Datos personales en tu agente de IA de WhatsApp: lo que pide la nueva ley mexicana

Si tu negocio en México atiende por WhatsApp con un agente de IA, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares te aplica igual que si contestara una persona: tu negocio es el responsable de esos datos. La ley vigente es nueva (se publicó el 20 de marzo de 2025), el INAI ya no existe y la autoridad ahora es la Secretaría Anticorrupción y Buen Gobierno.

En esta guía te contamos qué te pide la ley en un chat automatizado: cómo dar el aviso de privacidad dentro de la conversación, cuándo necesitas consentimiento, qué hacer con datos de salud, cómo atender derechos ARCO, qué papel juega el proveedor de IA y cuánto tiempo guardar las conversaciones. También te decimos qué hacemos nosotros en Yolani.

¿Qué cambió con la nueva ley de datos personales de 2025?

El decreto publicado en el Diario Oficial de la Federación el 20 de marzo de 2025 expidió una nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Entró en vigor al día siguiente y abrogó la ley del mismo nombre de 2010.

El cambio más visible es la autoridad. La ley define a la «Secretaría» como la Secretaría Anticorrupción y Buen Gobierno, y los transitorios del decreto le pasan los procedimientos y expedientes de datos personales que llevaba el INAI. Ella vigila el cumplimiento, resuelve los procedimientos de protección de derechos y pone las sanciones.

Lo que no cambió tanto son tus obligaciones de fondo: aviso de privacidad, consentimiento, datos sensibles, derechos ARCO y medidas de seguridad siguen ahí, con artículos nuevos. El texto vigente que publica la Cámara de Diputados registra una sola reforma, del 14 de noviembre de 2025, que solo toca las leyes que se aplican de forma supletoria.

Un detalle que conviene saber: al cierre de este artículo no encontramos en el DOF un reglamento nuevo. La Cámara de Diputados sigue publicando como vigente el Reglamento de 2011. Si una decisión tuya depende de un detalle reglamentario, confírmalo con tu abogado.

¿Quién es responsable de los datos que recoge tu agente?

Tu negocio. La ley llama responsable a quien decide sobre el tratamiento de los datos, y persona encargada a quien los trata por cuenta del responsable. Cuando un cliente le escribe a tu WhatsApp y el agente le contesta, tú decides para qué se usan esos datos; la plataforma los trata siguiendo tus instrucciones.

En nuestro aviso de privacidad lo decimos así: respecto de los datos de los clientes de tu negocio, Yolani actúa como encargado, y las obligaciones del responsable recaen en ti, incluida la de poner tu propio aviso a disposición de esas personas.

¿Y el modelo de IA?

El proveedor del modelo que redacta las respuestas también procesa el contenido de la conversación. Lo trata por encargo, no para sí mismo. La ley define la transferencia como la comunicación de datos a alguien distinto del titular, del responsable o de la persona encargada, así que pasar datos a un encargado no es una transferencia en sentido legal. El Reglamento de 2011 lo llama remisión y dice que no requiere informarse al titular ni contar con su consentimiento.

Que no lo exija no significa que no te convenga decirlo. Mencionar en tu aviso que usas proveedores de tecnología, incluidos servicios de inteligencia artificial, y en qué país procesan los datos, evita sorpresas y preguntas incómodas.

¿Cómo doy el aviso de privacidad dentro del chat?

La ley distingue según cómo obtienes los datos. Cuando los recibes por cualquier medio electrónico, como un chat, el aviso debe darse en modalidad simplificada, con un enlace al aviso integral. El simplificado debe incluir, al menos:

El aviso integral, en tu sitio, agrega lo demás que pide el artículo 15: los medios para ejercer derechos ARCO y cómo comunicarás los cambios al aviso.

En la práctica basta un mensaje corto en el primer contacto. Algo así:

En Yolani esto se resuelve con una línea en las instrucciones del agente o con una regla, y se prueba antes de prender el agente con clientes reales. Ver Personalidad del agente. Revisa en tus primeras conversaciones que sí lo mande, y que no lo repita en cada mensaje.

