En época mundialista, una noticia relacionada con fútbol, seguridad en estadios y datos biométricos difícilmente pasa desapercibida. No solo por el monto de la sanción impuesta a la Federación Mexicana de Fútbol por el sistema FAN ID, sino porque aparece en un momento en el que el deporte, los aficionados, los estadios y la tecnología ocupan una conversación pública mucho más intensa de lo habitual.
La Secretaría Anticorrupción y Buen Gobierno informó que impuso una multa de 42 millones 849 mil 95 pesos a la Federación Mexicana de Futbol Asociación, A.C., por violaciones a la protección de datos personales vinculadas con FAN ID. Según la autoridad, se recabaron fotografías para generar el identificador sin informar adecuadamente que esos datos tenían carácter de datos personales sensibles y sin obtener el consentimiento expreso y por escrito exigido para ese tratamiento.
El caso tiene ingredientes suficientes para llamar la atención: fútbol, seguridad, estadios, aficionados, tecnología, biometría y una sanción millonaria. Pero reducirlo a una nota deportiva sería quedarse en la superficie. Lo relevante es que muestra una tensión que muchas organizaciones están empezando a enfrentar: la tecnología puede ayudar a resolver problemas reales, pero también puede generar responsabilidad cuando no existe claridad suficiente sobre los datos que utiliza, los proveedores que intervienen y las obligaciones que conserva quien decide implementarla.
El FAN ID parte de una finalidad que, en abstracto, puede resultar comprensible. Después de episodios de violencia en eventos deportivos, buscar herramientas de identificación, control y prevención no parece una ocurrencia. Sin embargo, una finalidad razonable no convierte automáticamente en válido cualquier tratamiento de datos personales, especialmente cuando se trata de información biométrica.
La tecnología puede ser útil, necesaria e incluso bien intencionada, pero sigue necesitando explicación, proporcionalidad, documentación y responsabilidad. La seguridad no borra los derechos de las personas, y la eficiencia operativa no sustituye las obligaciones jurídicas de quien decide usar una herramienta frente a miles o millones de usuarios.
FAN ID debe analizarse por lo que públicamente es: un caso de identificación digital, datos biométricos, seguridad en estadios, proveedores tecnológicos y protección de datos personales sensibles. Su conexión con la gobernanza de inteligencia artificial no exige cambiarle la etiqueta al caso, sino entender la lección que deja para cualquier tecnología capaz de identificar personas, procesar información sensible o producir efectos relevantes sobre individuos.
La conversación pública suele asociar la inteligencia artificial con herramientas que redactan textos, crean imágenes, generan videos o escriben código. Esa parte de la IA es importante, pero no agota el fenómeno. En empresas, gobiernos y plataformas digitales, la IA también puede aparecer en formas menos visibles: analítica predictiva, verificación biométrica, reconocimiento de patrones, clasificación automatizada, evaluación de riesgos, recomendación de decisiones o agentes capaces de ejecutar tareas con cierto grado de autonomía. El International AI Safety Report 2026 aborda capacidades y riesgos de sistemas avanzados de IA, mientras que la OCDE ha señalado que los agentes de IA pueden percibir y actuar sobre su entorno con cierto grado de autonomía para alcanzar objetivos específicos.
Por eso, la reflexión no consiste en visualizar que FAN ID sea inteligencia artificial, sino en observar lo que este caso permite anticipar. Si hoy una organización enfrenta dificultades para explicar el uso de una tecnología que identifica personas y trata datos sensibles, el desafío será mayor cuando incorpore sistemas que, además de identificar, puedan predecir riesgos, clasificar perfiles, recomendar decisiones o automatizar acciones.
En este escenario, la pregunta para cualquier dirección en una organización que la usa es: si mañana una autoridad revisara la forma en que su empresa usa biometría, analítica o inteligencia artificial, ¿podría demostrar que gobierna esa tecnología o solo que la contrató?
