Claude y la LFPDPPP: lo que debe saber tu empresa en Mexico

Si tu empresa ya usa o esta por conectar Claude a procesos que tocan datos de clientes, empleados o proveedores, la pregunta de privacidad de datos no es opcional. Y en Mexico esa pregunta cambio de respuesta hace poco.

Lo que cambio en 2025

El 20 de marzo de 2025 entro en vigor una nueva Ley Federal de Proteccion de Datos Personales en Posesion de los Particulares (LFPDPPP), que sustituyo por completo a la ley de 2010. El cambio mas visible para cualquier empresa: el INAI (Instituto Nacional de Transparencia, Acceso a la Informacion y Proteccion de Datos Personales) dejo de existir como autoridad, como parte de una reforma constitucional de diciembre de 2024 que elimino varios organismos autonomos. Las funciones de vigilancia y sancion sobre datos personales en manos de empresas pasaron a la Secretaria Anticorrupcion y Buen Gobierno.

Si el aviso de privacidad de tu empresa todavia menciona al INAI como autoridad para quejas, esta desactualizado. No es un detalle cosmetico - es el primer punto que cualquier revision de cumplimiento deberia corregir.

Lo que sigue igual

La LFPDPPP sigue exigiendo un aviso de privacidad para cualquier empresa que trate datos personales en Mexico, y las personas conservan sus derechos de acceso, rectificacion, cancelacion y oposicion (ARCO) sobre sus datos. La regla general sigue siendo el consentimiento tacito para el tratamiento ordinario de datos, salvo que la ley exija consentimiento expreso - por ejemplo, para datos personales sensibles.

Donde entra Claude en todo esto

Nada de esto es exclusivo de la inteligencia artificial - aplica a cualquier sistema que toque datos personales. Pero cuando una empresa conecta Claude a procesos reales (atencion a clientes, contratos, recursos humanos), vale la pena preguntarse exactamente que datos va a ver el modelo, con que proposito, y si tu aviso de privacidad ya cubre ese uso.

Un punto que suele generar dudas: segun los terminos comerciales publicados por Anthropic, Anthropic no entrena sus modelos con el contenido de los clientes (entradas ni salidas) cuando se usan productos comerciales como la API, Claude Team o Claude Enterprise. Eso no reemplaza tu obligacion de avisar a las personas ni de tener una base legal para tratar sus datos - es un punto distinto, sobre como Anthropic usa esa informacion dentro de su propio servicio.

Que revisar antes de conectar datos personales a Claude

• Mapea que datos va a tocar Claude (clientes, empleados, proveedores) antes de conectar cualquier proceso.
• Actualiza tu aviso de privacidad si todavia menciona al INAI o no refleja la autoridad actual.
• Separa los datos personales sensibles de los procesos donde no sean necesarios para el caso de uso.
• Define, dentro de tu empresa, quien es responsable de esas decisiones - no lo dejes como un tema puramente tecnico.

Esto no es asesoria legal

Esta pagina explica el panorama general, no sustituye una revision legal de tu caso especifico. La recomendacion practica es revisar tu aviso de privacidad y tus procesos de datos con tu equipo legal antes de escalar el uso de Claude con datos personales.

Donde entra un partner certificado

Como partner Certified en el Claude Partner Network, ayudamos a mapear que datos tocaria Claude dentro de un proceso especifico y a definir el caso de uso con ese contexto desde el inicio. El trabajo legal - tu aviso de privacidad y tus bases de tratamiento - sigue siendo responsabilidad de tu equipo legal.