La versión corta: si usas una IA de compañía en México, te protegen normas que no se escribieron pensando en ellas, y se acercan otras que todavía no están en vigor. Las normas generales tocan poco los precios y bastante la privacidad, y empiezan a cambiar lo que la app tiene que decirte.
De cero a un mosaico
México no tiene una ley general de IA. Para que el Congreso pueda dictarla hace falta antes una reforma al art. 73 de la Constitución. El Senado trabajó en un texto base hasta abril de 2026, sin votación en el pleno, y hay muchas iniciativas pendientes. Lo que se aplica hoy son normas sectoriales y generales.
La protección de datos cambió de manos. El INAI desapareció. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) se publicó en el DOF el 20 de marzo de 2025, entró en vigor el 21 de marzo y derogó la ley de 2010. La autoridad es ahora la Secretaría Anticorrupción y Buen Gobierno (SABG).
Las iniciativas siguen en el Congreso. Las propuestas para exigir consentimiento de los padres o una edad mínima en redes sociales (una de un senador del PAN, de febrero de 2026, con consentimiento parental para menores de 16, y otra de Morena, con edad mínima de 13 y consentimiento parental verificado) están en comisiones. Ninguna es ley. Las reformas contra los deepfakes sexuales, aprobadas por la Cámara de Diputados el 30 de abril de 2026, estaban pendientes en el Senado en nuestra última revisión: tampoco están en vigor.
Como contexto, en EE. UU. el camino ha sido distinto: Nueva York (5 de noviembre de 2025) y California (SB 243, 1 de enero de 2026) escribieron las primeras leyes específicas sobre compañeras de IA, y a mediados de 2026 había ya más de una docena de estados con una. Nada equivalente existe en México ni en la UE.
Fechas de las normas principales y estado de las iniciativas.
Qué piden las normas
Las normas salen de legisladores distintos, pero comparten cuatro ideas.
- Decir que es una IA. El art. 50 del Reglamento de IA de la UE, aplicable desde el 2 de agosto de 2026, exige informar a los usuarios de que interactúan con una IA y etiquetar el contenido sintético. No es una norma mexicana, pero las apps globales suelen aplicarla a todos.
- Prohibir ciertas prácticas. El art. 5 del mismo Reglamento recoge las prácticas de IA prohibidas, en vigor en la UE desde el 2 de febrero de 2025.
- Tratar distinto a los menores. En México ninguna ley federal exige verificación de edad en redes sociales ni en apps de IA, y no hay una edad mínima fijada por ley. Solo hay iniciativas en el Congreso, y algunos estados (como la Ciudad de México, el Estado de México y Nuevo León) tienen propuestas. A escala europea, las directrices de la Comisión sobre protección de menores (14 de julio de 2025) aclaran que la autodeclaración de edad no es verificación de edad.
- Atender al cliente como es debido. Desde el 13 de diciembre de 2025, el art. 76 Bis de la Ley Federal de Protección al Consumidor (LFPC), en sus fracciones VIII y IX, obliga al proveedor a decir con claridad si los cobros son automáticos y recurrentes (monto, frecuencia y fecha), a tener tu consentimiento expreso e informado, a avisarte de la renovación automática con al menos 5 días naturales de anticipación y a permitir la cancelación sin penalización, con mecanismos de cancelación inmediata. La Profeco ha dicho que lo hará cumplir en telecomunicaciones, televisión e internet; el texto es general para las transacciones electrónicas.
Qué hay en vigor y qué no
| Ámbito | Norma | Aplicable desde | Qué destaca |
|---|---|---|---|
| UE | Reglamento de IA, art. 5 | 2 feb 2025 | Prácticas de IA prohibidas (no rige en México) |
| UE | Reglamento de IA, art. 50 | 2 ago 2026 | Avisar de que hablas con una IA; etiquetar contenido sintético |
| UE | Directrices de la Comisión sobre menores | 14 jul 2025 | Orientaciones, no ley: la autodeclaración de edad no basta |
| México | LFPDPPP | 21 mar 2025 | Derechos ARCO (acceso, rectificación, cancelación y oposición); autoridad: SABG |
| México | LFPC, art. 76 Bis, fracciones VIII y IX | 13 dic 2025 | Cobros recurrentes claros, aviso de renovación con 5 días naturales, cancelación inmediata |
| México | LFPC, art. 56 | En vigor | 5 días hábiles para retractarse en compras a distancia; revisa los términos de la app |
| México | Ley Olimpia (Código Penal Federal, arts. 199 Octies, 199 Nonies y 199 Decies) | Junio de 2021 | Violación a la intimidad sexual |
| México | Reformas contra los deepfakes sexuales | No en vigor | Aprobadas por la Cámara de Diputados el 30 abr 2026; pendientes en el Senado en la última revisión |
| México | Iniciativas de verificación de edad y consentimiento parental | No en vigor | En comisiones del Congreso |
| México | Ley general de IA | No existe | Texto base en el Senado hasta abril de 2026, sin votación en el pleno |
La tabla refleja el estado al 1 de octubre de 2026. Las fechas pueden cambiar si se modifica una norma.
