Mexiko hat kein KI-Gesetz. Der Betrieb kostet trotzdem.
Kein KI-Gesetz heißt nicht kein Risiko. Der regulatorische Kostenblock verschwindet nicht — er wandert. In einen Datenschutz, dessen Gesetz 2025 komplett ersetzt und dessen Aufsichtsbehörde abgeschafft wurde. In einen steuerlichen Materialitätsnachweis, der seit Januar 2026 strafbewehrt ist. Und in ein Arbeitszeitrecht mit Stichtagen bis 2030.
Das Pilotprojekt läuft. Der Assistent beantwortet Rechnungsfragen, der Agent klassifiziert Dokumente, das Modell zieht Fristen aus Verträgen. Die Rechnung sieht gut aus: Ein Personentag kostet in Mexiko gut ein Drittel dessen, was er in Deutschland kostet.
Und dann vergehen sechs Monate.
Jemand bemerkt, dass in allen Datenschutzhinweisen ein Gesetz zitiert wird, das es nicht mehr gibt, und eine Behörde, die abgeschafft wurde. Die Buchhaltung fragt, womit die Beraterrechnung für das KI-Projekt eigentlich belegt ist. Ein Betroffener widerspricht einer automatisiert getroffenen Entscheidung, und die Frist läuft in Werktagen. Der Kollege, der das Ganze gebaut hat, ist inzwischen Teamleiter.
Das ist kein Ausnahmefall. Das ist der Normalfall — nur mit anderen Paragrafen.
Was das Pilotprojekt kostet — und was danach jedes Jahr anfällt
In Personentagen, mexikanisches Unternehmen mit zwei bis drei produktiven Anwendungsfällen
KI ist keine Software-Einführung
KI-Systeme verfallen, auch wenn niemand sie anfasst — weil sich alles um sie herum bewegt. In Mexiko bewegt sich davon eines schneller als in Europa: das Recht selbst.
- Die Modelle bewegen sichAnbieter setzen Versionen ab, ändern das Antwortverhalten, verschieben Sicherheitsgrenzen. Ein Prompt, der im Januar zuverlässig strukturiertes JSON lieferte, produziert im Juni Fließtext. Das merkt niemand automatisch — außer, jemand hat Regressionstests gebaut und pflegt sie.
- Die Daten bewegen sichNeue Vertragsvorlagen, umbenannte Felder im ERP, ein anderes Scan-Verfahren im Posteingang. Jede dieser Änderungen kann eine Suchpipeline stillschweigend verschlechtern. Nicht kaputtmachen — verschlechtern. Das ist die gefährlichere Variante, weil das System weiter antwortet, nur eben schlechter.
- Das Recht bewegt sich — und zwar das Fundament, nicht die FassadeIn achtzehn Monaten hat Mexiko seine Datenschutzaufsicht abgeschafft, sein Datenschutzgesetz vollständig ersetzt, das steuerliche Inverkehrbringen einer unbelegten Rechnung unter Strafe gestellt und eine fünfstufige Arbeitszeitverkürzung bis 2030 beschlossen. Europa diskutiert Auslegungsfragen zu einem Text, den man lesen kann. Mexiko schreibt den Text neu.
- Die Angreifer bewegen sichManipulierte Anweisungen in hochgeladenen Dokumenten, Datenabfluss über zu weit gefasste Werkzeugrechte, Modell-Endpunkte ohne Begrenzung. Diese Kosten sind in Mexiko dieselben wie überall — nur werden sie hier von keinem Cybersicherheitsgesetz erzwungen, sondern nur von der Realität.
Ein KI-System ohne Pflege wird nicht kaputt. Es wird langsam schlechter.
Schematische Darstellung des typischen Qualitätsverlaufs nach dem Go-Live
Es gibt kein KI-Gesetz. Der Kostenblock bleibt trotzdem.
Sagen wir es klar, weil es der wichtigste Satz dieses Beitrags ist: Mexiko hat mit Stand September 2026 kein allgemeines KI-Gesetz. Kein Bundesgesetz, keine Verfassungsänderung, keine Aufsichtsbehörde für KI. Die umfassenden Entwürfe stecken in den Ausschüssen, und der Grund ist strukturell — solange Artikel 73 der Verfassung dem Kongress keine ausdrückliche Zuständigkeit für KI zuweist, fehlt die Kompetenzgrundlage für ein Rahmengesetz.
