México tem 200 iniciativas de IA sem lei federal

Linha do tempo da operação

Cadeia de ataque e TTPs

O material não descreve uma campanha de intrusão, uma operação maliciosa específica nem um incidente técnico isolado. Não há IOC publicados, hashes, domínios, endereços IP, malware atribuído ou vetores de exploração concretos. Por isso, uma reconstrução clássica de cadeia de ataque não seria honesta. O que o research permite é outra leitura, a de uma cadeia de exposição regulatória e operacional que deixa empresas, estados e cidadãos com coberturas irregulares diante dos riscos de IA e cibersegurança.

Essa cadeia começa com a ausência de um marco geral. No México, a falta de uma Lei Geral de Inteligência Artificial faz com que cada estado produza sua própria resposta, muitas vezes em forma de iniciativa penal ou de definições incompletas. No plano federal, a ausência de uma lei geral de cibersegurança corporativa faz com que as obrigações se concentrem no Estado e se espalhem para contratados, fornecedores e setores regulados por outras normas. O resultado é uma superfície de conformidade difícil de mapear, com critérios distintos entre jurisdições e zonas cinzentas na cadeia de valor.

Nesse contexto, as TTPs relevantes não são de malware, e sim de política pública e compliance. A técnica de risco mais visível é a fragmentação normativa. Yucatán criminaliza usos de IA que gerem ou manipulem conteúdos falsos, enquanto San Luis Potosí avança para desfazer sanções. O levantamento estadual mostra que apenas dois estados definiram explicitamente o que entendem por IA. Isso significa que o mesmo sistema pode receber tratamento jurídico muito distinto conforme a praça. Para uma empresa que opere em vários estados, o problema não é só jurídico. Também é operacional, porque políticas internas de uso de IA, retenção de evidências, rastreabilidade e resposta a incidentes podem ficar sujeitas a regras locais não harmonizadas.

A segunda camada de exposição é a opacidade sobre sistemas próprios e de terceiros. El Economista indica que, sem uma lei geral, as empresas operam sob obrigações setoriais com pouco controle sobre os sistemas de IA que utilizam. Esse ponto aponta para uma fraqueza concreta. Muitas organizações consomem ferramentas de terceiros, modelos embutidos em serviços em nuvem ou automações integradas a softwares corporativos sem um inventário robusto de modelos, dados, finalidades e riscos. Sem um padrão geral, a identificação de controles mínimos fica espalhada entre privacidade, trabalho, direitos autorais, consumo e contratos com fornecedores.

A terceira camada é a assimetria entre inovação e supervisão. ITSitio e Expansión apontam uma arquitetura federal que propõe um Conselho Nacional de IA, uma plataforma de auditoria algorítmica e um sistema de semáforos de risco. Isso sugere uma tentativa de sair de um modelo puramente reativo e migrar para um esquema baseado em classificação e fiscalização técnica. Mas o material ainda não mostra a tradução jurídica dessa proposta. Também não mostra uma autoridade operacional consolidada, nem procedimentos de auditoria, nem regras publicadas para interoperar com estados, empresas e setores.

Matriz de TTPs normativas

Impacto regional

Panorama regional

A comparação regional mostra que o problema mexicano não é a falta absoluta de atividade, mas a ausência de fechamento normativo. O Peru já aprovou uma lei específica de inteligência artificial e um regulamento em vigor desde janeiro de 2026, com obrigações concretas para sistemas de alto risco e proibições explícitas sobre vigilância massiva sem base legal, previsão de crimes individuais e sistemas letais autônomos. O Chile tramita um projeto de lei baseado em risco e o complementa com a Lei 21.719 de proteção de dados pessoais, que regula perfilamento automatizado e decisões algorítmicas. O Uruguai combinou reformas sobre cibersegurança estatal, um centro nacional de IA e regulação específica sobre sistemas automatizados em plataformas de entrega e transporte. O México, por sua vez, ainda discute o marco base e segue acumulando iniciativas estaduais e setoriais.

