La intención de la mandataria parecía partir de una preocupación válida: una disposición administrativa no debería convertirse en un obstáculo absurdo que perjudique a la población. Sin embargo, la manera en que expresó su instrucción abrió un problema mucho más amplio.
“Cuando la norma se pone por encima de la gente y el sentido común, está mal”.
Después añadió:
“No cumplas con la norma, eso es lo que te estoy diciendo”.
La frase no puede analizarse únicamente como un exabrupto ocurrido durante un conflicto ambiental. Fue pronunciada justo cuando el gobierno federal se prepara para abrir una discusión sobre inteligencia artificial, plataformas digitales, algoritmos, redes sociales, protección de menores y posibles mecanismos de regulación de contenidos.
En ese contexto, que la titular del Poder Ejecutivo presente el incumplimiento de una norma como una solución válida debería encender alertas. No porque toda disposición administrativa sea correcta ni porque las autoridades deban aplicar reglas absurdas de manera automática, sino porque un gobierno institucional no puede sustituir los procedimientos legales por el criterio personal de quien tiene mayor poder.
Las normas pueden reformarse, suspenderse, impugnarse o interpretarse mediante mecanismos establecidos. Cuando una disposición produce efectos injustos, la autoridad debe corregirla y explicar públicamente por qué. Lo peligroso es normalizar la idea de que basta con considerar que una regla carece de sentido común para ordenar que no se cumpla.
Este problema se vuelve especialmente delicado en el ámbito digital, donde una decisión aparentemente práctica puede afectar datos personales, seguridad informática, libertad de expresión y derechos de millones de personas.
México necesita regular la inteligencia artificial, pero primero debe definirla correctamente
México sí necesita discutir seriamente la inteligencia artificial. Existen riesgos reales que requieren atención: sistemas automatizados que discriminan, empresas que utilizan datos personales sin consentimiento, modelos capaces de clonar voces e imágenes para cometer fraudes, algoritmos que influyen en el acceso a créditos y herramientas que pueden emplearse para manipular conversaciones públicas.
También es necesario establecer reglas sobre transparencia, contratación pública, protección de menores, propiedad intelectual, seguridad de los sistemas y responsabilidad cuando una decisión automatizada causa un daño.
El problema comienza cuando todos los asuntos relacionados con internet se presentan como si formaran parte de una sola conversación sobre inteligencia artificial.
Una red social no es lo mismo que un sistema de IA. Un algoritmo de recomendación no necesariamente funciona mediante inteligencia artificial. La desinformación no es una tecnología, sino un problema relacionado con contenidos, intenciones y contextos. La moderación de publicaciones, los videojuegos, la publicidad digital, el tiempo frente a la pantalla y la protección de menores también requieren análisis distintos.
Estos asuntos pueden relacionarse, pero no deberían regularse como si fueran equivalentes. Una ley que mezcla conceptos suele terminar mezclando también responsabilidades, sanciones y facultades de la autoridad.
Cuando una norma no define con claridad qué conducta intenta regular, abre la puerta a interpretaciones amplias. Bajo expresiones como “mal uso de la inteligencia artificial”, “contenido dañino”, “manipulación digital” o “afectación a la confianza pública”, una autoridad podría perseguir conductas muy diferentes entre sí.
No es lo mismo utilizar una voz clonada para cometer un fraude que publicar una parodia política. Tampoco es equivalente difundir deliberadamente un video falso para engañar a la población que cometer un error periodístico o expresar una opinión contraria a la versión oficial.
Una regulación democrática debe distinguir esas diferencias. De lo contrario, el sentido común del funcionario encargado de aplicar la ley termina sustituyendo la precisión que debería contener la propia norma.
El sentido común no puede convertirse en una facultad sin límites
La declaración de Tulum plantea una pregunta central: ¿qué ocurre cuando una autoridad considera que una norma obstaculiza una solución inmediata?
