La Comisión Nacional Bancaria y de Valores (CNBV) actualizó las disposiciones aplicables a la verificación de identidad en determinadas operaciones bancarias. La reforma incorpora nuevas posibilidades para utilizar biometría facial y establece requisitos técnicos, operativos y de seguridad que las instituciones deben considerar en sus procesos de identificación.
Publicada en el Diario Oficial de la Federación (DOF) el 1 de julio de 2026, la resolución modifica diversos artículos de las Disposiciones de carácter general aplicables a las instituciones de crédito, conocidas como Circular Única de Bancos (CUB), e incorpora una nueva versión del Anexo 71.
Uno de los aspectos más relevantes es el plazo transitorio de 90 días hábiles para realizar las adecuaciones correspondientes, contado a partir de la entrada en vigor de la resolución.
Para las instituciones bancarias, el cambio representa una oportunidad para revisar sus mecanismos de identificación, evaluar la seguridad de sus procesos biométricos y fortalecer la forma en que verifican la identidad de sus clientes.
¿Qué cambió con la regulación de biometría facial de la CNBV en 2026?
La verificación de identidad es un componente fundamental de las operaciones bancarias. Permite establecer controles para identificar a las personas que realizan determinadas transacciones, reducir riesgos de suplantación y fortalecer la seguridad de los servicios financieros.
Con la reforma publicada el 1 de julio de 2026, la CNBV actualizó las disposiciones relacionadas con el uso de información biométrica, incorporando expresamente nuevas opciones de verificación facial en los supuestos previstos por la regulación.
Anteriormente, diversas disposiciones se encontraban orientadas principalmente al uso de huellas dactilares. La actualización amplía las alternativas tecnológicas y establece condiciones para el uso de información facial.
Sin embargo, la reforma no significa que todos los bancos estén obligados a sustituir la huella dactilar por reconocimiento facial. Las instituciones deben identificar qué disposiciones les resultan aplicables y qué mecanismos pueden utilizar conforme a sus operaciones y procedimientos autorizados.
Los principales cambios se concentran en tres aspectos:
- Verificación biométrica: incorporación de nuevas posibilidades para utilizar información facial en los procedimientos regulados de identificación.
- Bases biométricas propias: establecimiento de condiciones para conformar, utilizar y proteger registros biométricos de clientes.
- Requisitos técnicos y de seguridad: actualización del Anexo 71, que contempla controles relacionados con captura, comparación biométrica, prevención de suplantación, infraestructura y protección de la información.
La reforma modifica los artículos 51 Bis, 51 Bis 2, 51 Bis 3, 51 Bis 4 y 51 Bis 5, además del Anexo 71.
Su alcance debe interpretarse dentro de las disposiciones aplicables a instituciones de crédito y no como una obligación general e indistinta para todas las empresas financieras o tecnológicas del país.
Línea del tiempo CNBV 2026: fechas y plazos de implementación
La publicación de la reforma establece distintos momentos que las instituciones deben distinguir para planear sus adecuaciones.
No todos los plazos corresponden a la misma obligación. Algunos se relacionan con la entrada en vigor de la regulación, mientras que otros dependen de la existencia de bases biométricas o de determinados procedimientos.
1 de julio de 2026: publicación en el Diario Oficial de la Federación
La resolución se publica oficialmente y da a conocer las modificaciones a la Circular Única de Bancos.
A partir de esta publicación, las instituciones pueden identificar las disposiciones modificadas, revisar sus procesos actuales y determinar qué ajustes técnicos, documentales y operativos necesitan realizar.
2 de julio de 2026: entrada en vigor
La resolución entra en vigor al día siguiente de su publicación.
Esta fecha constituye el punto de referencia para el cómputo de los plazos transitorios establecidos en el documento.
Desde ese momento, las instituciones deben considerar las nuevas disposiciones y las condiciones de adecuación correspondientes.
Agosto de 2026: plazo de aviso para bases biométricas preexistentes
La resolución contempla un plazo transitorio de 30 días naturales para las instituciones que ya contaban con bases biométricas en los supuestos regulados.
