Voy a empezar con una confesión que probablemente no esperan de alguien que lleva 17 años en informática forense: me alegra que el Congreso de México esté intentando legislar sobre inteligencia artificial.
Me alegra genuinamente.
No porque las propuestas sean buenas — ya llegaremos a eso. No porque los legisladores entiendan la tecnología que pretenden regular — ya llegaremos a eso también. Me alegra porque el simple hecho de que el tema esté en la mesa legislativa significa que alguien, en alguna oficina del Senado o de San Lázaro, entendió que la inteligencia artificial no es una curiosidad tecnológica del futuro. Es una realidad del presente que está afectando derechos, economías, procesos judiciales y vidas concretas de personas concretas en México. Hoy. No mañana. Hoy.
Y eso, por sí solo, ya es un avance. Porque durante años, la posición institucional de México frente a la tecnología ha sido la misma: ignorarla hasta que explote en la cara. Legislar después del desastre. Correr detrás del tren cuando el tren ya pasó por encima de alguien.
Ahora, que me alegre no significa que me conforme. Y este artículo es precisamente sobre la distancia que existe entre la intención de legislar — que es correcta — y la ejecución técnica de esa legislación — que es donde las leyes se caen, se quiebran y terminan siendo decoración legislativa.
Este artículo es para el ciudadano que vio la noticia de que México va a regular la inteligencia artificial y se preguntó «y eso a mí en qué me afecta.» Para el abogado que necesita entender cómo una ley de IA podría cambiar las reglas de evidencia digital en los juicios que litiga. Para el empresario de software que quiere saber si lo que viene le va a meter en un lío regulatorio o le va a dar un marco claro para operar. Para el legislador que está redactando o votando estas propuestas y que necesita escuchar la perspectiva de alguien que trabaja todos los días con las consecuencias de legislar sin entender la tecnología. Y para el periodista que está cubriendo el tema y necesita una fuente técnica que no le hable en buzzwords sino en realidades.
A todos les digo lo mismo: lean completo. Porque la respuesta a la pregunta del título no es un sí ni un no. Es un «depende.» Y de qué depende es exactamente lo que voy a explicar.
La intención: por qué legislar IA tiene sentido
Antes de criticar — y voy a criticar, pueden estar seguros — necesito reconocer lo que se está haciendo bien. Porque la crítica sin reconocimiento es cinismo, y el cinismo no construye nada.
La inteligencia artificial está transformando cada sector de la sociedad mexicana. No es hipérbole. Es un inventario de hechos.
En el sistema financiero, los algoritmos de scoring crediticio ya deciden quién recibe un préstamo y quién no. Si alguna vez te negaron un crédito y la razón fue vaga — «tu perfil no cumple con los parámetros» –, hay una probabilidad creciente de que esa decisión la tomó un algoritmo, no una persona. Un algoritmo que no te explica sus parámetros, que no te dice por qué te rechazó, y al que no puedes apelar porque no hay un ser humano al otro lado del escritorio al que mirarle a los ojos y decirle «explíqueme.»
En el ámbito laboral, los sistemas de IA filtran currículos antes de que un reclutador los vea. Tu experiencia, tus habilidades, tus años de trabajo — todo pasa por un filtro algorítmico que decide si mereces una entrevista o si tu currículum va al folder de «no procede.» Ese filtro puede tener sesgos. Sesgos de género, de edad, de ubicación geográfica, de universidad de procedencia. Sesgos que un humano podría identificar y corregir, pero que un algoritmo reproduce y amplifica porque nadie le dijo que estaban ahí.
En la seguridad pública, los sistemas de reconocimiento facial se están desplegando en espacios públicos sin que la ciudadanía haya sido consultada, sin que exista un marco regulatorio claro, sin que se haya definido quién tiene acceso a esos datos, por cuánto tiempo se almacenan y bajo qué circunstancias pueden usarse como prueba.
En los medios de comunicación, las imágenes generadas por IA, los deepfakes de audio y video, y los textos sintéticos están circulando en redes sociales, en campañas políticas, en noticias fabricadas, en fraudes de ingeniería social. La capacidad de generar contenido falso que parece real se ha democratizado. Cualquier persona con una computadora y acceso a internet puede crear un video donde un candidato dice algo que nunca dijo, una imagen donde una persona aparece en un lugar donde nunca estuvo, un audio donde alguien confiesa algo que nunca hizo.
