Hay una frase que repito cada vez que me invitan a una mesa de trabajo sobre regulación tecnológica en México. La repito porque cada vez que la digo, los abogados se ríen nerviosos y los ingenieros asienten con la mirada perdida de quien ha visto demasiado.
La frase es esta: regulan el siglo XXI con mentes del siglo XIX.
No es un insulto. Es un diagnóstico. Y como todo diagnóstico, lo que busca no es ofender al paciente sino describir la enfermedad con la precisión necesaria para tratarla.
La enfermedad es esta: México está intentando legislar sobre inteligencia artificial, y las personas que están redactando, debatiendo y votando esas propuestas de ley no entienden la tecnología que pretenden regular. No la entienden a nivel conceptual. No la entienden a nivel técnico. Y lo más preocupante: no saben que no la entienden.
Llevo 17 años en informática forense. He formado a más de 1,300 peritos en 10 países. He leído propuestas de ley sobre tecnología que me han producido desde asombro intelectual hasta dolor físico. Y las propuestas de ley sobre inteligencia artificial que se están discutiendo en el Congreso mexicano caen, con honrosas excepciones, más cerca del dolor físico que del asombro.
Este artículo es para el empresario de software que está preocupado porque la ley que viene podría afectar su producto y necesita entender qué tan fundamentados están los legisladores que la están escribiendo. Para el abogado que litiga casos donde la tecnología es relevante y necesita saber si el marco jurídico que se está construyendo va a ser útil o va a ser un obstáculo. Para el periodista que cubre el tema legislativo y necesita una lente técnica para evaluar lo que los legisladores dicen en tribuna. Para el ciudadano que quiere entender por qué regular la IA debería importarle y por qué debería importarle aún más quién la regula. Y para el legislador que tiene la honestidad de leer esto y preguntarse: «¿Entiendo realmente lo que estoy regulando?»
Anticipemos: en la mayoría de los casos, la respuesta es no.
Error uno: confundir inteligencia artificial con automatización
Este es el error más básico y el más extendido. Y lo he visto en el texto literal de propuestas legislativas que se han presentado formalmente ante el Congreso.
Automatización e inteligencia artificial no son lo mismo. No son sinónimos. No son variantes. Son conceptos diferentes que operan en niveles tecnológicos diferentes.
Automatización es programar una máquina para que haga una tarea repetitiva siguiendo instrucciones explícitas. Un cajero automático es automatización. Una hoja de cálculo que suma columnas es automatización. Un semáforo que cambia de rojo a verde cada 90 segundos es automatización. Ninguno de estos sistemas «piensa.» Ninguno «aprende.» Ninguno «decide» en el sentido en que la inteligencia artificial decide. Ejecutan instrucciones. Punto.
Inteligencia artificial — en su uso técnico contemporáneo — se refiere a sistemas que utilizan modelos estadísticos entrenados con datos para identificar patrones, hacer predicciones o generar contenido. Cuando un modelo de lenguaje genera un texto, no está siguiendo instrucciones explícitas de qué escribir. Está calculando probabilidades de qué palabra viene después de cuál, basándose en patrones aprendidos de millones de textos. Cuando un sistema de reconocimiento facial identifica a una persona, no está comparando píxel por píxel contra una base de datos. Está usando una representación matemática del rostro para buscar similitudes estadísticas.
La diferencia importa enormemente para efectos regulatorios. Porque si la ley define «inteligencia artificial» de manera que incluya cualquier forma de automatización, entonces regula todo. El sistema de punto de venta de la tienda de la esquina. El control de inventario de una farmacia. La alarma programable de tu casa. Todo es «inteligencia artificial» bajo una definición que no distingue entre automatizar y aprender.
He leído propuestas donde la definición de IA es tan amplia que un filtro de correo basura calificaría como sistema regulado. Y he leído propuestas donde la definición es tan estrecha que excluye sistemas de decisión automatizada que están tomando decisiones reales sobre personas reales.
Empresario de software que desarrolla sistemas con algoritmos de decisión: tu sistema puede quedar dentro o fuera del alcance de la ley dependiendo de si el legislador entiende la diferencia entre «un programa que sigue reglas» y «un modelo que aprende de datos.» Si no la entiende — y las propuestas sugieren que en muchos casos no la entiende –, prepárate para un escenario regulatorio incierto donde nadie sabe si tu producto está regulado o no.
Error dos: regular la herramienta en lugar del uso
Este es un error conceptual que revela una incomprensión fundamental de cómo funciona la tecnología.