Este plazo corresponde a la presentación del aviso aplicable ante la CNBV y debe distinguirse del periodo general de adecuación.
Las instituciones que se encontraban en esta situación deben verificar que el aviso correspondiente haya sido presentado y conservar la documentación que permita acreditarlo.
Octubre de 2026: etapa final de revisión y adecuación
Durante octubre, las instituciones sujetas a la reforma deben prestar especial atención al estado de sus adecuaciones, considerando la proximidad del vencimiento del plazo general.
En esta etapa resulta relevante comprobar que los mecanismos de captura, comparación biométrica, seguridad y documentación cumplen los requisitos aplicables.
También es importante identificar posibles desviaciones, asignar responsables y documentar las medidas implementadas.
Vencimiento del plazo general: 90 días hábiles
El régimen transitorio establece un plazo máximo de 90 días hábiles, contado a partir de la entrada en vigor, para realizar las adecuaciones previstas.
El cómputo debe considerar los días inhábiles aplicables a la CNBV. Por ello, la fecha exacta de vencimiento debe verificarse con el calendario oficial correspondiente y no calcularse únicamente a partir de días de lunes a viernes.
Este plazo no debe confundirse con los avisos específicos previstos para las bases biométricas.
La principal recomendación para las instituciones es no esperar al vencimiento para comprobar su nivel de preparación. La implementación de controles biométricos puede involucrar ajustes de infraestructura, procedimientos operativos, pruebas de seguridad y documentación regulatoria.
¿Qué establece el Anexo 71 de la CNBV sobre biometría facial?
Uno de los componentes más relevantes de la reforma es la actualización del Anexo 71, que establece especificaciones técnicas relacionadas con los mecanismos de verificación biométrica.
Su importancia radica en que el uso de reconocimiento facial no depende únicamente de contar con un algoritmo capaz de comparar imágenes.
También requiere condiciones de captura, controles para prevenir la suplantación, mecanismos de calidad y medidas de protección de la información.
Captura y calidad de la imagen facial
La calidad de la información biométrica influye directamente en la confiabilidad de los procesos de comparación.
Por ello, el Anexo 71 contempla especificaciones para la primera captura facial, incluyendo características de la imagen, condiciones de iluminación, posición del rostro y controles de calidad.
Entre los parámetros previstos se encuentran la captura frontal de imágenes bidimensionales a color y requisitos de resolución, como una distancia mínima de 90 píxeles entre los ojos en los supuestos establecidos.
También se contemplan mecanismos automáticos para evaluar la calidad de la captura.
Estos controles permiten reducir problemas asociados con imágenes incompletas, condiciones inadecuadas de iluminación o capturas que no reúnen las características necesarias para el procesamiento biométrico.
Es importante distinguir los requisitos de primera captura de aquellos aplicables a la autenticación posterior, ya que no necesariamente son idénticos.
Prueba de vida y prevención de suplantación
Una fotografía facial puede proporcionar información útil para realizar una comparación biométrica, pero los sistemas de verificación también deben considerar los intentos de suplantación.
Entre los escenarios que pueden afectar estos procesos se encuentran la presentación de fotografías, videos, máscaras y otros medios utilizados para intentar engañar a un sistema biométrico.
La prueba de vida, también conocida como liveness detection, permite evaluar señales relacionadas con la presencia genuina de una persona durante la captura.
El Anexo 71 incorpora requisitos para mecanismos de detección de ataques de presentación y referencias a evaluaciones técnicas, entre ellas ISO/IEC 30107-3, en los supuestos correspondientes.
Estos mecanismos forman parte de una estrategia de seguridad biométrica y deben evaluarse conforme a las condiciones técnicas exigibles.
Comparación biométrica 1:1 y deduplicación 1:N
La regulación también hace relevante distinguir dos operaciones biométricas que cumplen funciones diferentes.
Comparación 1:1: permite evaluar si el rostro capturado corresponde a una referencia biométrica determinada, como la fotografía asociada a una identidad previamente registrada.
Identificación o deduplicación 1:N: permite comparar una captura contra múltiples registros dentro de una base biométrica para identificar posibles coincidencias.
