Tendencias identidad digital 2026: el futuro de la verificación online y el e-ID

El mercado mundial de la identidad digital alcanzará los 49.500 millones de dólares en 2026, con un crecimiento anual compuesto del 17,2 % hasta 2030, según el informe Mordor Intelligence 2025. Para las empresas españolas y europeas, 2026 es un año decisivo: el Reglamento eIDAS 2.0 entra en fase de despliegue operativo, los reguladores como el Banco de España y la CNMV exigen niveles técnicos de fiabilidad cada vez más altos, y la inteligencia artificial redefine por completo qué significa verificar una identidad. Esta guía analiza las cinco tendencias clave que transforman la verificación de identidad online en 2026.

La identidad digital en 2026: un mercado en transformación

El mercado de la identidad digital se bifurca entre la verificación puntual en el onboarding y las arquitecturas de identidad continua y reutilizable. Este cambio estructural está documentado por la ENISA en su Threat Landscape 2025.

Hasta 2023, la mayoría de las empresas trataban la verificación de identidad como un evento único: en el alta del cliente, se verificaba un documento y se validaba una identidad. Este enfoque se ha quedado obsoleto bajo la presión de tres fuerzas simultáneas:

• La regulación (6ª Directiva AML, eIDAS 2.0, MiCA) exige una vigilancia continua, no solo un control inicial en la entrada de la relación de negocio.
• El fraude ha evolucionado hacia ataques de identidad sintética — perfiles construidos combinando datos reales con información falsa — que las verificaciones puntuales no detectan. En 2025, el 56 % de los casos de fraude de identidad implicaban una identidad sintética, frente al 28 % en 2022.
• La experiencia de usuario impone tiempos de onboarding inferiores a 3 minutos para los servicios financieros digitales, frente a los 2 a 5 días de 2021.

Fuentes: ENISA Threat Landscape 2025, Liminal Identity Landscape Report 2025.

eIDAS 2.0 y la Cartera Europea de Identidad Digital (EUDIW)

Los Estados miembros de la UE deben poner a disposición de sus ciudadanos la Cartera Europea de Identidad Digital (EUDIW) antes del 26 de noviembre de 2026, según el Reglamento (UE) 2024/1183 que modifica eIDAS, publicado en el Diario Oficial el 30 de abril de 2024.

La EUDIW es la transformación regulatoria más significativa de la identidad digital en Europa en una década. Permitirá a cada ciudadano y residente de la UE almacenar, gestionar y compartir atributos de identidad verificados — DNI digital, permiso de conducir, títulos académicos, historial médico — de forma segura, sin depender de intermediarios privados como Google o Apple.

Implicaciones concretas para las empresas españolas

Las empresas que realizan verificaciones de identidad online estarán obligadas a aceptar la EUDIW como medio de verificación antes de finales de 2027 en los sectores regulados. Para las entidades sujetas a la normativa española de prevención del blanqueo de capitales — bancos, aseguradoras, intermediarios financieros, notarios, gestorías — esto implica:

1. Integración de flujos EUDIW en los procesos de onboarding existentes. Los sistemas legacy requieren habitualmente entre 4 y 6 meses de integración técnica.
2. Actualización de procedimientos AML/KYC para incorporar los niveles de garantía (LoA) de eIDAS 2.0: «sustancial» para relaciones de negocio de riesgo medio, «elevado» para riesgo alto.
3. Revisión de las políticas de conservación de datos: la EUDIW se basa en el principio de divulgación selectiva (selective disclosure), que modifica qué datos se pueden solicitar y conservar legalmente bajo el RGPD.

España despliega su solución nacional de identidad a través de Cl@ve y el DNIe, que actúan como base de la implementación española de la EUDIW. La Secretaría de Estado de Digitalización e Inteligencia Artificial ha publicado una hoja de ruta para la interoperabilidad con otros Estados miembros.

Para profundizar en las implicaciones regulatorias sobre las obligaciones KYC, consulte nuestra guía sobre verificación documental automatizada.