Varias propuestas de ley tratan la inteligencia artificial como una entidad que puede ser regulada en sí misma. Como si «la IA» fuera una cosa. Un objeto. Un aparato que puedes poner en una caja, ponerle un sello de verificación y declararlo «conforme a la norma.»
Pero la inteligencia artificial no es una cosa. Es una categoría de tecnologías con aplicaciones radicalmente diferentes. La misma tecnología de redes neuronales que se usa para diagnosticar cáncer en imágenes médicas se usa para generar deepfakes pornográficos. La misma tecnología de procesamiento de lenguaje natural que se usa para mejorar la accesibilidad de personas con discapacidad se usa para generar campañas de desinformación automatizada. La misma tecnología de reconocimiento de patrones que se usa para detectar fraude bancario se usa para vigilancia masiva sin consentimiento.
Regular «la inteligencia artificial» es como regular «la química.» La química produce medicamentos que salvan vidas y produce venenos que las quitan. Regular la química como un todo no tiene sentido. Lo que se regula es el uso: qué medicamentos pueden venderse y bajo qué condiciones, qué sustancias están prohibidas, qué protocolos de seguridad deben seguirse en un laboratorio.
Lo mismo debería aplicar a la IA. No se regula la red neuronal. Se regula el uso de la red neuronal. Se regula el sistema de scoring crediticio que discrimina por código postal. Se regula el sistema de reconocimiento facial que opera sin consentimiento. Se regula la generación de deepfakes con intención de daño. Se regulan las aplicaciones, no la tecnología base.
Pero eso requiere que el legislador entienda que la tecnología base es neutra y que lo que cambia es la aplicación. Y para entender eso, necesita entender la tecnología. Qué es un modelo. Qué es el entrenamiento. Qué es un parámetro. Qué es un sesgo algorítmico. Qué es la inferencia.
No estoy pidiendo que el legislador sepa programar. Estoy pidiendo que entienda los conceptos básicos de la tecnología que está regulando con la misma profundidad con la que entiende los conceptos básicos del derecho que aplica todos los días. Porque si un abogado no entiende la diferencia entre un delito doloso y uno culposo, no puede litigar. Y si un legislador no entiende la diferencia entre un modelo generativo y un sistema de reglas, no puede legislar sobre inteligencia artificial.
Abogado que me lee y que tiene clientes en el sector tecnológico: cuando la ley se apruebe, tú vas a ser el que tenga que interpretar qué significa para tu cliente. Si la ley regula «la IA» como un monolito, tú vas a tener que determinar caso por caso si el sistema de tu cliente cae dentro del alcance de la regulación. Y esa determinación va a ser un campo minado de ambigüedades porque la ley no fue diseñada con la precisión técnica necesaria para dar respuestas claras.
Error tres: confundir algoritmo con inteligencia artificial
Aquí es donde el título de este artículo se materializa.
Un algoritmo es una secuencia de instrucciones para resolver un problema. Una receta de cocina es un algoritmo. Los pasos para resolver una ecuación cuadrática son un algoritmo. El procedimiento que sigue un ministerio público para iniciar una carpeta de investigación es un algoritmo. No todo algoritmo es inteligencia artificial.
Lo que hace que un sistema sea «inteligente» en el sentido técnico contemporáneo no es que tenga un algoritmo. Todo software tiene algoritmos. Lo que lo hace «inteligente» es la capacidad de aprender de datos, de ajustar su comportamiento basado en lo que aprende, de generalizar a partir de ejemplos. Eso es aprendizaje automático. Eso es lo que distingue a un sistema de IA de un programa convencional.
He escuchado a legisladores usar la palabra «algoritmo» como sinónimo de «inteligencia artificial.» He leído propuestas donde se habla de «regular los algoritmos» cuando lo que se quiere regular son los modelos de aprendizaje automático. La confusión no es semántica. Es conceptual. Y tiene consecuencias regulatorias concretas.
Si la ley dice «los algoritmos utilizados para tomar decisiones sobre personas deben ser auditables,» eso suena razonable. Pero técnicamente, un «algoritmo» puede ser una función de tres líneas de código o un modelo de 175 mil millones de parámetros. La auditabilidad de uno y de otro son ejercicios radicalmente diferentes. Auditar una función de tres líneas toma minutos. Auditar un modelo de lenguaje grande requiere meses, equipos especializados y acceso a los datos de entrenamiento que las empresas consideran secreto comercial.
La ley tiene que ser precisa en su terminología. Tiene que distinguir entre un algoritmo determinista — que siempre produce el mismo resultado para la misma entrada — y un modelo probabilístico — que produce resultados variables basados en distribuciones estadísticas aprendidas de datos. Porque la regulación de uno y de otro son fundamentalmente diferentes.