En el sistema judicial — y aquí es donde mi experiencia se vuelve directamente relevante — la inteligencia artificial está cambiando las reglas de la evidencia digital. Cada pieza de evidencia multimedia que se presenta en un juicio ahora enfrenta una pregunta que hace cinco años era impensable: «¿Es real o fue generada por IA?» Esa pregunta cambia todo. Cambia la carga probatoria, cambia los estándares de autenticación, cambia el rol del perito forense, cambia la confianza del juez en lo que ve y escucha.
Ante todo esto, legislar no es una opción. Es una obligación. El Estado tiene la obligación de proteger los derechos de los ciudadanos, y si la tecnología crea nuevas formas de vulnerar esos derechos, el Estado tiene la obligación de actualizar el marco jurídico para contemplarlas.
Entonces sí, la intención está bien. México necesita legislar sobre inteligencia artificial. La pregunta no es si debe hacerlo. La pregunta es cómo.
Y ahí es donde empiezan los problemas.
La ejecución: donde las leyes se caen
Llevo 17 años viendo cómo el sistema jurídico mexicano lidia con la tecnología. He sido perito en casos donde la ley existía pero era inaplicable porque fue redactada sin asesoría técnica. He visto artículos de ley que usan terminología incorrecta, que confunden conceptos básicos, que regulan cosas que no existen y dejan sin regular cosas que sí existen. He visto jueces aplicar leyes que no entienden a tecnologías que no conocen, y abogados citar artículos que dicen una cosa en el papel pero otra en la realidad técnica.
La ejecución es donde las leyes se caen. Y se caen por razones predecibles, documentables, y en la mayoría de los casos, evitables.
Problema uno: la definición
Todo comienza con la definición. Si la ley va a regular la inteligencia artificial, lo primero que tiene que hacer es definir qué es inteligencia artificial. Y esa definición es la piedra angular sobre la que se construye toda la regulación.
Si la definición es demasiado amplia — «cualquier sistema que procese datos para tomar decisiones» –, entonces un filtro de spam en tu correo electrónico es inteligencia artificial y está sujeto a regulación. Una hoja de cálculo con fórmulas condicionales es inteligencia artificial. Un termostato programable es inteligencia artificial. Una definición así de amplia convierte a la ley en un absurdo que lo regula todo y por lo tanto no regula nada.
Si la definición es demasiado estrecha — «sistemas basados en redes neuronales profundas que generan contenido original» –, entonces se excluyen los sistemas de decisión automatizada basados en árboles de decisión, los modelos de regresión, los sistemas expertos basados en reglas. Sistemas que están tomando decisiones que afectan derechos de personas — créditos, empleo, sentencias — pero que no caen en la definición porque no son «redes neuronales profundas.»
La definición correcta es técnica, precisa y funcional. Requiere que alguien que entienda la tecnología participe en su redacción. No solo como consultor externo cuya opinión se puede ignorar. Como co-redactor cuya precisión técnica es vinculante.
Empresario de software que está leyendo esto y quiere saber si su producto va a caer bajo la regulación: esa respuesta depende enteramente de cómo se defina «inteligencia artificial» en la ley final. Si la definición es amplia, tu chatbot de atención al cliente podría requerir cumplir con obligaciones regulatorias diseñadas para modelos generativos avanzados. Si es estrecha, el algoritmo de scoring que toma decisiones sobre personas podría quedar fuera del alcance de la ley. Ninguno de los dos escenarios es deseable. Lo deseable es una definición que capture las tecnologías que generan riesgos reales para derechos reales, sin atrapar en la red a tecnologías inofensivas.
Problema dos: la taxonomía de riesgos
La Unión Europea, con su AI Act, estableció una clasificación por niveles de riesgo: inaceptable, alto, limitado, mínimo. Es una aproximación razonable — no perfecta, pero razonable — porque reconoce que no todos los sistemas de IA presentan los mismos riesgos y que no todos merecen la misma intensidad regulatoria.
México necesita algo equivalente. No una copia del modelo europeo — porque la realidad mexicana es diferente –, sino una taxonomía propia que identifique qué aplicaciones de IA presentan riesgos altos para los derechos de las personas y cuáles no.
Un sistema de IA que recomienda películas en una plataforma de streaming no necesita la misma regulación que un sistema de IA que decide si una persona recibe atención médica de emergencia. Un filtro de fotos que te pone orejas de gato no necesita la misma regulación que un sistema de reconocimiento facial que opera en la entrada de un penal federal.