Esa pregunta no busca sembrar miedo. Busca poner el tema en el lugar correcto. Muchas organizaciones ya utilizan tecnología sensible sin llamarla así: controles de acceso, cámaras con analítica, plataformas de recursos humanos, soluciones antifraude, verificadores de identidad, sistemas de atención a clientes, herramientas de cumplimiento o aplicaciones que clasifican perfiles y priorizan casos. Algunas incorporan IA; otras no necesariamente. En ambos escenarios, pueden tratar información relevante y producir efectos sobre personas.
La salida no está en rechazar la tecnología, la biometría o la inteligencia artificial. La tecnología bien usada puede mejorar seguridad, servicios, eficiencia y confianza. El riesgo surge cuando una organización adopta herramientas más rápido de lo que puede explicarlas, supervisarlas y sostenerlas jurídicamente.
Gobernar tecnología no significa llenar formatos ni publicar avisos genéricos. Significa tener criterio directivo para distinguir cuándo una herramienta puede usarse, bajo qué límites y con qué responsabilidades. En tecnologías sensibles, esa diferencia puede separar una adopción ordenada de una exposición innecesaria.
El caso también recuerda que contratar a un proveedor tecnológico no equivale a transferir responsabilidad. Un tercero puede operar una plataforma, aportar infraestructura o procesar información, pero la organización que decide usar el sistema y lo coloca frente a personas conserva obligaciones centrales. Esa idea será cada vez más importante para empresas que no desarrollan tecnología propia, pero sí utilizan soluciones que incorporan biometría, analítica avanzada o IA en seguridad, recursos humanos, marketing, atención a clientes, cumplimiento, vigilancia, análisis de datos o gestión documental.
En materia de IA, la complejidad aumenta porque cada tipo de sistema plantea riesgos distintos. Una herramienta generativa puede producir contenido equivocado; un modelo predictivo puede anticipar riesgos con sesgos; un sistema biométrico puede identificar o excluir personas; una herramienta de clasificación puede ordenar perfiles de forma opaca; y un agente de IA puede ejecutar acciones dentro de sistemas internos. No se gobiernan igual, aunque todas compartan una exigencia mínima cuando operan sobre personas: deben poder limitarse, supervisarse y explicarse.
En plena conversación mundialista, FAN ID adquiere más atención porque mezcla fútbol, aficionados, seguridad, identificación digital, datos biométricos y tecnología. Pero su alcance rebasa al deporte. Cualquier empresa que use herramientas para identificar personas, clasificar perfiles, anticipar riesgos o automatizar decisiones debería leer este caso como una oportunidad para revisar si su gobierno tecnológico corresponde con el nivel de tecnología que ya utiliza.
No se trata de frenar soluciones útiles. En muchos casos, las organizaciones necesitan tecnología para operar mejor, proteger instalaciones, prevenir riesgos o atender usuarios con mayor eficiencia. La diferencia está en no confundir utilidad con suficiencia. Que una herramienta sirva no significa que esté jurídicamente bien sustentada, ni que su uso sea proporcional, ni que la responsabilidad haya quedado correctamente distribuida.
La sanción a FAN ID no debería verse solo como una mala noticia. También puede servir como una señal preventiva. La tecnología bien gobernada puede fortalecer a una organización, darle orden, trazabilidad y mejores capacidades de respuesta. Lo que no puede hacer es sustituir el criterio directivo ni borrar las obligaciones que nacen cuando una empresa trata datos de personas.
En la adopción de inteligencia artificial, esta reflexión será cada vez más importante. La tecnología puede servir y aun así estar mal gobernada; puede mejorar seguridad y aun así afectar derechos; puede venir de un proveedor reconocido y aun así exigir controles propios de quien la utiliza. La diferencia entre adoptar tecnología y gobernarla estará en la capacidad de explicar, documentar y responder por sus efectos.
La utilidad de una herramienta tecnológica puede abrir la puerta a mejores soluciones. La gobernanza es lo que permite que esa puerta no se convierta después en responsabilidad.