Periodista que cubre estas propuestas: la próxima vez que un legislador diga «vamos a regular los algoritmos,» pregúntale a qué tipo de algoritmo se refiere. Si te mira con cara de confusión, ahí tienes tu nota. Porque alguien que no puede distinguir entre tipos de algoritmos no debería estar decidiendo cómo regularlos.
Error cuatro: la regulación fantasma
Llamo «regulación fantasma» a las propuestas que crean obligaciones que no se pueden cumplir porque la tecnología no funciona como el legislador cree que funciona.
Voy a dar ejemplos concretos porque este error es particularmente dañino.
«Los sistemas de IA deben explicar sus decisiones.» Esta frase aparece, con variaciones, en múltiples propuestas de ley en México y en el mundo. Y suena perfectamente razonable. Si un algoritmo te niega un crédito, tienes derecho a que te expliquen por qué. Nadie discute el principio.
El problema es técnico: los modelos de aprendizaje profundo — redes neuronales con millones o miles de millones de parámetros — no son inherentemente explicables. No funcionan con reglas tipo «si gana menos de 20,000 pesos, negar crédito.» Funcionan con pesos numéricos distribuidos en capas de neuronas artificiales que interactúan de formas que ni los propios creadores del modelo pueden articular en lenguaje humano.
Existen técnicas de «explainability» — SHAP, LIME, attention maps — que pueden dar aproximaciones de por qué un modelo tomó una decisión. Pero son aproximaciones. No son explicaciones causales. Son interpretaciones estadísticas de las variables que más influyeron en el resultado. Y esas interpretaciones pueden ser engañosas si no se entienden correctamente.
Entonces, cuando la ley dice «debe explicar,» la pregunta técnica es: ¿qué nivel de explicación es suficiente? ¿Una aproximación estadística? ¿Una lista de las cinco variables más influyentes? ¿Una narrativa en lenguaje natural generada por otro modelo de IA que interpreta al primero? Ninguna de esas es una «explicación» en el sentido jurídico tradicional. Son lo mejor que la tecnología puede ofrecer hoy. Y la ley necesita reconocer eso en lugar de crear una obligación que suena bien pero que no se puede cumplir con el estado actual de la tecnología.
«Los sistemas de IA no deben discriminar.» Otra frase que aparece constantemente. Y otra vez, el principio es inobjetable. El problema es que los modelos de aprendizaje automático aprenden de datos históricos, y los datos históricos contienen los sesgos de la sociedad que los generó. Si entrenas un modelo con datos de contratación de los últimos 20 años, y en esos 20 años hubo discriminación de género en la contratación, el modelo va a aprender esa discriminación y la va a reproducir.
Decirle al modelo «no discrimines» no funciona porque el modelo no discrimina conscientemente. No tiene conciencia. No tiene intención. Tiene patrones estadísticos. Y esos patrones reflejan los datos con los que fue entrenado. Corregir el sesgo requiere técnicas específicas de debiasing, requiere auditorías constantes, requiere métricas de equidad que son objeto de debate activo en la comunidad académica. No es un switch que se apaga.
La ley que dice «los sistemas de IA no deben discriminar» sin definir qué constituye discriminación algorítmica, cómo se mide, quién la audita y con qué frecuencia, es una ley que suena bien en tribuna pero que es inaplicable en la práctica.
«Todo contenido generado por IA debe estar etiquetado.» Parece simple. En la práctica, requiere que cada pieza de contenido generado por un modelo — texto, imagen, audio, video — lleve una etiqueta visible o invisible que identifique su origen sintético. El problema: los modelos de código abierto pueden modificarse para no etiquetar. Las etiquetas invisibles (watermarks) pueden eliminarse. Las etiquetas visibles pueden recortarse. Y no existe un mecanismo tecnológico para obligar a un modelo que corre en la computadora de una persona a etiquetar su producción.
Cada uno de estos mandatos legislativos suena razonable en el documento. Cada uno es técnicamente problemático en la implementación. Y la brecha entre el mandato y la implementación es exactamente el espacio donde la ley se convierte en regulación fantasma: existe en el papel, no existe en la realidad.
Error cinco: legislar sin consultar
Este es el error que más me frustra, porque es el más fácil de corregir.
México tiene científicos de datos. Tiene ingenieros de aprendizaje automático. Tiene laboratorios de investigación en inteligencia artificial. Tiene universidades con departamentos dedicados al tema. Tiene empresas que desarrollan y despliegan sistemas de IA. Tiene peritos forenses que trabajan con las consecuencias de la IA todos los días.
