Un gobierno que renunció por una clasificación de riesgo

El 15 de enero de 2021 renunció en bloque el tercer gabinete del primer ministro neerlandés Mark Rutte. La causa inmediata no fue una crisis económica ni un caso de corrupción, sino la forma en que la autoridad tributaria de los Países Bajos había tratado durante años a quienes recibían el subsidio para el cuidado infantil. Según el propio gobierno neerlandés, entre 2004 y 2019 el fisco colocó a decenas de miles de padres en graves dificultades: se les exigió devolver ayudas ya recibidas, con consecuencias económicas graves para muchas familias, bajo la sospecha de fraude. Las cifras que circulan en la literatura y en la prensa hablan de unas 26,000 familias afectadas, aunque se trata de una estimación y no de un dato oficial único.


Conviene reconstruir con cuidado qué falló, porque el caso suele resumirse como "un algoritmo acusó de fraude a miles de personas" y la realidad es más instructiva. La Autoridad de Protección de Datos de los Países Bajos concluyó, en un informe de julio de 2020, que la práctica de la administración tributaria había sido ilegal y discriminatoria, y que constituía una infracción grave: el fisco había conservado y utilizado datos de nacionalidad, incluida la doble nacionalidad, en sistemas automatizados de evaluación de riesgo y en el combate al fraude, sin que esos datos fueran necesarios para ese fin. La Comisión Parlamentaria de Investigación, por su parte, presentó el 17 de diciembre de 2020 su informe "Ongekend onrecht" ("Injusticia sin precedentes"), donde sostuvo que se violaron principios fundamentales del Estado de derecho y que un simple error en una solicitud se consideraba con facilidad fraude. Añadió que, durante años, los padres prácticamente no tuvieron oportunidad de defenderse.


Lo que el informe no dice, y por qué importa

Hay un matiz que evita la lectura simplista. La comisión no atribuyó el daño solamente a una herramienta técnica. Señaló responsabilidades en un legislador que aprobó reglas rígidas y sin cláusula de dureza, en una administración que operó el programa como producción en masa sin atender la situación individual, y en tribunales administrativos que durante años respaldaron esa aplicación estricta. El sistema de clasificación de riesgo fue una pieza de ese engranaje, no el engranaje completo.


Ese matiz es justamente lo que vuelve útil el caso fuera de los Países Bajos. Una alerta automatizada solo se convierte en una decisión injusta cuando el resto de la organización le concede el valor de una conclusión. La literatura sobre automatización llama sesgo de automatización a la tendencia de las personas a confiar en el resultado de un sistema aun teniendo motivos para dudar. Cuando quien revisa carece de tiempo, de información o de autoridad para contradecir la alerta, la revisión humana existe en el organigrama pero no en la práctica, y funciona como una forma de legitimar lo que el sistema ya indicó. Posteriormente, la propia autoridad neerlandesa impuso a la administración tributaria una multa de alrededor de 2.7 millones de euros por el tratamiento ilícito de datos de nacionalidad, y el gobierno ofreció una compensación de 30,000 euros por familia afectada, sin perjuicio de montos mayores en casos específicos.


Qué dice la ley mexicana, y qué no

Es necesario aclarar el marco, porque el caso es extranjero y no hay en México un hecho equivalente documentado. Las reglas neerlandesas derivan del Reglamento General de Protección de Datos europeo, que no rige en México. Lo que sí rige para las empresas es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, en su versión publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, cuya autoridad es hoy la Secretaría Anticorrupción y Buen Gobierno, tras la extinción del INAI. El reglamento actualizado sigue pendiente, por lo que continúa aplicándose supletoriamente el de 2011.


El artículo 26 de esa ley reconoce el derecho de oposición. Su fracción II lo habilita cuando los datos de la persona son objeto de un tratamiento automatizado que le produce efectos jurídicos no deseados o afecta de manera significativa sus intereses, derechos o libertades, y está destinado a evaluar, sin intervención humana, aspectos personales, como su rendimiento profesional, su situación económica, su fiabilidad o su comportamiento. Es una disposición de alcance acotado: se ejerce a solicitud de la persona titular, no prohíbe por sí misma las decisiones automatizadas ni equivale al artículo 22 del reglamento europeo. Tampoco establece qué características debe tener la intervención humana. Para ejercerlo se aplican los plazos generales del artículo 31: 20 días para responder y 15 más para hacer efectiva la determinación, prorrogables una vez.


