Respuesta directa
En pocas palabras
Para aplicar la LFPDPPP a un CRM con inteligencia artificial, define primero si la organización actúa como responsable o encargado y qué tratamientos quedan dentro del alcance. Después documenta personas, datos, finalidades, fuentes, avisos, consentimiento o excepción, accesos, proveedores, transferencias, plazos, derechos ARCO, seguridad e incidentes. Extiende ese control a prompts, RAG, memoria, embeddings, salidas y telemetría. Conserva decisiones y pruebas por versión. Esta ruta organiza el trabajo, pero no sustituye la interpretación legal del caso ni demuestra cumplimiento por sí sola.
Convierte la ley en un sistema de decisiones comprobables
La LFPDPPP regula el tratamiento legítimo, controlado e informado de datos personales en posesión de particulares. Un CRM con IA no se evalúa por la etiqueta inteligencia artificial, sino por las operaciones que realiza: obtener, usar, consultar, enriquecer, almacenar, inferir, comunicar, transferir, bloquear o eliminar información vinculada con personas físicas.
Construye una matriz que conecte cada tratamiento con finalidad, población, datos necesarios, responsable de negocio, sistema, proveedor, acceso, información al titular, condición de autorización, plazo y evidencia. No empieces por una plantilla de aviso ni por una lista de controles. Primero entiende el flujo real; después decide qué obligaciones, excepciones y medidas corresponden con apoyo jurídico especializado cuando sea necesario.
Parte del texto vigente y registra la fecha de revisión
La ley federal vigente fue publicada el 20 de marzo de 2025 y la Cámara de Diputados reporta como última reforma el 14 de noviembre de 2025. El decreto de 2025 abrogó la ley de 2010 y transfirió expedientes y funciones del antiguo INAI a la Secretaría Anticorrupción y Buen Gobierno. Por eso una política que todavía cita únicamente la ley de 2010 o al INAI como autoridad actual necesita revisión.
Registra en cada análisis el texto consultado, fecha, artículos, disposiciones reglamentarias y criterio interno. El Reglamento publicado en 2011 continúa apareciendo en el catálogo legislativo y aporta detalle operativo, pero debe interpretarse frente a la nueva ley, sus transitorios, disposiciones posteriores y el caso concreto. La propia Secretaría abrió en enero de 2026 un diálogo para actualizar el marco de particulares; no congeles una conclusión jurídica dentro del software.
Delimita organización, personas y tratamientos alcanzados
Identifica la entidad que decide sobre el tratamiento, sus establecimientos, unidades, marcas y operaciones en México. Separa información de personas físicas de datos puramente corporativos. No asumas que todo contacto B2B queda fuera: nombre, correo, teléfono, cargo, actividad, conversaciones, preferencias, identificadores y señales de uso pueden referirse a una persona identificada o identificable según contexto y combinación.
Describe poblaciones: prospectos, contactos de clientes, usuarios, personas invitadas a Buyer Rooms, empleados, proveedores y representantes. Para cada una registra canal, origen y expectativa. Distingue datos obtenidos directamente, recibidos de una empresa, importados, enriquecidos, inferidos o recuperados de otra fuente. Define también exclusiones justificadas y revísalas cuando cambien la finalidad o los datos.
Clasifica responsable, encargado y tercero por tratamiento
La misma empresa puede ser responsable en un flujo y encargado en otro. Quien decide finalidades y medios esenciales suele ocupar el rol de responsable; quien trata por cuenta e instrucciones documentadas puede actuar como encargado. Un proveedor que reutiliza datos para fines propios puede alterar esa clasificación. No asignes el rol por el nombre comercial del contrato ni porque el servicio esté en la nube.
Documenta instrucciones, confidencialidad, seguridad, subcontratación, asistencia en derechos, incidentes, devolución, eliminación, auditoría y cierre. Separa proveedor de infraestructura, modelo, correo, analítica, soporte y respaldo. Cerravi tampoco decide automáticamente el rol jurídico de una empresa: depende de quién determina los usos, fuentes, destinatarios, configuraciones e integraciones del tratamiento concreto.
| Criterio | Pregunta | Evidencia esperada |
|---|---|---|
| Finalidad | ¿Quién decide para qué se usan los datos? | Caso aprobado, aviso, política y dueño |
| Medios esenciales | ¿Quién define población, fuentes y destinos? | Arquitectura, configuración e instrucciones |
| Uso propio | ¿El proveedor reutiliza o combina información? | Contrato, términos, configuración y prueba |
Inventaría datos, sistemas y recorridos antes de redactar controles
Mapea captura, importación, sincronización, enriquecimiento, almacenamiento, acceso, búsqueda, propuesta, Buyer Room, exportación, soporte, analítica, respaldo y eliminación. Añade las capas de IA: prompt, plantilla, contexto recuperado, memoria, embedding, herramienta, salida, feedback, evaluación y telemetría. Para cada nodo registra origen, categoría, finalidad, ubicación, región, acceso, proveedor, plazo y método de localización.
