Biometría y CNBV en 2026: el reto ya no es reconocer un rostro

CNBV · IDENTIDAD DIGITAL · BIOMETRÍA

El reconocimiento facial es apenas una parte del problema

Durante años, gran parte de la conversación alrededor de biometría en servicios financieros pudo resumirse en una pregunta: ¿el rostro coincide? La modificación publicada por la Comisión Nacional Bancaria y de Valores (CNBV) el 1 de julio de 2026 obliga a hacer preguntas bastante más difíciles.

¿De dónde se obtuvo la identidad contra la que se está comparando? ¿La biometría fue capturada directamente de la persona? ¿Existen mecanismos para detectar una fotografía, una pantalla u otro intento de simulación? ¿Esa persona ya fue enrolada previamente bajo otra identidad? ¿Quién realizó la captura? ¿Dónde se almacena la biometría? ¿Quién puede consultarla? ¿Es posible identificar una modificación sobre los datos originales? ¿Qué ocurre cuando la institución deja de utilizar la base? ¿Existe suficiente evidencia para reconstruir todo el proceso frente a una revisión?

Estas preguntas explican por qué interpretar la modificación únicamente como “CNBV ya contempla biometría facial” se queda corto. El cambio importante es otro: la biometría empieza a entenderse dentro de una arquitectura donde identificación, captura, validación, enrolamiento, autenticación, seguridad, evidencia y gobierno deben funcionar en conjunto.

Una coincidencia biométrica puede responder si dos muestras parecen pertenecer a la misma persona. Construir confianza requiere demostrar mucho más.

Este artículo tiene fines informativos y tecnológicos y no constituye asesoría jurídica o regulatoria. Para la interpretación aplicable a un caso concreto, consulte a su área jurídica o de cumplimiento y revise el texto oficial de la resolución publicada en el DOF.

1. ¿Qué modificó realmente la CNBV?

La resolución fue publicada en el DOF el 1 de julio de 2026 y modifica las Disposiciones de carácter general aplicables a las instituciones de crédito. CNBV señala como objetivo establecer lineamientos claros, simplificados y homologados para que las instituciones puedan integrar expedientes y realizar procesos de identificación y autenticación de clientes de manera eficiente, obteniendo la información y documentación necesaria para las operaciones y servicios financieros.

Antes de esta modificación, determinadas operaciones presenciales ya exigían verificaciones de huella frente a fuentes como el Instituto Nacional Electoral (INE) y la Secretaría de Relaciones Exteriores (SRE). La propia exposición de motivos reconoce que el marco ya contemplaba datos biométricos como mecanismos de autenticación, pero no contemplaba expresamente biometría facial dentro de estos procesos.

Por eso es incorrecto simplificar el cambio como “antes no se podía usar rostro; ahora sí”. La lectura correcta es más precisa: CNBV incorpora expresamente biometría facial dentro de un conjunto de procesos y fija condiciones técnicas y operativas para utilizarla.

2. La primera pregunta no es “¿tenemos biometría?” sino “¿dónde aplica?”

La resolución no debe interpretarse como una obligación uniforme para cualquier interacción financiera. El artículo 51 Bis se refiere, entre otros supuestos, a personas físicas que presencialmente solicitan operaciones pasivas relacionadas con Cuentas Bancarias Nivel 4, operaciones activas, servicios, y medios de pago relacionados con Cuentas Bancarias Nivel 3 y 4, cuando las cuentas se encuentren abiertas en la propia institución o en otra.

En el esquema de base biométrica propia del artículo 51 Bis 2 también aparecen determinados retiros de efectivo y transferencias con cargo a Cuentas Bancarias Nivel 4.

No todas las operaciones siguen necesariamente el mismo proceso, y el resultado de este mapeo determina qué mecanismo de verificación corresponde en cada caso.

La arquitectura no debería comenzar eligiendo un motor biométrico. Debería comenzar entendiendo el journey regulatorio que debe resolver.

