Ley de IA en México: 223 artículos, cero presupuesto

La iniciativa de inteligencia artificial más avanzada del Congreso tiene 223 artículos, 14 títulos y una nueva autoridad nacional de IA que debe estar operando 90 días después de publicada la ley. Lo que no tiene, como ninguna otra iniciativa de IA que he revisado, es dinero.

Ese hueco explica tres años de legislación mexicana sobre IA mejor que cualquier conteo de iniciativas. Y hay mucho que contar. En el Observatorio IA México, el monitor agéntico-ciudadano que encabezo, tenemos registradas 130 iniciativas federales sobre IA desde abril de 2023, ya sin duplicados. Setenta y nueve siguen vivas, 39 se desecharon al terminar una legislatura y menos de diez se han aprobado en alguna de las cámaras, casi todas sobre violencia digital y deepfakes. Los congresos estatales han recibido cerca de 200 más. Solo el primer semestre de 2026 trajo 41 propuestas federales, el semestre más activo del que hay registro.

Tres años de iniciativas, un puñado de reformas acotadas

La primera iniciativa integral de IA llegó al Congreso en mayo de 2023 y en el otoño le siguieron dos más. La mayoría de lo que vino después no perdió una votación. Se le acabó el tiempo. Las comisiones de la Cámara de Diputados tienen 45 días hábiles para dictaminar una iniciativa (90 si es reforma constitucional) y lo que queda sin dictamen al cerrar la legislatura se desecha. Cuando concluyó la LXV Legislatura, el 31 de agosto de 2024, la primera ola de iniciativas de IA se fue al archivo, entre ellas una ley federal de IA basada en las categorías de riesgo europeas que se volvió a presentar, casi sin cambios, en febrero de 2026.

Lo que de verdad se volvió ley es acotado: la reforma de 2025 a la ley de propiedad industrial, que se limitó a introducir referencias expresas a la IA en el catálogo de infracciones, sin justificar qué vacío normativo pretendía resolver, y la reforma laboral y de derechos de autor de mayo de 2026 que protege la voz y la imagen frente a la IA generativa. Ya escribí en este espacio por qué esa reforma protege a unos cuantos y deja expuestos a todos los demás. Lo que avanza más rápido es la agenda punitiva. En febrero de 2026, la Cámara de Diputados aprobó sanciones para los deepfakes sexuales con 442 votos a favor, y el Senado revisa ahora esa minuta. Castigar a los malos genera consenso y titulares. Construir capacidades no genera ninguna de las dos cosas.

223 artículos sobre una facultad que el Congreso no tiene

El Congreso todavía no tiene facultad constitucional expresa para expedir una ley general de IA. Desde 2023 se han presentado 16 iniciativas para reformar el artículo 73, seis de ellas solo en agosto y septiembre de 2026, y ninguna se ha aprobado. Los legisladores siguen redactando leyes completas que hoy no podrían expedirse.

De las 10 leyes integrales de IA que siguen vivas, siete reproducen la arquitectura del Reglamento Europeo de IA, un modelo que la propia Unión Europea acaba de aplazar: niveles de riesgo, una nueva autoridad nacional, un registro de sistemas de alto riesgo, auditorías y sanciones. El borrador multipartidista del Senado es el más ambicioso. Además de los 223 artículos y el plazo de 90 días para la nueva autoridad, les da a las empresas dos años para registrar y clasificar los sistemas que ya usan.

Un detalle lo dice todo. El artículo 9 de ese borrador enumera 43 leyes, códigos y tratados vigentes, el T-MEC entre ellos, conforme a los cuales la nueva ley debe interpretarse y aplicarse.

Si necesitas 43 leyes para interpretar tu ley de IA, el problema no es que falten leyes.

Cero presupuesto

Ninguna de las iniciativas que pude revisar asigna un peso a lo que crea. Una autoridad sin presupuesto es una oficina con logotipo. Un registro de sistemas de alto riesgo sin personal es una hoja de cálculo. Y 223 artículos de obligaciones que nadie puede supervisar son una invitación a la aplicación selectiva.

