---
title: Ley de protección de datos personales y agentes de IA
description: "Qué revisar de la ley de protección de datos personales de 2025 antes de lanzar agentes de IA: aviso de privacidad, encargados, transferencias y oposición."
image: https://www.rvn.mx/hubfs/04-ley-proteccion-datos-personales-ia.webp
---

[Saltar al contenido](https://www.rvn.mx/ley-proteccion-datos-personales-ia#main-content)

[rvn mx Executive Insights Advisory & Architecture](https://www.rvn.mx/)

Agendar Advisory

[Todas](https://www.rvn.mx) [Inteligencia Artificial](https://www.rvn.mx/tag/inteligencia-artificial) [CRM & Experiencia (CX)](https://www.rvn.mx/tag/crm) [Gobernanza de Datos](https://www.rvn.mx/tag/gobernanza-de-datos) [Integraciones & APIs](https://www.rvn.mx/tag/integraciones-y-apis) [Arquitectura Web & GEO](https://www.rvn.mx/tag/arquitectura-web) [Contact Center](https://www.rvn.mx/tag/contact-center) [Perspectivas](https://www.rvn.mx/tag/perspectivas-directivas)

[Insights](https://www.rvn.mx) [Gobernanza de Datos](https://www.rvn.mx/tag/gobernanza-de-datos) Ley de protección de datos personales y agentes de IA 

Gobernanza de Datos

# La ley de protección de datos personales y tus agentes de IA

Qué revisar de la ley de protección de datos personales de 2025 antes de lanzar agentes de IA: aviso de privacidad, encargados, transferencias y oposición.

Octubre 2026 • 7 min de lectura ejecutiva

![Ilustración 3D: La ley de protección de datos personales y tus agentes de IA](https://www.rvn.mx/hs-fs/hubfs/04-ley-proteccion-datos-personales-ia.webp?width=1200&height=675&name=04-ley-proteccion-datos-personales-ia.webp)

Antes de lanzar un agente de IA con datos de clientes, hay que releer el aviso de privacidad con la ley de protección de datos personales de 2025 en la mano. En banca, el área digital puede armar en pocas semanas un agente que contesta dudas de crédito y consulta saldos. Es frecuente que, cuando cumplimiento pregunta qué aviso cubre eso y a qué nube viajan las conversaciones, la respuesta sea el aviso que se redactó hace años para la sucursal y el sitio web.

Muchos avisos siguen escritos para la ley de 2010. Un agente de IA suele agregar finalidades y proveedores nuevos, y a veces decide sin que intervenga una persona; cada uno de esos cambios toca el aviso.

*Este texto describe la ley vigente al 17 de agosto de 2026 desde la experiencia de proyectos de tecnología. No es asesoría legal; cada caso debe revisarlo tu área jurídica.*

## ¿Qué cambió con la nueva Ley Federal de Protección de Datos Personales?

La nueva LFPDPPP se publicó en el Diario Oficial el 20 de marzo de 2025, entró en vigor al día siguiente y abrogó la ley de 2010. La autoridad que vigila su cumplimiento ahora es la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del INAI en esta materia.

Los principios de fondo se parecen mucho a los de la ley anterior: licitud, finalidad, consentimiento, proporcionalidad, información y responsabilidad. Lo que cambió de forma más visible es la autoridad y varias redacciones. Desde su publicación y hasta la fecha de este texto, la ley solo tuvo una reforma, publicada el 14 de noviembre de 2025, que tocó el artículo 4 sobre las leyes que se aplican de forma supletoria.

Para un director de tecnología, la conclusión práctica es sencilla. Si tu aviso de privacidad menciona al INAI, cita la ley de 2010 o no dice nada de proveedores de nube y de IA, está desactualizado. Y si vas a lanzar un agente, el aviso es lo primero que te van a pedir.

## ¿El aviso de privacidad cubre lo que hace tu agente de IA?

Solo si las finalidades del aviso incluyen lo que el agente hace con los datos. El artículo 11 de la ley dice que, si quieres tratar datos para una finalidad distinta a las del aviso, necesitas obtener de nuevo el consentimiento. Un agente que perfila o recomienda productos suele agregar finalidades.