Alrededor de ese artículo operan otros principios de la misma ley. El artículo 10 pide que los datos sean exactos, completos, correctos y actualizados para los fines para los que fueron recabados, lo cual es difícil de sostener si una clasificación automática nunca se contrasta con la realidad. El artículo 18 exige medidas de seguridad proporcionales al riesgo y el artículo 23 reconoce el derecho de rectificación. Hasta donde pudo verificarse a octubre de 2026, México no cuenta con una ley general de inteligencia artificial: existen iniciativas en el Congreso, pero no una norma que regule el grado de supervisión humana de los sistemas automatizados. Las organizaciones, por tanto, no tienen un estándar legal detallado; tienen una obligación de diseño propia.


La alerta como insumo, no como conclusión

En México la prevención de lavado de dinero ofrece una analogía conocida: los sistemas de monitoreo generan alertas que, en la práctica de las instituciones, son evaluadas por personas con criterio antes de decidir si procede un reporte a la autoridad. La alerta es un insumo, no un veredicto. Ese principio es trasladable, con matices, a cualquier proceso que clasifique personas: selección de personal, evaluación de proveedores, autorizaciones de acceso o detección de conductas atípicas en una plataforma.


La pregunta práctica es qué ocurre en los minutos y días posteriores a la alerta. Si quien revisa tiene la misma información que el sistema y nada más, la revisión será una confirmación. Para que sea un control debe disponer de datos adicionales, de un criterio escrito de qué cuenta como evidencia suficiente, de la facultad de anular el resultado sin pedir permiso y de un registro que permita reconstruir después por qué se decidió lo que se decidió. Ante la persona afectada, además, debe existir una vía clara para impugnar. Que un dato esté disponible o que un modelo lo considere predictivo no significa que su uso sea pertinente, proporcional o legítimo para la decisión que se está tomando.


Proporcionalidad y gestión de riesgos asociados a personas

Human Risk Management, entendido como la gestión estructurada de riesgos asociados a personas, funciones, accesos y decisiones, no como vigilancia, pasa por una cuestión sencilla: no todas las decisiones merecen el mismo grado de revisión. Una alerta que solo reordena una lista de pendientes puede resolverse con poca fricción; una que condiciona el empleo, el acceso a un recurso o la relación con un proveedor merece, en cambio, un revisor con autoridad real y un camino de rectificación. "Una herramienta puede señalar algo; lo importante es que exista alguien con criterio, información y autoridad para decir que esa señal no se sostiene", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados en función del rol, el riesgo y la exposición de cada caso, sin que esto implique que automatice decisiones sobre personas, elimine sesgos o garantice el cumplimiento normativo de sus clientes.


Una pregunta de diseño institucional

El caso neerlandés terminó con un gobierno que dimitió, un programa de reparación económica para las familias afectadas y una discusión pública que todavía no se cierra. Ninguna empresa mexicana tendría que llegar a ese punto para aprovechar la lección. Automatizar una alerta es relativamente sencillo; construir una instancia que realmente pueda concluir que la máquina se equivocó exige tiempo, criterio y disposición a cuestionar lo que parece objetivo. Para las áreas de Compliance, Legal, Seguridad y RR.HH. que incorporan herramientas de inteligencia artificial, la pregunta útil no es si el sistema puede equivocarse, porque cualquiera puede, sino quién tiene la autoridad para decirlo, y si la organización está dispuesta a escucharlo.


Fuentes y marco normativo consultado

• Gobierno de los Países Bajos (Rijksoverheid), "Herstel kinderopvangtoeslag" (daños a decenas de miles de padres entre 2004 y 2019; compensación de 30,000 euros; renuncia del gabinete el 15 de enero de 2021)

• Autoridad de Protección de Datos de los Países Bajos (Autoriteit Persoonsgegevens), "Werkwijze Belastingdienst in strijd met de wet en discriminerend", informe sobre el uso de nacionalidad en la clasificación de riesgo, julio de 2020, y comunicado sobre la multa a la administración tributaria

• Tweede Kamer (Parlamento neerlandés), Parlamentaire ondervragingscommissie Kinderopvangtoeslag, informe final "Ongekend onrecht", 17 de diciembre de 2020

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, texto vigente (DOF 20 de marzo de 2025; última reforma DOF 14 de noviembre de 2025), arts. 10, 18, 23, 26 fracción II y 31 (Cámara de Diputados, LeyesBiblio)

• Reportes de prensa de julio de 2026 sobre el estado de la regulación de inteligencia artificial en México (contexto; sin ley general federal)

• Validato, Background Screening y Human Risk Management: https://validato.ch/mx-es/human-risk