¿Necesito pedir consentimiento a cada persona que escribe?

Para la mayoría de los datos, no de forma expresa. La ley dice que por regla general vale el consentimiento tácito: si pusiste el aviso a disposición de la persona y no se opuso, se entiende que consiente. Hay excepciones que importan:

• Datos financieros o patrimoniales: requieren consentimiento expreso, salvo los casos de excepción que la propia ley marca.
• Datos sensibles, como los de salud: requieren consentimiento expreso y por escrito. Lo vemos abajo.
• Finalidades nuevas: si quieres usar los datos para algo que no dijiste en el aviso, como meter el número a una campaña, necesitas obtener el consentimiento otra vez.
• Revocación: la persona puede revocar su consentimiento en cualquier momento, y tu aviso debe decir cómo.

Aparte de la ley está la plataforma. La política de WhatsApp Business dice que solo puedes contactar a alguien si te dio su número y te otorgó permiso (opt-in) para recibir tus mensajes, y te pide respetar cuando alguien ya no quiere recibirlos. Contestar a quien te escribió es distinto de escribirle en frío a una lista.

¿Qué cuidar si eres consultorio o clínica?

La ley considera sensibles los datos que pueden revelar el estado de salud presente o futuro, entre otros. Para tratarlos pide consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o el mecanismo de autenticación que se establezca. También pide limitar el tiempo que los tratas al mínimo indispensable, y no crear bases de datos sensibles sin una finalidad legítima y concreta.

Que un «sí acepto» dentro de un chat cumpla ese estándar es discutible, y no es algo que nosotros podamos garantizarte. Lo más sensato es diseñar el agente para que no lo necesite:

• Que agende sin pedir diagnósticos. Nombre, horario y tipo de servicio («limpieza», «valoración») bastan para una cita.
• Que no pida estudios, recetas ni fotos clínicas por WhatsApp. La política de WhatsApp Business prohíbe usarlo para telemedicina o para pedir información de salud cuando la regulación aplicable impide distribuirla a sistemas que no cumplen requisitos más estrictos.
• Que redirija con amabilidad. Si el paciente cuenta sus síntomas, el agente puede agradecer y decir que eso lo revisa el especialista en la consulta.
• Que la historia clínica se levante en consulta, con el consentimiento firmado que ya usas.

Nuestro aviso lo deja claro: Yolani no solicita datos sensibles. Si un negocio decide capturarlos en sus tablas, formularios o notas, el negocio es el responsable y debe contar con el consentimiento expreso y por escrito; Yolani los guarda como encargado, con las mismas medidas de seguridad que el resto.

¿Cómo atiendo los derechos ARCO cuando llegan por el chat?

ARCO son los derechos de acceso (saber qué datos tienes y cómo los usas), rectificación (corregirlos), cancelación (que los borres) y oposición (que dejes de usarlos para algo). Una persona puede ejercerlos escribiéndote por el mismo WhatsApp, y la ley te pide:

• Designar a una persona o departamento de datos personales que dé trámite a las solicitudes.
• Comunicar tu respuesta en un máximo de 20 días hábiles desde que recibes la solicitud y, si procede, hacerla efectiva en los 15 días hábiles siguientes. Puedes ampliar cada plazo una sola vez, por un periodo igual, si el caso lo justifica.
• Hacerlo gratis; solo puedes cobrar costos de reproducción, copias o envío.

Si no respondes o la persona no está conforme, puede presentar una solicitud de protección de datos ante la Secretaría dentro de los 15 días siguientes a tu respuesta, o desde que venció tu plazo para contestar.

Hay un derecho que toca directo a la IA: la persona puede oponerse a que sus datos se traten de forma automatizada cuando eso le produce efectos jurídicos no deseados o afecta de manera significativa sus intereses, sin intervención humana. Un agente que agenda o resuelve dudas no está en ese supuesto, pero uno que aprueba o rechaza créditos sí podría estarlo.