Si la ley mexicana intenta regular todo con la misma vara, va a pasar una de dos cosas: o la regulación es tan laxa que no protege a nadie, o es tan estricta que impide la innovación y empuja a los desarrolladores a operar fuera del marco legal. Ninguna es buena.
Problema tres: la relación con la evidencia digital
Y aquí llego al punto que me toca más de cerca. Porque en 17 años de informática forense, la inteligencia artificial es la fuerza que más ha transformado mi campo de trabajo en la última década.
Hasta hace pocos años, cuando un perito recibía una imagen, un audio o un video como evidencia en un juicio, la pregunta principal era: «¿Ha sido alterado?» Se analizaban los metadatos, la compresión, la consistencia visual, y se determinaba si la pieza había sido editada o manipulada.
Ahora, la pregunta ya no es solo si fue alterada. Es si fue generada desde cero por una inteligencia artificial. Un deepfake de video no es una edición de un video real. Es una creación enteramente sintética que parece real. Un audio generado por IA no es un audio manipulado. Es un audio que nunca existió en la realidad acústica. Una imagen generada no es una foto editada. Es una foto de algo que nunca ocurrió.
La ley de IA, si se hace bien, debería establecer un marco que contemple la admisibilidad de evidencia digital en un mundo donde la generación sintética de contenido es accesible para cualquiera. Debería definir los estándares de autenticación que deben cumplir las pruebas multimedia en un proceso judicial. Debería reconocer que la verificación de autenticidad de un medio digital requiere un peritaje forense, no una aplicación gratuita de internet.
Abogado que me lee: esto te importa directamente. Porque la ley de IA que se apruebe va a redefinir las reglas del juego para toda la evidencia multimedia que presentes en tus juicios. Si la ley establece estándares altos de autenticación, vas a necesitar peritos forenses que certifiquen cada imagen, cada video, cada audio. Si la ley no establece ningún estándar, vas a operar en un vacío donde cualquier prueba puede ser impugnada con el argumento «pudo haber sido generada por IA» y no habrá un marco claro para responder.
La peor opción es la que tenemos ahora: la ausencia de reglas. Porque en la ausencia de reglas, cada juez decide con su propio criterio qué es suficiente para autenticar una pieza de evidencia digital. Y ese criterio varía de juzgado a juzgado, de estado a estado, de juez a juez. Es la misma lotería que he documentado en el contexto de sábanas de llamadas, pero aplicada a toda la evidencia multimedia.
Problema cuatro: la fiscalización
Una ley sin fiscalización es una sugerencia con formato oficial.
México tiene un historial preocupante de aprobar leyes tecnológicas que no se fiscalizan. La Ley Federal de Protección de Datos Personales en Posesión de Particulares existe desde 2010. El INAI tiene — o tenía — la facultad de fiscalizar su cumplimiento. En la práctica, la cantidad de empresas mexicanas que cumplen cabalmente con la LFPDPPP es una fracción minúscula del total. Las multas son raras. Las sanciones son excepción. El cumplimiento es, en gran medida, voluntario.
Si la ley de IA sigue el mismo patrón — se aprueba con bombo y platillo, se publica en el Diario Oficial, y después nadie la fiscaliza –, va a ser decoración legislativa. Un artículo en Wikipedia que dice que México tiene una ley de IA, pero que no cambia nada en la práctica.
La fiscalización efectiva requiere tres cosas: un organismo con capacidad técnica para auditar sistemas de IA, presupuesto para que ese organismo opere, y consecuencias reales para quien incumpla. Si alguna de las tres falta, la ley es un cascarón.
Legislador que me lee: pregúntese esto antes de votar: ¿quién va a fiscalizar? ¿Con qué presupuesto? ¿Con qué personal técnico? Si la respuesta a cualquiera de esas preguntas es «ya veremos,» la ley no está lista para aprobarse.
Lo que debería contemplar una ley de IA para el ámbito forense
No voy a solo señalar problemas. Voy a proponer soluciones. Porque si solo señalo, esto es una columna de opinión. Y yo no soy columnista. Soy perito. Los peritos proponemos.
Una ley de inteligencia artificial en México que contemple adecuadamente la dimensión forense y probatoria debería incluir, como mínimo:
1. Estándares de autenticación de evidencia digital en la era de la IA generativa. La ley debería definir qué nivel de verificación es suficiente para que una imagen, un audio o un video sea admisible como prueba en un proceso judicial. Esa verificación debería requerir, como mínimo, un análisis forense que incluya revisión de metadatos, análisis de patrón de ruido (PRNU), análisis de compresión, análisis de consistencia visual y estadística, y, cuando sea pertinente, comparación con firmas conocidas de modelos generativos. No una aplicación. No un checkbox. Un peritaje.
