México no tiene una ley de inteligencia artificial. Operarla cuesta igual.
La ausencia de una ley de IA no es ausencia de exposición. El bloque de coste regulatorio no desaparece: se muda. A una protección de datos cuya ley fue sustituida por completo en 2025 y cuya autoridad fue suprimida. A un expediente de materialidad fiscal con tipo penal desde enero de 2026. Y a una jornada laboral con fechas ya legisladas hasta 2030.
El piloto funciona. El asistente responde consultas de facturación, el agente clasifica documentos, el modelo extrae plazos de los contratos. La cuenta se ve bien: una jornada de trabajo en México cuesta poco más de un tercio de lo que cuesta en Alemania.
Y entonces pasan seis meses.
Alguien nota que todos los avisos de privacidad citan una ley que ya no existe y una autoridad que fue suprimida. Contabilidad pregunta con qué se respalda realmente la factura de consultoría del proyecto de IA. Un titular se opone a una decisión tomada de forma automatizada, y el plazo corre en días hábiles. El compañero que construyó todo esto ahora dirige un equipo.
No es un caso excepcional. Es el caso normal, solo que con otros artículos.
Lo que cuesta el piloto — y lo que vuelve cada año después
En jornadas de trabajo, empresa mexicana con dos o tres casos de uso en producción
La IA no es una implantación de software
Los sistemas de IA se degradan aunque nadie los toque, porque todo lo que los rodea se mueve. En México una de esas cosas se mueve más rápido que en Europa: el derecho mismo.
- Los modelos se muevenLos proveedores retiran versiones, cambian el comportamiento de respuesta y desplazan los límites de seguridad. Un prompt que en enero devolvía JSON estructurado produce en junio texto corrido. Nadie lo detecta automáticamente, salvo que alguien haya construido pruebas de regresión y las mantenga.
- Los datos se muevenNuevas plantillas de contrato, campos renombrados en el ERP, otro procedimiento de escaneo en recepción. Cualquiera de estos cambios puede degradar en silencio una cadena de recuperación. No romperla: degradarla. Esa es la variante peligrosa, porque el sistema sigue respondiendo, solo que peor.
- El derecho se mueve, y se mueve el cimiento, no la fachadaEn dieciocho meses México suprimió su autoridad de protección de datos, sustituyó por completo su ley de protección de datos, tipificó penalmente dar efectos fiscales a una factura sin respaldo y legisló una reducción de jornada en cinco pasos hasta 2030. Europa discute cómo leer un texto. México reescribe el texto.
- Los atacantes se muevenInstrucciones manipuladas dentro de documentos subidos, fuga de datos por permisos de herramientas demasiado amplios, endpoints de modelo sin límites. Estos costes son en México los mismos que en cualquier parte, solo que aquí no los impone ninguna ley de ciberseguridad, sino únicamente la realidad.
Un sistema de IA sin mantenimiento no se rompe. Empeora despacio.
Representación esquemática de la curva de calidad habitual tras la puesta en marcha
No hay ley de IA. El bloque de coste se queda igual.
Dígase con claridad, porque es la frase más importante de este texto: a septiembre de 2026 México no tiene una ley general de inteligencia artificial. Ni ley federal, ni reforma constitucional, ni autoridad reguladora de IA. Las iniciativas integrales siguen en comisiones, y la razón es estructural: mientras el artículo 73 constitucional no otorgue al Congreso competencia expresa en materia de IA, la ley marco carece de base competencial.
De ahí se siguen dos verdades, una cómoda y otra no. La cómoda: ninguna autoridad mexicana puede hoy exigirle un expediente de riesgos de IA, una evaluación de conformidad, un reporte de incidentes de IA ni un registro de competencias. No existe ni el deber ni la autoridad. La incómoda: la ausencia de una ley de IA no es ausencia de exposición. Las obligaciones simplemente están en otro sitio, y ahí sí tienen fechas y tipos penales.
El deber específico de IA más duro que hoy sí obliga a un responsable mexicano está en la ley de datos: artículo 26, fracción II de la LFPDPPP. El titular puede oponerse cuando sus datos sean objeto de un tratamiento automatizado que produzca efectos jurídicos no deseados o afecte de manera significativa sus intereses, derechos o libertades, y que esté destinado a evaluar — o a analizar o predecir — sin intervención humana el desempeño profesional, la situación económica, la salud, la fiabilidad o el comportamiento. No es el artículo 22 del RGPD: no otorga derecho a intervención humana, ni a impugnar la decisión, ni a una explicación. Es un derecho de oposición, y corre por la vía ARCO.