3. Una base biométrica propia cambia el modelo

El artículo 51 Bis 2 permite a la institución, en sustitución de determinados mecanismos previstos por 51 Bis y 51 Bis 1, conformar su propia base biométrica bajo los requerimientos técnicos del Anexo 71, y utilizarla posteriormente para determinados procesos de verificación de identidad.

Pero hay una condición crítica: la identidad no se incorpora a esa base sin una comprobación previa. Para integrar la base, la institución debe verificar la coincidencia de la biometría del cliente frente a registros de:

• Instituto Nacional Electoral (INE);
• Secretaría de Relaciones Exteriores (SRE);
• autoridad fiscal mexicana;
• otra dependencia federal que proporcione servicios de verificación biométrica.

Además, debe conservar evidencia documental del resultado de ese cotejo.

La base propia no debería convertirse en una colección de fotografías cuya identidad no fue correctamente establecida. La confiabilidad de la autenticación futura depende directamente de la confiabilidad del enrolamiento inicial.

4. ¿Qué identificaciones contempla el proceso?

El artículo 51 Bis 2 contempla, entre otros:

• credencial para votar vigente emitida por el INE;
• pasaporte mexicano vigente;
• matrícula consular vigente;
• identificación expedida por otra autoridad fiscal mexicana o dependencia federal, cuando sus biométricos puedan verificarse bajo el mecanismo correspondiente.

5. RENAPO no cumple exactamente la misma función que INE o SRE

Esta distinción debe quedar muy clara.

Biometría responde una parte de la pregunta. Datos oficiales responden otra.

6. El orden de enrolamiento también importa

Este es un punto importante y poco comentado. El Anexo 71 y el artículo 51 Bis 2 establecen que, en la primera captura, deben registrarse primero los biométricos de empleados, directivos y funcionarios que estarán a cargo de capturar los biométricos de clientes. Solo después se capturan los datos biométricos de los clientes.

Además, el proceso debe impedir que un operador registre sus propios biométricos en sustitución de los del cliente. Y el proceso de primera captura debe verificarse anualmente por los responsables de Contraloría Interna.

No solo existe “identidad del cliente”. Existe también identidad del operador y trazabilidad del actor que participa en el enrolamiento.

7. Biometría facial: una selfie no es una identidad

El Anexo 71 establece una serie de requerimientos para la primera captura facial que puede leerse en capas. Cada capa resuelve un problema distinto — desde la unicidad de la persona hasta la calidad técnica de la imagen que se procesará.

Esto demuestra que la regulación no trata “reconocimiento facial” como una sola funcionalidad. Hay al menos cuatro problemas distintos:

Un algoritmo de reconocimiento facial puede ser preciso y aun así formar parte de un proceso de identidad deficiente.

8. Detección facial, liveness y comparación: tres cosas distintas

Confundir estas tres capas es un error frecuente al evaluar tecnología biométrica. La regulación exige que la información biométrica sea obtenida directamente de la persona y que las aplicaciones eviten registrar información proveniente de mecanismos que pretendan simular la biometría de otra persona. Esto aparece en los procedimientos vinculados con INE, pasaporte y matrícula consular.

Entre los ataques de presentación conceptuales que este tipo de controles busca mitigar están la fotografía, la reproducción en pantalla y otros elementos físicos utilizados para simular biometría. Si se menciona la evolución del riesgo digital — como los deepfakes — conviene dejar claro que se trata de una evolución tecnológica del riesgo y no de un término que la resolución utilice de manera expresa.

9. 1:1 y 1:N no resuelven el mismo problema

Una comparación 1:1 puede ser positiva y aun así no responder si la misma persona se encuentra registrada bajo identidades diferentes.

1:1 confirma una relación declarada. 1:N busca relaciones que quizá el usuario no declaró.

10. El 90%: qué significa y qué no significa

Para credencial para votar, la disposición establece que la información biométrica obtenida debe coincidir al menos 90% con los registros del INE, bajo los requisitos técnicos definidos por el Instituto. Para pasaporte mexicano y matrícula consular aparecen comprobaciones equivalentes frente a SRE, bajo los requisitos técnicos correspondientes.