Em cibersegurança, o contraste é semelhante. O Uruguai obriga órgãos públicos a apresentar relatórios anuais sobre sua situação de cibersegurança e a enviá-los à Agesic, além de exigir o Marco de Cibersegurança do Uruguai. O Chile, de acordo com o material disponível, aparece como uma jurisdição avançada com uma arquitetura mais integrada entre dados, cibersegurança e resposta a incidentes. O México, ao contrário, constrói uma política estatal para sua administração pública federal, com uma futura legislação específica ainda em desenvolvimento. Isso deixa as empresas numa posição intermediária, com obrigações indiretas se forem fornecedoras do Estado, mas sem um corpo normativo geral comparável para todos os setores.

México

O México concentra o maior volume de material e também a maior dispersão normativa. O dado de cerca de 200 iniciativas estaduais, com 39 aprovadas, mostra atividade política intensa, mas também falta de convergência. Há estados que avançam pela via penal, outros que ensaiam definições, outros que revogam sanções e vários que simplesmente não registram propostas. Yucatán optou por punir a geração ou manipulação de imagens, vídeos ou áudios falsos por meio de IA com prisão e multas de até 234 mil pesos. San Luis Potosí caminhou para revogar sanções penais ligadas a essa tecnologia. O resultado é um mapa com regras divergentes para usos muito parecidos.

No plano federal, a sequência legislativa não é pequena. Em 24 de julho, foi apresentada a iniciativa da Lei Federal para o Desenvolvimento Ético, Soberano e Inclusivo da IA. O texto também busca criar um Conselho Nacional de Inteligência Artificial, uma Plataforma Nacional de Auditoria Algorítmica e um sistema de semáforos de risco. Dias depois, Gabriela Jiménez Godoy apresentou uma reforma ao artigo 73 da Constituição para dar ao Congresso poderes explícitos na matéria. Mas o dado operacional continua o mesmo, não há lei geral aprovada nem publicada. Além disso, o próprio ecossistema de publicações especializadas, como Academia de IA, Ecosistema Startup e ITSitio México, concorda que a discussão ainda está em tramitação.

A cibersegurança federal avança em ritmo diferente. O Plano Nacional de Cibersegurança 2025-2030 e a Política Geral de Cibersegurança para a Administração Pública Federal estabelecem uma institucionalidade mais clara para o Estado. Há um roteiro anual, um centro de operações, um centro de resposta a incidentes, um inventário de infraestrutura crítica e a previsão de legislação futura. Mesmo assim, o material também deixa evidente uma lacuna. Não existe uma lei geral de cibersegurança corporativa que unifique exigências para empresas fora do perímetro estatal, nem um marco geral de IA que organize auditoria, classificação de risco e responsabilidades em escala nacional.

Peru

O Peru é o ponto de comparação mais nítido do material para medir a velocidade regulatória. A Lei nº 31814 foi promulgada em julho de 2023 e reforçada por seu regulamento, aprovado em setembro de 2025 e vigente desde janeiro de 2026. Segundo as fontes, a norma classifica sistemas por níveis de risco, proíbe certas práticas de alto impacto e exige supervisão humana para usos de alto risco. Em saúde, educação, justiça, segurança, economia e finanças, as obrigações reforçadas começam a ser exigíveis a partir de 10 de setembro de 2026. Também há um cronograma escalonado para outros setores e para determinados atores públicos.

A combinação de lei, regulamento e prazos faz do Peru uma referência de governança normativa mais fechada que o México. O material também mostra limites, porque a Infobae Perú informou que não há autorização legal para usar IA em sanção administrativa. Ou seja, o país não está abrindo espaço para automatizar punições sem base expressa. A IA pode melhorar serviços ao cidadão e otimizar processos internos, mas não substitui, sem enquadramento legal, o devido processo em matéria sancionadora administrativa.

