¿Qué pasa con los datos personales de mis clientes si uso agentes de IA?

¿Qué ley aplica y quién la vigila?

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó como nueva ley en el Diario Oficial de la Federación el 20 de marzo de 2025. Conforme a su texto, la autoridad es la Secretaría Anticorrupción y Buen Gobierno. La ley mantiene los principios conocidos —licitud, finalidad, lealtad, consentimiento, entre otros—, el aviso de privacidad y los derechos de acceso, rectificación, cancelación y oposición (ARCO), que el responsable debe atender en los plazos que marca la ley.

La propia ley exceptúa a las sociedades de información crediticia en los supuestos de su ley especial. La consulta de historial crediticio sigue sus propias reglas: el artículo 28 de la Ley para Regular las Sociedades de Información Crediticia exige la autorización expresa del cliente.

¿Qué cambia cuando quien trata los datos es un agente?

Jurídicamente, el responsable sigue siendo tu entidad. Lo que cambia es dónde hay que poner atención:

• Aviso de privacidad. Que describa las finalidades reales, incluido el uso de herramientas automatizadas en la atención, la cobranza o la evaluación, si es el caso.
• Encargados. El proveedor que opera los agentes y los servicios de IA que usa actúan por cuenta de tu entidad; eso se documenta en contrato, con obligaciones de confidencialidad y seguridad.
• Mínimo necesario. El agente ve sólo los datos que necesita para el caso que atiende, no la base completa.
• Derechos ARCO. El agente puede recibir una solicitud y canalizarla al área responsable con su fecha, pero no la resuelve por su cuenta.

¿Qué dice la ley sobre decisiones automatizadas?

El artículo 26, fracción II, reconoce el derecho a oponerse cuando los datos «sean objeto de un tratamiento automatizado, el cual le produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades, y estén destinados a evaluar, sin intervención humana, determinados aspectos personales», entre ellos la situación económica, la fiabilidad o el comportamiento. La ley prevé excepciones, por ejemplo cuando el tratamiento es necesario para cumplir una obligación legal del responsable.

Para una financiera, la consecuencia práctica es clara: en decisiones como aprobar o rechazar un crédito, el diseño prudente es que el agente prepare el análisis y una persona intervenga en la decisión. Cómo aplica a tu caso concreto lo debe determinar tu área legal.

¿Qué controles técnicos debe tener el ecosistema?

• Los datos de tu entidad no se usan para entrenar modelos y no se mezclan con los de otros clientes.
• Accesos por rol y por agente, con credenciales que el modelo de IA nunca ve.
• Bitácora de cada consulta y cada escritura sobre datos personales.
• Cifrado en tránsito y en reposo, y separación por cliente en la infraestructura.
• Validación de identidad antes de entregar cualquier dato al titular por un canal conversacional.
• Plazos de conservación definidos y borrado al terminar la finalidad, salvo que otra ley obligue a conservar (por ejemplo, la documentación de identificación en materia PLD).

Los ecosistemas de InnovaBlack están construidos sobre Claude, el modelo de Anthropic, y los diseñamos con estos controles desde el inicio. Más detalle en nuestra página de seguridad.

¿Qué conviene revisar antes de encender un agente?

1. Que el aviso de privacidad cubra las finalidades y medios que usará el agente.
2. Que el contrato con el proveedor lo establezca como encargado, con sus obligaciones.
3. Qué decisiones tendrán intervención humana y cómo se documenta.
4. Cómo recibe el agente una solicitud ARCO y a quién la canaliza.
5. Qué datos verá cada agente y qué datos nunca verá.

Ninguno de estos puntos frena el proyecto si se resuelve al principio. Todos lo frenan si se descubren cuando el agente ya está hablando con clientes.

Respuestas cortas

¿Qué ley de datos personales aplica a una SOFOM?

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en su nueva versión publicada en el DOF el 20 de marzo de 2025. Conforme a ella, la autoridad en la materia es la Secretaría Anticorrupción y Buen Gobierno.

¿Un cliente puede oponerse a que un agente evalúe su solicitud?

La ley reconoce el derecho de oposición cuando los datos son objeto de un tratamiento automatizado que produce efectos jurídicos no deseados o afecta significativamente a la persona, y está destinado a evaluar sin intervención humana aspectos como su situación económica o fiabilidad. Hay excepciones, por ejemplo cuando el tratamiento es necesario para cumplir una obligación legal. Por eso conviene que una persona intervenga en las decisiones de crédito.

¿Mis datos se usan para entrenar la IA?

No. En los ecosistemas que construimos los datos de cada cliente son del cliente: no entrenan modelos ni se cruzan con los de otras entidades.

Fuentes oficiales

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20/03/2025, texto vigente, Cámara de Diputados)
• Ley para Regular las Sociedades de Información Crediticia (texto vigente, Cámara de Diputados)

Esta página describe reglas y prácticas; no es asesoría legal. La última palabra la tienen tu oficial de cumplimiento y tus abogados.