compararse con una herramienta que resume reuniones. Y un sistema que evalúa candidatos para un empleo necesita garantías distintas a las de un generador de imágenes utilizado con fines recreativos.
Una regulación basada en daños concretos, responsabilidades claras y garantías frente a decisiones automatizadas puede fortalecer los derechos de los ciudadanos. Pero ésa no es exactamente toda la arquitectura que propone esta iniciativa.
El proyecto crea un sistema en el que todos los sistemas deben ser clasificables, determinadas aplicaciones deben registrarse, una plataforma estatal puede auditarlas y etiquetarlas, autoridades pueden inspeccionar sistemas y bases de datos, organizaciones privadas pueden participar en auditorías y los resultados pueden conectarse posteriormente con sanciones administrativas, civiles e incluso penales.
El problema no es únicamente cuánto poder se crea, sino qué evidencia justifica crearlo y qué controles acompañan ese poder.
Una Plataforma Nacional de Auditoría Algorítmica podría convertirse en una herramienta valiosa para vigilar el uso de IA por parte del Estado. También podría convertirse, con una redacción demasiado amplia, en una infraestructura permanente de supervisión sobre empresas, desarrolladores y productos tecnológicos que nunca representaron un riesgo comparable.
La diferencia dependerá de límites que la iniciativa todavía no define suficientemente. Por eso la discusión legislativa no debería reducirse a decidir si México necesita o no una ley de inteligencia artificial. La pregunta mucho más importante es otra:
¿Qué daños concretos justifican cada facultad de supervisión que el Estado quiere crear, quién podrá ejercerla, quién vigilará a quienes auditan y qué garantías tendrán los ciudadanos y desarrolladores para defenderse cuando una autoridad, o un tercero que colabora con ella, se equivoque?
Sin respuestas suficientemente precisas, una legislación concebida para limitar el poder algorítmico corre el riesgo de crear otro poder igualmente opaco: el poder de decidir qué tecnología es aceptable, quién puede desarrollarla y bajo qué condiciones puede seguir funcionando.
Loading Viewer...