2. Obligación de transparencia en decisiones automatizadas. Si un algoritmo decide algo que afecta los derechos de una persona — le niega un crédito, la descarta de un proceso de selección, la clasifica como sospechosa, le ajusta una prima de seguro –, esa persona tiene derecho a saber que la decisión fue tomada por un sistema automatizado, a conocer los criterios generales del sistema, y a impugnar la decisión ante un ser humano.
3. Regulación de deepfakes y contenido sintético con intención de daño. La generación de contenido sintético que suplante la identidad de una persona, que la coloque en situaciones que no ocurrieron, o que sea utilizado para fraude, extorsión, difamación o manipulación de procesos judiciales debería estar tipificada como delito. No como una subcategoría difusa dentro de los delitos existentes. Como un tipo penal específico, con elementos claramente definidos.
4. Registro de sistemas de IA de alto riesgo. Los sistemas de IA que se utilicen en el sector público para tomar decisiones que afecten derechos — scoring crediticio gubernamental, sistemas de vigilancia, predicción de riesgo criminal, evaluación de solicitudes de beneficios sociales — deberían estar registrados ante un organismo regulador, con documentación de su funcionamiento, sus sesgos conocidos y las medidas de mitigación implementadas.
5. Interoperabilidad con el marco probatorio existente. La ley de IA no puede existir en un vacío. Tiene que dialogar con el Código Nacional de Procedimientos Penales, con el Código Federal de Procedimientos Civiles, con la Ley Federal de Telecomunicaciones, con la LFPDPPP. Si no se construye la interoperabilidad entre la nueva ley y el marco jurídico existente, vamos a tener conflictos de interpretación que los tribunales van a tardar años en resolver.
El elefante en la sala: la capacidad técnica del Estado
Y aquí llego al punto que nadie quiere abordar pero que es insoslayable.
Para legislar sobre inteligencia artificial, el Estado mexicano necesita capacidad técnica. No estoy hablando de que los legisladores se conviertan en ingenieros. Estoy hablando de que el aparato estatal — las comisiones legislativas, los órganos reguladores, los ministerios públicos, los tribunales — tenga acceso a conocimiento técnico de alto nivel sobre cómo funciona la inteligencia artificial.
Porque la brecha entre la tecnología y la capacidad del Estado para regularla no es un vacío. Es un abismo. Y ese abismo tiene consecuencias concretas.
He estado en mesas de trabajo donde se discutían propuestas de regulación tecnológica. He escuchado a asesores legislativos confundir un algoritmo con una aplicación. He visto propuestas que regulan «la inteligencia artificial» como si fuera una cosa monolítica — un ente singular con un botón de encendido y apagado — en lugar de un ecosistema de tecnologías diversas con aplicaciones radicalmente diferentes.
No es culpa de los legisladores individualmente. Es un problema estructural. El Estado mexicano no ha construido la infraestructura técnica necesaria para regular la tecnología del siglo XXI. Y regular sin entender es como operar sin diagnóstico: puedes acertar por casualidad, pero las probabilidades están en tu contra.
Periodista que cubre el tema legislativo: cuando entrevistes a un legislador sobre la ley de IA, no le preguntes solo qué opina. Pregúntale quién lo asesora técnicamente. Pregúntale si la comisión tiene un equipo técnico permanente con experiencia en inteligencia artificial. Pregúntale si consultaron a la academia, a la industria, a los laboratorios forenses. Las respuestas — o las evasivas — te van a dar una historia más importante que la ley misma.
Esto te importa. Aunque creas que no.
Ciudadano que llegó hasta aquí: esto te importa. Y necesito explicarte por qué con la misma precisión con la que le explico al abogado y al legislador.
La inteligencia artificial ya está tomando decisiones sobre tu vida. No en el futuro. Hoy. El banco que te niega un crédito puede estar usando un modelo de scoring con IA. La empresa que revisó tu currículum puede haber usado un filtro automatizado. La cámara de vigilancia en la esquina de tu colonia puede tener reconocimiento facial activado. El contenido que ves en tus redes sociales está curado por un algoritmo que decide qué te enoja, qué te entretiene y qué te hace quedarte más tiempo mirando la pantalla.