El artículo 15 pide que el aviso diga qué datos se tratan, cuáles son sensibles, para qué y cómo se ejercen los derechos ARCO. En banca hay un punto adicional: el artículo 7 exige consentimiento expreso para datos financieros o patrimoniales, salvo las excepciones de los artículos 9 y 36. Un agente que lee saldos, movimientos o ingresos está tocando exactamente esos datos.

En muchos proyectos el agente se lanza dentro de la app o del portal, donde aplica el aviso simplificado del artículo 16. Ese aviso debe incluir al menos la identidad del responsable, los datos que se tratan, las finalidades y las opciones para limitar su uso, y remitir al aviso integral. Si el chat del agente no enlaza a nada, falta algo.

## ¿Tu proveedor de IA es encargado o recibe una transferencia?

Depende de lo que haga con los datos. Si solo los procesa por cuenta tuya, es persona encargada según el artículo 2 de la ley. Si los usa para sus propios fines, por ejemplo para entrenar sus modelos, ya es una transferencia, y el artículo 35 te obliga a comunicarle el aviso y sus límites.

Con los proveedores, esta distinción suele ser la parte más larga de la negociación. Tu equipo de compras tiene que revisar qué dice el contrato sobre el uso de las conversaciones: si se guardan, cuánto tiempo, en qué país y si se usan para mejorar el modelo. Las plataformas empresariales suelen ofrecer opciones para que los datos no se usen en entrenamiento, pero hay que activarlas y dejarlas por escrito.

Vale la pena revisar también la cadena completa. El agente de IA casi nunca es un solo proveedor. Está [el CRM](https://www.rvn.mx/crm-inmobiliario-desarrolladoras-preventa), la plataforma del agente, el modelo de lenguaje, el proveedor de mensajería y a veces un integrador. Cada uno tiene que estar identificado como encargado o como receptor de transferencia.

## ¿Puede el cliente oponerse a que un agente de IA decida sobre él?

Sí. El artículo 26, fracción II, da derecho a oponerse a un tratamiento automatizado que produzca efectos jurídicos no deseados o afecte de forma significativa a la persona, cuando evalúa sin intervención humana aspectos como su situación económica, su fiabilidad o su comportamiento.

En banca esto pega directo en precalificación de crédito, límites, ofertas personalizadas y detección de riesgo. Si un agente niega o condiciona algo sin que un humano revise, necesitas un camino para que el cliente se oponga y otro para que una persona revise el caso. Yo lo diseño desde el inicio: el agente recolecta y explica, y la decisión con efectos sobre el cliente pasa por una regla documentada o por una persona.

## Errores que veo al lanzar agentes de IA con datos de clientes

Como los pilotos se arman en semanas, legal suele llegar cuando el agente ya está listo y cualquier cambio cuesta rehacer flujos. La persona o departamento de datos personales que pide el artículo 29 tendría que estar en la primera sesión de diseño, y alguien en la institución tiene que firmar que el aviso cubre este caso.

Los derechos ARCO dentro del agente se olvidan con la misma facilidad. Si un cliente le pide al chat que borre sus datos, ¿quién recibe esa solicitud? El artículo 31 da veinte días hábiles para responder y quince más para hacerla efectiva, y el reloj corre aunque la petición haya llegado a las once de la noche por WhatsApp.

## Cuatro preguntas antes de cualquier piloto

¿Qué finalidades nuevas agrega el agente? ¿Qué proveedores tocan los datos y en qué papel? ¿Qué decisiones toma sin intervención humana? ¿Cómo atiende una solicitud ARCO o una oposición? Si las cuatro tienen respuesta escrita, el piloto puede arrancar.

## ¿Cuándo conviene esperar antes de lanzar el agente?

Cuando el agente va a decidir algo con efectos sobre el cliente y todavía no existe un circuito de revisión humana, o cuando no sabes en qué país se guardan las conversaciones. En esos dos casos, el riesgo legal y reputacional pesa más que unas semanas de adelanto. Lo mismo aplica si no hay plan para una vulneración: el artículo 19 pide informar de inmediato a los titulares cuando afecte de forma significativa sus derechos, y las conversaciones con un agente suelen guardar más datos de los que el equipo imagina.

Las multas del artículo 59 van de 100 a 160,000 veces la UMA para unas infracciones y de 200 a 320,000 para otras, como cambiar la finalidad sin el consentimiento del artículo 11 o transferir datos fuera de lo permitido. En datos sensibles pueden duplicarse. Además, los artículos 62 a 64 prevén delitos. Con eso sobre la mesa, el consejo suele tomar en serio la revisión.