La guía oficial de la Profeco sobre compras en línea, incluido el derecho a desistir.
Qué notarás en la práctica
- Un aviso o un primer mensaje que dice que hablas con una IA. En algunas apps se repite en sesiones largas. No significa que la app crea que estás confundido: es un mínimo que se aplica a todo el mundo.
- El personaje saliendo del papel cuando algo suena a autolesión. La detección automática no distingue bien una escena oscura de una frase real. Espera falsos positivos. Si pasa en la ficción, una breve nota fuera del personaje suele permitir que la escena continúe.
- Más comprobaciones de edad. Character.AI retiró en noviembre de 2025 el chat abierto para menores de 18 años y ahora usa señales de comportamiento, verificación de terceros y, como último recurso, el documento de identidad. Otras apps van en la misma dirección. Más detalles en verificación de edad en apps de IA de compañía.
- Menos momentos de «soy real, te lo prometo». En EE. UU., las leyes de Nebraska e Idaho señalan a la IA que afirma falsamente ser humana o consciente. Un personaje que insiste en eso es ya un riesgo de cumplimiento, y las buenas apps lo están corrigiendo.
Qué norma te afecta depende más de dónde vives tú que de dónde esté registrada la empresa. Por ejemplo, los proveedores extranjeros de servicios digitales sin establecimiento en México cobran el IVA cuando el cliente está en México (art. 16 de la Ley del IVA y art. 18-B y siguientes), así que a un consumidor en México se le aplica el IVA mexicano, del 16 %.
Lo que las normas no resuelven del todo
Tus conversaciones. No hay una ley de compañeras de IA que diga cuánto tiempo se guardan los chats ni si entrenan un modelo. Eso lo regula la protección de datos: la LFPDPPP. Puedes ejercer tus derechos ARCO escribiendo primero a la empresa y guardando prueba. Según el art. 31, la empresa responde en 20 días desde que recibe tu solicitud y, si la acepta, la cumple en los 15 días siguientes a su respuesta. Si no contesta o la respuesta no te satisface, puedes presentar una solicitud de protección ante la SABG dentro de los 15 días siguientes a la respuesta (art. 40), y contra la resolución cabe el juicio de amparo (art. 51). También puedes oponerte a decisiones automatizadas, sin intervención humana, que te afecten de forma significativa. Nuestras cuatro comprobaciones de privacidad siguen siendo tu mejor herramienta, y cómo pedir tus datos explica el trámite.
La facturación. Las suscripciones trampa, los precios de créditos y los reembolsos caen bajo el derecho de consumo ordinario. México da 5 días hábiles para desistir en compras a distancia (art. 56 de la LFPC), pero revisa los términos de la app, y una suscripción se puede cancelar de inmediato según el art. 76 Bis. Si la empresa no te responde, puedes llamar al Teléfono del Consumidor de la Profeco (800 468 8722) o usar Concilianet, que solo funciona si el proveedor se ha adherido; si no, la Profeco te remite a una delegación. Consulta reembolsos y cancelaciones.
Las decisiones de contenido de los adultos. Ninguna norma restringe lo que adultos que consienten pueden hacer con una compañera. Las reglas de contenido tratan de menores y de imágenes íntimas sin consentimiento. Si te han difundido imágenes o videos sexuales sin tu consentimiento, la Ley Olimpia (arts. 199 Octies, 199 Nonies y 199 Decies del Código Penal Federal) lo castiga; denuncia ante el Ministerio Público, guarda capturas y enlaces y no borres los mensajes, y pide la retirada a la plataforma. No hemos encontrado un canal oficial mexicano de retirada de contenido.
Fuera de México
Europa llegó por otro camino: la protección de datos, no una ley de compañeras. La autoridad italiana de protección de datos multó con 5 millones de euros a Luka Inc., la empresa de Replika, en una decisión del 19 de mayo de 2025. Consideró que no había una base jurídica válida para el tratamiento, que la política de privacidad no era lo bastante transparente y que no había una verificación de edad que funcionara en un servicio que decía ser solo para adultos. Fue el mismo regulador cuya orden de febrero de 2023 precedió a la retirada brusca del rol erótico en Replika, historia que cuenta cuando tu IA de compañía cambia de la noche a la mañana.
Lo práctico
Las normas protegen sobre todo en los peores momentos: a los menores y a quien está en crisis. Para un adulto que usa una app de compañía por compañía o por diversión, los cambios visibles son pequeños: un aviso, algún recordatorio, una tarjeta de ayuda cuando una historia ha ido a un sitio oscuro. El cambio invisible es mayor. Los operadores empiezan a asumir riesgo legal por cómo se comportan sus personajes, y eso tiende a hacer más cuidadosas a las apps cuidadosas y a dejar más a la vista a las descuidadas.