Las 8 noticias tecnopolíticas de México
Regulación de plataformas, ataques con IA al sistema financiero, protección de datos de menores y formación de talento marcan la agenda tecnopolítica reciente en México.
Un informe de la firma de ciberseguridad Straiker, difundido a finales de octubre de 2026, documentó cómo el grupo CyberCartel empleó modelos comerciales de inteligencia artificial para coordinar operaciones contra más de 400 objetivos financieros en América Latina. El sistema, denominado CARLIY0S, distribuía tareas entre modelos como Claude de Anthropic y Grok de xAI, entre otros, y conectaba sus respuestas con herramientas capaces de ejecutar acciones en sistemas digitales. En México, el material recuperado incluía 43 credenciales de una fintech que, según la investigación, podían facilitar operaciones indebidas vinculadas al Sistema de Pagos Electrónicos Interbancarios (SPEI).
CausaNews revisó la cobertura de El Economista y el propio reporte de Straiker. Los investigadores reconstruyeron el funcionamiento a partir de archivos del grupo y hallaron más de 270 reportes de supuestas pruebas de seguridad entre mayo y septiembre de 2026. El documento mantiene anónimas a las organizaciones afectadas y no publica un balance de pérdidas ni un desglose por país. Sin embargo, señala de forma explícita la presencia de claves relacionadas con el SPEI, el mecanismo central que permite transferencias entre instituciones financieras mexicanas.
El caso no es aislado en el panorama de riesgos. Un estudio de Sapio Research para Illumio, publicado días antes, indicó que el 68 % de las organizaciones mexicanas encuestadas reportó al menos un incidente o señal de riesgo vinculado a herramientas de IA en los 12 meses previos. Al mismo tiempo, el 64 % aceptó asumir más riesgo cibernético que un año antes para aprovechar la tecnología. Estos datos, limitados a la muestra, coinciden con la observación de que los agentes de IA ya pueden consultar bases de datos, interactuar con sistemas de producción y ejecutar acciones con menor supervisión humana.
En paralelo, el marco regulatorio avanza en otros frentes. El 14 de octubre el Diario Oficial de la Federación publicó el Decreto de entornos digitales seguros para niñas, niños y adolescentes, que obliga a las plataformas a restringir contenidos de violencia, abuso y riesgo, e implementar verificación de edad más allá de la autodeclaración. Las empresas tienen 30 días naturales para documentar avances. Días después, el Senado aprobó por unanimidad una reforma a la Ley Federal de Protección de Datos Personales que prohíbe el perfilado automatizado con fines comerciales dirigido a menores y exige consentimiento de quienes ejercen la patria potestad.
La presidenta Claudia Sheinbaum, el 26 de octubre, planteó además abrir un debate sobre la regulación de algoritmos e inteligencia artificial en procesos electorales, citando la experiencia de Brasil y señalando el papel del Instituto Nacional Electoral. Distinguió, sin embargo, entre las restricciones legales para modificar reglas electorales en el ciclo en curso y la posibilidad de establecer nuevas disposiciones sobre el funcionamiento de las plataformas.
Estos desarrollos ocurren mientras el Senado ya aprobó una reforma a la Ley de Inversión Extranjera que incorpora la inteligencia artificial, la ciberseguridad y el tratamiento de datos al catálogo de actividades sujetas a revisión por razones de seguridad nacional cuando la participación extranjera supera el 49 %. La minuta permanece en la Cámara de Diputados. Al mismo tiempo, el Gobierno de Puebla anunció más de 100 mil becas para capacitación en IA, ciberseguridad y semiconductores, en alianza con una academia vinculada a la Universidad de Purdue.
El informe de Straiker no confirma intrusiones exitosas en número exacto ni identifica instituciones mexicanas por nombre. Tampoco existe, al momento de esta columna, un comunicado oficial de Banxico o la CNBV que valide o contradiga los hallazgos específicos sobre el SPEI. Las empresas tecnológicas cuyos modelos fueron empleados han señalado, en coberturas internacionales, acciones de revocación de credenciales o investigaciones internas. Las autoridades mexicanas no han emitido una posición pública detallada sobre este caso particular.
En el corto plazo, la atención se centrará en si las plataformas documentan el cumplimiento del decreto de entornos seguros dentro del plazo establecido y en el trámite de la reforma de datos de menores en Diputados. En el mediano plazo, el escrutinio de inversiones en tecnologías críticas y la capacidad real de recuperación ante incidentes —señalada en foros de ciberresiliencia del 26 de octubre— definirán el equilibrio entre adopción de IA y protección de infraestructura crítica. El SPEI y los sistemas de pagos seguirán siendo un punto de observación prioritario.