En un conflicto local, ordenar que no se cumpla una disposición puede parecer una respuesta pragmática frente a la burocracia. En ciberseguridad, sin embargo, la misma lógica puede producir consecuencias graves.
Supongamos que una evaluación técnica impide poner en operación una plataforma gubernamental porque todavía presenta vulnerabilidades. Desde una perspectiva política, el retraso puede resultar incómodo. El proyecto ya fue anunciado, existen fechas comprometidas y la autoridad necesita mostrar resultados.
En ese escenario, el área técnica podría recibir presión para liberar el sistema de todos modos. La justificación sería que la evaluación exagera los riesgos, que el servicio es urgente o que la población no puede esperar.
Lo mismo puede suceder cuando una norma exige autenticación multifactor, segmentación de redes, cifrado de bases de datos, revisiones de proveedores o pruebas de vulnerabilidad antes de comenzar una operación. Todos esos controles pueden retrasar proyectos y aumentar costos, pero existen precisamente para evitar que la urgencia política se convierta en una brecha de seguridad.
En ciberseguridad, muchas medidas parecen innecesarias mientras nada ha fallado. Un servidor desactualizado puede continuar funcionando durante meses. Una contraseña compartida puede facilitar el trabajo diario. Una base de datos sin controles adecuados puede permanecer sin incidentes aparentes.
El problema es que un atacante solamente necesita encontrar una de esas excepciones.
México ya ha pagado el costo de ignorar controles básicos
El ataque de ransomware sufrido por Petróleos Mexicanos en 2019 mostró las consecuencias de mantener sistemas vulnerables y equipos obsoletos. La Auditoría Superior de la Federación encontró servidores expuestos y fallas para las que ya existían correcciones de seguridad.
La tecnología necesaria para reducir el riesgo no era desconocida. El problema fue que los controles no se aplicaron oportunamente.
Algo semejante ocurrió con la Lotería Nacional en 2021. Las auditorías relacionaron el incidente con parches pendientes y versiones vulnerables de sistemas operativos. Una vez más, no se trató de un ataque imposible de anticipar, sino de fallas en tareas básicas de mantenimiento y supervisión.
Estos casos permiten entender por qué la cultura del “después lo resolvemos” resulta tan peligrosa. Antes del incidente, actualizar un servidor puede parecer una molestia técnica. Después del ataque, la misma decisión se convierte en interrupciones, pérdida de información, gastos de recuperación y afectaciones a los servicios públicos.
También existen situaciones en las que una dependencia cumple formalmente con una revisión de seguridad, pero no verifica que las vulnerabilidades hayan sido corregidas. Se contrata una auditoría, se recibe un informe y se archiva el expediente, aunque el problema técnico continúe.
Eso demuestra que el cumplimiento aparente tampoco basta. Las normas de ciberseguridad tienen sentido cuando producen controles efectivos, responsables identificables y evidencia de que los riesgos fueron atendidos.
El problema mexicano no siempre es la falta de reglas. Con frecuencia existen procedimientos, recomendaciones y controles, pero se aplican de manera incompleta o se subordinan a prioridades políticas y administrativas.
Por eso resulta preocupante que desde la máxima autoridad del país se envíe el mensaje de que una norma puede ignorarse cuando parece contraria al sentido común.
Una mala ley de IA puede convertirse en una herramienta de censura
La regulación de la inteligencia artificial no solamente puede fallar por errores técnicos. También puede afectar directamente la libertad de expresión.
México ya ha visto propuestas que mezclan inteligencia artificial, desinformación, reputación, manipulación y confianza institucional. Cuando estos conceptos se redactan de manera vaga, una ley presentada como protección frente a contenidos falsos puede terminar utilizándose contra periodistas, críticos o ciudadanos.
El riesgo no depende únicamente de que una autoridad prohíba expresamente una opinión. La censura también puede producirse mediante normas ambiguas que generan miedo a publicar.
