Protección de datos personales en la era de la IA: contraste entre el GDPR y la Ley Federal mexicana

La aceleración de la inteligencia artificial (IA) está reconfigurando la forma en que empresas y gobiernos recaban, procesan y monetizan datos personales. Esta revolución tecnológica convive, sin embargo, con obligaciones jurídicas complejas cuyo cumplimiento no es opcional. En Europa, el Reglamento General de Protección de Datos (GDPR) se ha convertido en un estándar global de referencia con exigencias de transparencia, licitud y responsabilidad proactiva. En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y su Reglamento establecen principios robustos —licitud, consentimiento, información, finalidad, calidad, lealtad, proporcionalidad y responsabilidad— aplicables a ecosistemas digitales crecientemente apoyados en IA. Este artículo explora, con foco práctico, las convergencias y divergencias entre ambos marcos cuando la IA entra en juego: entrenamiento de modelos, decisiones automatizadas, transferencias internacionales, evaluaciones de impacto, gobernanza algorítmica y seguridad. También revisa la jurisprudencia y las tendencias regulatorias, como la Ley de IA de la UE, para extraer recomendaciones accionables que permitan innovar sin comprometer derechos fundamentales ni exponerse a sanciones relevantes y riesgos reputacionales.

1. Introducción y Contexto Actual

La adopción de sistemas de IA —incluida la IA generativa— se ha disparado. Encuestas internacionales reportaron en 2024 que más de la mitad de las organizaciones experimentan o despliegan casos de uso de IA, desde chatbots hasta motores de recomendación, prevención de fraude y biometría. Detrás de estas implementaciones hay un denominador común: datos personales. El valor y la precisión de los modelos dependen de grandes volúmenes de datos, muchas veces de origen diverso, con calidades variables y distintos regímenes jurídicos aplicables. Este contexto multiplica los puntos de riesgo: recolecciones desproporcionadas, usos secundarios incompatibles con la finalidad original, sesgos discriminatorios, decisiones automatizadas opacas y transferencias internacionales sin salvaguardas. Por ello, comprender cómo el GDPR y la LFPDPPP regulan la IA deja de ser una cuestión académica para convertirse en un imperativo estratégico.

Además, los reguladores han aumentado su vigilancia. Las multas acumuladas bajo el GDPR ya superan varios miles de millones de euros, con resoluciones emblemáticas sobre transferencias a Estados Unidos, publicidad comportamental y tratamiento de datos de menores. En México, el INAI ha intensificado verificaciones y criterios sobre videovigilancia, biometría y avisos de privacidad, con sanciones que pueden multiplicarse cuando se involucran datos sensibles. En Europa, la entrada en vigor gradual de la nueva Ley de IA de la UE añade obligaciones específicas por nivel de riesgo del sistema, complementando y no sustituyendo al GDPR. En paralelo, en México se discuten iniciativas y guías sectoriales sobre IA responsable. El resultado es un terreno regulatorio dinámico, donde los responsables que planifican con anticipación obtienen una ventaja competitiva tangible al reducir fricciones legales y acelerar la confianza de usuarios y socios comerciales.

2. Marco Legal y Regulatorio

El GDPR regula el tratamiento de datos personales en la Unión Europea y para responsables o encargados extraterritoriales que ofrecen bienes/servicios a residentes o monitorizan su comportamiento. Establece bases de licitud (consentimiento, contrato, obligación legal, intereses vitales, interés público y legítimo interés), principios de tratamiento (limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad, responsabilidad proactiva) y un catálogo de derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición y a no ser objeto de decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativamente similares). Prevé medidas como el registro de actividades, evaluaciones de impacto (DPIA), privacidad desde el diseño y por defecto, y designación de DPO en supuestos específicos.

En México, la LFPDPPP y su Reglamento regulan a los particulares (empresas y organizaciones) en el tratamiento de datos personales. Sus principios —licitud, consentimiento, información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad— convergen en gran medida con el GDPR. El marco mexicano articula derechos ARCO (acceso, rectificación, cancelación y oposición) y prevé la obligación del aviso de privacidad, medidas de seguridad administrativas, técnicas y físicas, y reglas para transferencias nacionales e internacionales. Destaca la categoría de datos personales sensibles (por ejemplo, salud, origen étnico o racial, creencias religiosas, afiliación sindical, preferencias sexuales y, usualmente, biométricos) con niveles reforzados de protección. A diferencia del GDPR, no existe una obligación general de realizar DPIA, si bien el enfoque de gestión de riesgos y análisis de proporcionalidad se ha consolidado como buena práctica.

El ecosistema se completa con autoridades y normas complementarias. En la UE, las autoridades de control nacionales y el Comité Europeo de Protección de Datos coordinan interpretaciones y decisiones. La Ley de IA de la UE, aprobada en 2024, introduce obligaciones por riesgo (prohibiciones para ciertos usos, requisitos estrictos para sistemas de alto riesgo y transparencia para IA de propósito general), sin desplazar al GDPR. En México, el INAI supervisa el cumplimiento de la LFPDPPP en el sector privado y ha emitido lineamientos sobre avisos de privacidad, seguridad y criterios en verificaciones. Existen además normas sectoriales (por ejemplo, sanitarias y financieras) y disposiciones del sector público en la Ley General de Protección de Datos Personales en Posesión de Sujetos Oblig