Pero eso no significa que CNBV exija un threshold universal de 90% para cualquier comparación biométrica. El glosario del Anexo define “Comparación” como el proceso algorítmico en el que plantillas biométricas se evalúan mediante puntajes de coincidencia con base en umbrales previamente establecidos por la propia institución.

Un umbral regulatorio no es lo mismo que un umbral operacional.

11. La huella no desaparece: el modelo sigue siendo multibiométrico

La resolución no sustituye huella por rostro. El régimen transitorio permite actualmente conformar bases para huella dactilar y biometría facial, hasta que la Comisión establezca especificaciones para otros biométricos.

El nivel de especificidad demuestra que CNBV contempla la biometría como un sistema completo compuesto por sensor, captura, software, calidad, transmisión, seguridad y proceso — no únicamente algoritmo.

12. Excepciones: el proceso debe funcionar cuando el happy path no funciona

La resolución contempla personas que, por impedimentos físicos, no pueden proporcionar al menos uno de los biométricos requeridos. Esto debe tener procedimientos documentados y constar en el expediente. En huella, el Anexo menciona ejemplos como amputaciones, injertos, malformación, lesión permanente, prótesis, enfermedad u otras circunstancias. Debe capturarse el mayor número de huellas posible y documentar la excepción.

Diseñar únicamente el happy path no es diseñar un proceso regulado.

Relacionado con la experiencia del usuario, una buena arquitectura debe contemplar recapturas, baja calidad, excepciones, intervención humana, rutas alternativas, evidencia y revisión.

13. Seguridad: la regulación llega hasta la infraestructura

La disposición exige preservar integridad, conservación, disponibilidad e imposibilidad de manipulación. El Anexo 71 establece, al menos, los siguientes controles:

14. Base propia no significa base compartida

Esta sección es fundamental para la evaluación de proveedores. La regulación establece que la información contenida en bases biométricas de clientes no debe:

• enajenarse, venderse ni transferirse;
• compartirse ni solicitarse bajo esquemas de intercambio;
• resguardarse para reutilización;
• utilizarse mediante interoperabilidad entre instituciones o terceros

para realizar las verificaciones contempladas por esta sección. Las verificaciones deben realizarse contra la información contenida en la base conformada por cada institución.

Esto abre preguntas arquitectónicas fundamentales para la debida diligencia tecnológica: tenant isolation, residencia, segregación, procesamiento, retención, ownership, permisos, terminación, eliminación y exportabilidad de evidencia. Estas son preguntas de due diligence tecnológica, no requisitos contractuales específicos que la norma establezca de forma expresa.

15. ¿Qué ocurre cuando una base deja de utilizarse?

Cuando una institución decide dejar de utilizar la base, debe:

1. realizar el aviso correspondiente a CNBV mediante el Anexo 75, dentro del supuesto y plazo aplicable;
2. suprimir los datos biométricos;
3. utilizar medidas administrativas, técnicas y físicas que impidan recuperación, acceso o tratamiento no autorizado;
4. conservar evidencia documental del procedimiento.

La capacidad de borrar correctamente puede ser tan importante como la capacidad de capturar correctamente.

El offboarding también forma parte de la arquitectura. Una institución que sustituye componentes de su stack debería evaluar desde el inicio qué información reside con el proveedor, cuál reside en infraestructura propia, cómo se segrega, cómo se conserva evidencia, cómo se realiza la terminación, qué debe eliminarse y qué debe mantenerse por razones regulatorias u operativas. Esto no constituye asesoría jurídica sobre portabilidad de datos.

16. Cumplimiento continuo: implementar no es terminar

La institución que conforme una base debe realizar anualmente una validación respecto de los mecanismos de seguridad señalados en el Anexo 71. Después debe enviar a CNBV, dentro del periodo correspondiente, las acciones para atender las desviaciones identificadas. La Comisión puede solicitar información adicional. Ante incumplimientos técnicos, operativos o de seguridad graves o reiterados, puede — previo el procedimiento correspondiente — instruir la suspensión parcial o total, temporal o definitiva, del uso de la base.

