Nuevos límites del derecho a la privacidad Heraldo de Aguascalientes

Mtro. Rolando Martínez Cornejo

Estimado lector, permítame comenzar esta reflexión con una escena que, aunque cotidiana, encierra uno de los problemas más profundos del derecho contemporáneo. Imagine que conversa con un amigo sobre un viaje que le gustaría realizar, menciona un destino, un hotel o una actividad específica. Minutos después, al abrir su red social o su navegador, aparecen anuncios, recomendaciones y contenidos sorprendentemente alineados con esa conversación. No existió una búsqueda explícita ni una solicitud directa de consulta de la información. Sin embargo, la tecnología interpretó el contexto y reaccionó.

Este fenómeno no es magia, sino el resultado del uso intensivo de inteligencia artificial aplicada al tratamiento masivo de datos personales. La IA, entendida como el conjunto de tecnologías capaces de aprender, identificar patrones y tomar decisiones a partir de datos, se ha convertido en el motor invisible de gran parte de los servicios digitales actuales. Desde sistemas de recomendación hasta modelos predictivos en sectores como la banca, la salud, el turismo o la seguridad, en donde la IA depende de un insumo esencial: los datos personales.

De manera particular, la IA, y sobre todo sus modelos más avanzados, requiere enormes volúmenes de información para ser entrenada y optimizada. Datos de navegación, ubicaciones, preferencias, hábitos de consumo, voces, rostros e incluso estados emocionales son recopilados, procesados y correlacionados para construir perfiles cada vez más precisos de las personas.

A partir de estos perfiles, los sistemas no solo predicen comportamientos, sino que influyen activamente en decisiones futuras. Como toda actividad altamente especializada, estos servicios no operan de forma gratuita: existe una demanda significativa por parte de clientes interesados en influir en los hábitos y conductas de los usuarios digitales, dispuestos a invertir sumas considerables ante el atractivo retorno de inversión (ROI) que obtienen al promocionar sus productos y servicios mediante estas tecnologías.

Si trasladamos esta experiencia al plano jurídico, surge una pregunta central: ¿cómo proteger la privacidad en un entorno donde los sistemas de inteligencia artificial analizan, infieren y perfilan conductas humanas de forma masiva, automatizada y, en buena medida, opaca? Pero junto a ella surge otra cuestión igualmente relevante: ¿quién fija los límites y ejerce un control efectivo sobre estos procesos cuando las decisiones dejan de ser tomadas por personas identificables y pasan a depender de sistemas técnicos complejos, donde el responsable del tratamiento ya no resulta claramente visible?

Conviene aclarar, para orientar la respuesta, que opera un sistema dual de protección de datos: por un lado, la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO) regula el tratamiento de datos por el sector público, identificando como sujetos obligados a cualquier autoridad, entidad, órgano u organismo de los Poderes Ejecutivo, Legislativo y Judicial, a los órganos constitucionales autónomos, a los partidos políticos y a fideicomisos y fondos públicos en los ámbitos federal, estatal y municipal; por otro lado, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) regula a las personas físicas y morales privadas que tratan datos, denominando responsable a quien decide finalidades y medios del tratamiento, y contemplando figuras como el tercero y la persona encargada, así como excepciones limitadas al ámbito de aplicación.

Ambas leyes se publicaron en el mismo paquete normativo del 20 de marzo de 2025 y definen institucionalmente a la Secretaría Anticorrupción y Buen Gobierno como la “Secretaría” encargada de coordinar competencias y funciones de las autoridades garantes; dicha definición refleja la reconfiguración institucional por la cual el antiguo órgano autónomo de referencia (INAI) fue extinguido y sus funciones transferidas al nuevo modelo: una autoridad garante federal complementada por autoridades garantes locales, con las consecuencias prácticas que ello implica para la independencia técnica y la capacidad de supervisión en materia de IA y protección de datos, que conviene tratar a detalle en otra entrega.

Volviendo al punto del salto cualitativo del riesgo jurídico, tenemos que los sistemas no solo almacenan información, sino que infieren características y anticipan comportamientos, influyendo en decisiones futuras. El poder ya no radica únicamente en registrar datos, sino en interpretarlos algorítmicamente.

Un ejemplo reciente y ampliamente documentado es el uso de sistemas de reconocimiento facial en espacios públicos y privados. Aeropuertos, estadios, centros comerciales e incluso instituciones educativas han implementado estas tecnologías con el argumento de mejorar la seguridad o la eficiencia operativa. Sin embargo, para que estos sistemas funcionen, es necesario capturar, almacenar y analizar datos biométricos, considerados por la mayoría de los marcos normativos como datos personales sensibles.

La protección de datos personales, tanto en el ámbito público como privado, se estructura sobre principios como licitud, consentimiento, información, finalidad, lealtad, proporcionalidad, calidad y responsabilidad, reconocidos en la legislación especializada.