Biometría IA: de la detección de vivacidad al análisis conductual

La detección de vivacidad (liveness detection) a nivel ISO/IEC 30107-3 PAD (Presentation Attack Detection) es el estándar mínimo para cualquier verificación biométrica a distancia en 2026, según las especificaciones técnicas del Centro Criptológico Nacional (CCN) y las directrices de la Agencia de la Unión Europea para la Ciberseguridad (ENISA).

La inteligencia artificial ha transformado radicalmente el panorama de la verificación biométrica. En 2025, los deepfakes representaron el 6,5 % de los intentos de fraude de identidad online, frente al 0,1 % en 2019, según el iProov Biometric Threat Intelligence Report 2025. Ante esta amenaza, las soluciones biométricas han evolucionado en dos generaciones:

Generación 1 — detección pasiva (2020-2024). Los algoritmos analizaban características estáticas del rostro (textura de la piel, reflejos de luz, artefactos de compresión de vídeo) para distinguir una persona real de una foto o una máscara. Eficacia contra deepfakes de primera generación: 71 %. Esta generación es ampliamente superada por los deepfakes 3D modernos.

Generación 2 — análisis conductual y 3D (2025-2026). Los algoritmos de nueva generación combinan análisis 3D en tiempo real (reconstrucción de la geometría facial desde una secuencia de vídeo estándar sin sensores especiales), análisis de micromovimientos oculares involuntarios y asimetrías faciales dinámicas, y detección de señal ambiental. La eficacia contra deepfakes de generación 4 alcanza el 97,3 %, según los tests iBeta Quality Assurance 2025.

Para las empresas españolas, el uso de datos biométricos está regulado por el RGPD (artículo 9) y las directrices de la AEPD (Agencia Española de Protección de Datos). La recogida de datos biométricos requiere una base jurídica explícita y solo puede realizarse si es estrictamente necesaria para la finalidad de verificación.

Identidad auto-soberana (SSI): promesa y realidad operativa

La identidad auto-soberana (Self-Sovereign Identity, SSI) se basa en los identificadores descentralizados (DID), estándar W3C desde julio de 2022 (W3C DID Core 1.0), y en las credenciales verificables (Verifiable Credentials, VC), que permiten a un individuo demostrar un atributo de identidad sin revelar todos sus datos personales.

En términos prácticos, con SSI:

• Un solicitante puede demostrar que es mayor de edad sin revelar su fecha de nacimiento exacta.
• Un profesional puede demostrar que posee una certificación sin revelar al emisor.
• Una empresa puede demostrar su solvencia sin compartir sus cuentas anuales completas.

Estado de la adopción SSI en España y Europa

La arquitectura de la EUDIW está construida sobre principios SSI — esta es su principal ruptura con los sistemas tradicionales de identidad federada como Cl@ve. La Infraestructura Europea de Servicios Blockchain (EBSI) proporciona la infraestructura pública para los proyectos piloto SSI en la educación superior europea.

Nuevas obligaciones regulatorias: lo que las empresas deben anticipar

El Reglamento AMLR (Reglamento UE 2024/1624), directamente aplicable a partir del 10 de julio de 2027, obliga a las entidades sujetas a demostrar la fiabilidad técnica de sus sistemas de verificación de identidad, conforme a los Estándares Técnicos Regulatorios (RTS) de la AMLA.

En España, el SEPBLAC ha actualizado sus directrices para la identificación de clientes en entornos digitales, alineándolas con los requisitos técnicos de eIDAS 2.0. Los puntos clave para las empresas españolas en 2026:

• Nivel de garantía mínimo: LoA «sustancial» eIDAS 2.0 para relaciones de negocio de riesgo medio; LoA «elevado» para riesgo alto. El simple escaneo de documento ya no es suficiente para casos de alto riesgo.
• Trazabilidad de la decisión: cada verificación debe generar un informe de auditoría sellado en tiempo que incluya el método utilizado, la fuente de datos y el nivel de confianza obtenido. Período de conservación: 5 años mínimo.
• Resistencia a ataques: conformidad ISO/IEC 30107-3 para la detección de ataques de presentación (deepfakes, máscaras, inyección de imágenes).
• Supervisión humana: los sistemas automatizados deben incluir procedimientos de escalada a un operador humano para casos ambiguos, con una tasa recomendada inferior al 5 % de los expedientes.

