Un análisis para el sector asegurador sobre el vacío regulatorio mexicano y sus implicaciones prácticas
Introducción: dos velocidades regulatorias para una misma tecnología
Aunque México todavía no cuenta con una ley específica sobre inteligencia artificial en seguros, la Unión Europea ya obliga a sus reguladores del sector a exigir gobernanza y gestión de riesgos sobre estos sistemas. Esa asimetría no es un detalle técnico: define, hoy mismo, el nivel de exposición legal, reputacional y operativa con el que cada aseguradora mexicana está usando IA en suscripción, tarificación y siniestros. Este artículo compara ambos marcos y ofrece una lectura práctica para el sector: qué exige Europa, qué existe —y qué no— en México, y qué implica operar en ese vacío mientras el Congreso mexicano decide.
- El estándar que marca la pauta: el AI Act europeo y el seguro
El Reglamento (UE) 2024/1689, conocido como AI Act, es la primera norma vinculante del mundo diseñada específicamente para regular sistemas de inteligencia artificial por nivel de riesgo. Se trata de un reglamento —no una directiva—, lo que significa que se aplica de forma directa en los 27 Estados miembros sin necesidad de transposición nacional, y tiene alcance extraterritorial: se aplica a cualquier proveedor que comercialice sistemas de IA en el mercado europeo o los ponga en servicio ahí, sin importar dónde esté establecido. Para una aseguradora mexicana con operación, matriz o proveedores tecnológicos vinculados a Europa, esto no es un asunto ajeno.
El AI Act clasifica los sistemas por nivel de riesgo, y el seguro cae, de manera explícita, en la categoría más exigente. Los sistemas de IA de alto riesgo del Anexo III abarcan ocho ámbitos, entre ellos los «servicios esenciales», categoría que incluye expresamente la puntuación crediticia y los seguros. De forma más precisa, la suscripción automatizada y los sistemas de evaluación de riesgos de personas están clasificados como de alto riesgo, con obligaciones reforzadas de transparencia, documentación y auditoría, y el uso de IA para evaluación de riesgos y fijación de precios en seguros de vida y salud queda etiquetado como de alto riesgo por su impacto potencial en los derechos fundamentales de las personas.
¿Qué implica en la práctica esa etiqueta de «alto riesgo»? Un paquete de obligaciones muy concreto: sistema de gestión de riesgos (artículo 9), gobernanza de datos (artículo 10), documentación técnica (artículo 11), registro automático de eventos (artículo 12), transparencia hacia los responsables del despliegue (artículo 13), diseño para la supervisión humana (artículo 14), y exactitud, robustez y ciberseguridad (artículo 15), además de una evaluación de conformidad antes de comercializar el sistema. A esto se suma una obligación que suele pasar desapercibida: todo empleado que use o supervise sistemas de IA —suscriptores, ajustadores de siniestros, actuarios, equipos de cumplimiento— debe tener un nivel adecuado de competencias en IA, conforme al artículo 4 del propio reglamento.
El calendario ya está corriendo. El 2 de agosto de 2026 es la fecha en que las obligaciones para sistemas de alto riesgo se vuelven plenamente exigibles, y el incumplimiento no es menor: las multas pueden alcanzar 15 millones de euros o el 3% de la facturación global anual de la aseguradora. Además, el AI Act no opera solo: en Europa convive con Solvencia II y con DORA, de modo que una misma solución de IA en una aseguradora europea debe cumplir simultáneamente los regímenes de protección de datos, gestión algorítmica y resiliencia operativa digital, bajo la vigilancia adicional de EIOPA, que para 2026 se ha propuesto apoyar a los supervisores nacionales en la identificación y mitigación de riesgos de IA, con foco en los resultados para el consumidor y el trato justo y ético.
- El otro lado del espejo: el vacío regulatorio mexicano
En México, el panorama es radicalmente distinto. Desde 2021 se han presentado en México diversas propuestas legislativas para regular la IA mediante reformas constitucionales o leyes federales, pero ninguna ha sido aprobada y publicada en el Diario Oficial de la Federación. A mediados de 2026 la situación no ha cambiado de fondo: México llegó al segundo semestre de 2026 sin una ley general de inteligencia artificial, después de que la comisión especializada del Senado cerrara el periodo ordinario sin llevar a pleno el proyecto de Ley General para Regular y Fomentar la Inteligencia Artificial. Esa propuesta, además, todavía requiere una reforma constitucional a los artículos 3º y 73 para dar al Congreso facultades expresas antes de poder armonizar cerca de diecisiete ordenamientos secundarios, un trámite que, por sí solo, puede tomar años.
