¿Quién puede comprar la empresa?  La reforma que lleva los datos a la seguridad nacional

Imagine una sesión de consejo en una empresa mexicana de tecnología financiera. Un fondo extranjero ofrece encabezar la siguiente ronda de capital. La valuación es buena, las notas convertibles (deuda que se transforma en acciones) de la ronda anterior se capitalizarían en el mismo acto y, al cierre, el fondo quedaría como accionista mayoritario.

Hace unas semanas, ese consejo habría discutido precio, dilución y derechos de veto. Hoy tendría que empezar por una pregunta más básica: ¿necesita esta operación el visto bueno del Estado por razones de seguridad nacional?

Durante mi paso por el Comité Técnico Nacional de Transformación Digital y Economía Digital del IMEF, la conversación sobre tecnología en los consejos giraba casi siempre en torno a la adopción. Esta reforma agrega otro tema a la agenda: quién puede llegar a controlar esa tecnología.

 

DÓNDE ESTÁ EL PROCESO

La iniciativa del Ejecutivo ya pasó por el Senado, que la aprobó con cambios, y hoy está en la Cámara de Diputados. Al cierre de esta edición no se ha publicado en el Diario Oficial de la Federación, así que su contenido todavía puede cambiar.

El momento es delicado. Según cifras de la Secretaría de Economía que cita el propio dictamen, México recibió 34,968 millones de dólares de inversión extranjera directa en el primer semestre del año, récord para ese periodo y 2.1% más que la cifra preliminar de 2025. Quienes impulsan la reforma dicen que la intención es ordenar ese flujo, no frenarlo, con reglas parecidas a las de Estados Unidos, Canadá y la Unión Europea.

Conviene mirar su composición. El 88.5% fue reinversión de utilidades de empresas que ya operan en el país. Las nuevas inversiones sumaron 2,726 millones de dólares, apenas 7.8% del total, y cayeron 13.4% frente al mismo semestre de 2025. Ese es el flujo más expuesto a la reforma, porque el filtro se activaría con operaciones nuevas y no con las utilidades que se reinvierten.

 

QUÉ CAMBIA

La reforma agrega a la ley un Título Sexto Bis. La revisión sería obligatoria cuando se junten tres condiciones:

1. Que la inversión extranjera llegue, directa o indirectamente, a más del 49% del capital de una sociedad mexicana.
2. Que los activos de esa sociedad superen un umbral que la Comisión Nacional de Inversiones Extranjeras todavía tiene que fijar, en un plazo de 180 días naturales a partir de que la ley entre en vigor.
3. Que la empresa opere en alguno de los sectores del catálogo.

 

Si se rebasa el 49% pero no el umbral de activos, presentar la solicitud sería voluntario.

Lo novedoso está en ese catálogo. Por primera vez, la ley mencionaría por su nombre a la inteligencia artificial y a la ciberseguridad como tecnologías críticas, y pondría el tratamiento de datos, los sistemas digitales y el acceso a datos personales entre las actividades sujetas a revisión.

En el Senado se agregó algo que la iniciativa no traía: la Agencia de Transformación Digital y Telecomunicaciones tendría voz y voto en la Comisión, igual que Defensa, Marina y Seguridad y Protección Ciudadana.

Hasta ahora, hablar de seguridad nacional en materia de inversión era hablar de puertos, ductos y fronteras. Con esta reforma, también lo sería hablar de servidores y bases de datos.

 

El asunto no se queda en las empresas de tecnología. La fracción IV, la de datos personales, mira la actividad, no el giro. Una cadena de tiendas, una aseguradora o un hospital con grandes bases de datos de clientes podrían quedar dentro, siempre que su actividad encaje en el supuesto, el capital extranjero supere el 49% y sus activos rebasen el umbral.

Cómo se aplique en la práctica dependerá del texto que apruebe la Cámara de Diputados y de los criterios de la Comisión.

El tema también toca a quien vende. Un grupo que quiera vender a un comprador extranjero su subsidiaria digital, su centro de datos o su plataforma de comercio electrónico tendrá que incluir la revisión en el calendario de la operación. En un proceso competitivo, el perfil regulatorio de cada postor podría pesar tanto como el precio que ofrece. Para el director de finanzas, este ya no es un asunto que pueda dejar en manos del área de sistemas.

 

TECNOLOGÍA FINANCIERA: DOS VENTANILLAS

En una empresa de tecnología financiera, lo más valioso casi siempre es la información: historiales de transacciones, identidades verificadas, hábitos de pago. Por eso la fracción IV le queda tan cerca.