Un periodista puede evitar difundir una investigación si no sabe si una imagen editada podría considerarse una manipulación ilegal. Un ciudadano puede abstenerse de compartir una parodia política por temor a que la autoridad la interprete como desinformación. Un medio puede retirar contenido crítico para evitar una investigación administrativa o penal.
Ese efecto inhibidor es una forma de censura indirecta.
La situación se vuelve todavía más delicada cuando la autoridad pretende decidir qué información es verdadera, qué contenido afecta la confianza pública o qué expresión puede causar daño a una institución.
En una democracia, la versión oficial no puede convertirse en el único criterio de verdad. Una afirmación puede ser incorrecta, incompleta, exagerada, satírica o simplemente contraria al discurso gubernamental. No todas esas expresiones constituyen delitos.
Las leyes deben sancionar conductas claramente identificables, como el fraude, la extorsión, la suplantación de identidad o la difusión maliciosa de material íntimo. Lo que no deberían hacer es otorgar facultades amplias para castigar contenidos incómodos bajo categorías imprecisas.
Regular contenidos puede abrir la puerta a una mayor vigilancia
Otro riesgo importante es que una ley destinada a combatir la desinformación o el uso indebido de inteligencia artificial termine justificando una expansión de la vigilancia digital.
Para detectar contenidos supuestamente ilícitos, las plataformas podrían ser obligadas a analizar publicaciones, imágenes, audios, conversaciones y patrones de comportamiento. Después podrían exigirse mecanismos para identificar a los usuarios, conservar registros durante largos periodos y entregar información a las autoridades.
Cada medida puede presentarse de manera aislada como una herramienta razonable. Sin embargo, cuando se combinan, pueden formar una infraestructura de vigilancia capaz de seguir la actividad digital de millones de personas.
México ya atraviesa un proceso de expansión en el uso de datos personales y biométricos. En ese escenario, una regulación de inteligencia artificial no debería convertirse en el pretexto para aumentar la identificación obligatoria, el monitoreo de redes o el intercambio indiscriminado de bases de datos entre instituciones.
La promesa de que estas herramientas solamente se utilizarán contra delincuentes no es suficiente. Las leyes deben establecer límites técnicos y jurídicos claros.
Es necesario definir qué información puede recopilarse, durante cuánto tiempo puede conservarse, quién puede consultarla, qué autorización se requiere y cómo puede un ciudadano impugnar un abuso.
Sin esos límites, la autoridad podría controlar la plataforma, redactar las reglas, interpretar las excepciones y decidir cuándo su propio sentido común justifica ignorar los procedimientos.
Los sistemas automatizados también se equivocan
Una parte importante del debate sobre inteligencia artificial suele construirse alrededor de la idea de que los sistemas automatizados pueden detectar con gran precisión fraudes, amenazas, contenidos peligrosos o comportamientos sospechosos.
La realidad es más compleja.
Un algoritmo puede bloquear una operación bancaria legítima, confundir a dos personas mediante reconocimiento facial o eliminar una publicación periodística por considerar que contiene material violento. Un modelo generativo puede inventar documentos, antecedentes o referencias legales que nunca existieron.
Cuando estas herramientas se utilizan para recomendar contenido o vender publicidad, sus errores pueden resultar molestos. Cuando son utilizadas por el gobierno para investigar, sancionar, negar un trámite o clasificar a una persona como sospechosa, las consecuencias pueden ser mucho más graves.
Por eso cualquier uso gubernamental de inteligencia artificial debe incluir supervisión humana, mecanismos de explicación y vías efectivas de impugnación.
Una persona no debería perder un derecho porque “el sistema lo determinó”. Tampoco debería enfrentar una investigación sin conocer qué datos fueron utilizados, cómo se produjo la decisión o quién es responsable de revisarla.
La automatización no elimina la responsabilidad de los funcionarios. Al contrario, exige controles más estrictos.
La ciberseguridad no puede quedar relegada dentro del debate
Existe el riesgo de que la discusión mexicana se concentre principalmente en contenidos, redes sociales y facultades de moderación, mientras la seguridad de los propios sistemas gubernamentales continúa tratándose como un asunto secundario.
