El 14 de octubre de 2026, en la edición vespertina del Diario Oficial de la Federación, se publicó el Decreto de entornos digitales seguros para niñas, niños y adolescentes. Entró en vigor el mismo día y da a las plataformas 30 días naturales para documentar e informar qué medidas aplicaron. Contado desde el día siguiente, el plazo vence alrededor del viernes 13 de noviembre.
Los titulares hablan de redes sociales y videojuegos, pero la definición es más amplia: una PyME con app, comunidad en línea o plataforma educativa podría estar dentro.
A quién aplica
El artículo 2 define plataforma digital como el servicio que prestan intermediarios por internet y que permite la interacción, comunicación, generación, difusión o compartición de contenidos entre personas usuarias, entre otros fines para ofrecer, comercializar o intermediar bienes, servicios, aplicaciones o contenidos. Cita como ejemplos redes sociales, videojuegos y tiendas de aplicaciones, pero la lista no es cerrada.
Lo que no trae el decreto también importa:
- No hay umbral. No fija número de usuarios, facturación ni tamaño de empresa.
- No define "proveedor" ni dice qué autoridad recibe el informe de los 30 días.
- No incluye sanciones.
Con esa definición, vale la pena revisarse si tu negocio tiene, por ejemplo:
| Tipo de servicio | ¿Hay interacción entre usuarios? | Revísalo |
|---|---|---|
| Tienda en línea solo con catálogo y pago | No | Probablemente fuera |
| Tienda con reseñas, preguntas públicas o mercado de terceros | Sí | Sí |
| App de gimnasio, escuela o club con chat o muro | Sí | Sí |
| Plataforma de cursos con foros o grupos | Sí | Sí |
| Videojuego o app con mensajes entre jugadores | Sí | Sí, de lleno |
| Chatbot de atención en tu sitio | No entre usuarios | Probablemente fuera |
Es nuestra lectura de la definición, no una interpretación oficial.
Qué exige
El artículo 3 prohíbe que las plataformas permitan que menores accedan, se expongan o reciban recomendaciones de contenido de acoso y ciberacoso, abuso o explotación sexual, discursos de odio o extremismo violento, apología del delito, pornografía, y suicidio, autolesiones o trastornos alimenticios.
Los artículos 4 y 5 traducen eso en obligaciones concretas:
- Verificar la edad con mecanismos "confiables y seguros" que no se limiten a la autodeclaración. La casilla de "tengo más de 18" ya no basta.
- Publicar criterios de clasificación por edad, moderación y retiro de cuentas y contenidos.
- Retirar de inmediato las cuentas o contenidos prohibidos.
- Botón de reporte accesible, visible y siempre disponible.
- Supervisión parental sobre cuentas de menores.
- Seguridad desde el diseño y, al crear una cuenta nueva, la configuración de privacidad y seguridad más estricta activada por defecto.
- Evaluaciones periódicas de riesgos (diseño, funciones, sistemas de recomendación, interacción entre usuarios) y reportes estadísticos para las autoridades.
- Un punto de contacto 24/7 para autoridades de procuración e impartición de justicia, con capacidad técnica de actuar de inmediato.
- Conservar la evidencia de cuentas o contenidos retirados al menos 90 días hábiles, y alertar de inmediato a las autoridades cuando haya riesgo para un menor.
Fuente: texto del decreto en el DOF del 14 de octubre de 2026.
Qué hacer antes del 13 de noviembre
- Decide si te toca. Haz la lista de funciones de tu app o sitio donde los usuarios publican, comentan, envían mensajes o suben archivos. Si no hay ninguna, deja constancia de ese análisis y listo.
- Revisa el registro. Si tienes usuarios menores, o no puedes descartarlo, define cómo vas a estimar la edad más allá de la autodeclaración. Hay opciones de menor a mayor intrusión: validación por el adulto que paga, verificación con un tercero, revisión documental solo en casos de riesgo. Elige la mínima que puedas defender.
- Cambia los valores por defecto. Perfiles privados, mensajes solo de contactos, ubicación apagada y sin recomendaciones personalizadas para cuentas nuevas.
- Pon el botón de reporte y un flujo de moderación. Alguien responsable, tiempos de respuesta y un registro de lo que se retira. Ese registro te sirve para la conservación de evidencia de 90 días hábiles.
- Publica tus criterios. Unas reglas de la comunidad en lenguaje claro, con qué se retira y por qué.
- Nombra el contacto para autoridades y documenta cómo te localizan fuera de horario.
- Arma el expediente. El informe del transitorio cuarto pide documentar lo que implementaste: qué funciones tienes, qué cambiaste, en qué fecha y quién es responsable. Aunque no dice a quién entregarlo, tenlo listo.
Lo que sigue abierto
El decreto es un primer paso y lo dice: instruye a la Consejería Jurídica a instalar una mesa de trabajo para preparar propuestas de regulación, sin plazo. Según Expansión (14 de octubre), la presidenta Claudia Sheinbaum dijo que, si las plataformas no cumplen, se pasaría a una ley con sanciones, y el seguimiento quedará a cargo de la Agencia de Transformación Digital y Telecomunicaciones.
Es el mismo patrón que vimos con la Ley de Economía Digital y con la regulación de IA, que todavía no tiene ley general: reglas que llegan por partes y que conviene adelantar antes de que traigan multas. Para la parte de datos, nuestra guía para proteger los datos de tus clientes conforme a la LFPDPPP y el resumen de lo que cambió en la ley de datos en 2025 te ayudan a no resolver un problema creando otro.
Si tu app o tu sitio tiene registro, comentarios o chat, en desarrollo de software ajustamos el registro, la moderación y la privacidad por defecto, y en ciberseguridad te ayudamos a guardar la evidencia y los datos de verificación sin abrir un riesgo nuevo.
