Por José Elías Romero Apis Hernández*

La inteligencia artificial (IA) dejó de ser una promesa para el sistema financiero mexicano. Hoy en día, la IA evalúa el riesgo crediticio de miles de solicitantes, detecta fraudes en tiempo real, automatiza reportes para presentar a los supervisores e inclusive acelera trámites que antes tardaban meses.

Los propios reguladores del sector financiero han reconocido que, expedientes que antes tomaban hasta ocho meses en prepararse, ahora pueden elaborarse en apenas una semana gracias a estas herramientas. El problema no es la falta de adopción, sino que el marco jurídico que debe encausarla avanza, en el mejor de los casos, a un paso distinto del de la tecnología.

UN MOSAICO NORMATIVO, NO UNA LEY DE IA

A diferencia de la Unión Europea, México no cuenta (ni parece que contará en el corto plazo) con una ley general de inteligencia artificial. Lo que existe es un mosaico: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, lineamientos del Inai sobre decisiones automatizadas y algunos criterios adoptados por las autoridades financieras mediante los cuales se está construyendo un diagnóstico y una postura institucional, pero todavía no han sacado a consulta pública disposiciones con obligaciones exigibles a bancos o fintech específicamente sobre IA.

Ese mosaico ya empieza a tocar puntos sensibles: los modelos de scoring crediticio automatizado deben ser transparentes y evitar sesgos discriminatorios (por ejemplo, no pueden negar un crédito con base exclusivamente en el código postal o el nombre del solicitante) y las decisiones algorítmicas sobre préstamos de montos relevantes deben conservar un componente de revisión humana.

Para los directivos de instituciones financieras y fintech, esto significa que el cumplimiento en materia de IA ya no es un ejercicio teórico, es exigible, y probablemente lo será cada vez más a través de disposiciones específicas antes que de una legislación integral.

EL PRECEDENTE DE LA AUTORIZACIÓN CON IA INTEGRADA

Un caso reciente ilustra hacia dónde se mueve el péndulo regulatorio. En mayo de 2026, la CNBV autorizó a una firma como Asesor en Inversiones Independiente, pese a que su modelo de negocio incorpora inteligencia artificial como componente central.

El expediente incluyó un manual de gobernanza de IA elaborado específicamente para facilitar la evaluación del regulador. La señal es clara: la autoridad no está cerrando la puerta a modelos disruptivos, pero exige que la innovación nazca con cumplimiento incorporado desde el diseño, no como un parche posterior. Para las instituciones y sus asesores legales, el reto práctico es anticipar qué evidencia de gobernanza (trazabilidad de decisiones, auditorías del modelo, límites de autonomía) convencerá al supervisor antes de que éste la exija por la vía dura.

BIOMETRÍA FACIAL: EL NUEVO FRENTE DE DATOS SENSIBLES

El 1 de julio de 2026, la CNBV publicó en el Diario Oficial de la Federación una reforma a la Circular Única de Bancos que incorpora la biometría facial (además de la huella dactilar) como mecanismo oficial de identificación y autenticación de clientes en operaciones presenciales, con validación cruzada contra bases del INE, la SRE u otras dependencias federales.

La resolución entró en vigor al día siguiente y otorgó a las instituciones un plazo de 90 días hábiles para adecuarse. La reforma exige infraestructura tecnológica dedicada, cifrado en almacenamiento y transmisión, y prohíbe de manera absoluta vender, transferir o compartir las bases biométricas entre bancos o con terceros.

Es una medida pensada para contener un fraude digital que ha crecido de forma alarmante (el robo de identidad bancaria por account takeover aumentó más de 300% en México entre 2025 y 2026), pero también abre un frente regulatorio propio: los sistemas de reconocimiento facial son, en esencia, modelos de IA que procesan datos biométricos, la categoría más sensible bajo la ley de protección de datos. La convivencia entre esta reforma sectorial y el régimen general de datos personales todavía no está del todo resuelta, y ahí es donde, previsiblemente, surgirán las primeras controversias de interpretación.

LOS RIESGOS QUE PREOCUPAN AL BANCO CENTRAL

El Banco de México ha sido explícito: la inteligencia artificial no crea riesgos financieros nuevos desde cero, pero sí amplifica los existentes y acelera su propagación. En un documento reciente sobre estabilidad financiera, el banco central identificó el mayor endeudamiento corporativo impulsado por decisiones algorítmicas y el aumento de ciberdelitos como riesgos concretos que exigen mayor involucramiento del regulador. Sólo entre enero y mayo de 2026, el Banxico documentó ocho vulneraciones cibernéticas contra bancos, sofipos, una fintech y una cooperativa de ahorro. El banco ha señalado que la velocidad y el alcance de estos incidentes han crecido de forma significativa.

Este diagnóstico plantea una pregunta que todavía no tiene respuesta normativa clara en México: cuando un modelo de IA falla (deniega crédito indebidamente, ejecuta una operación fraudulenta autorizada por reconocimiento facial suplantado o amplifica una corrida de mercado por decisiones automatizadas correlacionadas entre instituciones) ¿quién responde, bajo qué estándar de diligencia y con qué mecanismos de reparación para el usuario? Por esto se requiere una normatividad precisa que actualice los tradicionales conceptos del riesgo creado, con la modernidad de la tecnología actual.

COMPLIANCE AUTOMATIZADO: EFICIENCIA CON NUEVAS PREGUNTAS

En sentido inverso, la IA también se ha convertido en herramienta del propio cumplimiento regulatorio. Instituciones financieras ya la usan para generar reportes de operaciones inusuales ante la Unidad de Inteligencia Financiera para automatizar declaraciones ante la CNBV y para reducir falsos positivos en el monitoreo antilavado. La eficiencia es real, pero traslada la pregunta de fondo: si un algoritmo decide qué operación reportar como sospechosa (o, en su caso, cuál no reportar), la responsabilidad de esa decisión sigue siendo enteramente de la institución supervisada, y su expediente de gobernanza de IA deberá poder sostenerlo ante una inspección.

EL RETO DE FONDO

México no necesita, ni probablemente tendrá pronto, una “ley de IA” al estilo europeo. Su tradición regulatoria financiera (basada en disposiciones secundarias emitidas por el Banxico y la CNBV), se presta mejor a un enfoque de actualización continua, como ya ocurrió con la reforma biométrica de julio. El reto real no es legislativo sino de coherencia, es decir, armonizar la protección de datos personales, la transparencia algorítmica en el crédito, la ciberseguridad y la responsabilidad por fallas de modelos en un marco que hoy vive disperso en distintas disposiciones y, sobre todo, sin una autoridad que centralice el criterio.

Para las instituciones financieras, la conclusión práctica es doble: la innovación con inteligencia artificial es hoy viable dentro del marco mexicano, pero únicamente para quienes la diseñan con gobernanza documentada desde el primer día. La brecha entre adoptar la tecnología y poder sostenerla ante los reguladores es, en 2026, la línea que separa a las instituciones que innovan con certeza jurídica de las que innovan asumiendo un riesgo que tarde o temprano tendrá que pagarse.

*Socio de Matus, Ruiz & Romero Apis,
abogado y presidente de la Asociación
Mexicana de Abogados Financieros, A.C.

Columnista invitado

Dinero en Imagen

Message History

Delivery option(s)