Sanciones por incumplimiento

El artículo 53(4) de AMLD6 fija multas administrativas de hasta 10 millones de euros o el 10 % del volumen de negocios anual para las entidades reguladas que no puedan demostrar el cumplimiento técnico. En España, la Ley 10/2010 de prevención del blanqueo de capitales y sus modificaciones establecen un régimen sancionador igualmente severo.

Checklist práctica: preparar su empresa para las tendencias de identidad digital 2026

• Auditoría de lo existente: identificar todos los puntos de recogida y verificación de identidad en sus procesos digitales, incluidos los flujos heredados.
• Preparación para eIDAS 2.0: identificar los cambios técnicos necesarios para aceptar la EUDIW en sus procesos de onboarding antes de finales de 2027.
• Actualización biométrica: verificar que su solución de detección de vivacidad cumple la norma ISO/IEC 30107-3 nivel 2 mínimo.
• Revisión RGPD/LOPDGDD: actualizar los avisos de privacidad para el tratamiento de datos biométricos y credenciales verificables (VC).
• Formación antideepfake: informar a los equipos técnicos, de cumplimiento y de atención al cliente sobre las nuevas formas de fraude.
• Piloto EUDIW: iniciar un proyecto piloto de integración técnica en el T3 2026 para absorber los plazos de implementación antes del límite de 2027.
• Expediente documental: preparar documentación de cumplimiento técnico para inspecciones regulatorias (certificados de conformidad, registros de decisiones, procedimientos de escalada).

La plataforma de verificación documental CheckFile está certificada conforme a los estándares eIDAS e integra detección de vivacidad ISO/IEC 30107-3. Consulte nuestras tarifas para las opciones de escala empresarial.

Para una visión completa de la gestión de datos en la verificación documental, consulte nuestra guía de datos de fraude.

Preguntas frecuentes

¿Qué es la Cartera Europea de Identidad Digital (EUDIW) y cuándo estará disponible?

La EUDIW es una aplicación gratuita que cada Estado miembro de la UE debe poner a disposición de sus ciudadanos antes del 26 de noviembre de 2026. Permite almacenar y compartir atributos de identidad verificados (DNI, permiso de conducir, títulos) de forma segura. Las empresas de sectores regulados deberán aceptarla como medio de identificación antes de finales de 2027.

¿Es obligatoria la biometría para la verificación de identidad a distancia en España?

No de forma universal, pero es de facto necesaria para alcanzar el nivel de garantía LoA «elevado» de eIDAS 2.0, requerido para relaciones de negocio de alto riesgo según la Ley 10/2010 y las directrices del SEPBLAC. Para casos de riesgo medio, una verificación documental automatizada de alta calidad puede ser suficiente.

¿Cuáles son las principales amenazas a la identidad digital en 2026?

Las tres amenazas prioritarias son: (1) deepfakes de generación 4 que superan las soluciones biométricas de primera generación; (2) identidades sintéticas construidas combinando datos reales con información falsa; (3) ataques de inyección de imágenes que eluden los requisitos de captura de vídeo en tiempo real.

¿Cuándo debe mi empresa empezar a integrar la EUDIW?

La obligación legal se aplicará a finales de 2027 para los sectores regulados. Sin embargo, dados los plazos de integración técnica de 4 a 6 meses en sistemas heredados, se recomienda iniciar el proceso de evaluación e integración en el tercer trimestre de 2026.

¿Cómo evaluar la fiabilidad de una solución de verificación de identidad digital?

Tres criterios objetivos: certificación de conformidad LoA «elevado» eIDAS 2.0 o equivalente (PVID, NIST IAL2) por un organismo acreditado; resultados de pruebas ISO/IEC 30107-3 PAD de un laboratorio acreditado (iBeta, TÜV, LSTI); tasas de falsos positivos y negativos publicadas y auditables por un tercero independiente.