Daraus folgt eine angenehme und eine unangenehme Wahrheit. Die angenehme: Keine mexikanische Behörde kann heute eine KI-Risikoakte, eine Konformitätsbewertung, eine KI-Vorfallmeldung oder einen Kompetenznachweis von Ihnen verlangen. Es gibt weder die Pflicht noch die Behörde. Die unangenehme: Das Fehlen eines KI-Gesetzes ist kein Fehlen von Risiko. Die Pflichten sitzen nur woanders — und dort haben sie Stichtage und Straftatbestände.
Die härteste KI-spezifische Pflicht, die einen mexikanischen Anwender heute wirklich trifft, steht im Datenschutzrecht: Artikel 26 Fraktion II LFPDPPP. Betroffene können der Verarbeitung widersprechen, wenn ihre Daten automatisiert verarbeitet werden, das rechtliche Wirkungen entfaltet oder sie erheblich beeinträchtigt, und wenn die Verarbeitung darauf zielt, ohne menschliches Eingreifen Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Verlässlichkeit oder Verhalten zu bewerten — oder vorherzusagen. Das ist nicht Artikel 22 DSGVO: Es gibt kein Recht auf menschliches Eingreifen, kein Anfechtungsrecht und kein Recht auf Erklärung. Es ist ein Widerspruchsrecht, und es läuft über die ARCO-Frist.
Was gilt und was noch kommt
Mexikanische Stichtage in der Reihenfolge ihres Datums, nicht maßstäblich
Was das konkret kostet
Dieselbe Aufstellung wie im europäischen Beitrag, gerechnet auf mexikanischer Basis: 150 bis 500 Mitarbeitende, zwei bis drei produktive Anwendungsfälle, in eigener Verantwortung betrieben. Der Arbeitsaufwand in Personentagen ist unverändert — die Arbeit ändert sich nicht, wenn das Recht sich ändert.
Kalkulationsbasis sind 6.000 MXN pro Personentag bei interner Umsetzung — Vollkosten, nicht Bruttogehalt — und 10.000 MXN bei externer Vergabe als Agentur- beziehungsweise Beratungspreis einschließlich Marge. Die interne Zahl leitet sich her aus 65.000 MXN Bruttomonatsgehalt, einem Belastungsfaktor von 1,40 und 225 produktiven Tagen im Jahr, zuzüglich Gemeinkosten. Wer einen einzelnen Freiberufler direkt beauftragt, zahlt eher 4.500 bis 8.900 MXN am Tag.
Zwölf Kostenblöcke, die nach dem Go-Live jedes Jahr anfallen
Spanne pro Jahr in Tausend mexikanischen Pesos
| Kostenblock | Was in Mexiko dahintersteckt | Aufwand p. a. | Kosten p. a. |
|---|---|---|---|
| Modell- und Anbieterwechsel | Abschaltdaten verfolgen, Versionswechsel testen, Ausweichrouten. Günstiger als in der EU: keine Lokalisierungspflicht, keine Genehmigung für Auslandstransfers (Art. 35–36). Banken brauchen jedoch die CNBV-Zustimmung. | 15–30 PT | 90.000–300.000 MXN |
| Prompt- und Suchpflege | Prompts nachziehen, Textzerlegung anpassen, Neuindizierung, neue Dokumenttypen einarbeiten. Rein technisch, unverändert gegenüber Europa. | 25–45 PT | 150.000–450.000 MXN |
| Qualitätsmessung | Referenzdatensatz, Regressionstests, Fehlerquote, Drift. In Mexiko besteht keine gesetzliche Genauigkeitspflicht — dieser Posten wird als erster gestrichen, und genau das erzeugt später die Nachweislücke. | 20–35 PT | 120.000–350.000 MXN |
| Regulatorik und Nachweise | Kein AI Act. Stattdessen: sämtliche Datenschutzhinweise, Verträge und Richtlinien auf das Gesetz von 2025 umschreiben — und ein zweites Mal, sobald die überfällige Durchführungsverordnung erscheint. | 15–30 PT | 90.000–300.000 MXN |