La propia Europa metió el freno. Las reglas de alto riesgo del Reglamento Europeo de IA debían aplicar desde el 2 de agosto de 2026. En julio, la UE aprobó el Digital Omnibus sobre IA, que las pospuso a diciembre de 2027, y a agosto de 2028 para la IA integrada en productos regulados, porque no estaban listos los estándares, las guías ni las autoridades nacionales para hacerlas cumplir. Europa tiene instituciones, financiamiento y un mercado único detrás, y aun así no pudo implementar su propio modelo a tiempo. México está copiando ese modelo sin pagar la infraestructura. El Digital Government Outlook 2026 de la OCDE señaló que México carecía de una estrategia nacional de IA y de órganos especializados de supervisión. Una ley no crea ninguna de las dos cosas por sí sola.

El momento importa. El Presupuesto de Egresos de la Federación 2027 se discute ahora mismo en el Congreso. Si la IA es la prioridad que sugieren 130 iniciativas, debería aparecer ahí: capacidad de cómputo, talento, capacitación de servidores públicos y jueces, y adopción en servicios públicos, cada rubro con un monto y una meta.

Las leyes ya existen

Extorsionar con un deepfake es extorsión. Un algoritmo de contratación que discrimina es discriminación laboral. Un modelo que usa mal datos personales viola la ley de protección de datos. Un chatbot que engaña a un cliente cae en la protección al consumidor. Copiar obras protegidas es un tema de derechos de autor. México tiene reglas para todo esto. Lo que le falta son fiscales, jueces y reguladores capacitados y con recursos para aplicarlas cuando hay IA de por medio.

Sumar registros y obligaciones de cumplimiento para las empresas no lo va a resolver. Pesará más sobre las startups y las pequeñas empresas mexicanas, que no tienen áreas de cumplimiento, y menos sobre las plataformas globales, que sí las tienen.

Menos artículos, más reglas para el Estado

El actor con más poder para dañar a los ciudadanos con IA no es una startup. Es el Estado, cuando usa algoritmos para cobrar impuestos, otorgar apoyos, vigilar las calles o resolver juicios. Ahí es donde faltan reglas, y el modelo correcto ya está sobre la mesa. En julio de 2026, un paquete de iniciativas propuso reglas para el uso de IA en los juicios de amparo, laborales, agrarios y electorales, y en el procedimiento administrativo federal, con base en legalidad, transparencia, trazabilidad y supervisión humana. Está detenido en comisiones mientras la ley de 223 artículos se lleva los foros.

1. Reglas para el Estado como usuario de IA. Cuando una autoridad use IA en una decisión que afecta a una persona, debe avisarle, explicárselo en lenguaje claro, ofrecerle revisión humana y dejar registro. Las compras públicas de IA deben seguir criterios claros, y cada uso de IA en el gobierno federal debe aparecer en un registro público.
2. Una partida presupuestal para IA. Recursos para cómputo, talento y adopción en el presupuesto 2027, ligados a metas medibles, antes de crear cualquier autoridad nueva.
3. Capacitación antes que sanciones. Como escribí en abril, los jueces que ya usan IA para abatir rezagos y fomentar acuerdos demuestran que la tecnología puede hacer más humana la justicia. Eso solo escala con capacitación.
4. Medir y después regular. Publicar indicadores de adopción en el sector público y de incidentes, revisarlos cada año y legislar daños específicos con evidencia en la mano, como lo hizo la reforma sobre deepfakes.

¿Quién paga?

El Senado quiere su ley de IA antes de que termine 2026, y un grupo de diputados redacta la reforma al artículo 73 para hacerla posible. Antes de votar 223 artículos, el Congreso debería responder una pregunta: ¿quién los paga? Una ley que nadie puede financiar no se va a aplicar, y terminará sin proteger a nadie.

A México no le falta regulación. Le falta implementación.