Además, el proceso de primera captura debe verificarse anualmente por Contraloría Interna — una revisión distinta de la validación de seguridad.

El cumplimiento biométrico es un sistema operativo continuo, no un proyecto de implementación.

17. Evidencia: un “match” no es suficiente

La resolución exige evidencia documental en diferentes momentos: cotejo contra autoridades, procesos de conformación, mecanismos alternativos, excepciones, eliminación de datos y acciones correctivas.

Una arquitectura enterprise debería poder contestar:

18. El Anexo 75 conecta tecnología con gobierno regulatorio

Diferentes acciones requieren avisos o solicitudes mediante formatos del Anexo 75. Entre ellos aparecen supuestos relacionados con el inicio del uso de una base, bases existentes al entrar en vigor la resolución, mecanismos alternativos, documentos y verificaciones alternativas, y el cese del uso de determinados mecanismos o bases.

La arquitectura técnica y el expediente regulatorio no deberían construirse por separado.

19. La regulación no cierra la puerta a la innovación

El artículo 51 Bis 3 permite que CNBV autorice procesos distintos de los contemplados para la conformación de la base. La institución debe presentar, entre otros:

• descripción detallada del mecanismo;
• aprobación por Consejo;
• infraestructura tecnológica en cada parte del proceso;
• medios de transmisión y de resguardo;
• controles de integridad, correcta lectura e imposibilidad de manipulación;
• conservación y disponibilidad.

La institución debe conservar evidencia del resultado del cotejo con autoridades.

20. También pueden plantearse documentos y acciones de verificación diferentes

El artículo 51 Bis 5 permite que CNBV autorice documentos de identificación distintos y acciones de verificación distintas. Debe acreditarse que el resultado es fiable para identificar a la persona, y que existe algún elemento de identificación validado frente a una autoridad fiscal mexicana o dependencia federal que proporcione verificación biométrica.

La solicitud debe incluir, entre otros: descripción detallada; aprobación por Consejo; infraestructura tecnológica; método de validación documental; procedimiento para comprobar que el documento corresponde al portador; y evidencia de efectividad aprobada por el Comité de Riesgos. Cambios posteriores sobre el procedimiento pueden requerir nueva autorización.

Para una institución, innovación tecnológica también significa ser capaz de explicar y demostrar el diseño.

21. Una conversación que involucra a toda la institución

Cuando la identidad se convierte en infraestructura, deja de pertenecer a una sola área.

22. 13 preguntas para evaluar —o sustituir— a un proveedor biométrico

1. 1

   ¿La arquitectura permite que nuestra información biométrica permanezca correctamente aislada?

2. 2

   ¿Dónde se procesa y dónde se almacena?

3. 3

   ¿Qué mecanismos de liveness/PAD utiliza y qué evidencia independiente existe sobre ellos?

4. 4

   ¿Soporta los requerimientos de captura que nuestro proceso necesita?

5. 5

   ¿Permite autenticación biométrica 1:1?

6. 6

   ¿Tiene capacidad real para deduplicación 1:N cuando resulta necesaria?

7. 7

   ¿Cómo se integra con INE, RENAPO u otras fuentes que nuestro proceso requiera?

8. 8

   ¿Qué evidencia genera por cada operación?

9. 9

   ¿Cómo protege la información en tránsito y almacenamiento?

10. 10

    ¿Qué controles existen sobre usuarios privilegiados, logs y auditoría?

11. 11

    ¿Puede incorporarse a nuestra infraestructura sin reconstruir el flujo completo?

12. 12

    ¿Puede coexistir temporalmente con componentes o proveedores existentes durante una transición?

13. 13

    ¿Cómo se gestiona el ciclo de vida del dato cuando cambia la arquitectura o termina la relación?