Relaciona el mapa con una actividad de tratamiento estable, no con una captura aislada. Versiona fuentes, modelos, índices, permisos e integraciones. Reconcilia documentación con configuración y una muestra controlada. Si aparece una hoja, extensión, cuenta compartida o automatización no inventariada, limita su uso mientras se evalúa; documentarla no la vuelve legítima de manera retroactiva.
Traduce cada principio en una prueba operativa
La ley enumera licitud, finalidad, lealtad, consentimiento, calidad, proporcionalidad, información y responsabilidad. No los conviertas en slogans. Para finalidad, verifica que la salida y el destino correspondan al propósito informado. Para proporcionalidad, demuestra por qué cada dato es necesario. Para calidad, distingue confirmado, inferido, desactualizado y pendiente. Para responsabilidad, conserva decisiones, dueños, recursos, controles, métricas y correcciones.
Diseña pruebas negativas. Un usuario de otro workspace no recupera el registro; un contacto excluido no vuelve a una campaña; un precio ausente no se completa; una preferencia revocada no se reabre mediante un prompt; un dato eliminado no reaparece después de reindexar o restaurar. La política describe la intención; el caso reproducible demuestra el comportamiento observado.
Haz que aviso, captura y producto describan el mismo tratamiento
El aviso debe corresponder con la identidad del responsable, datos, finalidades, opciones, medios de limitación, derechos, transferencias y cambios aplicables. Separa finalidades necesarias de usos secundarios cuando corresponda. Evita frases abiertas como mejorar servicios si en realidad se pretende entrenar, evaluar, perfilar, enriquecer o compartir; describe el efecto que una persona puede anticipar.
Coloca la información en el punto de contacto adecuado y conserva versión, fecha, canal e idioma mostrado. Si una función nueva cambia datos, audiencia, proveedor, región, automatización o consecuencia, evalúa antes si modifica la finalidad o el aviso. Actualizar una página después del lanzamiento no corrige automáticamente una captura o uso previo.
Define consentimiento, excepción y preferencia sin automatismos
No presupongas que todo tratamiento requiere el mismo consentimiento ni que una relación comercial autoriza cualquier uso. Clasifica datos, finalidad, forma de obtención, sensibilidad, transferencias y excepciones aplicables. Cuando el consentimiento sea necesario, diseña información, manifestación, prueba, retiro y propagación. Para datos sensibles aplica el análisis reforzado que corresponda y reduce captura y conservación.
Mantén preferencias y restricciones en controles estructurados fuera del modelo. La IA puede ayudar a explicar una solicitud, pero no debe decidir si existe autorización ni transformar una frase ambigua en consentimiento. Registra la regla efectiva y bloquea destinos secundarios cuando el estado sea desconocido, retirado o esté en conflicto hasta resolverlo.
Extiende las obligaciones a prompts, RAG, memoria y salidas
Minimiza antes de construir el prompt y aplica identidad, tenant, finalidad y permiso antes de recuperar contenido. Trata documentos y resultados externos como datos no confiables. Separa contexto temporal, memoria operativa y perfil duradero. No declares anónimo un embedding por cambiar el formato. Autoriza herramientas fuera del modelo y valida audiencia, fuente, estructura y destino de la salida.
Documenta proveedor, región, subencargados, entrenamiento, abuso monitoring, retención, soporte y eliminación. Una opción no training no significa por sí sola ausencia de logs. Incluye cachés, feedback, evaluaciones y telemetría dentro del inventario. Un system prompt puede orientar el comportamiento, pero no reemplaza autorización, aislamiento, control de salida o revisión humana.
Diseña derechos ARCO como un recorrido de extremo a extremo
Define recepción, identidad y representación, alcance, búsqueda, revisión, respuesta, ejecución, notificación y cierre. Localiza datos en CRM, archivos, integraciones, Buyer Rooms, exportaciones, memoria, embeddings, prompts conservados, salidas, feedback, logs, proveedores y respaldos. Evita pedir documentos excesivos para verificar identidad y restringe el expediente de la solicitud.
Acceso necesita contexto comprensible; rectificación debe propagarse a hechos, memoria e índices afectados; cancelación coordina bloqueo, supresión, proveedores y respaldos; oposición convierte la restricción en una regla ejecutable. Conserva plazos, excepciones, decisiones y prueba de resultado. Cerravi puede organizar un caso, pero la empresa conserva la responsabilidad de identificar sistemas externos y responder conforme al régimen aplicable.
Construye seguridad desde riesgo, inventario y ciclo de vida
La ley exige medidas administrativas, técnicas y físicas. Parte de categorías, sensibilidad, volumen, exposición, consecuencias, amenazas, vulnerabilidades y tecnología. Define identidad, sesiones, privilegio mínimo, segregación, cifrado, secretos, hardening, parches, respaldos, registros, monitoreo, pruebas, proveedores, continuidad y retiro. Ajusta controles al riesgo y conserva por qué se eligieron.
