Chatbots con IA y protección de datos personales en MéxicoChatbots con IA y protección de datos personales en México

Atender clientes por WhatsApp con un asistente de inteligencia artificial te ahorra tiempo y te permite contestar a cualquier hora. Pero cada conversación trae datos personales: nombres, teléfonos, direcciones y, en algunos giros, información de salud. En México eso tiene reglas, y en 2025 cambiaron de forma importante.

Esta guía te explica en lenguaje sencillo qué implica para tu negocio. Aviso: este artículo es informativo y no constituye asesoría legal. Para tu caso concreto, consulta a un especialista en protección de datos.

Lo que cambió en 2025: nueva ley y nueva autoridad

El 20 de marzo de 2025 se publicó en el Diario Oficial de la Federación una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Entró en vigor al día siguiente y sustituyó a la ley de 2010. Los cambios más relevantes para un negocio:

• Desapareció el INAI. El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales se extinguió. La supervisión de los datos personales en manos de empresas y particulares pasó a la Secretaría Anticorrupción y Buen Gobierno, que ahora vigila el cumplimiento, resuelve los procedimientos de protección de derechos e impone sanciones.
• El aviso de privacidad debe distinguir finalidades. Debe separar las que requieren el consentimiento del cliente de las que no lo requieren.
• Se reconoce de forma expresa la oposición a decisiones automatizadas. Algo directamente relacionado con la inteligencia artificial.

La versión vigente de la ley, publicada por la Cámara de Diputados, registra su última reforma en noviembre de 2025. Como el reglamento y los criterios de la nueva autoridad pueden seguir actualizándose, verifica con tu asesor qué disposiciones aplican hoy.

Tu chatbot sí trata datos personales

La ley considera dato personal cualquier información de una persona identificada o identificable. En un chat de WhatsApp eso incluye, como mínimo:

• El número de teléfono y el nombre del perfil.
• Lo que el cliente escribe: su nombre completo, correo, dirección o lo que quiere comprar.
• Las notas de voz, fotos o documentos que envía.
• El historial de conversaciones y lo que tu sistema registra en el CRM, el sistema donde organizas a tus clientes.

La ley define el tratamiento de forma muy amplia: obtener, usar, registrar, almacenar, transferir o simplemente poseer esos datos. Si tu asistente con IA conversa con clientes, tu negocio es el responsable de ese tratamiento, aunque la tecnología sea de un proveedor.

Aviso de privacidad y consentimiento

Qué debe decir el aviso y cómo mostrarlo en el chat

La ley pide que el aviso de privacidad contenga, al menos:

1. Tu identidad y tu domicilio.
2. Qué datos tratas, identificando los sensibles.
3. Para qué los usas, distinguiendo las finalidades que requieren consentimiento.
4. Cómo puede el cliente limitar el uso o la divulgación de sus datos.
5. Cómo ejercer sus derechos ARCO: acceso, rectificación, cancelación y oposición.
6. Cómo le vas a comunicar los cambios al aviso.

Cuando obtienes datos por medios electrónicos, como un chat, la ley permite usar un aviso simplificado con los primeros cuatro puntos y la indicación de dónde consultar el aviso completo. En la práctica, tu asistente debería mostrar ese aviso simplificado al inicio de la conversación, antes de pedir datos, con el enlace a la versión integral en tu sitio.

Finalidades: para qué usas cada dato

El principio es sencillo: usa los datos solo para lo que le dijiste al cliente. Si un dato se recabó para agendar una cita y después quieres usarlo para otra finalidad, la ley pide obtener de nuevo el consentimiento.

Sobre el consentimiento:

• Por regla general vale el consentimiento tácito: pusiste a disposición el aviso y la persona no se opuso.
• Los datos financieros o patrimoniales requieren consentimiento expreso, salvo las excepciones de la ley.
• El consentimiento se puede revocar en cualquier momento, y tu aviso debe explicar cómo hacerlo.

Una buena práctica en el chat: separa lo necesario para atender (agendar, cotizar, dar seguimiento a una compra) de lo secundario, como enviar promociones. Para lo secundario, pregunta y deja una forma fácil de darse de baja.

Datos sensibles: el caso de clínicas y consultorios

La ley considera sensibles los datos que pueden revelar, entre otros aspectos, el estado de salud presente o futuro, información genética, origen étnico, creencias religiosas, opiniones políticas o preferencia sexual. Para tratarlos, el responsable debe obtener consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica u otro mecanismo de autenticación. Además, la ley pide limitar al mínimo indispensable el tiempo en que se tratan.