Si hoy tuvieras que mostrarle a tu oficial de privacidad qué aviso cubre cada conversación de tu agente, ¿sabrías qué documento abrir?

## Preguntas frecuentes sobre la ley de protección de datos personales y la IA

### ¿Sigue vigente la LFPDPPP de 2010?

No. La ley de 2010 fue abrogada por la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025.

### ¿Necesito un aviso de privacidad nuevo para un chatbot o agente de IA?

Si el agente agrega finalidades que tu aviso no contempla, sí necesitas actualizarlo y, según el artículo 11, obtener de nuevo el consentimiento para esas finalidades. Revisa también los proveedores que intervienen.

### ¿Un cliente puede pedir que un humano revise lo que decidió la IA?

La ley le da derecho a oponerse a tratamientos automatizados sin intervención humana que afecten de forma significativa sus intereses, por ejemplo al evaluar su situación económica o su fiabilidad. Conviene tener ese circuito listo antes de lanzar.

Si quieres revisar tu caso con alguien que no vende la plataforma, [agenda una conversación](https://www.rvn.mx/contacto).

## Fuentes

- Orden Jurídico Nacional, «Ley Federal de Protección de Datos Personales en Posesión de los Particulares», nueva ley publicada en el DOF el 20 de marzo de 2025 (arts. 2, 7, 11, 15, 16, 19, 26, 29, 31, 35, 59, 62-64 y transitorios): [enlace](https://www.ordenjuridico.gob.mx/Documentos/Federal/html/wo125102.html)
- Cámara de Diputados, texto vigente de la LFPDPPP con su reforma del 14 de noviembre de 2025 (art. 4): [enlace](https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf)

[Gobernanza de Datos](https://www.rvn.mx/tag/gobernanza-de-datos)

PASS // RVN B-794

Siguiente Briefing de Post [Retención de clientes en seguros empieza meses antes de la renovación](https://www.rvn.mx/retencion-clientes-seguros-renovacion)

Retención de clientes en seguros: qué señales en tus datos anticipan la cancelación meses antes de la renovación y quién debe actuar sobre cada una.

[Ingresar al Siguiente Post](https://www.rvn.mx/retencion-clientes-seguros-renovacion)

Otras publicaciones recomendadas: [Lead scoring que el equipo de ventas sí usa](https://www.rvn.mx/lead-scoring-que-ventas-usa)

#### Contenido del artículo

#### Líder de Práctica

RV

##### Ing. Ricardo Vargas

Managing Partner, RVN

Asesor independiente de juntas directivas y comités C-Level con más de 20 años en integraciones, CRM e IA.

Agendar Advisory Confidencial

BRIEFING // RVN G-001

Suscripción al Briefing Mensual

## Recibe los análisis estratégicos en tu correo

Una síntesis mensual con las decisiones prioritarias de arquitectura tecnológica, CRM y gobernanza de IA para comités directivos.

rvn mx

 Ayudo a **comités directivos y juntas de administración** a trazar el futuro de su arquitectura de datos corporativa, optimización de CRM y gobernanza ética de IA.

##### Advisory

 Asesoría estratégica independiente en CRM, Customer Experience, Inteligencia Artificial y Gobernanza de Datos para juntas directivas y comités C-Level.

##### Especialidades

- [CRM & MarTech Modernization](https://www.rvn.mx/ley-proteccion-datos-personales-ia#crm-special)
- [Customer Experience (CX) 360°](https://www.rvn.mx/ley-proteccion-datos-personales-ia#crm-special)
- [Enterprise AI Strategy & Agents](https://www.rvn.mx/ley-proteccion-datos-personales-ia#ai-deep-dive)
- [Data Governance & MDM](https://www.rvn.mx/ley-proteccion-datos-personales-ia#governance-frameworks)
- [Arquitectura Web & GEO Optimization](https://www.rvn.mx/ley-proteccion-datos-personales-ia#radar)

##### Práctica Advisory

- Diagnóstico de Madurez CRM
- Auditoría de Arquitectura de Datos
- Advisory para Juntas Directivas
- Evaluación de Plataformas de IA
- Sesión Estratégica Confidencial

##### Contacto Directo

- [advisory@rvn.mx](mailto:advisory@rvn.mx)
- [LinkedIn Ejecutivo](https://linkedin.com)
- rvn.mx • Global Delivery

SYSTEM STATUS // ALL NODES OPERATIONAL

INTEL FEED // C-LEVEL ADVISORY Q1/Q2

ENCRYPTION // SSL GATE SHIELDED

NODE BEACON // 19.43° N / CDMX GMT-6

Privacidad Corporativa • Términos de Advisory • Seguridad de Datos & NDA • Sobre rvn.mx

© 2026 rvn.mx. Asesoría Estratégica Independiente.