Lo operativo es que el agente no intente resolver una solicitud ARCO por su cuenta. Escribe en sus instrucciones que, si alguien pide borrar sus datos, saber qué tienes de él o que dejes de escribirle, conteste con amabilidad y pase la conversación a una persona. Cómo hacer ese traspaso bien lo contamos en cómo pasar del bot a un humano sin perder al cliente.

¿Cuánto tiempo guardo las conversaciones y cómo las borro?

La ley pide suprimir los datos cuando dejan de ser necesarios para las finalidades de tu aviso, previo bloqueo cuando aplique. El bloqueo es un periodo en que los conservas sin usarlos, solo para responder por responsabilidades del tratamiento, hasta que prescriben. Cuando alguien pide la cancelación y ya compartiste esos datos con terceros que los siguen tratando, debes avisarles para que también la hagan.

Así lo manejamos en Yolani, según nuestro aviso de privacidad:

• Las conversaciones se conservan mientras la cuenta está activa y hasta 24 meses después de cerrarla, salvo que el negocio pida antes su supresión o exportación.
• Lo borrado puede seguir hasta 90 días en los respaldos, por su ciclo de rotación.
• La infraestructura principal, su réplica y sus respaldos se alojan en centros de datos en Estados Unidos. El aviso publica la lista de proveedores, con su finalidad y país.
• No entrenamos modelos de IA con tus conversaciones, y contratamos a los proveedores de modelos por sus interfaces para empresas, cuyas condiciones publicadas excluyen usar esos datos para entrenar.
• Puedes descargar una copia completa de los datos de tu empresa, o exportar tus contactos en CSV, para responder una solicitud de acceso. Ver Configuración.
• Para borrar a fondo el historial de una persona, se solicita por correo y lo ejecutamos dentro de 20 días hábiles, como explica nuestra página de eliminación de datos.

Dentro del panel también puedes reducir quién ve qué: roles por persona, un registro de actividad del equipo y un control para ocultar teléfonos y nombres en pantalla. Ver Seguridad.

¿Qué pasa si hay una fuga o un error?

Si ocurre una vulneración de seguridad que afecte de forma significativa los derechos patrimoniales o morales de las personas, la ley te obliga a informarles de forma inmediata para que puedan defenderse. También te pide medidas de seguridad administrativas, técnicas y físicas, y que todos los que tratan los datos guarden confidencialidad, incluso después de dejar de trabajar contigo.

Las sanciones las pone la Secretaría. Según el artículo 59, van del apercibimiento a multas de 100 a 320,000 veces la Unidad de Medida y Actualización, según la infracción, y pueden aumentar hasta por dos veces cuando se trata de datos sensibles. No buscamos asustarte con eso: las faltas más comunes, como un aviso incompleto o una solicitud ARCO sin respuesta, se evitan con lo que ya viste.

Checklist para tu agente de IA

• Tienes un aviso de privacidad integral publicado en tu sitio, que menciona WhatsApp y el uso de proveedores de tecnología, incluida la IA.
• El agente da el aviso simplificado con su enlace en el primer contacto.
• Las promociones solo salen a quien aceptó, y el agente respeta un «ya no me escriban».
• El agente no pide diagnósticos, estudios, números de tarjeta completos ni identificaciones por chat.
• Una persona de tu equipo está designada para solicitudes ARCO, y el agente sabe pasárselas.
• Llevas registro de cada solicitud ARCO con su fecha, para cuidar los 20 y 15 días hábiles.
• Sabes dónde se guardan tus conversaciones, cuánto tiempo y cómo exportarlas o borrarlas.
• Los accesos al panel están limitados por rol y revisas el registro de actividad.

Si todavía estás eligiendo cómo conectar tu número, la diferencia entre la API oficial y WhatsApp Web también cambia qué datos pasan por dónde; lo explicamos en WhatsApp Business API o WhatsApp Web.

Si quieres ver cómo se configura un agente que cumpla con esto desde el primer mensaje, crea tu cuenta y pruébalo con tus propias preguntas, o escríbenos y lo revisamos contigo.