IA en aseguradoras: qué permite la ley y qué advirtió la CONDUSEF

En México no hay una ley de inteligencia artificial, ni para aseguradoras ni para nadie. Pero una aseguradora que usa IA ya está sujeta a reglas concretas: la nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de 2025 da a los asegurados derecho a oponerse a decisiones automatizadas sin intervención humana, y las reglas de la CONDUSEF exigen respuestas razonadas y documentadas a cada reclamación. En mayo de 2026, el presidente de la CONDUSEF habló públicamente de la «caja negra» de la IA en seguros.

Esta guía es para áreas de transformación, operación y cumplimiento. Separa los usos de IA de bajo riesgo de los de alto riesgo y propone un marco de salvaguardas.

¿Hay una ley de inteligencia artificial para aseguradoras en México?

No. Al 22 de octubre de 2026 no hay una ley de IA publicada en el Diario Oficial de la Federación. Lo que existe son iniciativas: por ejemplo, la de Ley General para la Regulación y Uso Ético de la Inteligencia Artificial en los Estados Unidos Mexicanos, que las diputadas Ana Isabel González González y Mónica Elizabeth Sandoval Hernández (PRI) presentaron ante la Comisión Permanente el 17 de junio de 2026, según la Gaceta Parlamentaria. Una iniciativa no obliga a nadie mientras no se apruebe y publique.

Tampoco localizamos una disposición de la Comisión Nacional de Seguros y Fianzas dedicada a la IA. Lo que sí aplica hoy:

¿Qué advirtió la CONDUSEF sobre la IA en seguros?

En mayo de 2026, Óscar Rosado Jiménez, presidente de la CONDUSEF, dijo a La Jornada que las quejas contra aseguradoras crecieron 8 % en el primer cuatrimestre de 2026, sobre todo por daños de automóvil y gastos médicos, después de dos años a la baja. En la misma conversación expresó preocupación por la «caja negra» de la IA en la industria aseguradora: que no se sepa cómo decide un sistema, con riesgo de discriminación algorítmica por edad, condición social o lugar de residencia. También señaló deficiencias en las bases de datos de siniestros y procesos judiciales del país, que podrían amplificar errores si las decisiones se automatizan.

Estas declaraciones vienen de la nota de La Jornada del 17 de mayo de 2026, retomada por Xataka México y El Imparcial. No encontramos un boletín oficial de la CONDUSEF que las reproduzca. No son una norma, pero sí una señal pública de lo que preocupa al presidente del regulador.

Rosado también dijo que todavía no ve cambios suficientes en cómo las aseguradoras atienden los problemas antes de que el usuario presente una queja formal. Para un área de operación, esa frase pesa más que la de la IA: el regulador quiere que el conflicto se resuelva antes de llegar a él.

¿Qué usos de IA son de bajo riesgo en una aseguradora?

Los que atienden, informan y recaban información sin decidir sobre el contrato. En todos, la persona puede pedir hablar con alguien y la conversación queda registrada:

• Atención de dudas sobre coberturas, deducibles y condiciones de la póliza, con respuestas tomadas de las condiciones generales.
• Estatus de trámites de siniestros, endosos o reembolsos, consultando el sistema central.
• Registro del aviso de siniestro con fecha, hora y folio. El aviso tiene un plazo legal de cinco días (artículo 66 de la Ley sobre el Contrato de Seguro), así que un canal disponible a toda hora ayuda al asegurado a cumplirlo.
• Recolección y revisión de documentos: pedir lo que marca la póliza, verificar que llegó legible y completo, y avisar lo que falta.
• Cobranza de recordatorio: avisar de una prima por vencer y llevar al asegurado al canal de pago.
• Soporte a agentes humanos: resumir la conversación previa o sugerir la cláusula aplicable para que la persona responda más rápido.

Explicamos cada proceso con más detalle en qué automatiza y qué no un agente de IA en una aseguradora.

¿Qué usos de IA son de alto riesgo?

Los que deciden sobre el contrato o sobre el pago, y los que usan variables que pueden discriminar:

• Decidir si un siniestro procede o fijar el monto de una indemnización.
• Rechazar una cobertura o una reclamación.
• Tarificar o suscribir con variables sensibles, como estado de salud, edad o lugar de residencia, sin revisión humana ni análisis de sesgo.

Tres reglas vigentes chocan con una decisión automatizada que nadie puede explicar:

1. Oposición al tratamiento automatizado. El artículo 26, fracción II, de la LFPDPPP permite oponerse cuando los datos son objeto de un tratamiento automatizado que produce efectos jurídicos no deseados o afecta de manera significativa los intereses de la persona, y que está destinado a evaluar sin intervención humana aspectos como su situación económica, estado de salud, fiabilidad o comportamiento. Negar un siniestro encaja en esa descripción.
2. Respuesta razonada. El artículo 68 de la Disposición en materia de Registros ante la CONDUSEF obliga a comunicar la respuesta a una reclamación «razonada y adjuntando la documentación respectiva que sustente la respuesta emitida».
3. Calificación ante el regulador. La nota metodológica del IDATU de la CONDUSEF castiga con 30 de 100 puntos de la gestión electrónica las respuestas rechazadas por ser no motivadas, no fundadas o no soportadas.