La comparación 1:1 resulta útil en procesos de verificación o autenticación, mientras que la deduplicación 1:N permite detectar posibles registros duplicados o asociaciones indebidas dentro de una base.
El Anexo 71 contempla requisitos específicos relacionados con estas capacidades, por lo que las instituciones deben determinar cuáles resultan aplicables a sus procesos.
Seguridad y protección de la información biométrica
La implementación de tecnología biométrica también requiere proteger la información que se captura, procesa y almacena.
El Anexo 71 contempla controles de seguridad relacionados con:
- Cifrado de información almacenada y transmitida.
- Restricción de accesos a personal autorizado.
- Segregación lógica de información y controles sobre infraestructura.
- Configuración segura de sistemas y equipos.
- Evaluación de vulnerabilidades y pruebas de seguridad.
- Protección contra extracción o copia no autorizada.
- Integridad, conservación y eliminación segura de información.
Estos requisitos muestran que la seguridad biométrica no depende exclusivamente de la precisión del reconocimiento facial, sino también de la infraestructura, los procedimientos y los controles que respaldan su funcionamiento.
Verificación de identidad bancaria: cómo se complementan biometría facial, OCR y consultas oficiales
La verificación de identidad puede fortalecerse mediante la combinación de diferentes mecanismos tecnológicos que permiten contrastar la información de una persona desde distintas fuentes.
En este contexto, la biometría facial, la prueba de vida, el reconocimiento óptico de caracteres (OCR), la validación documental y las consultas oficiales cumplen funciones complementarias.
Su integración permite construir procesos en los que no se depende únicamente de una imagen o de un dato declarado por el usuario.
Biometría facial y prueba de vida: verificar a la persona
La biometría facial permite analizar características del rostro para realizar una comparación con una referencia, como la fotografía contenida en una identificación oficial.
Cuando se incorpora prueba de vida, el proceso también puede evaluar señales de presencia genuina durante la captura.
En JAAK, estas capacidades se integran para comparar el rostro de la persona con la imagen de su identificación, mientras se evalúan señales relacionadas con la autenticidad de la captura.
Esto permite fortalecer la verificación de que la persona que participa en el proceso corresponde a la identidad documental presentada.
Tecnología OCR: extraer y procesar la información documental
El reconocimiento óptico de caracteres, conocido como OCR, permite extraer automáticamente información visible de una identificación.
En lugar de depender exclusivamente de la captura manual, esta tecnología facilita el procesamiento de los campos contenidos en el documento.
JAAK utiliza OCR para extraer información de la identificación y permitir su posterior contraste con otros elementos de verificación.
La extracción automatizada también ayuda a identificar inconsistencias entre los datos visibles y la información obtenida de otras fuentes.
Validación del código QR del INE: contrastar la información del documento
Las credenciales para votar pueden incorporar elementos de información que permiten realizar verificaciones adicionales.
JAAK cuenta con capacidades para consultar información asociada al código QR del INE y contrastarla con los datos visibles en la identificación y los extraídos mediante OCR.
Este mecanismo permite comprobar la consistencia entre distintas representaciones de la información documental, según el modelo de credencial y las capacidades del servicio disponible.
De esta manera, la validación del QR complementa la lectura de la identificación y contribuye a detectar posibles inconsistencias en sus datos.
Consultas a fuentes oficiales: INE y RENAPO
Otro componente de la verificación de identidad consiste en contrastar información con fuentes oficiales.
JAAK integra servicios de consulta como INE y RENAPO, que permiten realizar verificaciones adicionales de datos de identidad, según las integraciones habilitadas y el alcance de cada consulta.
Estas verificaciones complementan los resultados de la biometría facial y del procesamiento documental.
Es importante distinguir las consultas de información documental o registral de una comparación biométrica realizada directamente contra una base oficial. Cada mecanismo debe evaluarse conforme al tipo de información consultada y al requisito regulatorio que se busca atender.