 Sesión Confidencial

### Solicitar Diagnóstico Estratégico

Conversemos durante 30 minutos sobre los retos específicos de tu organización.

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "Ricardo Vargas",
    "url" : "https://www.rvn.mx/author/ricardo-vargas"
  },
  "dateModified" : "2026-10-25T04:32:12.492Z",
  "datePublished" : "2026-10-25T02:18:58.000Z",
  "headline" : "Ley de protección de datos personales y agentes de IA",
  "image" : [ "https://www.rvn.mx/hubfs/04-ley-proteccion-datos-personales-ia.webp" ],
  "mainEntityOfPage" : {
    "@id" : "https://www.rvn.mx/ley-proteccion-datos-personales-ia",
    "@type" : "WebPage"
  },
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject"
    }
  }
}
```

```json
{
  "@context" : "https://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@id" : "https://www.rvn.mx/#autor"
  },
  "dateModified" : "2026-10-24",
  "datePublished" : "2026-10-24",
  "description" : "Qué revisar de la ley de protección de datos personales de 2025 antes de lanzar agentes de IA: aviso de privacidad, encargados, transferencias y oposición.",
  "headline" : "La ley de protección de datos personales y tus agentes de IA",
  "inLanguage" : "es-MX",
  "mainEntityOfPage" : "https://www.rvn.mx/ley-proteccion-datos-personales-ia",
  "publisher" : {
    "@id" : "https://www.rvn.mx/#organizacion"
  }
}
```

```json
{
  "@context" : "https://schema.org",
  "@type" : "FAQPage",
  "mainEntity" : [ {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "No. La ley de 2010 fue abrogada por la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025 y vigente desde el 21 de marzo de 2025."
    },
    "name" : "¿Sigue vigente la LFPDPPP de 2010?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "Si el agente agrega finalidades que tu aviso no contempla, sí necesitas actualizarlo y, según el artículo 11, obtener de nuevo el consentimiento para esas finalidades. Revisa también los proveedores que intervienen."
    },
    "name" : "¿Necesito un aviso de privacidad nuevo para un chatbot o agente de IA?"
  }, {
    "@type" : "Question",
    "acceptedAnswer" : {
      "@type" : "Answer",
      "text" : "La ley le da derecho a oponerse a tratamientos automatizados sin intervención humana que afecten de forma significativa sus intereses, por ejemplo al evaluar su situación económica o su fiabilidad. Conviene tener ese circuito listo antes de lanzar."
    },
    "name" : "¿Un cliente puede pedir que un humano revise lo que decidió la IA?"
  } ]
}
```

```json
{
  "@context" : "https://schema.org",
  "@type" : "BreadcrumbList",
  "itemListElement" : [ {
    "@type" : "ListItem",
    "item" : "https://www.rvn.mx/",
    "name" : "Inicio",
    "position" : 1
  }, {
    "@type" : "ListItem",
    "item" : "https://www.rvn.mx/datos-y-cdp",
    "name" : "Datos y CDP",
    "position" : 2
  }, {
    "@type" : "ListItem",
    "item" : "https://www.rvn.mx/ley-proteccion-datos-personales-ia",
    "name" : "La ley de protección de datos personales y tus agentes de IA",
    "position" : 3
  } ]
}
```

```json
{
  "@context" : "https://schema.org",
  "@id" : "https://www.rvn.mx/#autor",
  "@type" : "Person",
  "knowsAbout" : [ "Salesforce", "Agentforce", "Data 360", "HubSpot", "CRM", "IA agéntica", "Contact center", "Genesys Cloud CX", "Talkdesk", "Amazon Connect", "Twilio Flex", "Google Cloud", "Automation Anywhere", "Insider One" ],
  "name" : "Ricardo Vargas",
  "url" : "https://www.rvn.mx/",
  "worksFor" : {
    "@id" : "https://www.rvn.mx/#organizacion"
  }
}
```