ProceSAR perfila a empresa extranjera para operar base de datos del ahorro para el retiro

Pese a encontrarse inmersa en una investigación formal por presuntas irregularidades contables ante la Comisión de Bolsa y Valores de Estados Unidos (SEC, por sus siglas en inglés) y bajo la jurisdicción de estatutos extraterritoriales de vigilancia de ese país, la multinacional estadounidense Kyndryl fue elegida como la primera opción para operar el centro de datos y administrar la infraestructura medular del Sistema de Ahorro para el Retiro (SAR).

Así lo comprueba un documento interno de ProceSAR, S.A. de C.V. —la empresa operadora que concentra y procesa los recursos del sistema de pensiones mexicano— obtenido en exclusiva por Animal Político. La presentación corporativa, titulada «Evaluación de participantes en el proceso de selección del centro de datos (RFP)» y fechada en octubre de 2026, muestra cómo los comités evaluadores otorgaron a Kyndryl una calificación perfecta en su análisis de riesgos operativos, omitiendo la crisis corporativa que atraviesa la tecnológica en Wall Street y desestimando el riesgo de soberanía que implica someter el expediente financiero de más de 70 millones de trabajadores a legislaciones como el CLOUD Act y el Patriot Act de Estados Unidos, dos leyes federales de ese país que amplían los poderes de investigación y el acceso a la información por parte de las autoridades.

Lee: En el uso de las Tecnologías de la Información y la Comunicación, ¿dónde estamos?

La licitación interna: Kyndryl se impone por la mínima sobre KIO

El proceso de contratación privada mediante solicitud de propuestas involucró a tres competidores del sector de tecnologías de la información: la multinacional Kyndryl, la firma mexicana KIO (a través de SixSigma Networks México) y la empresa Atalait.

De acuerdo con el desglose presentado el 15 de septiembre de 2026 ante los Comités de Auditoría y Seguridad Informática y de Riesgo Operativo de ProceSAR, y consolidado formalmente a finales de dicho mes, las evaluaciones ponderadas arrojaron una victoria ajustada a favor del proveedor estadounidense:

Con un total de 85.8%, Kyndryl superó a KIO (84.4%) por apenas 1.4 puntos porcentuales, gracias a la ventaja obtenida en el componente técnico. El documento interno obtenido por Animal Político, certifica que el Comité de Administración aprobó el dictamen el 29 de septiembre e instruyó turnar el proyecto al Consejo de Administración para su ratificación definitiva.

El acuerdo final asentado en el acta manifiesta la postura de ProceSAR: «Se ratifica el resultado del proceso de selección del Centro de Datos para ProceSar, S.A. de C.V, que designa como Primera opción para la Contratación correspondiente a Kyndryl y como Segunda opción a SixSigma Nettwork Mexico, KIO, instruyéndose a la Administración que se notifique lo conducente a los Proveedores referidos, en el entendido que de no formalizarse el Contrato respectivo en un plazo de 30 días naturales con la Primera Opción, ProceSar podrá concluir el proceso e iniciar el proceso de Contratación con la Segunda Opción».

Lee más: Cómo vamos en el uso de las tecnologías de la información en México

La SEC, Kyndryl, y el riesgo para la soberanía de datos

El contraste más revelador del documento interno de ProceSAR, radica en la matriz de evaluación de riesgo, donde Kyndryl obtuvo una calificación perfecta de 30% sobre 30% posible. Esta evaluación de “cero contingencias” ocurre a contracorriente de los hechos registrados en los mercados bursátiles y regulatorios de Estados Unidos. A principios de año, Kyndryl Holdings, Inc. reveló formalmente que se encuentra sujeta a un requerimiento de información e indagatoria activa (inquiry) por parte de la Comisión de Bolsa y Valores de EE. UU. (SEC). Las pesquisas federales se centran en presuntas maniobras contables para inflar el flujo operativo mediante el aplazamiento artificial de pagos a proveedores entre cierres trimestrales, así como en fallas estructurales y materiales en sus controles financieros internos. Las repercusiones corporativas de la investigación fueron inmediatas:

1. Colapso bursátil: Tras anunciar que era incapaz de presentar a tiempo su balance trimestral (Formulario 10-Q) ante el regulador, las acciones de Kyndryl en la Bolsa de Nueva York (NYSE: KD) sufrieron una caída en picada de entre el 52% y el 55% en una sola jornada, evaporando más de la mitad de su capitalización de mercado en cuestión de horas.
2. Salida de altos directivos: La propia empresa reconoció ante la SEC ‘debilidades materiales’ en sus controles internos contables y de métricas financieras, lo que desató revisiones regulatorias y una reestructura interna en áreas de supervisión y finanzas.
3. Litigios colectivos masivos: Fondos de inversión y accionistas iniciaron demandas colectivas (class actions) contra la corporación por presunto fraude bursátil y divulgación engañosa.

Pese a este entorno financiero documentado y público, el expediente revela que las aclaraciones adicionales solicitadas a Kyndryl por los comités de ProceSAR se limitaron estrictamente a aspectos procedimentales: ratificar su conformidad con el clausulado del pliego, detallar sus marcos de gobernanza informática ITIL y COBIT, exhibir su catálogo tarifario para eventuales servicios extraordinarios y comprobar sus convenios mercantiles de conectividad en redes MPLS y SDWAN. En ningún apartado del documento se abordó la solvencia corporativa, la investigación de la SEC o la viabilidad a largo plazo del proveedor.