Un proceso integral de verificación de identidad
Cuando estas tecnologías se utilizan de manera complementaria, es posible contrastar diferentes señales dentro de un mismo proceso:
- La persona: mediante biometría facial y prueba de vida.
- El documento: mediante captura, lectura OCR y análisis de su información.
- La consistencia documental: mediante validación de elementos como el código QR del INE.
- La información oficial: mediante consultas a servicios como INE y RENAPO.
Este enfoque permite fortalecer la confianza en la identidad verificada, detectar inconsistencias y apoyar decisiones de identificación dentro de procesos digitales.
La combinación de controles no elimina todos los riesgos ni sustituye las obligaciones particulares de cada institución, pero permite establecer una arquitectura de verificación más completa que el uso aislado de un único mecanismo.
Bases biométricas propias: qué pueden hacer los bancos y qué restricciones deben considerar
La reforma también establece condiciones para que las instituciones de crédito conformen y utilicen bases biométricas propias de sus clientes, dentro de los supuestos permitidos por la regulación.
Estas bases permiten conservar referencias biométricas para realizar procesos posteriores de verificación o autenticación, siempre que se cumplan los requisitos técnicos, operativos y de seguridad correspondientes.
Enrolamiento biométrico y autenticación posterior
El enrolamiento biométrico consiste en capturar y registrar información biométrica de una persona para asociarla con una identidad determinada.
Durante este procedimiento, la institución debe implementar los controles de captura, verificación y seguridad que resulten aplicables.
Posteriormente, la información registrada puede utilizarse como referencia para realizar procesos de autenticación, de acuerdo con los mecanismos autorizados y las disposiciones correspondientes.
La calidad del enrolamiento inicial es especialmente importante, ya que una referencia biométrica incorrecta o asociada indebidamente puede comprometer verificaciones posteriores.
¿Se pueden compartir bases biométricas entre instituciones?
La posibilidad de conformar bases biométricas propias no implica que las instituciones puedan compartir o comercializar libremente la información de sus clientes.
La regulación establece restricciones sobre el intercambio, transferencia y reutilización de bases biométricas para los procedimientos de verificación regulados.
Por ello, cada institución debe evaluar cuidadosamente cómo administra la información, qué terceros participan en su tratamiento y cuáles son las condiciones permitidas para su utilización.
¿Qué sucede cuando se contrata a un proveedor tecnológico?
Las instituciones pueden apoyarse en proveedores especializados para implementar componentes tecnológicos de sus procesos de verificación de identidad, considerando las disposiciones aplicables a la contratación de terceros.
Sin embargo, incorporar tecnología externa no elimina las responsabilidades regulatorias que correspondan a la institución.
Es necesario evaluar las capacidades del proveedor, los mecanismos de protección de información, las condiciones contractuales y las evidencias técnicas que permitan demostrar el funcionamiento de los controles implementados.
Checklist CNBV 2026: ¿qué deben hacer las instituciones bancarias para prepararse?
La adecuación a los nuevos requisitos biométricos requiere coordinación entre las áreas de Cumplimiento, Tecnología, Seguridad de la Información, Operaciones, Jurídico y Riesgos.
Aunque las acciones específicas dependerán de los procesos de cada institución, existen siete actividades prioritarias que permiten organizar una revisión integral.
1. Identificar las operaciones sujetas a los nuevos requisitos
El primer paso consiste en determinar cuáles operaciones, canales y procedimientos de identificación se encuentran dentro del alcance de las disposiciones modificadas.
Esta revisión permite establecer qué obligaciones son aplicables y evitar cambios tecnológicos que no respondan a una necesidad regulatoria concreta.
2. Evaluar los mecanismos biométricos existentes
Las instituciones deben revisar sus mecanismos actuales de captura y comparación biométrica.
Es importante identificar qué tecnologías utilizan, cuáles son sus condiciones de operación y si cuentan con las capacidades necesarias para atender los requisitos correspondientes del Anexo 71.
3. Revisar la calidad de captura y los controles contra suplantación
Los procesos de enrolamiento y autenticación deben evaluarse considerando los parámetros técnicos aplicables.