| Datenschutz | Keine Folgenabschätzungspflicht, kein DPO europäischer Prägung, keine Behördenmeldung. Dafür: ARCO-Frist 20 + 15 Werktage (Art. 31), Widerspruch gegen automatisierte Entscheidungen (Art. 26), Meldung an Betroffene „de forma inmediata" (Art. 19). | 8–15 PT | 48.000–150.000 MXN |
| IT-Sicherheit | Kein NIS2, kein Maßnahmenkatalog, keine Meldefristen für normale Unternehmen — nur Art. 18–20 LFPDPPP. Der operative Aufwand bleibt derselbe. Im Finanzsektor ist dieser Block dagegen größer als in Europa. | 15–25 PT | 90.000–250.000 MXN |
| Betrieb und Störungsbehebung | Protokollierung, Alarmierung, Rufbereitschaft, Wiederherstellungstests — plus das elektronische Arbeitszeitregister für Bereitschaftsdienste, und eine Wochenarbeitszeit, die bis 2030 planmäßig von 48 auf 40 Stunden sinkt. | 20–40 PT | 120.000–400.000 MXN |
| Infrastruktur | Rechenkapazität und Hosting, Vektordatenbank, Überwachung, Testumgebung. In Dollar abgerechnet, also unverändert teuer. Bei Fremdvergabe kommt der REPSE-Kalender hinzu. | Sachkosten | 180.000–1.190.000 MXN |
| Modellnutzung im Dauerbetrieb | Abrechnung nach Nutzung oder Betrieb eigener Modelle. Preis identisch mit Europa — aber seit Januar 2026 braucht jede dieser Rechnungen eine Materialitätsakte, vorzulegen in fünf Werktagen. | Sachkosten | 120.000–950.000 MXN |
| Schulung und KI-Kompetenz | Es gibt kein mexikanisches Gegenstück zu Artikel 4 AI Act. Die gesetzliche Pflicht ist null. Verbindlich sind nur die Jahresschulung für Telearbeit nach NOM-037 und die Aufklärung nach NOM-035. | 8–15 PT | 48.000–150.000 MXN |
| Umbau und technische Schuld | Framework-Migrationen, Architekturwechsel, Abbau von Prototyp-Altlasten. Anbietergetrieben, unverändert gegenüber Europa. | 20–40 PT | 120.000–400.000 MXN |
| Wissenssicherung | Suche, Einarbeitung, Dokumentation, Vertretung — geschärft durch die steuerliche Aufbewahrung, die kein einheitlicher Zeitraum ist, sondern je nach Belegart ab unterschiedlichen Stichtagen läuft. | 5–15 PT | 30.000–150.000 MXN |
| Summe | 151–290 PT | 1,2–5,0 Mio. MXN |
Grundlage: 6.000 MXN pro Personentag intern (Vollkosten), 10.000 MXN extern als Agenturpreis. Sachkosten in Dollar abgerechnet, umgerechnet zu 19,78 MXN je Euro. Schätzungen auf offengelegter Basis, keine Messwerte.
Der aufschlussreichste Vergleich steht nicht in der Summe, sondern in ihrer Zusammensetzung. Ein Personentag kostet in Mexiko rund 38 Prozent dessen, was er in Deutschland kostet. Tokens und Rechenzeit kosten exakt dasselbe.
Daraus folgt: Die Ersparnis beträgt nicht sechzig Prozent, sondern rund die Hälfte. Und der Posten, der eine mexikanische KI-Operation am stärksten belastet, ist nicht die Gehaltsliste — es ist die Rechnung in Dollar. In Deutschland machen die Sachkosten 11 bis 21 Prozent der Summe aus, in Mexiko 25 bis 42 Prozent.
Wohin die Personentage gehen
Mittelwert der Spanne, rund 220 Personentage pro Jahr
Die Materialitätsakte
Diesen Posten kennt der europäische Beitrag nicht, und er ist der mexikanischste von allen. Seit dem 1. Januar 2026 ist eine Rechnung über KI-Beratung, über Tokens oder über Lizenzen, die sich nicht mit Verträgen, Lieferergebnissen, Personal, Infrastruktur und Zahlungsspur belegen lässt, keine strittige Rechnung: Sie ist nach Artikel 29-A Fraktion IX des Steuergesetzbuchs falsch. Ihr steuerliche Wirkung zu verschaffen, ist mit zwei bis neun Jahren Freiheitsstrafe bedroht, und die Frist, den Beleg bei einer Prüfung nach Artikel 49 Bis vorzulegen, beträgt fünf Werktage.
