La IA frente al deber de diligencia del consejo de administración
Análisis jurídico sobre la responsabilidad del consejo de administración frente al uso empresarial de inteligencia artificial, examinando diligencia societaria, protección de datos, riesgos regulatorios, supervisión algorítmica y prevención corporativa.
La incorporación de inteligencia artificial (IA) a los procesos empresariales ha dejado de constituir una decisión exclusivamente tecnológica para convertirse en una cuestión de administración y responsabilidad societaria. Herramientas capaces de evaluar solicitudes de crédito, seleccionar candidatos, analizar contratos y recomendar decisiones financieras participan actualmente en actividades cuyos resultados pueden afectar derechos individuales, relaciones comerciales y obligaciones legales de las organizaciones.
El problema surge cuando estas tecnologías se adoptan de manera fragmentada, sin autorización institucional ni procedimientos de evaluación. Una herramienta adquirida por el departamento comercial puede terminar procesando información confidencial, mientras que un sistema de recursos humanos podría generar decisiones discriminatorias. Aunque las contrataciones se realizaron en áreas operativas, sus consecuencias pueden comprometer patrimonialmente a toda la sociedad.
La cuestión fundamental es determinar hasta dónde alcanza el deber de supervisión del consejo de administración y bajo qué circunstancias la falta de vigilancia tecnológica puede traducirse en responsabilidad jurídica de sus integrantes.
La obligación de administrar también comprende conocer los riesgos
La Ley General de Sociedades Mercantiles (LGSM), en sus artículos 142 y 157, establece el marco de administración de las sociedades anónimas y la responsabilidad inherente al mandato de sus administradores, así como la derivada de las obligaciones legales y estatutarias.
Particular relevancia adquiere el artículo 158, fracción III, que contempla la responsabilidad solidaria de los administradores frente a la sociedad respecto de la existencia y mantenimiento de los sistemas de contabilidad, control, registro, archivo e información previstos legalmente. Esta disposición permite examinar la relación entre las tecnologías empresariales y las obligaciones de organización y control interno.
Sin embargo, debe evitarse una interpretación excesiva: la LGSM no establece expresamente una obligación general de aprobar individualmente cada herramienta de IA. La responsabilidad de los administradores requiere identificar un deber jurídico concreto, una conducta atribuible y los presupuestos necesarios para su exigibilidad. No toda falla algorítmica constituye automáticamente negligencia del consejo.
La relevancia de la IA aparece cuando su utilización compromete obligaciones de administración, confidencialidad, información o vigilancia que efectivamente corresponden a los órganos societarios. En tales circunstancias, la ausencia de mecanismos razonables de supervisión puede adquirir trascendencia jurídica, particularmente si contribuye a producir daños que pudieron prevenirse.
De la administración tradicional a la diligencia tecnológica
El Código de Principios y Mejores Prácticas de Gobierno Corporativo del Consejo Coordinador Empresarial (CCE), edición 2025, proporciona una referencia importante para comprender la evolución de las funciones del consejo. Sus recomendaciones destacan la administración integral de riesgos, los mecanismos de supervisión y la utilización responsable de tecnologías dentro de las organizaciones.
Este instrumento no constituye una ley de observancia general ni crea automáticamente obligaciones sancionables para todas las sociedades. Su valor radica en ofrecer parámetros de buena administración que pueden incorporarse voluntariamente a políticas internas, estatutos y procedimientos de gobierno corporativo.
Desde esta perspectiva, la diligencia tecnológica exige que el consejo conozca los riesgos significativos asociados con los sistemas empleados, establezca mecanismos de información y supervise las decisiones estratégicas. No implica transformar a sus integrantes en especialistas informáticos, sino asegurar que la empresa disponga de competencias técnicas suficientes para identificar y controlar sus exposiciones relevantes.
Los datos personales como primera frontera de responsabilidad
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada el 20 de marzo de 2025, regula el tratamiento legítimo, controlado e informado de información personal. Sus disposiciones resultan aplicables cuando las herramientas de IA procesan información identificable de trabajadores, clientes, proveedores o usuarios.
La incorporación de datos personales en sistemas automatizados obliga a examinar las finalidades del tratamiento, el consentimiento cuando resulte exigible, la proporcionalidad de la información utilizada y las medidas de seguridad. También debe determinarse si el proveedor tecnológico actúa como encargado del tratamiento o recibe información mediante una transferencia sujeta a requisitos específicos.
Una cuestión particularmente delicada aparece cuando los sistemas intervienen en decisiones que afectan significativamente a las personas. La empresa debe contar con mecanismos para atender los derechos legalmente reconocidos y verificar la exactitud de la información utilizada, sin presumir que existe en México una obligación universal de explicar técnicamente todos los algoritmos.
El deber de supervisión consiste en impedir que la complejidad tecnológica se convierta en una justificación para desconocer las obligaciones legales de tratamiento de información personal.
Los secretos industriales y el riesgo de divulgación inadvertida
El uso de sistemas generativos también plantea riesgos relativos a la protección del patrimonio intangible. Los colaboradores pueden introducir contratos, estrategias comerciales, fórmulas, información financiera y otros conocimientos reservados en plataformas cuyos términos de utilización no han sido examinados jurídicamente.
El artículo 163 de la Ley Federal de Protección a la Propiedad Industrial (LFPPI) exige, para la configuración de un secreto industrial, que la información represente una ventaja competitiva o económica y se encuentre protegida mediante medidas suficientes de confidencialidad y acceso restringido.
Por consiguiente, permitir la divulgación indiscriminada de información estratégica puede comprometer las condiciones necesarias para conservar su protección jurídica. La consecuencia no es automática, pues depende de las características de la información, las condiciones contractuales y las medidas de seguridad existentes.