Esto incluye revisar la calidad de las imágenes, los controles de captura, los mecanismos contra ataques de presentación y las evaluaciones técnicas requeridas.
4. Validar los procesos de verificación documental y consultas oficiales
Las instituciones deben identificar cómo verifican la información de las identificaciones y qué mecanismos utilizan para contrastarla con fuentes oficiales.
Esta revisión puede incluir lectura documental, OCR, verificación de elementos de seguridad y consultas a autoridades, según los procedimientos implementados.
También debe comprobarse que el tipo de consulta realizada corresponda al requisito regulatorio específico que se pretende atender.
5. Fortalecer la seguridad de la información biométrica
Es necesario revisar la arquitectura tecnológica, el cifrado, la administración de accesos, la segregación de información y los mecanismos de protección de las bases biométricas.
Asimismo, deben evaluarse los controles de seguridad y las pruebas técnicas previstas por las disposiciones aplicables.
6. Revisar avisos, autorizaciones y documentación
Las instituciones deben verificar si sus procesos requieren avisos ante la CNBV, autorizaciones específicas o documentación adicional.
También deben comprobar el cumplimiento de los plazos correspondientes, especialmente cuando utilizan bases biométricas propias o procedimientos alternativos.
7. Ejecutar pruebas y conservar evidencias
La implementación debe acompañarse de documentación que permita acreditar los controles utilizados y los resultados de las evaluaciones realizadas.
Entre las evidencias relevantes pueden encontrarse procedimientos operativos, resultados de pruebas, documentación de infraestructura, registros de seguridad y constancias de los trámites regulatorios aplicables.
La preparación no termina con la incorporación de una tecnología biométrica. También requiere demostrar que los procesos funcionan bajo las condiciones técnicas, operativas y de seguridad correspondientes.
¿Cómo ayuda JAAK a fortalecer los procesos de verificación de identidad?
La evolución de los requisitos de identidad digital en el sector financiero hace cada vez más importante contar con mecanismos que permitan verificar a las personas, analizar sus documentos y contrastar información con fuentes confiables.
En JAAK desarrollamos tecnología de verificación de identidad que integra diferentes controles dentro de un mismo proceso.
Nuestras capacidades incluyen:
- Biometría facial: comparación del rostro capturado con la fotografía de la identificación presentada.
- Prueba de vida: evaluación de señales de presencia genuina para fortalecer los controles frente a intentos de suplantación.
- Tecnología OCR: extracción automatizada de información contenida en identificaciones oficiales.
- Validación del código QR del INE: consulta y contraste de información documental con los datos visibles y extraídos mediante OCR.
- Consultas a fuentes oficiales: verificación de información mediante servicios como INE y RENAPO, de acuerdo con las integraciones disponibles.
La combinación de estas capacidades permite a las organizaciones construir procesos de verificación que relacionan a la persona, su identificación y la información consultada en fuentes oficiales.
Para las instituciones financieras que están evaluando sus mecanismos de identificación frente a los cambios regulatorios de la CNBV, este enfoque permite analizar distintas capas de verificación dentro de una arquitectura tecnológica integrada.
La adecuación al Anexo 71 debe evaluarse conforme a los requisitos particulares de cada institución y a las capacidades técnicas efectivamente implementadas.
En JAAK ayudamos a las organizaciones a fortalecer sus procesos de identidad digital mediante tecnología que combina verificación biométrica, documental y consultas oficiales.
Preguntas frecuentes sobre biometría facial y CNBV 2026
¿La CNBV obliga a todos los bancos a utilizar reconocimiento facial?
No. La reforma incorpora nuevas posibilidades para utilizar información biométrica facial en determinados procedimientos de verificación de identidad.
Las instituciones deben evaluar las disposiciones que les resultan aplicables y los mecanismos permitidos para cada operación.
La actualización no debe interpretarse como una obligación general de sustituir todas las verificaciones mediante huella dactilar por reconocimiento facial.
¿Cuándo vence el plazo de 90 días hábiles de la CNBV?
La resolución establece un plazo máximo de 90 días hábiles, contado a partir de su entrada en vigor el 2 de julio de 2026, para realizar las adecuaciones previstas.