Qué se aplica ya y qué está por llegar
Fechas clave mexicanas por orden cronológico, sin escala
Lo que cuesta en concreto
El mismo desglose que en el artículo europeo, calculado sobre base mexicana: entre 150 y 500 empleados, dos o tres casos de uso en producción, operados por cuenta propia. El esfuerzo en jornadas es el mismo: el trabajo no cambia porque cambie el derecho.
La base de cálculo son 6.000 MXN por jornada interna — coste completo, no salario bruto — y 10.000 MXN en contratación externa como precio de agencia o consultoría con margen incluido. La cifra interna se deriva de 65.000 MXN de salario bruto mensual, un factor de carga de 1,40 y 225 días productivos al año, más gastos generales. Contratar directamente a una persona autónoma sale más bien a 4.500–8.900 MXN por jornada.
Doce bloques de coste que reaparecen cada año tras la puesta en marcha
Horquilla anual en miles de pesos mexicanos
| Bloque de coste | Qué hay detrás en México | Esfuerzo anual | Coste anual |
|---|---|---|---|
| Cambios de modelo y proveedor | Seguir fechas de retirada, probar cambios de versión, rutas alternativas. Más barato que en la UE: sin requisito de localización ni autorización para transferencias internacionales (arts. 35-36). Los bancos sí requieren autorización de la CNBV. | 15–30 JP | 90.000–300.000 MXN |
| Mantenimiento de prompts y búsqueda | Ajustar prompts, revisar la segmentación, reindexar, incorporar nuevos tipos de documento. Puramente técnico, igual que en Europa. | 25–45 JP | 150.000–450.000 MXN |
| Medición de calidad | Conjunto de referencia, pruebas de regresión, tasa de error, deriva. México no impone deber legal de exactitud: esta es la primera partida que se recorta, y eso es justo lo que después genera la brecha de evidencias. | 20–35 JP | 120.000–350.000 MXN |
| Regulación y evidencias | Sin Reglamento de IA. En su lugar: repapelar todos los avisos de privacidad, contratos y políticas conforme a la ley de 2025, y una segunda vez cuando aparezca el Reglamento pendiente. | 15–30 JP | 90.000–300.000 MXN |
| Protección de datos | Sin deber de evaluación de impacto, sin DPO al estilo europeo, sin aviso a la autoridad. A cambio: plazo ARCO de 20 + 15 días hábiles (art. 31), oposición al tratamiento automatizado (art. 26) y aviso al titular «de forma inmediata» (art. 19). | 8–15 JP | 48.000–150.000 MXN |
| Seguridad informática | Sin NIS2, sin catálogo de medidas, sin plazos de reporte para empresas ordinarias: solo los arts. 18-20 de la LFPDPPP. El esfuerzo operativo no cambia. En el sector financiero, en cambio, este bloque es mayor que en Europa. | 15–25 JP | 90.000–250.000 MXN |
| Operación e incidencias | Registro, alertas, guardias, pruebas de restauración, más el registro electrónico de jornada para las guardias y una semana laboral que baja de 48 a 40 horas hasta 2030. | 20–40 JP | 120.000–400.000 MXN |
| Infraestructura | Capacidad de cómputo y alojamiento, base de datos vectorial, observabilidad, entorno de pruebas. Facturado en dólares, así que no sale más barato. Si se subcontrata, se suma el calendario REPSE. | Coste directo | 180.000–1.190.000 MXN |
| Uso del modelo en carga | Facturación por uso o explotación de modelos propios. Precio idéntico al europeo, pero desde enero de 2026 cada una de esas facturas necesita expediente de materialidad, exhibible en cinco días hábiles. | Coste directo | 120.000–950.000 MXN |
| Formación y competencia en IA | No existe equivalente mexicano al artículo 4 del Reglamento de IA. La obligación legal es cero. Solo obligan la capacitación anual de teletrabajo (NOM-037) y la difusión de la NOM-035. | 8–15 JP | 48.000–150.000 MXN |
| Reformas y deuda técnica | Migraciones de framework, cambios de arquitectura, saneamiento de atajos del prototipo. Impulsado por proveedores, igual que en Europa. | 20–40 JP | 120.000–400.000 MXN |
| Continuidad del conocimiento | Selección, incorporación, documentación, sustitución, agravado por la conservación fiscal, que no es un plazo único sino varios, cada uno desde una fecha de arranque distinta según el tipo de documento. | 5–15 JP | 30.000–150.000 MXN |
| Total | 151–290 JP | 1,2–5,0 M MXN |
Base: 6.000 MXN por jornada interna (coste completo), 10.000 MXN externa como precio de agencia. Los costes directos se facturan en dólares, convertidos a 19,78 MXN por euro. Estimaciones sobre base declarada, no mediciones.