A ello se suma otra reforma: el 20 de octubre, el Senado aprobó la Ley de Economía Digital para Pagos Digitales y Electrónicos y la envió al Ejecutivo. Impulsa los pagos electrónicos y reconoce la CURP digital, entre otros medios de identificación, para contratar servicios financieros a distancia. Con su entrada en vigor, más transacciones y más datos de identidad pasarán por plataformas digitales, justo lo que cubre esa fracción.

La Ley Fintech ya obliga a pedir autorización a la Comisión Nacional Bancaria y de Valores para ciertas adquisiciones de acciones de una institución de tecnología financiera. ¿El nuevo filtro reemplazaría esa autorización? No. Sería un trámite aparte. ¿Ante quién? Ante otra autoridad, la Comisión Nacional de Inversiones Extranjeras. ¿Y qué evaluaría? Ya no si el comprador es financieramente sólido, sino si representa un riesgo para la seguridad nacional.

El otro frente es la estructura de capital. Varios despachos advierten que convertir deuda en acciones podría activar el supuesto si con eso la participación extranjera pasa del 49%. Tampoco está claro qué ocurriría con las compras indirectas, por ejemplo cuando lo que se vende es una controladora constituida en el extranjero. Para una empresa que crece a base de rondas y deuda convertible, cada ronda podría volverse un trámite regulatorio.

 

ACTIVOS DIGITALES E IA: DE BUENA PRÁCTICA A EVIDENCIA

En las plataformas de activos virtuales se juntan dos cosas que el catálogo menciona: infraestructura digital y bases de datos de identidad verificada. Cuando la Comisión trate temas de seguridad nacional, estarán sentados como invitados permanentes, con voz pero sin voto, la Fiscalía General de la República, el Centro Nacional de Inteligencia, el Servicio de Administración Tributaria y la Unidad de Inteligencia Financiera.

El origen del dinero y la cadena de propiedad pasarían por las manos de quienes se dedican a revisarlos. Y queda una pregunta que la reforma no contesta: si las acciones de una empresa se representan en tokens que pueden cambiar de manos con facilidad, ¿quién lleva la cuenta de cuánta participación extranjera se va acumulando?

Con la inteligencia artificial pasa algo parecido. Si la Comisión aprueba una operación con condiciones, la resolución podrá incluir reportes periódicos y la revisión del cumplimiento de la legislación nacional. El texto no dice qué medidas de mitigación podría imponer, y ahí la preparación hace la diferencia.

Antes de sentarse a negociar, una empresa debería poder responder cuatro preguntas:

1. ¿Dónde operan sus modelos?
2. ¿Con qué datos se entrenaron?
3. ¿Quién tiene acceso a ellos?
4. ¿De qué proveedores depende?

 

Quien no tenga esas respuestas no podrá negociar condiciones, solo aceptarlas.

En mi trabajo de asesoría, esas suelen ser las preguntas que más tardan en responderse. El inventario de inteligencia artificial, que hasta hoy se veía como buena práctica, se convertiría en la evidencia que habrá que presentar.

Luego están los tiempos. Con el texto del Senado, la Comisión tendría 45 días hábiles para resolver, y su silencio no contaría como autorización. Cerrar sin una resolución favorable podría costar multas de 5,000 a 200,000 veces el valor diario de la Unidad de Medida y Actualización (UMA), y la Comisión podría ordenar la desinversión en un plazo de 90 días hábiles, prorrogable por otros 90. El umbral de activos, que definirá a quién le aplica, todavía no existe.

 

En la Unión Europea (UE), la Comisión reportó que en 2022 cerca de 86% de los casos resueltos se autorizó sin condiciones, alrededor de 9% con condiciones y 1% se prohibió. En diciembre de 2025, la UE acordó un reglamento que obligará a todos sus miembros a tener un mecanismo de control que incluya inteligencia artificial, semiconductores y ciertos servicios financieros. Estos filtros rara vez bloquean una operación; cuando intervienen, lo más común es que la condicionen.

Los críticos de la reforma señalan que no define con precisión qué es seguridad nacional en materia económica y que la espera tiene un costo. Para un consejo, ese debate importa menos que estar preparado: saber de qué lado del umbral está la empresa antes de que el comprador lo pregunte.

Durante años, lo primero que un consejo preguntaba frente a un inversionista extranjero era cuánto vale la empresa. Si esta reforma se aprueba, la primera pregunta será otra: quién tiene permiso de comprarla. Más vale tener la respuesta lista antes de que la pregunta llegue desde la Comisión.

Nota: esta columna se escribió el 20 de octubre de 2026 con la información legislativa disponible a esa fecha. El estado de la reforma en la Cámara de Diputados podría cambiar antes de su publicación, prevista para el 26 de octubre de 2026.