Der Unterschied zu Europa lässt sich in einem Satz sagen: Dort wird die Dokumentation verlangt. Hier wird sie bewiesen — mit Uhr und mit Straftatbestand.
Die Posten, die in keiner Tabelle stehen
- Die NachweislückeIn Mexiko der größte der vier versteckten Posten. Wer erst bei der Prüfung anfängt, Modellversionen, Prompt-Stände, Testergebnisse und Belege zu rekonstruieren, zahlt ein Vielfaches der laufenden Protokollierung — und im steuerlichen Teil läuft die Frist in Werktagen.
- Der Bus-FaktorIn den meisten Mittelständlern, die KI selbst umsetzen, gibt es genau eine Person, die versteht, warum das System so gebaut ist, wie es gebaut ist. Wenn diese Person geht, beginnt nicht Wartung, sondern Archäologie.
- Die OpportunitätskostenDie Person, die 200 Personentage im Jahr KI-Systeme pflegt, ist in der Regel die beste Entwicklerin im Haus — und in einem Markt mit rund 390.000 Menschen in diesem Beruf noch schwerer zu ersetzen als in Europa.
- Die Abschreibung bei TechnologiewechselnWas 2024 mit dem damals gängigen Framework gebaut wurde, ist 2026 oft nicht mehr die naheliegende Architektur. Eigenbau bedeutet, diese Wechsel selbst zu bezahlen.
Eigenbau oder spezialisierter Anbieter
Der ehrliche Vergleich, einschließlich der Punkte, in denen Eigenbau gewinnt.
| Kriterium | Eigenbau im Unternehmen | Spezialisierter Anbieter |
|---|---|---|
| Zeit bis zum Produktivbetrieb | 4 bis 9 Monate | 4 bis 10 Wochen |
| Laufende Betriebskosten | 1,2–5,0 Mio. MXN pro Jahr | planbare Servicegebühr |
| Modell-Updates | eigenes Risiko, eigener Aufwand | im Betrieb enthalten |
| Rechtsbeobachtung | muss aufgebaut werden — und hier bewegt sich das Fundament | Teil des Produkts |
| Nachweise für Prüfungen | selbst zu erzeugen, in Werktagen | laufen automatisch mit |
| Wissensrisiko | hoch, oft an einer Person | verteilt beim Anbieter |
| Datenhoheit | maximal | abhängig vom Hosting-Modell, wichtigstes Auswahlkriterium |
| Fachliche Kontrolle | maximal | hoch, wenn Prozesse konfigurierbar sind |
| Anpassung an Sonderfälle | unbegrenzt | begrenzt durch den Produktumfang |
| Kalenderpflichten | ARCO-Frist, Sofortmeldung, Materialitätsakte, REPSE-Termine liegen bei Ihnen | beim Anbieter |
Die beiden hervorgehobenen Zeilen sind der Grund, warum die Antwort nicht immer „auslagern" lautet.
Wann Eigenbau die richtige Entscheidung ist
Diese Rechnung ist kein Argument gegen interne Entwicklung. Sie ist ein Argument gegen unbewusste interne Entwicklung. Selbst bauen ist die richtige Wahl, wenn mindestens zwei dieser vier Punkte zutreffen.
- Der Anwendungsfall ist Kern des Geschäftsmodells und damit selbst ein Wettbewerbsvorteil.
- Im Haus arbeiten mindestens drei Personen mit belastbarer Betriebserfahrung für KI-Systeme — nicht eine Person mit Interesse am Thema.
- Es gibt kein Marktprodukt, das die fachliche Domäne trifft.
- Jemand im Haus führt die Kalenderpflichten wirklich — die ARCO-Frist, die Sofortmeldung, die Materialitätsakte — und nicht nur die Technik.
Trifft davon nichts oder nur eines zu, ist Eigenbau meistens die teuerste Variante — und sie zeigt sich erst nach 18 Monaten als solche, wenn die Rückabwicklung schon wehtut.
Drei Fragen vor jedem KI-Rollout in Mexiko
- Zitieren unsere Datenschutzhinweise und Verträge noch das Gesetz von 2010 oder die abgeschaffte Behörde?Wenn ja, ist das keine Formalie, sondern eine noch nicht bezahlte Rechnung.