La administración debe establecer restricciones de acceso, clasificaciones documentales y condiciones de utilización de plataformas externas, particularmente cuando el proveedor pueda conservar información o emplearla para entrenar sus modelos.
Discriminación algorítmica: cuando la automatización reproduce desigualdades
La utilización de IA para seleccionar trabajadores, evaluar productividad o segmentar consumidores también puede generar consecuencias discriminatorias. Los sistemas alimentados con información histórica pueden reproducir patrones de exclusión relacionados con características personales protegidas por el ordenamiento jurídico.
El artículo 3 de la Ley Federal del Trabajo (LFT) reconoce la prohibición de establecer condiciones discriminatorias en las relaciones laborales. Por ello, una decisión automatizada de contratación no queda excluida de control jurídico únicamente porque provenga de un procedimiento informático.
Resulta indispensable distinguir entre la utilización de herramientas para apoyar decisiones y la delegación absoluta de estas. La intervención humana debe ser real y suficientemente informada, especialmente cuando los resultados afectan oportunidades de empleo, derechos contractuales o intereses patrimoniales relevantes.
La empresa debe poder reconstruir las razones que justificaron una decisión, identificar los datos utilizados y detectar resultados sistemáticamente injustificados. La opacidad tecnológica no constituye, por sí misma, una eximente de responsabilidad.
El alcance internacional de la regulación europea
Aunque México no cuenta con una ley general integral de inteligencia artificial aprobada, la discusión legislativa continúa desarrollándose mediante distintas iniciativas. Esto no significa ausencia de regulación sobre las actividades empresariales en las que intervienen sistemas automatizados.
En el ámbito internacional, el Reglamento (UE) 2024/1689, conocido como Ley de Inteligencia Artificial de la Unión Europea (AI Act), es la primera norma jurídica integral del mundo sobre inteligencia artificial, establece un modelo regulatorio basado en riesgos, con obligaciones diferenciadas para proveedores y responsables del despliegue de sistemas.
Su alcance extraterritorial puede comprender determinados sistemas desarrollados o utilizados por empresas establecidas fuera de la Unión Europea cuando se actualicen los supuestos previstos en su artículo 2. Sin embargo, no toda empresa mexicana con clientes europeos queda automáticamente sometida a todas sus obligaciones.
Además, deben examinarse las fechas de aplicación escalonada del reglamento y sus modificaciones. La versión consolidada de julio de 2026 contempla plazos diferenciados para determinadas obligaciones sobre sistemas de alto riesgo, por lo que no sería correcto afirmar que todas resultan exigibles desde agosto de 2026.
La supervisión debe comenzar antes de contratar la tecnología
Un modelo razonable de gobierno corporativo requiere conocer qué sistemas utiliza la organización, sus finalidades, las categorías de información procesadas y las áreas responsables de su operación.
El consejo puede exigir a la dirección un inventario institucional de herramientas, acompañado de una clasificación de riesgos que permita diferenciar aplicaciones administrativas de aquellas que intervienen en decisiones laborales, financieras o contractuales sensibles.
La evaluación previa debería examinar riesgos de privacidad, exactitud, discriminación, ciberseguridad, continuidad operativa y dependencia tecnológica. Su intensidad debe guardar proporción con los posibles daños, evitando imponer controles idénticos a sistemas de consecuencias sustancialmente distintas.
También resulta indispensable revisar los contratos con proveedores, particularmente las cláusulas relativas a confidencialidad, propiedad intelectual, conservación de información, subcontratación, incidentes de seguridad y mecanismos de terminación del servicio.
El acta del consejo como evidencia de una supervisión efectiva
Una política institucional de IA adquiere mayor eficacia cuando el consejo aprueba lineamientos y establece responsabilidades de ejecución, seguimiento y revisión.
Las actas de sus sesiones deben reflejar, cuando corresponda, la información presentada, los riesgos discutidos, las decisiones adoptadas y las instrucciones dirigidas a la administración. Esta documentación puede resultar relevante para demostrar que existió una deliberación razonable sobre riesgos conocidos o previsibles.
Sin embargo, la existencia de actas no constituye una exoneración automática de responsabilidad. Su utilidad depende de que las decisiones se encuentren respaldadas por información suficiente y de que los mecanismos de control efectivamente funcionen.
La supervisión tampoco debe limitarse a una revisión anual cuando los riesgos exijan seguimiento continuo. La periodicidad debe responder a la criticidad de los sistemas y a las condiciones particulares de la organización.
Reflexión final: la responsabilidad permanece donde reside la decisión empresarial
La inteligencia artificial modifica los mecanismos mediante los cuales las organizaciones procesan información y adoptan decisiones, pero no elimina las obligaciones jurídicas que corresponden a sus administradores.
La responsabilidad del consejo no consiste en garantizar resultados tecnológicos infalibles, sino en ejercer sus atribuciones conforme a los deberes legales, estatutarios y de vigilancia aplicables, estableciendo controles razonables frente a riesgos relevantes.
Una empresa que utiliza inteligencia artificial sin conocer sus aplicaciones, sus límites y sus consecuencias jurídicas no ha trasladado verdaderamente la responsabilidad a la tecnología: ha incorporado una fuente de riesgo cuya supervisión continúa correspondiendo a sus órganos de administración.
Sobre el autor
Mtro. Arturo Accio Paredes Santana
Licenciado en contaduría por la Universidad de Guadalajara, Doctorado en Derecho por la Universidad de Guadalajara
Compartir este análisis
Texto listo con título, sinopsis y liga. LinkedIn no muestra la sinopsis por sí solo: pégala en el post.
Sigue leyendo