Podemos analizar qué capacidades ya tiene su institución, cuáles necesita complementar y qué componentes tendría sentido evolucionar.

23. Del cumplimiento a la arquitectura tecnológica

Cómo un requerimiento regulatorio puede traducirse a capacidades tecnológicas — no es una lista de lo que CNBV exige de JAAK.

24. ¿Dónde entra JAAK?

En JAAK desarrollamos infraestructura de identidad digital. Nuestro enfoque no parte de asumir que todas las instituciones necesitan exactamente el mismo flujo, sino de combinar capacidades de identidad, biometría, fuentes, riesgo y evidencia de acuerdo con la arquitectura y el proceso que se necesita resolver.

Una institución puede necesitar una arquitectura completa o únicamente sustituir o complementar un componente determinado. La modularidad permite pensar la identidad como infraestructura, no como un flujo cerrado.

25. Capacidades complementarias: más allá de esta resolución

JAAK también dispone de capacidades como listas AML/riesgo, firma digital, evidencia certificada, NOM-151 y otras capas del journey de confianza.

Pueden ser complementarias porque, en la práctica, una institución puede verificar identidad biométrica y posteriormente evaluar señales de riesgo, firmar y conservar evidencia:

Eso construye un journey más amplio, pero no debe mezclarse con la obligación biométrica concreta que analiza este artículo. Quien quiera profundizar en firma digital con validez NOM-151 puede revisar qué es la NOM-151 y por qué importa en contratos digitales, y en listas de riesgo AML/PLD, la página de listas de riesgo PLD/AML.

26. Tecnología adaptable: sustituir un componente no debería exigir reconstruir todo

Las instituciones rara vez parten de una hoja en blanco. Existen canales en producción, core systems, aplicaciones móviles, portales, motores antifraude, repositorios, reglas y proveedores que ya forman parte de la operación.

Por eso una tecnología enterprise debe considerar integración gradual, coexistencia, modularidad, desacoplamiento, APIs, SDKs, despliegue, migración, observabilidad, continuidad y evolución.

La viabilidad técnica, el modelo de transición y las obligaciones regulatorias deben evaluarse para cada arquitectura.

27. Tecnología con evidencia

Puede revisar el detalle de estas certificaciones y otros controles de seguridad en la página de seguridad de JAAK.

28. Una arquitectura de confianza no termina en KYC

Cada capa puede operar dentro de una arquitectura integral o incorporarse únicamente donde la institución necesite complementar, sustituir o desarrollar una capacidad.

El reto ya no es reconocer un rostro

La actualización de CNBV deja una idea especialmente relevante para cualquier institución que esté revisando su infraestructura de identidad: una biometría confiable depende de mucho más que un algoritmo de comparación.

Requiere enrolamiento, presencia, calidad, fuente oficial, autenticación, deduplicación, infraestructura, seguridad, gobierno, evidencia, revisión y capacidad de evolución.

El reto ya no es reconocer un rostro. Es construir la arquitectura que permite confiar en él y demostrar por qué.

Fuentes y referencias

• Resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito (biométricos), Diario Oficial de la Federación, 1 de julio de 2026.
• Artículo 51 Bis de las Disposiciones de carácter general aplicables a las instituciones de crédito.
• Artículo 51 Bis 2 — conformación de base biométrica propia.
• Artículo 51 Bis 3 — autorización de procesos distintos.
• Artículo 51 Bis 4.
• Artículo 51 Bis 5 — documentos y acciones de verificación alternativas.
• Anexo 71 — requerimientos técnicos de captura, calidad, infraestructura y seguridad biométrica.
• Anexo 75 — formatos de aviso y solicitud ante CNBV.
• Artículos transitorios de la resolución modificatoria.

No se incluye un hipervínculo a la publicación oficial del DOF por no contar con acceso verificado a la URL exacta al momento de la publicación de este artículo. Se recomienda consultar el texto oficial directamente en dof.gob.mx.