Y sin embargo, las propuestas de ley se redactan en despachos legislativos sin consulta técnica formal. O con consultas que son simulaciones — se invita a un panel de expertos, se les escucha durante 45 minutos, se les agradece, y la propuesta se presenta sin incorporar una sola de sus observaciones.
He participado en mesas de trabajo donde presenté observaciones técnicas específicas sobre propuestas de regulación. Observaciones documentadas, con fundamento, con ejemplos concretos de por qué una redacción era técnicamente incorrecta. Y las vi ignoradas en la versión final del documento. No porque fueran incorrectas. Sino porque incorporarlas requería reescribir secciones completas, y nadie quería retrasar el calendario legislativo.
Esa dinámica — priorizar la velocidad legislativa sobre la precisión técnica — es exactamente cómo se producen leyes que regulan tecnologías que no entienden. Se legisla primero, se entiende después. Y «después» generalmente significa «cuando los tribunales tengan que interpretar lo que quisimos decir y no supimos expresar.»
Legislador que me lee: no le estoy pidiendo que se convierta en ingeniero. Le estoy pidiendo que no legisle sobre lo que no entiende sin la asesoría de quien sí lo entiende. Le estoy pidiendo que el equipo que redacta una propuesta de ley sobre inteligencia artificial incluya — como mínimo — a un científico de datos, a un ingeniero de aprendizaje automático, a un perito forense digital y a un abogado especializado en derecho y tecnología. No como consultores externos. Como parte del equipo de redacción.
Porque legislar sobre inteligencia artificial sin un experto en IA es como legislar sobre medicina sin un médico. Se puede hacer. Pero el resultado va a ser una ley que, cuando se aplique, va a producir efectos que nadie previó porque nadie que entendía el tema estuvo en la mesa cuando se escribió.
Legislar sin entender es peor que no legislar
Y aquí llego al punto central de este artículo. La tesis que necesito que se entienda con toda la claridad que puedo darle.
Legislar mal sobre inteligencia artificial es peor que no legislar.
No estoy diciendo que no se deba legislar. Ya dejé claro en el artículo anterior que la regulación es necesaria. Lo que estoy diciendo es que una ley mal hecha produce daños concretos que la ausencia de ley no produce.
Daño uno: la falsa protección. Una ley de IA crea la expectativa en la ciudadanía de que sus derechos digitales están protegidos. Si la ley es inaplicable por deficiencias técnicas, la protección no existe pero la expectativa sí. El ciudadano piensa que está protegido. No lo está. Y cuando necesita esa protección — cuando un algoritmo le niega un servicio, cuando un deepfake destruye su reputación, cuando un sistema automatizado lo clasifica incorrectamente — descubre que la ley que creía que lo protegía es un papel sin dientes.
Daño dos: la inseguridad jurídica. Una ley con definiciones imprecisas, con mandatos técnicamente imposibles, con terminología incorrecta, genera inseguridad jurídica para todos los actores. Los desarrolladores de tecnología no saben si están cumpliendo o no. Los abogados no saben cómo interpretar los mandatos. Los jueces no saben cómo aplicarlos. Los ciudadanos no saben qué derechos tienen realmente. La inseguridad jurídica no es neutra. Beneficia a quien puede pagar abogados que encuentren las ambigüedades y las exploten. Perjudica a quien no puede.
Daño tres: el efecto enfriamiento. Una regulación excesiva, mal calibrada, puede inhibir la innovación legítima. Si un desarrollador de software no sabe si su chatbot de atención al cliente lo va a meter en un lío regulatorio, opta por no desarrollarlo. Si una empresa no sabe si su modelo de predicción de demanda califica como «sistema de IA de alto riesgo,» opta por no usarlo. La regulación que no distingue entre aplicaciones de alto riesgo y aplicaciones inofensivas congela todo el ecosistema por igual.
Daño cuatro: la brecha con la realidad. Una ley que no entiende la tecnología crea una brecha permanente entre lo que la ley dice y lo que la tecnología hace. Y esa brecha se ensancha con el tiempo, porque la tecnología evoluciona a una velocidad que las reformas legislativas no pueden igualar. En tres años, las capacidades de la IA van a ser radicalmente diferentes a las de hoy. Si la ley se escribió sin entender las capacidades de hoy, va a ser completamente obsoleta frente a las capacidades de mañana.
