Datos personales y modelos de lenguaje: qué exige la LFPDPPP

Antes de meter datos de clientes en un modelo hay que revisar dos cosas: si el tratamiento cabe en las finalidades que anunciaste en tu aviso de privacidad, y si hay datos sensibles de por medio. Lo primero se arregla actualizando el aviso. Lo segundo es un límite duro que no se negocia con configuración.

Puntos clave

• La ley de 2010 está abrogada. La vigente se publicó el 20 de marzo de 2025 y la autoridad es la Secretaría Anticorrupción y Buen Gobierno.
• El consentimiento tácito es válido por regla general, pero solo cubre las finalidades que el aviso describe.
• Los datos sensibles exigen consentimiento expreso y por escrito. Los financieros o patrimoniales, expreso.
• Que el proveedor esté fuera de México no cambia tus obligaciones como responsable.

¿Qué cambió y por qué importa ahora?

Cambió la ley entera, y mucha documentación interna sigue apuntando a la vieja.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares que casi todo el mundo conoce, la de 2010, quedó abrogada. El transitorio segundo del decreto que publica la nueva lo dice con todas las letras: se abroga «La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el Diario Oficial de la Federación el 5 de julio de 2010».

La ley vigente se publicó el 20 de marzo de 2025 y entró en vigor al día siguiente. Y la autoridad cambió: el INAI desapareció y la ley define en su artículo 2, fracción XV que «Secretaría» significa «Secretaría Anticorrupción y Buen Gobierno».

Esto importa en un proyecto de IA por una razón práctica: si tu aviso de privacidad menciona al INAI o cita artículos de la ley vieja, está desactualizado, y ese aviso es justo el documento del que depende que puedas tratar los datos.

Fuente: Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente, publicada por la Cámara de Diputados. Nueva ley publicada en el DOF el 20 de marzo de 2025, con última reforma publicada el 14 de noviembre de 2025. Consultada el 8 de septiembre de 2026.

¿Hace falta pedir permiso otra vez para usar IA?

No necesariamente. Depende de qué diga tu aviso, no de qué tecnología uses.

La ley no regula herramientas: regula finalidades. Si tu aviso dice que tratas los datos para dar servicio al cliente, procesarlos con un modelo para redactar una respuesta de soporte sigue siendo dar servicio al cliente. Si tu aviso no contempla el análisis o la elaboración de perfiles y eso es lo que vas a hacer, falta la finalidad, y eso se arregla actualizando el aviso y comunicándolo.

Sobre el mecanismo, la ley es más permisiva de lo que mucha gente cree. Su artículo 7 establece que «El consentimiento será tácito cuando habiéndose puesto a disposición de la persona titular el aviso de privacidad, esta no manifieste su voluntad en sentido contrario», y que «Por regla general será válido el consentimiento tácito».

Es decir: no hace falta una casilla firmada para cada finalidad ordinaria. Hace falta un aviso claro, puesto a disposición, que describa lo que de verdad haces.

¿Dónde está el límite duro?

En dos categorías de datos, y este es el apartado que decide si un proyecto se puede hacer.

Datos sensibles. El artículo 8 no deja margen: «Tratándose de datos personales sensibles, el responsable deberá obtener el consentimiento expreso y por escrito de la persona titular para su tratamiento, a través de su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación que al efecto se establezca.» Expreso y por escrito. La ley incluye ahí datos de salud, origen racial, creencias religiosas o filosóficas, opiniones políticas y preferencia sexual, entre otros.

Datos financieros o patrimoniales. El mismo artículo 7 los separa: «Los datos financieros o patrimoniales requerirán el consentimiento expreso de la persona titular», con las excepciones que la propia ley prevé.

La consecuencia operativa es concreta. Un proyecto que procese expedientes clínicos, solicitudes de crédito o cualquier cosa que roce esas categorías no tiene un problema técnico: tiene uno legal que se resuelve antes de escribir una línea de código, o no se resuelve.

Y una precaución que se salta casi todo el mundo: los datos sensibles se cuelan en campos de texto libre. Una nota de un vendedor que dice por qué el cliente pospuso la reunión puede contener un dato de salud. Si vas a mandar notas completas a un modelo, alguien tiene que haber mirado qué hay ahí dentro.

¿Cambia algo si el proveedor está fuera de México?

Tus obligaciones, no. Tú sigues siendo el responsable.

La ley te obliga a ti frente a la persona cuyos datos tratas, sin importar dónde esté alojado el servicio que contrataste. El proveedor es un tercero al que transmites datos, y esa transmisión tiene que estar cubierta por tu aviso y por tu contrato.

En la práctica esto se traduce en tres cláusulas que conviene exigir por escrito: dónde se almacenan los datos, si se usan para entrenar modelos, y qué pasa con ellos al terminar el contrato. Las tres, junto con las otras seis preguntas que separan a un proveedor serio de una demo, están en qué preguntas hacerle a un proveedor de IA antes de firmar.

¿Por dónde se empieza en la práctica?

Por leer tu propio aviso de privacidad, que suele ser la primera vez que alguien lo hace desde que lo publicó.

Después, tres pasos en este orden. Comparar lo que el aviso dice con lo que el proyecto pretende hacer, y anotar la diferencia. Mirar si en los datos que va a tocar el modelo hay categorías sensibles o financieras, incluyendo los campos de texto libre. Y decidir qué se manda al modelo y qué se queda: muchas veces el caso de uso funciona igual mandando tres campos en vez del registro completo, y eso reduce el problema a la mitad.

Ese último punto tiene además una ventaja que no es legal: cuanto menos mandas, menos cuesta y menos se puede filtrar. La elección del proceso y de qué datos necesita de verdad va antes que cualquier otra cosa, y está en cómo elegir qué proceso automatizar primero con IA.

Esto no sustituye a un abogado, y conviene decirlo. Sirve para llegar a esa conversación sabiendo qué preguntar. Si quieres que revisemos qué datos toca el proyecto que tienes en mente, el diagnóstico inicial no tiene costo.

Preguntas frecuentes

¿Puedo meter datos de mis clientes en un modelo de lenguaje? Depende de qué dijiste en tu aviso de privacidad y de qué tipo de datos son. El tratamiento tiene que estar entre las finalidades informadas, y los datos sensibles exigen consentimiento expreso y por escrito. Si el aviso no contempla el uso, primero se actualiza el aviso.

¿Sigue vigente la ley de 2010? No. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada en 2010 quedó abrogada. Hay una ley nueva publicada en el Diario Oficial el 20 de marzo de 2025, y la autoridad ya no es el INAI sino la Secretaría Anticorrupción y Buen Gobierno.

¿Qué son datos sensibles y por qué importan aquí? Son los que pueden dar origen a discriminación o poner en riesgo grave a la persona: salud, origen racial, creencias, opiniones políticas, preferencia sexual, entre otros. Para tratarlos hace falta consentimiento expreso y por escrito, no basta con el aviso de privacidad.

¿Sirve el consentimiento tácito para un proyecto de IA? Por regla general el consentimiento tácito es válido: si pusiste el aviso a disposición y la persona no se opuso, hay consentimiento. Pero eso solo cubre las finalidades que el aviso describe, y los datos financieros o patrimoniales exigen consentimiento expreso.