Esto pesa mucho para clínicas y consultorios. Algunas recomendaciones prácticas para tu asistente:

• Diséñalo para agendar, no para diagnosticar. Basta con el tipo de consulta, no con el detalle de los síntomas.
• Si el paciente empieza a contar su historial clínico, el asistente debe orientarlo a la consulta o pasar la conversación a una persona.
• No guardes en el CRM información clínica que no necesitas para la cita.
• Ante una urgencia, el asistente debe indicar con claridad que busque atención inmediata, en lugar de seguir la conversación.

Proveedores de IA, nube y WhatsApp: quién hace qué

Detrás de un chatbot hay varios proveedores: WhatsApp, el modelo de inteligencia artificial, el servidor donde vive el sistema y el CRM. La ley distingue dos figuras:

• Persona encargada: quien trata datos por cuenta tuya y para tus finalidades. Un proveedor de servidor o de software normalmente encaja aquí.
• Transferencia: comunicar datos a alguien distinto del titular, de ti y de tu encargado, en México o en el extranjero. Ese tercero debe conocer tu aviso de privacidad y asume tus mismas obligaciones, y tu aviso debe indicar si el cliente acepta o no la transferencia, salvo en las excepciones que marca la ley.

La pregunta clave es si el proveedor usa los datos solo para darte el servicio o también para sus propios fines, como mejorar sus modelos. Pasa, por ejemplo, con algunas herramientas gratuitas como la IA de WhatsApp Business. En ese caso, revisa con tu asesor cómo informarlo en tu aviso y si necesitas consentimiento. Antes de contratar, pregunta:

1. ¿En qué país se almacenan las conversaciones?
2. ¿El proveedor usa mis datos o los de mis clientes para entrenar sus modelos? ¿Se puede desactivar?
3. ¿Hay un contrato que diga qué datos trata, para qué y con qué medidas de seguridad?
4. ¿Qué pasa con los datos cuando termino el servicio?

Derechos ARCO, seguridad y sanciones

Que tu chatbot no sea un callejón sin salida

Tus clientes pueden pedir acceso a sus datos, corregirlos, cancelarlos u oponerse a su tratamiento. La ley te da 20 días hábiles para comunicar tu respuesta y 15 días hábiles más para hacerla efectiva si procede; ambos plazos pueden ampliarse una sola vez cuando se justifique. Ejercer estos derechos es gratuito, salvo costos de reproducción o envío. También debes designar a una persona o un área que atienda estas solicitudes.

Para tu asistente, esto significa:

• Que reconozca solicitudes como "borren mis datos" o "ya no quiero recibir mensajes" y las canalice a la persona responsable.
• Que no tome decisiones automatizadas con efectos importantes sobre las personas sin intervención humana. La ley reconoce el derecho a oponerse a tratamientos automatizados que produzcan efectos jurídicos no deseados o afecten de manera significativa sus intereses o derechos.

Seguridad, conservación y sanciones

• Medidas de seguridad: administrativas, técnicas y físicas, proporcionales a la sensibilidad de los datos. Por ejemplo, que cada persona de tu equipo entre con su propio usuario y vea solo lo que necesita.
• Vulneraciones: si una filtración afecta de forma significativa los derechos de tus clientes, la ley pide informarles de inmediato.
• Conservación: cuando los datos ya no sean necesarios para las finalidades del aviso, deben suprimirse, previo bloqueo cuando aplique.
• Sanciones: según la infracción, la ley prevé multas de 100 hasta 320,000 veces la Unidad de Medida y Actualización, el valor de referencia que se usa en México para calcular multas. Cuando la infracción involucra datos sensibles, los montos pueden incrementarse hasta por dos veces.

Checklist rápido para tu chatbot

Cómo lo hacemos en Neexo

En Neexo diseñamos soluciones de inteligencia artificial para empresas con la privacidad desde el inicio: el asistente muestra tu aviso, pide solo los datos necesarios, pasa a una persona los temas delicados y la información queda en cuentas a tu nombre. No damos asesoría legal, pero trabajamos de la mano con tu asesor para que la tecnología refleje lo que dice tu aviso de privacidad. Si quieres revisar tu caso, escríbenos.