La fecha exacta debe determinarse considerando el calendario de días inhábiles aplicable a la CNBV.
¿Qué establece el Anexo 71 sobre biometría facial?
El Anexo 71 establece requisitos técnicos relacionados con la captura, calidad, comparación y protección de información biométrica.
También contempla mecanismos de prevención de suplantación, controles de seguridad y especificaciones para determinados procesos de enrolamiento y autenticación.
¿Cuál es la diferencia entre reconocimiento facial y prueba de vida?
El reconocimiento facial permite comparar las características de un rostro con una referencia biométrica.
La prueba de vida evalúa señales relacionadas con la presencia genuina de una persona durante la captura.
Ambos mecanismos pueden utilizarse de manera complementaria para fortalecer los procesos de verificación de identidad.
¿Es obligatorio consultar al INE para verificar la identidad?
La obligación depende de la operación y del procedimiento regulatorio aplicable.
En determinados supuestos, las disposiciones contemplan mecanismos de verificación con registros de autoridades competentes.
Por ello, las instituciones deben identificar qué consultas y procedimientos corresponden a sus operaciones, así como los requisitos técnicos y de autorización asociados.
¿Qué requisitos deben cumplir las bases biométricas propias?
Las instituciones que conformen bases biométricas propias deben atender las disposiciones aplicables en materia de enrolamiento, verificación, seguridad, administración de información y avisos regulatorios.
También deben considerar las restricciones sobre utilización y transferencia de información biométrica.
¿Los bancos pueden contratar proveedores externos para verificar identidades?
Sí, pueden apoyarse en proveedores tecnológicos especializados, siempre que la contratación y los servicios cumplan las disposiciones aplicables.
La institución debe evaluar los controles, capacidades y responsabilidades asociados al servicio contratado.
¿Cómo se complementan OCR, biometría facial y consultas oficiales?
Cada tecnología permite analizar un componente distinto de la identidad.
La biometría facial compara características del rostro; la prueba de vida evalúa señales de presencia genuina; el OCR extrae información documental; y las consultas oficiales permiten contrastar determinados datos con registros de autoridades.
Cuando estos mecanismos se integran, las organizaciones pueden identificar inconsistencias y fortalecer la confiabilidad de sus procesos de verificación.
Conclusión: de la adecuación regulatoria a procesos de identidad más confiables
La reforma publicada por la CNBV el 1 de julio de 2026 representa una actualización importante para los mecanismos de verificación de identidad utilizados en determinadas operaciones bancarias.
La incorporación de nuevas posibilidades de biometría facial y la actualización del Anexo 71 ponen de manifiesto la importancia de evaluar no solamente la tecnología utilizada, sino también las condiciones de captura, los controles contra suplantación, la seguridad de la información y la documentación de los procedimientos.
Con un plazo transitorio de 90 días hábiles, las instituciones deben revisar oportunamente sus obligaciones aplicables, identificar posibles brechas y asegurar que sus procesos cuenten con los controles correspondientes.
En este contexto, la combinación de biometría facial, prueba de vida, validación documental y consultas a fuentes oficiales permite fortalecer la verificación de identidad mediante distintas señales complementarias.
Porque verificar una identidad no consiste únicamente en reconocer un rostro, sino en establecer confianza sobre la persona, su documento y la información que respalda su identidad.
En JAAK desarrollamos soluciones tecnológicas para ayudar a las organizaciones a construir procesos de identidad digital más seguros, confiables y adaptables a sus necesidades operativas.
Conoce cómo JAAK puede fortalecer tus procesos de verificación de identidad
Fuentes oficiales
Diario Oficial de la Federación. Resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito. Publicada el 1 de julio de 2026.
https://sidof.segob.gob.mx/notas/5792307
Comisión Nacional Bancaria y de Valores. Disposiciones de carácter general aplicables a las instituciones de crédito, artículos 51 Bis a 51 Bis 5 y Anexo 71, conforme a la reforma publicada.
El contenido describe el alcance general de la reforma y no sustituye la evaluación jurídica de cada institución.