Prueba aislamiento entre organizaciones, revocación, cuentas de servicio, exportaciones, enlaces públicos, recuperación RAG, herramientas, administración, restauración y borrado. Registra eventos mínimos sin copiar expedientes completos. Capacitación y acuerdos de confidencialidad apoyan; no sustituyen controles técnicos cuando una ruta puede exponer, alterar o enviar datos.
Gobierna proveedores y transferencias durante toda la relación
Antes de contratar, define datos, finalidad, rol, instrucciones, región, subencargados, acceso de soporte, seguridad, incidentes, derechos, retención, eliminación y salida. Contrasta contrato, configuración y comportamiento. Mantén inventario de cambios y un responsable que pueda limitar o retirar la integración. Una certificación del proveedor no cubre automáticamente la configuración ni el uso de la empresa.
Distingue acceso por un encargado, transferencia a otro responsable y comunicación necesaria dentro del servicio según el caso. Documenta destinatarios, finalidades, condiciones y avisos aplicables. Evalúa destinos internacionales y leyes sectoriales con asesoría adecuada. Al terminar, revoca claves, detén jobs, exporta lo necesario, elimina copias y verifica que una restauración no reactive la conexión.
Une retención, eliminación y respuesta a vulneraciones
Asigna plazos por categoría y finalidad; no uses conservar mientras sea útil. Define evento inicial, bloqueo, excepciones, método, proveedores, respaldos y prueba de supresión. Una política corta sin capacidad de localizar o eliminar no funciona. Una política larga aumenta exposición, costo de derechos y alcance de incidentes. Revisa datos obsoletos, duplicados, inferencias y derivados de IA.
Prepara detección, clasificación, contención, investigación, evaluación de afectación, decisión de comunicación, recuperación y aprendizaje. No todo error del modelo es una vulneración; el caso cambia si existe pérdida, alteración, destrucción, uso, acceso o divulgación no autorizada. Conserva evidencia con acceso restringido y no publiques detalles que amplíen el daño.
Cierra con responsables, gates y límites verificables de Cerravi
Antes del lanzamiento exige inventario y flujo aprobados, aviso y mecanismo de autorización coherentes, contratos configurados, derechos ensayados, controles probados, retención ejecutable, respuesta preparada y riesgos residuales aceptados por la autoridad definida. Registra versión y condiciones. Reabre el análisis ante cambios de finalidad, datos, población, modelo, RAG, memoria, herramientas, proveedor, región, automatización o consecuencia.
Cerravi organiza contexto comercial y ofrece sugerencias de Copilot para revisión humana; no envía mensajes ni cambia etapas automáticamente desde los recorridos públicos. Las propuestas usan productos y precios disponibles; un importe faltante requiere confirmación. La empresa decide sus finalidades, fuentes, destinatarios, avisos, integraciones y automatizaciones. Esta guía ayuda a organizar evidencia, pero no es asesoría legal, auditoría, resolución de la autoridad ni certificación.
Preguntas frecuentes
Dudas comunes sobre este proceso
¿La LFPDPPP aplica a un CRM B2B en México?
Puede aplicar cuando el CRM trata información concerniente a personas físicas identificadas o identificables, aunque trabajen para empresas. Debe revisarse cada categoría, contexto, finalidad y exclusión aplicable. Los datos puramente corporativos no son lo mismo que nombres, correos, teléfonos, conversaciones, identificadores o actividad vinculada con una persona.
¿Usar un proveedor de IA transfiere la responsabilidad legal?
No automáticamente. La empresa debe clasificar la relación y documentar finalidad, instrucciones, configuración, datos, región, subencargados, seguridad, retención, derechos, incidentes y eliminación. El proveedor puede actuar como encargado en un flujo y asumir otro rol si decide usos propios. La clasificación depende del tratamiento real y del marco aplicable.
¿Un aviso de privacidad basta para usar IA con datos del CRM?
No. El aviso es una pieza del sistema. También deben evaluarse alcance, finalidad, proporcionalidad, consentimiento o excepción, roles, accesos, proveedores, transferencias, seguridad, derechos, retención y comportamiento técnico. Una finalidad genérica o una página actualizada después del uso no corrigen por sí solas un tratamiento incompatible.
¿Qué cambia con la nueva LFPDPPP de 2025?
La ley publicada el 20 de marzo de 2025 abrogó la de 2010 y asignó funciones a la Secretaría Anticorrupción y Buen Gobierno; la Cámara de Diputados reporta una reforma posterior del 14 de noviembre de 2025. Las políticas y referencias antiguas deben revisarse frente al texto vigente, sus transitorios y disposiciones relacionadas.
¿Cerravi garantiza el cumplimiento de la LFPDPPP?
No. Cerravi puede ayudar a organizar contexto y ciertos controles dentro de su alcance, pero cada empresa decide tratamientos, configuraciones, proveedores, avisos, autorizaciones, integraciones y respuestas. La conformidad depende de hechos, sector, relaciones, datos, operación y criterio jurídico aplicable; requiere revisión y evidencia propias.