La comparación más reveladora no está en el total, sino en su composición. Una jornada cuesta en México alrededor del 38 por ciento de lo que cuesta en Alemania. Los tokens y el cómputo cuestan exactamente lo mismo.
De ahí se sigue que el ahorro no es del 60 por ciento sino de alrededor del 50. Y la partida que más pesa en una operación mexicana de IA no es la nómina: es la factura en dólares. En Alemania los costes directos son del 11 al 21 por ciento del total; en México, del 25 al 42.
Adónde van las jornadas
Valor medio de la horquilla, unas 220 jornadas al año
El expediente de materialidad
Esta partida no la conoce el artículo europeo, y es la más mexicana de todas. Desde el 1 de enero de 2026, una factura de consultoría de IA, de tokens o de licencias que no pueda respaldarse con contratos, entregables, personal, infraestructura y rastro de pago no es una factura discutible: es falsa por disposición del artículo 29-A, fracción IX del Código Fiscal. Darle efectos fiscales está penado con dos a nueve años de prisión, y el plazo para aportar la prueba en la visita del artículo 49 Bis es de cinco días hábiles.
La diferencia con Europa cabe en una frase: allá la documentación se pide; en México se prueba, con reloj y con tipo penal.
Las partidas que no aparecen en ninguna tabla
- La brecha de evidenciasEn México, la mayor de las cuatro partidas ocultas. Reconstruir versiones de modelo, estados de prompt, resultados de pruebas y comprobantes una vez iniciada la revisión cuesta un múltiplo del registro continuo, y en lo fiscal el plazo corre en días hábiles.
- El factor autobúsEn la mayoría de medianas empresas que desarrollan IA internamente hay exactamente una persona que entiende por qué el sistema está construido como está. Cuando esa persona se va, lo que empieza no es mantenimiento sino arqueología.
- El coste de oportunidadQuien dedica 200 jornadas al año a mantener sistemas de IA suele ser la mejor desarrolladora de la casa, y en un mercado de unas 390.000 personas en esa ocupación es aún más difícil de reemplazar que en Europa.
- La amortización en los cambios de tecnologíaLo que en 2024 se construyó con el framework de entonces a menudo ya no es la arquitectura evidente en 2026. Construir en casa significa pagar esos cambios uno mismo.
Desarrollo propio o proveedor especializado
La comparación honesta, incluidas las filas en las que gana el desarrollo propio.
| Criterio | Desarrollo propio | Proveedor especializado |
|---|---|---|
| Tiempo hasta producción | de 4 a 9 meses | de 4 a 10 semanas |
| Coste operativo continuo | 1,2–5,0 M MXN al año | cuota de servicio previsible |
| Actualizaciones de modelo | riesgo y esfuerzo propios | incluidas en el servicio |
| Vigilancia normativa | hay que construirla, y aquí se mueve el cimiento | parte del producto |
| Evidencias para revisiones | las genera uno mismo, en días hábiles | se generan de forma continua |
| Riesgo de conocimiento | alto, a menudo en una persona | repartido en el proveedor |
| Soberanía del dato | máxima | depende del modelo de alojamiento, criterio principal de selección |
| Control funcional | máximo | alto si los procesos son configurables |
| Adaptación a casos especiales | ilimitada | limitada por el alcance del producto |
| Obligaciones de calendario | el plazo ARCO, el aviso inmediato, el expediente de materialidad y las fechas REPSE recaen en usted | en el proveedor |
Las dos filas destacadas son la razón por la que la respuesta no siempre es externalizar.
Cuándo el desarrollo propio es la decisión correcta
Este cálculo no es un argumento contra el desarrollo interno. Es un argumento contra el desarrollo interno inconsciente. Construirlo uno mismo es lo correcto si se cumplen al menos dos de estos cuatro puntos.
- El caso de uso es el núcleo del modelo de negocio y por tanto una ventaja competitiva en sí mismo.
- En casa trabajan al menos tres personas con experiencia real operando sistemas de IA, no una persona interesada en el tema.
- No existe ningún producto de mercado que cubra el dominio.