Nuestra recomendación es directa: la IA atiende, recaba, informa y traspasa; la decisión sobre un siniestro o una cobertura la toma una persona.

¿Qué exige la LFPDPPP 2025 si usas IA con datos de asegurados?

La ley vigente se publicó en el DOF el 20 de marzo de 2025. Para un canal con IA, cinco obligaciones cuentan:

• Aviso de privacidad con las finalidades del tratamiento, los datos que se tratan (identificando los sensibles) y los medios para ejercer derechos (artículos 14 y 15). Si un agente de IA recaba datos, esa finalidad debe estar en el aviso.
• Datos sensibles. El estado de salud es un dato sensible (artículo 2, fracción VI). Su tratamiento requiere consentimiento expreso y por escrito, por firma autógrafa, firma electrónica o el mecanismo de autenticación que se establezca (artículo 8). Esto pesa en gastos médicos y vida.
• Oposición al tratamiento automatizado (artículo 26, fracción II), descrita arriba.
• Plazo ARCO: la respuesta a una solicitud de acceso, rectificación, cancelación u oposición se comunica en un máximo de 20 días (artículo 31), que la propia ley define como días hábiles (artículo 2, fracción VIII). Si procede, se hace efectiva dentro de los 15 días siguientes. Ambos plazos pueden ampliarse una vez por un periodo igual si se justifica.
• Registros de conversación: las transcripciones y grabaciones de un agente de IA contienen datos personales y deben tratarse como cualquier otra base.

¿Puede una aseguradora contratar y atender por medios electrónicos?

Sí. El artículo 214 de la LISF permite pactar operaciones y servicios mediante medios electrónicos, sistemas automatizados y redes de telecomunicaciones, siempre que el contrato establezca:

• Las operaciones y servicios que se prestan por esa vía.
• Los medios de identificación del usuario y las responsabilidades de su uso.
• Cómo se hace constar la creación, modificación o extinción de derechos y obligaciones, incluidos los métodos de autenticación.
• Los mecanismos de confirmación de cada operación.

Los medios de identificación pactados sustituyen la firma autógrafa con el mismo valor probatorio, y su uso se sujeta a las disposiciones que emita la CNSF. En la práctica: si un agente de IA va a hacer algo más que informar, como registrar un endoso, ese canal debe estar previsto en el contrato.

Un marco de salvaguardas para IA en seguros

No es una norma, es una lista de control que se desprende de las reglas anteriores:

1. Catálogo de acciones permitidas. Escribe qué puede hacer el agente (informar, registrar, pedir documentos) y qué no (decidir, rechazar, prometer pagos). Lo que no está en la lista queda bloqueado.
2. Traspaso a persona. Siempre disponible, con el contexto completo de la conversación, cuando el asegurado lo pide, cuando expresa inconformidad o cuando el caso requiere criterio.
3. Trazabilidad. Cada conversación con fecha, hora, folio, canal y resultado. La bitácora de llamadas con folio consecutivo ya es obligatoria para la atención telefónica (artículo 68 de la Disposición de Registros).
4. Explicación. Cualquier respuesta que afecte al asegurado debe poder explicarse con la cláusula y los documentos que la sustentan.
5. Revisión de sesgos. Si algún modelo apoya la suscripción o la detección de fraude, revisa periódicamente sus resultados por edad, sexo y zona geográfica, y documenta lo que encuentres.
6. Aviso de privacidad actualizado con la finalidad del canal automatizado y el medio para oponerse.

Ampliamos el tema de los límites técnicos en guardrails de IA agéntica en banca y finanzas, y el de plazos de pago en cuánto tiempo tiene la aseguradora para pagar un siniestro.

Fuentes

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, DOF 20-03-2025, artículos 2, 8, 14, 15, 26 y 31
• Ley de Instituciones de Seguros y de Fianzas, artículo 214
• Ley de Protección y Defensa al Usuario de Servicios Financieros, artículo 50 Bis
• Disposición en materia de Registros ante la CONDUSEF, DOF 14-10-2022, artículo 68
• CONDUSEF, nota metodológica del IDATU 2025
• Ley sobre el Contrato de Seguro, artículo 66
• Gaceta Parlamentaria, 29 de junio de 2026: iniciativa de Ley General para la Regulación y Uso Ético de la Inteligencia Artificial
• La Jornada: crecen quejas de usuarios contra aseguradoras (17 de mayo de 2026)
• Xataka México: quejas contra aseguradoras y la «caja negra» de la IA (22 de mayo de 2026)

Este artículo es informativo y no sustituye asesoría legal o regulatoria. Las declaraciones de la CONDUSEF citadas provienen de notas de prensa; no localizamos un comunicado oficial. Última revisión: 22 de octubre de 2026.