La IA ya está en tu marketing. ¿Tu aviso de privacidad lo sabe?

En junio de 2026, el 48.5 % de las empresas de más de 100 trabajadores en México reportó usar al menos una tecnología de inteligencia artificial, y el 64.8 % espera usarla en los próximos tres años. Es el resultado de una encuesta de Banco de México, que además encontró una adopción parecida entre regiones.¹

En marketing, esa IA está en lugares muy concretos: el chatbot que contesta el WhatsApp, la herramienta que transcribe las llamadas de ventas, el sistema que califica prospectos, la plataforma de anuncios a la que se sube la lista de clientes. Todos esos lugares mueven datos personales.

Y la ley que los regula cambió. El 20 de marzo de 2025 se publicó una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares, que entró en vigor al día siguiente y abrogó la de 2010.² El Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) desapareció; hoy la autoridad es la Secretaría Anticorrupción y Buen Gobierno.³ En enero de 2026, a partir de más de 20 investigaciones por presuntas vulneraciones de datos, esa Secretaría advirtió sobre los riesgos de los sitios hechos con gestores de contenido de licencia libre, complementos y plantillas.⁴

48.5 %de las empresasde más de 100 trabajadores ya usa alguna tecnología de IA (Banxico, junio de 2026)

Revisa hoyLo que la ley de 2025 pide y conviene revisar en un aviso escrito con la de 2010.

• Aviso de privacidad que separe las finalidades que requieren consentimiento y señale los datos sensibles (art. 15)
• Aviso corto en cada formulario y en el primer mensaje del WhatsApp, con liga al aviso completo (art. 16)
• Una persona o área a cargo de los datos personales (art. 29)
• Una forma clara de retirar el consentimiento (art. 7)

Con cuidadoSe puede hacer, si el aviso lo dice y el proveedor cumple.

• Subir listas de clientes a plataformas de anuncios (arts. 11, 15, 35 y 36)
• Chatbots que guardan conversaciones (arts. 10 y 18)
• Grabar y transcribir llamadas con IA (arts. 15 y 16)
• Calificar prospectos con un sistema automático (art. 26)

NoAquí están las multas más altas.

• Usar la base de clientes para algo que el aviso no dice (art. 11)
• Pegar datos financieros o de salud de clientes en una herramienta abierta (arts. 7 y 8)
• Recabar datos con engaño (art. 58)
• Formularios en un sitio con plantillas y complementos sin actualizar

Fuente: elaboración propia de AdsProject Media con la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20-mar-2025) y el Reporte sobre las Economías Regionales abril-junio 2026 de Banxico.

Lo que cambió para tu marketing

El aviso de privacidad tiene que decir más. Ahora debe listar los datos que pides, señalar los sensibles y distinguir qué finalidades necesitan el consentimiento de la persona (art. 15).³ Si tu aviso se escribió con la ley de 2010, revisa que separe esas finalidades.

El aviso corto también. En formularios, chats y cualquier canal digital, el aviso simplificado tiene que incluir quién eres, qué datos pides, para qué los usas y cómo limitar su uso, más la liga al aviso completo (art. 16).³

Hay un derecho nuevo frente a la automatización. Una persona puede oponerse a que sus datos pasen por un tratamiento automatizado que evalúe, sin intervención humana, aspectos como su situación económica, su fiabilidad o su comportamiento, cuando eso le produzca efectos jurídicos no deseados o la afecte de manera significativa (art. 26).³ Si tu empresa usa un sistema que aprueba, rechaza o pone precio sin que nadie lo revise, esta línea es para ti.

El consentimiento sigue una regla general. Vale el consentimiento tácito, salvo para datos financieros o patrimoniales, que piden consentimiento expreso, y datos sensibles, que lo piden expreso y por escrito (arts. 7 y 8).³ Usar los datos para una finalidad que el aviso no dice obliga a pedir el consentimiento otra vez (art. 11).

Las multas son las de 2010, ahora en UMA. Van de 100 a 320,000 UMA (Unidad de Medida y Actualización) según la falta;³ con la UMA de 2026, de $117.31,⁵ eso es de unos $11,700 a $37.5 millones de pesos, y pueden duplicarse cuando hay datos sensibles. Los rangos son los mismos que tenía la ley de 2010.⁶

Lo que haríamos esta semana

1. Un mapa de datos del marketing. Por dónde entran (formularios, WhatsApp, llamadas, eventos), a qué herramientas van (CRM, plataformas de anuncios, IA) y quién los puede ver. Es una hoja, y sirve para encontrar las herramientas que nadie había anotado.
2. El aviso de privacidad, al día con la ley de 2025. Con las finalidades de publicidad y de análisis con IA escritas, si las usas, y con los datos sensibles señalados.
3. El aviso corto en cada punto de contacto. En el formulario del sitio, en el formulario de los anuncios y en el primer mensaje del chatbot.
4. Una pregunta a cada proveedor. Si trata los datos sólo por cuenta de tu empresa o si también los usa para sus propios fines. En el segundo caso hay una transferencia, y la ley pide comunicarle tu aviso y que asuma tus mismas obligaciones (art. 35).³
5. Una persona detrás de cada decisión automática. Si un sistema aprueba, rechaza o pone precio, alguien con nombre revisa los casos que afectan a un cliente.
6. El sitio al día. Plantillas y complementos actualizados en el sitio donde están tus formularios, el riesgo que señaló la autoridad en enero.

Para quien quiera ir más a fondo, el INAI dejó en línea una guía de recomendaciones sobre IA y datos personales. No es obligatoria y se escribió con la ley anterior, así que sus artículos ya no corresponden, pero sus listas de revisión siguen siendo útiles.⁷

Fuentes

1. Banco de México, Reporte sobre las Economías Regionales abril-junio 2026, Recuadro 4 (10 de septiembre de 2026). Encuesta representativa de establecimientos con más de 100 trabajadores. Ver fuente
2. Decreto publicado en el DOF el 20 de marzo de 2025 que expide la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Ver fuente
3. Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente (Cámara de Diputados). Ver fuente
4. Secretaría Anticorrupción y Buen Gobierno, comunicado 001 del 12 de enero de 2026 sobre riesgos en sitios con gestores de contenido de licencia libre, complementos y plantillas. Ver fuente
5. INEGI, valor de la UMA 2026: $117.31 diarios. Ver fuente
6. Ley Federal de Protección de Datos Personales en Posesión de los Particulares de 2010, abrogada (para comparar). Ver fuente
7. INAI, «Recomendaciones para el tratamiento de datos personales derivado del uso de la Inteligencia Artificial». Guía anterior a la ley de 2025, no obligatoria, todavía en línea. Ver fuente

Este texto es una guía de marketing con la ley vigente al 16 de octubre de 2026 y no sustituye una asesoría legal. A esa fecha no encontramos publicado un reglamento de la ley de 2025. Para casos concretos, consulta a tu abogado.

¿Sabes por cuántas herramientas pasan los datos de tus clientes?

Escríbenos y hacemos contigo el mapa: qué datos entran por tus formularios, tu WhatsApp y tus campañas, a qué herramientas van y qué tiene que decir tu aviso.

Agenda una reunión por WhatsApp →