La amenaza a la soberanía de datos: CLOUD Act y Patriot Act

Más allá del desempeño financiero de la empresa, la adjudicación proyectada a Kyndryl abre una brecha en la custodia de la Base de Datos Nacional del SAR (BDNSAR). Esta plataforma resguarda el patrimonio acumulado de más de 70 millones de trabajadores en México, consolidando información sensible como Claves Únicas de Registro de Población (CURP), Registros Federales de Contribuyentes (RFC), historiales salariales y semanas de cotización, saldos acumulados, identificación de beneficiarios y registros biométricos (huellas dactilares y reconocimiento facial).

La contratación de una compañía cuya matriz reside en territorio estadounidense activa la aplicación extraterritorial del CLOUD Act (Clarifying Lawful Overseas Use of Data Act), promulgado en EE. UU. en 2018. Este instrumento legal rompe el principio tradicional de soberanía territorial: faculta a los tribunales federales, agencias de procuración de justicia y dependencias del gobierno estadounidense a exigir a cualquier compañía bajo su jurisdicción la entrega de registros, metadatos y contenidos que se encuentren bajo su posesión, custodia operativa o control lógico, sin importar si los servidores físicos y las bases de datos radican físicamente en México.

A este marco se suman las atribuciones de seguridad nacional amparadas en la Ley FISA (Foreign Intelligence Surveillance Act) y la Ley Patriota (USA PATRIOT Act), las cuales permiten la emisión de requerimientos confidenciales de información mediante Cartas de Seguridad Nacional (National Security Letters). Estas órdenes se ejecutan bajo mandatos judiciales de estricta reserva (gag orders) que prohíben por ley a la empresa contratista notificar a sus clientes extranjeros —en este caso, ProceSAR o el Estado mexicano— sobre la entrega de la información intervenida.

De materializarse una orden judicial emitida en Washington exigiendo acceso a registros del SAR, Kyndryl quedaría atrapada en un conflicto entre legislaciones:

Te podría interesar: México sube 13 lugares en ranking sobre tecnologías de la información

• Violación a la ley mexicana: La entrega unilateral de información configuraría una transgresión directa al secreto fiduciario contemplado en la Ley de los Sistemas de Ahorro para el Retiro (LSAR) y la Ley de Instituciones de Crédito, además de incurrir en transferencias ilícitas bajo la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) y la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados.

 

• Elusión de los tratados internacionales: El CLOUD Act está diseñado deliberadamente para eludir los Tratados de Asistencia Jurídica Mutua (MLAT). En un esquema soberano, una autoridad extranjera debe tramitar su petición mediante la Fiscalía General de la República (FGR) mexicana; bajo el esquema de contratación con Kyndryl, la orden se ejecuta de forma directa sobre la empresa en tribunales de EE. UU.

Servidores físicos en KIO, jurisdicción extranjera

El análisis de la documentación de ProceSAR arroja un detalle operativo que evidencia la vulnerabilidad creada por el modelo contractual. Para acreditar la capacidad física de su propuesta, Kyndryl no ofreció infraestructura inmobiliaria propia, sino que subarrendó espacio a su principal rival: «Contrato con el dueño del inmueble (KIO): Remitió documentación que acredita que tiene celebrado un convenio con el Centro de Datos propuesto, constatando el compromiso de servicio y la ubicación de su propuesta».

Este esquema revela una paradoja técnica y jurídica:

1. Los fierros se quedan en México: La infraestructura física, los racks y los servidores operarán materialmente en las instalaciones de KIO en territorio nacional.
2. El control legal migraría a los Estados Unidos: Al ostentar Kyndryl el contrato principal y la administración de los sistemas, la titularidad operativa del servicio recae en una firma sujeta a los tribunales estadounidenses.

La designación de Kyndryl como primera opción para operar el centro de datos de ProceSAR sitúa la gestión de la base de datos del SAR bajo la jurisdicción de una corporación sujeta a la regulación de Estados Unidos y a investigaciones de la SEC. Aunque la infraestructura física propuesta se localiza en México a través de un convenio con KIO, la titularidad del contrato vincula la custodia operativa a leyes extraterritoriales como el CLOUD Act, lo que faculta a tribunales estadounidenses a requerir información de las cuentas individuales sin recurrir a los mecanismos judiciales mexicanos o a tratados bilaterales.

ProceSAR es una sociedad anónima de capital variable, y es dirigida desde hace 16 años por Jaime Díaz Tinoco, quien fue nombrado en el sexenio de Felipe Calderón. Opera como una Empresa Operadora de la Base de Datos Nacional del SAR (BDNSAR) al amparo de una concesión administrativa otorgada por el Gobierno Federal mexicano conforme a la Ley de los Sistemas de Ahorro para el Retiro. La ley establece que la información y la Base de Datos Nacional del SAR son propiedad exclusiva del Estado mexicano, mientras que ProceSAR únicamente tiene a su cargo la operación, almacenamiento, interconexión y procesamiento del sistema de cuentas individuales.