Chile

O Chile ainda não tem uma lei específica de IA aprovada, mas tem um projeto em tramitação com enfoque baseado em risco. Ecija descreve quatro categorias, risco inaceitável, alto risco, risco limitado e sem risco evidente. O Nodo.build acrescenta que a Lei 21.719 de proteção de dados pessoais, vigente desde dezembro de 2024 segundo sua análise, regula perfilamento automatizado, decisões algorítmicas e reconhece um direito de oposição a decisões baseadas em IA. O país mostra uma arquitetura mais coerente entre dados e futuros controles de IA, embora o material também traga afirmações de fontes não totalmente confirmadas sobre sua liderança regional em cibersegurança.

Para a análise comparada, o Chile funciona como um modelo intermediário, mas mais estruturado que o México. Tem um projeto de IA com linguagem de risco, uma lei de dados pessoais que alcança decisões automatizadas e uma infraestrutura de resposta a incidentes reconhecida em LACNIC. Isso não significa que a regulação esteja fechada, mas sim que sua base normativa parece mais integrada.

Paraguai

O Paraguai combina atraso normativo com atividade operacional em cibersegurança. Não tem lei de IA promulgada nem estratégia nacional aprovada, embora MITIC e CONACYT mantenham o tema em desenvolvimento. O MuitoTexto informa que não existe documento aprovado, orçamento alocado nem autoridade de IA designada. Ao mesmo tempo, o país registra pressão real de incidentes, com 8.309 registros e 4.109 incidentes de cibersegurança atendidos pelo CERT-PY entre janeiro de 2023 e julho de 2026. Em 2026, quase metade dos ataques afetou o setor privado e mais de um terço o setor público.

O material também revela respostas setoriais. O Paraguai tem uma lei de serviços de confiança eletrônica, uma lei de proteção de dados pessoais alinhada ao GDPR e debates sobre reforma de comércio eletrônico que buscam incorporar IA, reforçar cibersegurança e eliminar zonas cinzentas nas vendas por WhatsApp. A política pública existe, mas ainda não se converteu em um marco integral de IA. Isso explica por que o país aparece atrasado no índice ILIA e, ao mesmo tempo, ativo em medidas parciais.

Uruguai

O Uruguai mostra uma arquitetura mais madura em cibersegurança institucional e uma agenda de IA voltada ao desenvolvimento. O Decreto 66/025 obriga as entidades alcançadas a cumprir o Marco de Cibersegurança do Uruguai, enquanto a prestação de contas de 2026 exige relatórios anuais sobre o estado de cibersegurança de cada órgão público. Em IA, o governo colocou em funcionamento o Centro Nacional de Inteligência Artificial, com condução público-acadêmica e financiamento do BID. Além disso, o país mantém uma regulação específica para sistemas automatizados em plataformas de entrega e transporte, com obrigações de informação, explicações algorítmicas e avaliação de riscos.

O Uruguai não aparece como o caso de uma lei geral de IA fechada, mas como um país em que o Estado já institucionalizou partes importantes do problema, especialmente na relação entre algoritmos, trabalho, segurança da informação e capacidade nacional de pesquisa. Essa combinação o coloca, no material, acima do México em organização operacional de cibersegurança e mais perto de uma política pública estruturada sobre automação.

Estados Unidos

Os Estados Unidos continuam sem uma lei federal de IA equivalente à europeia. O RecMedia descreve um debate ativo entre o governo federal e os estados, enquanto Talla Política destaca uma abordagem setorial e competitiva, sustentada por decretos executivos e pela atuação de agências já existentes em áreas como concorrência, comércio e direitos civis. No contexto do T-MEC, Buzos atribui aos EUA uma posição de zero regulações, embora essa fonte fique no terreno opinativo do material. Para o México, o ponto importa pelo peso comercial e porque ajuda a explicar a pressão para evitar marcos excessivamente rígidos.

Países sem cobertura no material consolidado

Não há fatos verificáveis adicionais no research para Argentina, Bolívia e Colômbia.