Estos principios buscan garantizar que el tratamiento de datos respete la dignidad y la vida privada de las personas. Sin embargo, los sistemas de IA entran en conflicto con estos principios de manera constante. La opacidad algorítmica dificulta el cumplimiento del principio de información; el uso posterior de datos para entrenar modelos cuestiona la finalidad original; y el perfilado masivo desafía la proporcionalidad y minimización de datos a procesar.

La cuestión jurídica central deja de ser únicamente si el dato fue obtenido lícitamente, y pasa a ser si el procesamiento algorítmico posterior respeta los límites que el derecho impone al tratamiento. La ley reconoce a los titulares derechos de acceso, rectificación, cancelación y oposición (derechos ARCO) frente al tratamiento de sus datos personales. En contextos de IA, estos derechos adquieren una dimensión nueva: permiten cuestionar la exactitud de perfiles, oponerse a tratamientos que afecten intereses legítimos y exigir información sobre el uso de los datos. No obstante, cuando las decisiones se basan en modelos complejos, ejercer estos derechos se vuelve técnicamente difícil, lo que revela la necesidad de fortalecer normativamente mecanismos de transparencia y trazabilidad algorítmica.

La protección de la privacidad frente a la IA exige un enfoque interdisciplinario. El derecho constitucional aporta la tutela del derecho a la vida privada (aunque con importantes matices); el derecho administrativo está en proceso de adaptarse para regular las decisiones públicas automatizadas; la protección de derechos del consumidor defiende frente a prácticas comerciales basadas en perfilado si estas vulneran su libertad, integridad o derecho a la información veraz; el derecho laboral enfrenta la vigilancia algorítmica de empleados (aunque carece de disposiciones específicas); y el derecho penal interviene cuando el tratamiento indebido de los datos personales se traduce en delitos. De tal forma, la privacidad se convierte en un punto de convergencia de distintas ramas jurídicas frente a un fenómeno tecnológico transversal.

A nivel comparado, el Reglamento General de Protección de Datos de la Unión Europea reconoce el derecho a no ser objeto de decisiones basadas únicamente en procesos automatizados que produzcan efectos jurídicos significativos, e impone evaluaciones de impacto cuando se utilizan tecnologías de alto riesgo. Este enfoque evidencia una tendencia clara: regular no solo el dato, sino el sistema que lo procesa.

A pesar de que nuestro marco normativo reconoce principios y derechos robustos, su aplicación frente a sistemas de IA es todavía incipiente. La supervisión de algoritmos, la evaluación de riesgos tecnológicos y la exigencia de transparencia técnica son áreas en construcción. Esto demuestra que el reto es simultáneamente jurídico, técnico e institucional.

En la práctica, muchas organizaciones han comenzado a implementar mecanismos de autorregulación, como políticas de privacidad más detalladas, evaluaciones de impacto en protección de datos y comités de ética en inteligencia artificial. Estas medidas, aunque relevantes, no sustituyen la necesidad de un marco jurídico sólido y coherente que permita supervisar, auditar y, en su caso, sancionar el uso indebido de la tecnología.

La protección de datos personales enfrenta retos adicionales. Si bien existen leyes específicas tanto para el sector público como para el privado, la aplicación efectiva de estos instrumentos frente a sistemas de IA aún es limitada. Las autoridades y los tribunales competentes comienzan apenas a construir criterios que respondan a la complejidad técnica y jurídica del fenómeno, lo que genera un escenario de incertidumbre tanto para los responsables del tratamiento de datos personales como para los titulares de estos.

Haciendo una analogía cultural, basta recordar la película Minority Report, donde la tecnología permitía anticipar crímenes antes de que ocurrieran. Más allá de la ciencia ficción, hoy convivimos con sistemas que anticipan comportamientos, evalúan riesgos y clasifican personas en tiempo real. La diferencia es que estas decisiones no siempre son visibles, ni comprensibles, ni fácilmente impugnables.

El debate no consiste en rechazar la inteligencia artificial, sino en establecer límites que aseguren que su desarrollo no se produzca a costa de vulnerar derechos fundamentales. La protección de datos personales en posesión de particulares y de sujetos obligados se erige como la primera línea de defensa, pero debe evolucionar hacia un modelo de administración algorítmica que integre regulación, supervisión técnica y coordinación interdisciplinaria. En última instancia, la cuestión es cómo garantizar que el poder tecnológico permanezca sometido al derecho, y no que el derecho quede subordinado a la lógica y al beneficio económico de los propietarios de los sistemas de inteligencia artificial y sus clientes. De ello depende que la innovación tecnológica se integre en el marco del Estado de derecho y no se convierta en un poder fáctico ajeno a controles democráticos. Porque, si el derecho no logra imponer límites a las tecnologías que moldean nuestras decisiones, ¿qué límite real quedaría para resguardar la autonomía humana frente a ese poder?

Rolando Martínez Cornejo es abogado e ingeniero en sistemas, consultor en transformación y regulación digital con enfoque en el impacto institucional y social de la tecnología.