Antes de imponer nuevas obligaciones a ciudadanos y empresas, el gobierno debería demostrar que protege correctamente la información que ya posee.
Eso implica mantener inventarios tecnológicos actualizados, aplicar parches oportunamente, utilizar autenticación multifactor, evaluar proveedores, conservar respaldos aislados y establecer protocolos transparentes de respuesta a incidentes.
También debería existir claridad sobre los sistemas de inteligencia artificial utilizados por las dependencias. La ciudadanía necesita saber qué instituciones emplean algoritmos para tomar decisiones, qué datos utilizan, qué riesgos han sido evaluados y qué mecanismos existen para corregir errores.
Una regulación estricta para particulares, acompañada de controles débiles para el Estado, produciría un desequilibrio preocupante.
El gobierno podría exigir transparencia a las plataformas mientras mantiene en secreto sus propios sistemas. Podría imponer sanciones por fallas de seguridad privadas sin informar oportunamente sobre incidentes gubernamentales. También podría demandar protección de datos mientras amplía la recopilación de información personal.
La regulación debe comenzar por obligar al Estado a cumplir estándares iguales o superiores a los que pretende imponer.
El problema no es regular, sino hacerlo sin precisión ni límites
Criticar una mala ley no significa defender a las empresas tecnológicas ni negar los riesgos de la inteligencia artificial.
Las plataformas deben responder por el uso de datos personales, la publicidad engañosa, la falta de transparencia algorítmica y los daños previsibles derivados de sus productos. La inteligencia artificial también puede facilitar fraudes, suplantaciones, discriminación y ataques informáticos.
Sin embargo, una regulación seria debe diferenciar problemas, establecer niveles de riesgo y asignar responsabilidades proporcionales.
También debe proteger la libertad de expresión, impedir la vigilancia indiscriminada, garantizar supervisión humana y permitir auditorías independientes. Las decisiones automatizadas que afectan derechos deben poder explicarse e impugnarse.
Nada de esto puede depender del criterio personal de un funcionario.
El sentido común puede ayudar a identificar que una norma está mal diseñada, pero no debe sustituir el procedimiento legal para corregirla. De lo contrario, las reglas terminan aplicándose de manera selectiva: estrictas para la ciudadanía, flexibles para la autoridad.
Las normas también protegen a la población frente al poder
La Presidenta tenía razón al afirmar que una norma no debería perjudicar injustificadamente a la gente. Pero precisamente por eso las reglas no pueden depender del estado de ánimo, la urgencia o la conveniencia política de quien gobierna.
Las normas también existen para limitar al poder.
Una mala regulación digital puede afectar a millones de personas sin necesidad de una orden pública como la pronunciada en Tulum. Puede hacerlo mediante una base de datos, un algoritmo de clasificación, una solicitud de información enviada a una plataforma o una orden administrativa para retirar contenido.
Por eso la frase presidencial resulta relevante para el debate sobre inteligencia artificial.
No porque una instrucción ambiental vaya a causar directamente un ciberataque, una política de vigilancia o un caso de censura. El problema es la lógica que expresa: cuando una regla estorba, la autoridad puede decidir no cumplirla.
Aplicada a la ciberseguridad, esa lógica puede debilitar controles y facilitar incidentes. Aplicada a la vigilancia digital, puede justificar abusos. Aplicada a la libertad de expresión, puede convertir conceptos ambiguos en herramientas de censura.
México necesita una regulación tecnológica clara, proporcional y construida con conocimiento técnico. También necesita mecanismos ágiles para corregir normas que produzcan resultados injustos.
Lo que no necesita es una legislación llena de conceptos mezclados, facultades amplias y excepciones dependientes del criterio del funcionario en turno.
En una democracia, no basta con confiar en que la autoridad utilizará correctamente su poder. La ley debe establecer límites claros para impedir que pueda utilizarlo mal.