El diagnóstico académico es coincidente: México transita en 2026 por un modelo reactivo, con el riesgo de caer en una «sobrerregulación paralizante» o, en el otro extremo, en una «desregulación ingenua» que deje a las empresas locales en desventaja frente al modelo europeo. Mientras tanto, desde abril de 2023 se han presentado 85 iniciativas legislativas relacionadas con IA en México, de las cuales 67 permanecen pendientes de aprobación, un volumen que retrata más la dispersión del debate que un rumbo claro.
Esto no significa que las aseguradoras mexicanas operen en un vacío legal absoluto. Existen piezas sueltas que, por interpretación y analogía, ya alcanzan a la IA usada en seguros. La LISF exige gobierno corporativo y gestión integral de riesgos —que en principio abarca los riesgos tecnológicos y operacionales— y la CNSF mantiene disposiciones generales sobre tecnologías de la información en materia de seguridad, continuidad operativa y auditoría de sistemas; a esto se suma la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, relevante para los datos que alimentan los modelos, y la propia Ley Sobre el Contrato de Seguro, que exige que toda negativa de siniestro sea motivada y comunicada por escrito, sin que el uso de un algoritmo exima de esa obligación. Pero se trata, en todos los casos, de normas pensadas para otro propósito, aplicadas por extensión a un fenómeno que no las tuvo en mente al redactarse.
Hay, además, una capa adicional relevante para el consumidor: la Ley Federal de Protección de Datos Personales en Posesión de los Particulares fue reformada en enero de 2024 para incorporar disposiciones sobre sistemas automatizados de toma de decisiones, y establece que las personas tienen derecho a solicitar revisión humana de decisiones automatizadas que afecten significativamente sus derechos, incluidas las de crédito y seguros. Es, hasta ahora, la obligación más concreta y directamente vinculante que enfrenta una aseguradora mexicana que decida automatizar suscripción o siniestros.
- Lo que sí avanza: regulación fragmentada y por sectores
Ante la parálisis del proyecto integral, México ha optado —de facto, no por diseño— por un modelo de parches sectoriales. Regular por sectores permite atender riesgos inmediatos, como la suplantación de identidad o la opacidad laboral, pero deja desprotegidas otras áreas críticas ante la falta de una autoridad supervisora unificada. La única reforma con efectos vinculantes publicada hasta ahora en materia de IA la modificación a la Ley Federal del Trabajo y a la Ley Federal del Derecho de Autor, publicada en el Diario Oficial de la Federación el 14 de mayo de 2026 atiende la clonación de voz e imagen, no el uso de IA en decisiones financieras o de seguros.
En paralelo circulan al menos dos vías legislativas activas: una reforma constitucional al artículo 73 impulsada por el senador Saúl Monreal para facultar al Congreso a legislar en materia de IA, y una propuesta de Ley General de IA de la Comisión de IA del Senado, encabezada por el senador Rolando Zapata, además de un proyecto separado de la senadora Karina Ruiz para expedir una Ley Nacional para Regular el Uso de la Inteligencia Artificial, que crea una Agencia Nacional de Inteligencia Artificial. Todas comparten un mismo diseño de fondo: una lógica de regulación basada en riesgos que busca establecer mayores obligaciones para las aplicaciones con mayor capacidad de afectar derechos o seguridad de las personas, es decir, el mismo principio que ya opera en la Unión Europea, solo que todavía sin aterrizar en ley.
Vale la pena una precisión editorial: aunque el diseño se inspira en el modelo europeo, no es una copia. El diagnóstico de fondo reconoce que la IA ya se usa de forma intensiva en banca, seguros, comercio electrónico y sector público en México, mientras el marco jurídico descansa en leyes pensadas para una era anterior</cite>, y las iniciativas buscan responder preguntas muy concretas: quién responde cuando un sistema automatizado discrimina, cómo se impugna una decisión algorítmica y qué significa, en la práctica, la supervisión humana.
- Lo que esto significa para una aseguradora que opera en México hoy
La ausencia de una circular específica de la CNSF sobre IA no equivale a ausencia de riesgo. Al contrario: significa que cada aseguradora que ya usa modelos automatizados de suscripción, tarificación o dictamen de siniestros —una práctica extendida en el mercado— opera bajo un marco de obligaciones difusas, sujetas a interpretación, sin los estándares técnicos ni los plazos de cumplimiento que sí existen en Europa. Tres consecuencias prácticas se derivan de ahí:
Primera: el riesgo de responsabilidad no desaparece por falta de ley específica. La obligación de motivar por escrito cualquier negativa de siniestro sigue vigente aunque la decisión provenga de un algoritmo, y el asegurado conserva su derecho a impugnarla ante la CONDUSEF o en sede judicial. Una aseguradora que no pueda explicar con claridad cómo y por qué un sistema de IA llegó a una resolución enfrenta el mismo riesgo legal que si esa resolución hubiera sido arbitraria.
