Guía regulatoriaMéxico · Agentes de IA en banca
México todavía no tiene una ley específica de inteligencia artificial para bancos. La CNBV anunció en 2026 que buscará una regulación más moderna para incorporar estas tecnologías, pero hoy un agente de IA en un banco se evalúa con tres marcos que ya están vigentes: las reglas de la CNBV sobre servicios con terceros y tecnología, las disposiciones de la CONDUSEF sobre cobranza y la Ley Federal de Protección de Datos Personales de 2025.
Esta guía resume qué exige cada uno y qué evidencia conviene tener lista antes de llevar un agente a producción.
Actualizado en octubre de 2026. Esta guía es informativa y no sustituye la revisión del área legal y de cumplimiento de cada institución.
Cuando el agente lo provee una empresa externa o corre en la nube, aplica el régimen de contratación de servicios con terceros de la Circular Única de Bancos (CUB). Según el tipo de servicio, el banco debe obtener autorización o dar aviso a la CNBV, y en todos los casos sigue siendo responsable de lo que el tercero hace en su nombre.
Descripción de los procesos que operará el proveedor, diagrama de la plataforma tecnológica, evaluación de riesgos, proyecto de contrato y niveles de servicio, y la incorporación del servicio al plan de continuidad del negocio.
El contrato debe permitir visitas y auditorías del banco y de la CNBV al proveedor, y esas obligaciones se trasladan a cualquier tercero que el proveedor subcontrate. Un agente que no puede mostrar sus registros a un auditor no pasa esta revisión.
Plan de terminación del contrato, mecanismo de transición y portabilidad de los datos y de la configuración. Es la pregunta que más se olvida y la primera que hace Riesgos.
Si el agente identifica clientes con biometría, considere también la reforma a la CUB publicada el 1 de julio de 2026, que incorpora el reconocimiento facial como método de verificación y otorgó a los bancos 90 días hábiles para adecuarse.
Las Disposiciones de carácter general aplicables a las entidades financieras en materia de despachos de cobranza fijan conductas obligatorias y prohibidas. En enero de 2026 la Suprema Corte confirmó la validez de las reglas que permiten a la CONDUSEF sancionar a las entidades por incumplir sus obligaciones de reporte sobre despachos. Para un agente de IA, cada regla se traduce en un guardrail.
| Regla | Cómo se implementa en el agente |
|---|---|
| Contactar solo de 7:00 a 22:00, en el huso horario del deudor | Ventanas de llamada y de mensajes calculadas por zona horaria del cliente, no del servidor |
| Identificarse plenamente | El agente dice a nombre de qué institución llama y que es un asistente automatizado |
| Trato respetuoso; sin amenazas de embargo o cárcel | Guardrails que bloquean esas frases antes de que el agente las diga, además de las instrucciones de tono |
| No cobrar a terceros, menores de edad ni adultos mayores que no sean el deudor | Verificación de identidad antes de mencionar la deuda; si no es el titular, no se revela información |
| No simular documentos judiciales ni usar nombres parecidos a instituciones públicas | Plantillas de mensajes aprobadas por Cumplimiento y bloqueo de lenguaje jurídico no autorizado |
| No recibir el pago directamente | El agente envía referencias o links de pago a cuentas de la institución |
| No usar números ocultos o privados | Números identificables y registrados para las llamadas salientes |
Si la cobranza la opera un tercero en nombre de la entidad, ese tercero entra en el régimen de despachos de cobranza: la entidad debe supervisarlo, registrarlo en el REDECO y reportar trimestralmente las quejas. Conviene definirlo con el área legal antes de firmar.
La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares entró en vigor el 21 de marzo de 2025 y sustituyó a la de 2010. Mantiene los principios, pero cambia la autoridad (ahora la Secretaría Anticorrupción y Buen Gobierno) y exige mayor precisión en avisos de privacidad, políticas internas y contratos con quienes tratan datos por cuenta del responsable. Hay además iniciativas en el Congreso para regular de forma específica las decisiones tomadas por sistemas automatizados.
Aviso de privacidad que mencione el uso de asistentes automatizados; minimización de los datos que el agente ve; enmascaramiento de datos sensibles en transcripciones y registros; y conocer en qué país se procesan los datos y si pasan por modelos de terceros.
Cláusulas de encargado de tratamiento con el proveedor, prohibición de usar los datos del banco para entrenar modelos, plazos de conservación y borrado, y procedimiento para atender solicitudes de los titulares.
Para la revisión con Riesgos y Seguridad, use el checklist de due diligence para agentes de IA.
Coru construye agentes de IA para instituciones reguladas con esta evidencia desde el diseño.Configuración versionada, guardrails definidos por la institución, registro de cada conversación y documentación para Riesgos y Cumplimiento.
Ver seguridad y guardrailsNo hay una ley específica de IA para el sector financiero. Un agente de IA en un banco se rige por la Circular Única de Bancos de la CNBV (servicios con terceros, tecnología e identificación), las disposiciones de la CONDUSEF cuando hay cobranza y la Ley Federal de Protección de Datos Personales de 2025. La CNBV ha dicho que buscará una regulación más moderna para estas tecnologías.
Que el banco trate al proveedor como un servicio con terceros: autorización o aviso según el caso, contrato con acceso de auditoría para el banco y la CNBV, evaluación de riesgos, plan de continuidad y plan de salida. El banco sigue siendo responsable del servicio.
De 7:00 a 22:00 horas, según el huso horario en que se encuentre el deudor, igual que un gestor humano bajo las disposiciones de la CONDUSEF.
Si cobra en nombre de la entidad financiera, entra en el régimen de despachos de cobranza de la CONDUSEF: la entidad debe supervisarlo, registrarlo en el REDECO y reportar las quejas. Conviene definirlo con el área legal antes de contratar.
Con la ley que entró en vigor el 21 de marzo de 2025, la autoridad es la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones que tenía el INAI para el sector privado.
Revise su caso con nuestro equipo.Qué proceso automatizar primero, qué pedirá su área de Riesgos y cómo documentarlo.
Agendar una demo