- Könnten wir in fünf Werktagen belegen, dass die KI-Rechnungen des letzten Jahres realen Leistungen entsprechen?Wenn die Antwort zögert, ist der Straftatbestand bereits im Raum.
- Wer findet alle Daten einer Person — in Datenbanken, Vektorspeichern und Protokollen — innerhalb von 20 Werktagen?Das ist eine technische Aufgabe, keine juristische. Sie wird aber juristisch fällig.
Unser Ansatz
Genau an dieser Stelle setzt Agentic360 an. Die oben aufgeführten Betriebsaufgaben liegen bei uns, nicht beim Kunden: Modellwechsel, Qualitätssicherung, Rechtsbeobachtung und Nachweisführung laufen mit. Für Mexiko heißt das konkret: Wir verfolgen die Umnummerierung der LFPDPPP, die ausstehende Durchführungsverordnung und den Materialitätsnachweis, statt sie Ihnen zu überlassen.
Zwei Punkte sind uns wichtig. Die Datenhoheit bleibt beim Kunden — die Plattform arbeitet mit lokal betriebenen Modellen, On-Premise- und Air-Gapped-Installationen sind Teil des Produkts. Und Entscheidungen bleiben nachvollziehbar: Regeln werden in einer deterministischen Policy-Engine ausgewertet, nicht in einem Modell-Prompt versteckt. Jede Bewertung ist auf die zugrunde liegende Vorschrift und den auslösenden Verarbeitungsschritt zurückführbar. In einem Land ohne KI-Gesetz ist das kein Compliance-Argument, sondern ein Betriebsargument: Es ist der Unterschied zwischen „das System sagt X" und „das System sagt X, weil".
Wenn Sie gerade ausrechnen, was Ihr eigener KI-Betrieb in Mexiko kostet, oder feststellen, dass Sie diese Rechnung noch nie aufgemacht haben: Sprechen Sie uns an. Auch wenn am Ende Eigenbau die richtige Antwort ist — dann wenigstens als bewusste Entscheidung mit einem Budget dahinter.
Das Fehlen eines KI-Gesetzes ist kein Fehlen von Risiko. Der regulatorische Kostenblock verschwindet in Mexiko nicht — er wandert dorthin, wo er schwerer zu planen ist: in ein Datenschutzgesetz, das gerade ersetzt wurde, in einen steuerlichen Materialitätsnachweis mit Straftatbestand und in ein Arbeitszeitrecht mit Stichtagen bis 2030.
Stand: 1. September 2026. Regulatorische Fristen ändern sich; die Angaben geben den Stand zum Zeitpunkt der Veröffentlichung wieder. Dieser Beitrag ersetzt keine Rechts- oder Steuerberatung. Die Kostenangaben sind Schätzungen auf der offengelegten Basis, keine Messwerte. Mexiko hatte zum Redaktionsschluss kein allgemeines KI-Gesetz; laufende Gesetzentwürfe können das ändern.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, DOF 20-03-2025 (abroga la ley de 2010; arts. 14-19, 21-26, 29, 31, 35-36, 58-59)
- Decreto que reforma la Ley Federal del Trabajo y la Ley Federal del Derecho de Autor en materia de inteligencia artificial (LFT art. 305 Bis), DOF 14-05-2026
- Valor de la Unidad de Medida y Actualización 2026 (117,31 MXN diarios), INEGI — DOF 09-01-2026
- NOM-035-STPS-2018, Factores de riesgo psicosocial en el trabajo — DOF 23-10-2018
- Salarios mínimos vigentes a partir del 1 de enero de 2026, CONASAMI — DOF 09-12-2025
- Principios de Chapultepec — Declaración de ética y buenas prácticas para el uso y desarrollo de la IA (SECIHTI/ATDT, 29-01-2026; carácter orientador)
- Tipo de cambio de referencia del euro, Banco Central Europeo — 31-08-2026 (1 EUR = 19,7228 MXN)
- Código Fiscal de la Federación, arts. 29-A fr. IX, 30, 49 Bis y 113 Bis (materialidad del comprobante y conservación) — reforma DOF 07-11-2025
- Ley Federal del Trabajo, arts. 59, 74, 76, 87 y 132 fr. XXXIV (jornada, registro electrónico) — reforma DOF 01-05-2026
- Suprema Corte de Justicia de la Nación, Amparo Directo 6/2025 — la obra generada de forma autónoma por IA no es objeto de protección autoral