Indicadores técnicos

Não foram publicados IOC técnicos no material consolidado. Não há hashes, domínios, IPs, rotas de exploração, assinaturas de malware nem amostras forenses associadas a um incidente concreto. O insumo disponível é normativo, institucional e comparado, não operacional no sentido forense.

Análise para equipes de segurança

Para equipes de segurança, o caso mexicano cria um problema de inventário normativo antes de qualquer caça a ameaças. A prioridade não é só revisar controles técnicos, mas mapear quais obrigações se aplicam em cada estado, quais setores foram alcançados por reformas trabalhistas ou autorais e quais cláusulas de uso de IA ou cibersegurança já foram repassadas a fornecedores do Estado. Uma empresa com operação em várias jurisdições mexicanas não pode presumir que a regra local de um estado vale para todo o país. Yucatán, San Luis Potosí e outros congressos locais podem impor ou retirar sanções, mudar definições ou deixar lacunas de interpretação. Isso obriga a construir matrizes de conformidade por território, por tipo de dado e por caso de uso.

Ao mesmo tempo, vale separar três camadas que o material mistura no debate público: IA generativa, automação algorítmica e cibersegurança corporativa. O recorte do México mostra que os legisladores estão reagindo a deepfakes, clonagem de voz e imagem, decisões automatizadas e uso de IA com menores. A resposta técnica não pode se limitar a um único controle de privacidade. É preciso inventário de modelos, avaliação de risco por caso de uso, rastreabilidade de insumos, controles sobre fornecedores e procedimentos de revisão humana quando houver impacto em emprego, educação, acesso a serviços ou processos administrativos.

O front de cibersegurança tem outra urgência. O Plano Nacional 2025-2030 e a Política Geral para a Administração Pública Federal geram exigências diretas sobre órgãos federais e uma transmissão indireta para contratados. As empresas que trabalham com governo precisam revisar contratos, continuidade de negócio, reporte de incidentes, controles ISO/IEC 27001 e programas de resposta. Na prática, o perímetro regulatório não termina no portal do órgão público. Ele se estende a fornecedores, integradores, plataformas e serviços terceirizados. Se não houver uma lei geral de cibersegurança corporativa, o padrão real será o que os clientes públicos e as cadeias de suprimento sensíveis impuserem.

Para organizações com exposição regional, o mapa comparado também importa. O Peru já impõe obrigações por níveis de risco e prazos concretos. O Chile avança no mesmo sentido, com categorias de risco e decisões automatizadas sob a órbita da proteção de dados. O Uruguai já exige relatórios anuais de cibersegurança e avança em capacidades nacionais de IA. O Paraguai, apesar de não ter lei de IA, enfrenta incidentes de cibersegurança em escala suficiente para empurrar reformas em comércio eletrônico, identidade digital e capacidade de resposta. Não são países equivalentes, e tratá-los como se fossem gera erros de conformidade.

Limitações do material

O expediente não traz o texto integral das iniciativas mexicanas, nem seus pareceres, nem versões consolidadas das reformas locais. Por isso, não é possível reconstruir artigo por artigo o conteúdo jurídico de cada projeto estadual nem confirmar se todas as cifras de impacto orçamentário já se converteram em autorizações operacionais.

Também não há um incidente técnico isolado que permita descrever uma campanha de ataque com IOC verificáveis. O material disponível é regulatório e de política pública. Em consequência, a seção de cadeia de ataque ficou restrita a uma cadeia de exposição normativa e operacional, não a uma intrusão forense.

Várias afirmações do research estão marcadas pela fonte como incertas. Em especial, algumas comparações regionais sobre liderança em cibersegurança, ou menções a atribuições estaduais em incidentes no Paraguai, devem ser lidas com cautela. Essa incerteza foi preservada no corpo do informe.

Também existe uma assimetria temporal. Algumas fontes vêm de dias distintos de julho e agosto de 2026, e outras de referências institucionais sem data precisa ou com cronologias internas. O informe priorizou fatos confirmados e deixou em segundo plano afirmações não corroboradas por mais de uma fonte ou aquelas formuladas como opinião editorial.