Ninguna de esas decisiones está regulada de manera específica en México. No existe una ley que te diga: «Tienes derecho a saber que un algoritmo te negó el crédito. Tienes derecho a impugnar esa decisión. Tienes derecho a que te expliquen por qué.»
La ley de IA, si se hace bien, te daría esos derechos. Te daría la posibilidad de exigir transparencia. De cuestionar decisiones automatizadas que te afectan. De saber cuándo un contenido fue generado por IA. De tener un recurso legal cuando la tecnología se usa en tu contra.
Pero «si se hace bien» es la frase que carga todo el peso. Porque hacerla mal es peor que no hacerla. Una ley mal hecha crea una falsa sensación de protección. El ciudadano piensa «ya tengo derechos digitales» cuando en realidad tiene un artículo de ley que nadie puede aplicar porque está mal redactado, mal fundamentado o mal fiscalizado.
Víctima de un deepfake que me lee: la ley de IA debería protegerte de manera específica. Debería tipificar la creación y difusión de contenido sintético que suplante tu identidad. Debería establecer un mecanismo rápido para que las plataformas retiren ese contenido. Debería darte acceso a la información técnica necesaria para que un perito pueda rastrear el origen del deepfake y construir una cadena probatoria. Si la ley que se apruebe no hace ninguna de estas cosas, la ley no te está protegiendo. Está pretendiendo que te protege.
La realidad que debería guiar la ley
La realidad es esta: la inteligencia artificial en México no necesita una ley perfecta. Necesita una ley aplicable. Una ley que entienda la tecnología que regula, que defina los derechos de las personas frente a esa tecnología, que establezca mecanismos reales de fiscalización, y que se integre con el marco jurídico existente sin crear contradicciones.
Esa ley no existe todavía. Lo que existe son propuestas. Algunas con mérito. Otras con lagunas que un primer semestre de ingeniería de sistemas podría identificar. Todas con un denominador común: fueron escritas por abogados y políticos, no por tecnólogos.
No estoy diciendo que los tecnólogos deban legislar. Estoy diciendo que los legisladores no pueden legislar esto solos. Necesitan a los tecnólogos, a los forenses, a los científicos de datos, a los expertos en ética de la IA, a los abogados especializados en tecnología. No como consultores cuya opinión se recibe y se archiva. Como co-creadores cuya expertise es parte integral del proceso de redacción.
La inteligencia artificial es la tecnología más transformadora de nuestra era. Legislarla es un acto de responsabilidad histórica. Y los actos de responsabilidad histórica no se ejecutan con prisa, con ignorancia ni con buenas intenciones como sustituto de buena técnica.
México está en un camino. Que sea correcto depende de la ejecución.
Me preguntan si México está en el camino correcto al legislar sobre inteligencia artificial. La respuesta honesta es: está en un camino. Que ese camino sea correcto depende de lo que pase entre la intención y la ejecución. Entre la propuesta y la ley final. Entre el papel y la realidad.
He formado a más de 1,300 peritos en 10 países. He visto cómo legislan otros países sobre tecnología. He visto lo que funciona y lo que no. Y lo que he aprendido en esos 17 años es que las leyes tecnológicas que funcionan son las que se escriben con conocimiento técnico, no a pesar de él.
México tiene la oportunidad de hacerlo bien. Tiene acceso al conocimiento. Tiene acceso a la experiencia internacional. Tiene acceso a la expertise técnica doméstica. Lo que necesita es la humildad institucional de reconocer que legislar sobre algo que no se entiende es un riesgo, no un mérito.
La ley de IA que México necesita no es la ley que se anuncia con más entusiasmo en la conferencia de prensa. Es la que funciona cuando un ciudadano la necesita para defender sus derechos frente a una máquina que tomó una decisión sin explicarle por qué.
Si la ley que se apruebe logra eso, el camino habrá sido correcto. Si no lo logra, habremos legislado para las estadísticas de productividad legislativa y no para las personas que necesitan protección.
En Duriva, ya estamos trabajando con las consecuencias de la IA en el ámbito forense. Ya estamos autenticando evidencia en un mundo de deepfakes. Ya estamos enfrentando impugnaciones basadas en IA generativa en juicios reales. No necesitamos que la ley nos diga que la IA es relevante. Lo vivimos todos los días. Lo que necesitamos es que la ley les diga a los jueces, a los abogados, a los ministerios públicos y a los ciudadanos cuáles son las reglas del juego.
Porque el juego ya empezó. Y jugar sin reglas es como legislar sin entender: puedes acertar por casualidad. Pero las probabilidades están en tu contra.