- Alguien en casa asume de verdad las obligaciones de calendario — el plazo ARCO, el aviso inmediato, el expediente de materialidad — y no solo la tecnología.
Si no se cumple ninguno o solo uno, el desarrollo propio suele ser la variante más cara, y solo se revela como tal a los 18 meses, cuando dar marcha atrás ya duele.
Tres preguntas antes de cualquier despliegue de IA en México
- ¿Nuestros avisos de privacidad y contratos siguen citando la ley de 2010 o la autoridad suprimida?Si es así, no es una formalidad: es una factura que aún no ha pagado.
- ¿Podríamos demostrar en cinco días hábiles que las facturas de IA del último año corresponden a servicios reales?Si la respuesta duda, el tipo penal ya está en la sala.
- ¿Quién localiza todos los datos de una persona — en bases de datos, almacenes vectoriales y bitácoras — en 20 días hábiles?Es una tarea de ingeniería, no jurídica. Pero vence jurídicamente.
Nuestro enfoque
Justo ahí entra Agentic360. Las tareas operativas enumeradas arriba recaen en nosotros, no en el cliente: los cambios de modelo, el aseguramiento de la calidad, la vigilancia normativa y la generación de evidencias corren de nuestra parte. Para México eso significa en concreto que seguimos la renumeración de la LFPDPPP, el Reglamento pendiente y la exigencia de materialidad, en lugar de dejárselos a usted.
Dos puntos nos importan. La soberanía del dato se queda en el cliente: la plataforma trabaja con modelos alojados localmente, y las instalaciones on-premise y aisladas forman parte del producto. Y las decisiones siguen siendo trazables: las reglas se evalúan en un motor de políticas determinista, no ocultas en el prompt de un modelo. Cada valoración se rastrea hasta la norma que la fundamenta y el paso de procesamiento que la activó. En un país sin ley de IA eso no es un argumento de cumplimiento sino de operación: es la diferencia entre «el sistema dice X» y «el sistema dice X porque».
Si está calculando lo que cuesta su propia operación de IA en México, o si acaba de darse cuenta de que nunca hizo ese cálculo, hable con nosotros. Aunque la respuesta acabe siendo desarrollarlo en casa, que al menos sea una decisión consciente y con presupuesto detrás.
La ausencia de una ley de IA no es ausencia de exposición. En México el bloque de coste regulatorio no desaparece: se muda a donde es más difícil de planificar — a una ley de protección de datos recién sustituida, a un expediente de materialidad fiscal con tipo penal y a una jornada laboral con fechas ya legisladas hasta 2030.
Estado: 1 de septiembre de 2026. Los plazos regulatorios cambian; los datos reflejan la situación en el momento de la publicación. Este artículo no sustituye al asesoramiento jurídico ni fiscal. Las cifras de coste son estimaciones sobre la base declarada, no mediciones. Al cierre de edición México no contaba con una ley general de IA; las iniciativas en trámite pueden cambiarlo.
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares, DOF 20-03-2025 (abroga la ley de 2010; arts. 14-19, 21-26, 29, 31, 35-36, 58-59)
- Decreto que reforma la Ley Federal del Trabajo y la Ley Federal del Derecho de Autor en materia de inteligencia artificial (LFT art. 305 Bis), DOF 14-05-2026
- Valor de la Unidad de Medida y Actualización 2026 (117,31 MXN diarios), INEGI — DOF 09-01-2026
- NOM-035-STPS-2018, Factores de riesgo psicosocial en el trabajo — DOF 23-10-2018
- Salarios mínimos vigentes a partir del 1 de enero de 2026, CONASAMI — DOF 09-12-2025
- Principios de Chapultepec — Declaración de ética y buenas prácticas para el uso y desarrollo de la IA (SECIHTI/ATDT, 29-01-2026; carácter orientador)
- Tipo de cambio de referencia del euro, Banco Central Europeo — 31-08-2026 (1 EUR = 19,7228 MXN)
- Código Fiscal de la Federación, arts. 29-A fr. IX, 30, 49 Bis y 113 Bis (materialidad del comprobante y conservación) — reforma DOF 07-11-2025
- Ley Federal del Trabajo, arts. 59, 74, 76, 87 y 132 fr. XXXIV (jornada, registro electrónico) — reforma DOF 01-05-2026
- Suprema Corte de Justicia de la Nación, Amparo Directo 6/2025 — la obra generada de forma autónoma por IA no es objeto de protección autoral