Ciudad de México, 10 de agosto de 2026.- La forma en que los bancos comprueban la identidad de sus clientes entra en una nueva etapa en México. Las instituciones de crédito tendrán 90 días hábiles para adecuar sus procesos de verificación biométrica, bajo disposiciones que incorporan la biometría facial y establecen nuevos controles para el manejo de información sensible.
La modificación a las disposiciones aplicables a las instituciones de crédito fue publicada en el Diario Oficial de la Federación y corresponde a una resolución impulsada por la Secretaría de Hacienda y Crédito Público (SHCP) y la Comisión Nacional Bancaria y de Valores (CNBV), de acuerdo con un análisis elaborado por la empresa especializada en identidad digital Identy.io.
Para los usuarios, el cambio va más allá de una actualización tecnológica interna de los bancos. Implica nuevas formas de acreditar la identidad en operaciones financieras y coloca en el centro una cuestión especialmente sensible: cómo deberán protegerse los datos biométricos de millones de clientes.
El rostro se suma a la verificación biométrica
Uno de los principales cambios descritos es la incorporación de la biometría facial como mecanismo de verificación, complementario al esquema existente de huella dactilar.
El documento señala un umbral mínimo de coincidencia de 90% contra registros del Instituto Nacional Electoral (INE), la Secretaría de Relaciones Exteriores (SRE) u otras autoridades federales autorizadas.
En términos prácticos, el rostro adquiere mayor relevancia como elemento para comprobar digitalmente la identidad de una persona.
El análisis también contempla las llamadas pruebas de vida o liveness, utilizadas para determinar que frente al sistema existe una persona real y no solamente una fotografía, video u otra representación.
Los bancos podrán construir sus propias bases biométricas
Otro de los cambios con mayores implicaciones para los usuarios es la posibilidad de que las instituciones financieras construyan bases de datos biométricas propias.
Esta facultad estará acompañada de obligaciones de protección y gobierno de la información.
De acuerdo con el documento, los bancos tendrán prohibido compartir o comercializar esa información con terceros y deberán someter sus sistemas a auditorías periódicas de ciberseguridad.
Entre las medidas señaladas se encuentran el cifrado de información, la segregación en infraestructura dedicada, los controles de acceso y el borrado seguro.
La protección de estas bases será particularmente relevante porque los datos biométricos tienen una característica que los diferencia de una contraseña convencional: están vinculados a características físicas utilizadas para identificar a una persona.
Por ello, la discusión no solamente estará en qué tan sencillo resulte identificarse mediante el rostro o una huella, sino en cómo se almacenará, administrará y protegerá esa información.
Verificar a una persona no es lo mismo que identificarla
El cambio también abre una discusión tecnológica dentro del sistema financiero.
Los mecanismos tradicionales utilizados en procesos de conocimiento del cliente —conocidos como KYC— pueden realizar una comparación 1:1: toman la biometría presentada por una persona y la contrastan con un registro determinado.
La pregunta que intenta resolver ese procedimiento es relativamente sencilla: ¿esta persona es quien dice ser?
Sin embargo, existen sistemas capaces de realizar otra operación mucho más amplia.
El análisis de Identy.io plantea el uso de plataformas ABIS (Automated Biometric Identification System), diseñadas para trabajar con distintas modalidades biométricas y realizar búsquedas sobre bases completas de identidades.
Aquí aparece un concepto relevante: la deduplicación biométrica.
En lugar de comparar únicamente a una persona contra un registro previamente seleccionado, un sistema de este tipo puede buscar si esa misma biometría aparece dentro de una base de datos vinculada a otra identidad.
La diferencia puede ser importante para detectar registros duplicados o determinados intentos de fraude, aunque también incrementa las exigencias de seguridad y gobierno de la información.
Una identidad para sucursal, app, cajero y otros servicios
La transformación podría ir más allá del momento en que una persona abre una cuenta o realiza determinada operación.
El documento plantea un modelo en el que una identidad previamente verificada pueda reutilizarse de manera segura en diferentes canales de una institución financiera.
Entre ellos aparecen sucursales, aplicaciones móviles, cajeros automáticos, portales web y puntos de venta, evitando repetir desde cero todo el proceso de identificación cada vez que el cliente cambia de canal.
La arquitectura propuesta contempla varias etapas: capturar la biometría, verificarla, identificar posibles duplicidades, vincular la identidad mediante mecanismos de autenticación multifactor y reutilizar posteriormente esa identidad.
El análisis también considera que, en el futuro, este tipo de infraestructura podría incorporar otras modalidades biométricas, como iris o palma de la mano.
Esto último no representa una obligación establecida actualmente, sino una posibilidad tecnológica planteada por Identy.io ante futuras modificaciones regulatorias y cambios del mercado.
¿Qué cambia realmente para los usuarios?
En el corto plazo, buena parte del trabajo ocurrirá dentro de las instituciones financieras.
Los bancos tendrán que adaptar procesos, infraestructura y mecanismos de seguridad durante el periodo establecido para realizar las adecuaciones.
Para los clientes, el cambio podría traducirse gradualmente en una presencia mayor de la verificación facial y otros mecanismos biométricos al acreditar su identidad frente a una institución financiera.
La otra parte del cambio será menos visible, pero probablemente más importante: qué sucede con la información después de ser capturada.
Quién puede acceder a ella, cómo se cifra, dónde se almacena, cuánto tiempo permanece disponible y cómo se elimina serán cuestiones centrales para determinar la seguridad de los nuevos sistemas.
El reto va más allá de los 90 días
Identy.io sostiene que las instituciones deberían aprovechar el periodo de adecuación para construir infraestructura capaz de soportar futuras modificaciones regulatorias, en lugar de implementar soluciones destinadas únicamente a cumplir con la obligación inmediata.
Esa posición debe distinguirse de las disposiciones regulatorias: se trata de la recomendación tecnológica de una empresa dedicada precisamente al desarrollo de soluciones de identidad biométrica.
La compañía tiene operaciones en México y otros países y ofrece tecnologías de verificación de identidad mediante biometría móvil sin contacto.
Para el ciudadano, sin embargo, la discusión es más sencilla y al mismo tiempo más profunda.
El rostro, la huella y otros identificadores físicos pueden facilitar la comprobación de identidad y fortalecer determinados controles contra el fraude, pero también convierten la protección de esa información en una responsabilidad crítica.
Los bancos tienen 90 días hábiles para realizar las adecuaciones correspondientes.
La discusión que permanecerá después de ese plazo será cómo aprovechar la biometría para comprobar identidades y combatir el fraude sin convertir los datos biométricos de los usuarios en un nuevo punto vulnerable del sistema financiero.