Qué debería pasar (y qué probablemente no va a pasar)
Lo que debería pasar es esto:
Las propuestas de ley sobre inteligencia artificial deberían pasar por un proceso de revisión técnica independiente. Un panel de expertos — científicos de datos, ingenieros de IA, peritos forenses, abogados especializados en tecnología — debería revisar cada propuesta, identificar errores conceptuales, imprecisiones terminológicas, mandatos técnicamente imposibles, y emitir un dictamen técnico vinculante. No consultivo. Vinculante. Que el legislador no pueda aprobar una ley que un panel de expertos ha dictaminado como técnicamente deficiente.
Las comisiones legislativas que manejan temas tecnológicos deberían tener equipos técnicos permanentes. No asesores que vienen y van. Equipos permanentes con capacidad técnica de alto nivel que puedan evaluar propuestas, redactar textos técnicamente precisos y dar seguimiento a la implementación.
La regulación debería ser iterativa. En lugar de intentar una ley omnicomprensiva que regule toda la IA de una vez, empezar con regulaciones sectoriales específicas: IA en el sector financiero, IA en el sector salud, IA en la administración pública, IA en medios y comunicación. Cada sector tiene riesgos diferentes, actores diferentes, necesidades de regulación diferentes. Una ley única para todo es una ley que no atiende bien a nada.
La regulación debería incluir cláusulas de revisión obligatoria. Cada dos o tres años, la ley debería someterse a una revisión técnica para determinar si las definiciones siguen siendo pertinentes, si los mandatos siguen siendo técnicamente viables, si han surgido nuevas tecnologías o aplicaciones que la ley original no contemplaba. La tecnología no espera a que la ley se ponga al día. La ley tiene que incorporar mecanismos para ponerse al día con la tecnología.
Qué probablemente va a pasar: se va a aprobar una ley con errores conceptuales que nadie va a corregir porque corregirlos requeriría admitir que se cometieron. Los tribunales van a tener que interpretar términos imprecisos caso por caso, generando jurisprudencia contradictoria. La ley va a ser parcialmente inaplicable por mandatos técnicamente imposibles. Y en cinco años, alguien va a proponer una reforma porque la ley original «ya quedó rebasada por la tecnología,» cuando la realidad es que la tecnología ya la había rebasado al momento de su aprobación.
La perspectiva forense: lo que veo desde el laboratorio
Voy a cerrar con lo que veo todos los días desde Duriva. Porque la perspectiva de un perito forense sobre la regulación de IA no es teórica. Es práctica. Es lo que me toca enfrentar en cada caso, en cada dictamen, en cada audiencia.
Veo jueces que no saben cómo evaluar evidencia en la que intervino inteligencia artificial. Veo abogados que no saben cómo impugnar o defender pruebas multimedia en un mundo de deepfakes. Veo ministerios públicos que no saben qué preguntar cuando la IA es relevante en una investigación. Veo ciudadanos cuyos derechos fueron vulnerados por un sistema automatizado y que no tienen un recurso legal claro para defenderse.
Todo eso es consecuencia de una brecha: la brecha entre la velocidad a la que la tecnología avanza y la velocidad a la que el marco jurídico se actualiza. La ley de IA debería cerrar esa brecha. Si se hace con conocimiento técnico, la cierra. Si se hace sin él, la ensancha.
Llevo 17 años en la intersección entre tecnología y derecho. He visto esa brecha crecer con cada nueva tecnología que llega y con cada ley que se aprueba sin entenderla. Y lo que he aprendido es que la brecha no la cierra la velocidad legislativa. La cierra la calidad legislativa.
Una invitación, no un insulto
Regulan el siglo XXI con mentes del siglo XIX. No porque sean incapaces. Sino porque no se han tomado el tiempo de entender el siglo que están regulando.
He formado a más de 1,300 peritos. He escrito seis libros. He analizado evidencia en juicios donde la tecnología era la pieza central. Y en todo ese tiempo, la constante ha sido la misma: el sistema jurídico corre detrás de la tecnología, nunca al lado de ella.
La ley de IA en México tiene la oportunidad de romper ese patrón. De legislar con conocimiento, con precisión, con la humildad de consultar a quien entiende lo que se está regulando. Pero para romper el patrón, primero hay que reconocer que existe.
La frase que repito en cada mesa de trabajo no es un insulto. Es una invitación. La invitación es esta: dejen de regular lo que no entienden solos. Inviten a quien lo entiende a la mesa. No para que les explique después de que la ley está redactada. Para que les explique antes.
Porque legislar sin entender no es valentía. Es temeridad. Y la temeridad, en un laboratorio, rompe equipos. En un Congreso, rompe derechos.