Segunda: la brecha regulatoria puede convertirse en desventaja competitiva, no en ventaja. Las aseguradoras globales que ya operan bajo AI Act, Solvencia II y DORA están desarrollando —por obligación— marcos de gobernanza de datos, trazabilidad de modelos y supervisión humana documentada. Ese ejercicio de gobernanza no parte de cero: el sector asegurador cuenta con años de experiencia aplicando marcos como Solvencia II, DORA o el RGPD, lo que hace de la gobernanza de IA una evolución natural de prácticas que la industria ya domina en otros ámbitos. Las aseguradoras mexicanas que dependan de matrices, reaseguradoras o proveedores tecnológicos europeos heredarán, de facto, buena parte de esas exigencias —con o sin ley mexicana que las respalde.
Tercera: el mercado de aseguramiento del propio riesgo de IA ya está naciendo, y México no puede quedar fuera de esa conversación. Cuando las aseguradoras encuentran riesgos que no pueden modelar, no ofrecen cobertura a primas más altas: simplemente rehúsan cubrirlos, porque la IA desafía los supuestos actuariales de independencia estadística sobre los que se construye el seguro moderno. Algunas aseguradoras internacionales ya han introducido endosos que cubren de forma limitada las multas derivadas del AI Act europeo, y la proyección de Deloitte apunta a que para 2032 la industria podría suscribir cerca de 4,700 millones de dólares en primas anuales de seguros relacionados con IA a nivel global. Es un ramo emergente en el que las aseguradoras mexicanas —tanto como aseguradoras de este riesgo, como usuarias de IA que necesitarán cubrirlo— tienen un interés directo.
- Gobernanza voluntaria: la estrategia razonable mientras se legisla
La lección que ofrece el caso europeo no es «esperar a que México legisle», sino anticipar el estándar que previsiblemente llegará. Las iniciativas mexicanas en curso ya comparten el mismo lenguaje que el AI Act: clasificación por riesgo, supervisión humana, transparencia algorítmica, evaluación de impacto. Para una aseguradora, adoptar hoy —de manera voluntaria— los elementos centrales de esa gobernanza no es un ejercicio de cumplimiento anticipado sin sentido: es, sobre todo, gestión prudente de un riesgo legal, reputacional y contractual que ya existe, tenga o no nombre en el Diario Oficial de la Federación.
Esto incluye, como mínimo: documentar el funcionamiento de cualquier modelo de IA usado en suscripción o siniestros; conservar trazabilidad suficiente para explicar cada decisión motivada por escrito, como exige la Ley Sobre el Contrato de Seguro; mantener supervisión humana efectiva sobre las decisiones de mayor impacto para el asegurado; y capacitar a suscriptores, ajustadores y equipos de cumplimiento en el funcionamiento y los límites de los sistemas que operan —el mismo principio que el artículo 4 del AI Act ya exige como obligación legal en Europa.
Conclusión: el contrato de seguro como ancla en tiempos de incertidumbre regulatoria
La distancia entre el AI Act europeo y el vacío legislativo mexicano no debe leerse como una licencia para operar sin controles, sino como una ventana de tiempo para construirlos antes de que la ley los imponga. El contrato de seguro mexicano —con su exigencia centenaria de buena fe, claridad y motivación de las resoluciones— ya contiene, en su lógica más elemental, buena parte de lo que hoy Europa está codificando en artículos numerados sobre inteligencia artificial. La tarea del sector no es esperar a que exista una «ley de IA en seguros» para tomarse en serio la gobernanza de estos sistemas: es reconocer que esa gobernanza es, sencillamente, una extensión natural de lo que el contrato de seguro siempre ha exigido.
Fuentes consultadas: Diario Oficial de la Unión Europea (Reglamento UE 2024/1689); Comisión Europea; EIOPA; Senado de la República y Cámara de Diputados de México; Lexology; Infobae; El Financiero; Cadena Política; Basham, Ringe y Correa; Matproof; Janus Assurance Re; e Innova-TSN.
Artículo elaborado con apoyo de inteligencia artificial (Claude, de Anthropic) y revisado por la Dirección de Cultura del Contrato de Seguro.