Protección de datos en México y agentes de IA en WhatsApp: qué pide la ley de 2025

En marzo de 2025 México cambió su ley de datos personales del sector privado. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025, entró en vigor al día siguiente y abrogó la ley de 2010. Si tu negocio atiende por WhatsApp con un agente de IA, la ley aplica igual que si respondiera una persona: el tratamiento incluye los procedimientos automatizados (artículo 2, fracción XIX).

¿Quién es quién?

La ley llama responsable al particular que trata los datos y persona encargada a quien los trata por cuenta del responsable (artículo 2, fracción XII). Si tu empresa usa una plataforma para correr su agente, tu empresa es la responsable. Comunicar datos a la persona encargada no es una transferencia (artículo 2, fracción XX); comunicarlos a otros terceros sí, y exige darles a conocer tu aviso y sus finalidades (artículo 35).

¿Qué pide la ley en una conversación?

Obligación	Artículo	En un chat con un agente
Aviso de privacidad desde que recabas los datos	2, fr. I y 16	El aviso simplificado y el enlace al integral, al empezar
Consentimiento	7	Tácito por regla general, una vez puesto a disposición el aviso
Datos financieros o patrimoniales	7	Consentimiento expreso, salvo las excepciones de los arts. 9 y 36
Datos sensibles	8	Expreso y por escrito, con firma o mecanismo de autenticación
Revocar el consentimiento	7	El aviso dice cómo hacerlo
Persona o departamento de datos	29	Alguien que tramita las solicitudes
Derechos ARCO	27 a 34	Respuesta en 20 días hábiles y efecto en 15, ampliables una vez
Seguridad	18	Medidas administrativas, técnicas y físicas

¿Qué cambia cuando quien responde es un agente de IA?

Dos artículos pesan más que el resto:

1. Oposición al tratamiento automatizado. El artículo 26, fracción II, permite oponerse cuando un tratamiento automatizado produce efectos jurídicos no deseados o afecta de manera significativa sus intereses, y evalúa aspectos personales sin intervención humana. Es un derecho de la persona, no una obligación de revisar todo, pero si tu agente decide algo con consecuencias para alguien, por ejemplo rechazar una solicitud de crédito, conviene que esa decisión pase por una persona.
2. Datos financieros. Los datos financieros o patrimoniales requieren consentimiento expreso, salvo las excepciones de los artículos 9 y 36, como los datos necesarios para una relación jurídica con la persona. Es mejor diseño no pedir una tarjeta por el chat: que el pago ocurra en la pasarela.

Cómo lo hace Meteor

• Le indicas al Met cómo saludar. El prompt del Met es contenido de tu espacio de trabajo: ahí le instruyes que comparta el aviso simplificado y el enlace a tu aviso integral.
• La constancia, en el contacto. El Met puede dejar una nota o una etiqueta en el contacto del CRM con lo que se le informó y cuándo. No confíes solo en el historial: los Términos de Meteor fijan la conservación de los registros de conversación mientras la cuenta tenga un plan activo y hasta 30 días después, salvo que configures otra retención.
• Transferir a una persona es una herramienta del Met: una solicitud ARCO o una decisión con consecuencias pasa a tu equipo. La página del agente de WhatsApp explica cómo se hace sin perder el contexto.
• El pago, fuera del chat. Con Mercado Pago, el Met comparte el link de Checkout Pro y confirma el pago por webhook firmado: el chat no recibe datos de tarjeta.

La página de México muestra las conexiones disponibles en el país. Lo que Meteor no hace por ti: redactar tu aviso de privacidad ni designar a tu responsable de datos.

Lo que no es

Esto no es asesoría legal. La ley se cita con sus artículos y su texto vigente publicado por la Cámara de Diputados, consultado el 28 de octubre de 2026. Antes de ajustar tu aviso, revísalo con un abogado en México.