Verificación biométrica: huellas, facial y voz

La verificación biométrica utiliza características físicas o conductuales únicas de una persona para confirmar su identidad. A diferencia de las contraseñas o los documentos físicos, los rasgos biométricos son inherentes al individuo: no se pueden olvidar, extraviar ni transferir fácilmente.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias normativas son exactas a la fecha de publicación. Los requisitos varían por jurisdicción y sector. Consulte a un profesional cualificado para obtener orientación adaptada a su situación específica en México.

En el contexto del cumplimiento normativo mexicano, la biometría ocupa un lugar singular: la LFPDPPP, Art. 3, fracción VI clasifica las huellas dactilares, el reconocimiento facial y los patrones de voz como "datos sensibles", cuyo tratamiento requiere consentimiento explícito del titular. Al mismo tiempo, la LFPIORPI (Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita) impone a los sujetos obligados la verificación biométrica de sus clientes para operaciones que superen umbrales definidos, con reporte al SAT y supervisión de la UIF.

En nuestra plataforma, el fraude en documentos de identidad representa el 19 % del fraude documental total detectado, con una tasa de recall del 94,8 % y un tiempo medio de verificación de 4,2 segundos — datos que ilustran la importancia de integrar la biometría dentro de flujos de verificación documental robustos.

Qué es la verificación biométrica y cómo funciona

La verificación biométrica compara un rasgo capturado en tiempo real con una plantilla almacenada previamente (comparación 1:1). La identificación biométrica, en cambio, coteja el rasgo contra una base de datos de múltiples individuos (comparación 1:N). Esta distinción no es solo técnica: tiene consecuencias regulatorias directas bajo la normativa mexicana y los marcos internacionales.

Las tres modalidades más extendidas en procesos de KYC e incorporación digital son:

• Huella dactilar: lectura de las crestas papilares únicas del dedo. Ampliamente utilizada en dispositivos móviles y en el sistema bancario mexicano, incluyendo sucursales y cajeros automáticos con lector biométrico.
• Reconocimiento facial: análisis de geometría facial a partir de imagen o vídeo en tiempo real. Modalidad dominante en el onboarding remoto y en las aplicaciones de banca móvil mexicanas. El INE (credencial para votar) incluye fotografía oficial que sirve como referencia para el cotejo facial.
• Reconocimiento de voz: extracción de patrones espectrales y prosódicos de la voz. Habitual en autenticación telefónica y centros de atención al cliente en el sector financiero.

Síntesis clave: La verificación biométrica (1:1) ofrece mayor precisión que las contraseñas y complementa la verificación documental en flujos KYC. Fuente: Guía práctica del ENISA sobre biometría.

Métricas de precisión: FAR, FRR y EER

Toda solución biométrica se evalúa con tres indicadores estadísticos esenciales.

El EER es el indicador de referencia para comparar sistemas. Un EER de 0,01 % en iris significa que este supera a la huella dactilar (~1–2 %) y al reconocimiento facial (~0,1–2 %) en entornos de alta seguridad, aunque con costes de despliegue significativamente mayores.

Síntesis clave: Un FAR < 0,01 % es el umbral estándar para aplicaciones de seguridad bancaria y onboarding KYC de alto riesgo. Las organizaciones deben documentar sus valores de EER en los avisos de privacidad y evaluaciones de impacto exigidas por la LFPDPPP. Fuente: NIST FRVT Ongoing — Face Recognition Vendor Testing.

Detección de vida (liveness detection)

La detección de vida determina si el rasgo biométrico procede de una persona presente y no de un artefacto (fotografía, máscara 3D o vídeo sintético generado por IA).

Existen dos enfoques:

• Activo: el usuario realiza una acción específica (parpadear, girar la cabeza, pronunciar una frase). Más fiable, mayor fricción.
• Pasivo: el análisis se realiza en segundo plano sin interacción adicional. Menor fricción, tecnología más exigente.

La proliferación de deepfakes constituye un desafío creciente en México. La CNBV y la UIF han emitido alertas sobre el aumento del fraude biométrico en el sector fintech, incluyendo ataques de inyección de vídeo sintético en flujos de onboarding remoto. La detección de vida es, por tanto, un componente no negociable en cualquier flujo de verificación facial desplegado desde 2024. Los sistemas sin liveness son vulnerables a ataques de presentación (ISO/IEC 30107-3).

Síntesis clave: La detección de vida pasiva de última generación reduce los ataques de presentación por encima del 99,9 % sin incrementar la tasa de abandono del usuario. Fuente: ISO/IEC 30107-3:2023 — Biometric presentation attack detection.

Marco regulatorio mexicano

LFPDPPP Art. 3 y Reglamento: datos biométricos como datos sensibles

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP, 2010) y su Reglamento (2011) clasifican los datos biométricos — huellas dactilares, reconocimiento facial, patrones de voz — como "datos sensibles" en el Art. 3, fracción VI. El tratamiento de datos sensibles exige el consentimiento expreso del titular mediante firma autógrafa, firma electrónica o cualquier mecanismo de autenticación equivalente que permita confirmar la identidad del titular.

El responsable del tratamiento debe obtener el consentimiento para cada finalidad específica, separando claramente el consentimiento para datos sensibles del consentimiento para datos personales ordinarios. El aviso de privacidad debe describir con precisión el tipo de dato biométrico recabado, la finalidad, el tiempo de conservación y los destinatarios.

El INAI (Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales) es la autoridad de supervisión competente en materia de protección de datos para el sector privado. El INAI puede imponer sanciones de hasta 320,000 días de salario mínimo general vigente en la Ciudad de México, además de sanciones penales por tratamiento ilícito de datos sensibles. El INAI ha publicado lineamientos específicos sobre el uso de datos biométricos que toda organización debe consultar antes de implementar sistemas de verificación facial o dactilar.

Síntesis clave: Cualquier empresa que trate datos biométricos en México está obligada a contar con aviso de privacidad específico y consentimiento expreso del titular conforme a la LFPDPPP Art. 9. El INAI puede iniciar procedimientos de verificación de oficio y ordenar la cesación del tratamiento ilícito. Fuente: INAI — Portal oficial.

LFPIORPI y CNBV: verificación biométrica en el cumplimiento AML

La Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) establece las obligaciones antilavado para los sujetos obligados en México. La ley exige la identificación del cliente para operaciones que superen umbrales definidos (Actividades Vulnerables del Art. 17). Los reportes se presentan ante el SAT (Servicio de Administración Tributaria), y la UIF (Unidad de Inteligencia Financiera) de la Secretaría de Hacienda es la unidad de inteligencia financiera encargada de investigar las operaciones sospechosas.

La CNBV (Comisión Nacional Bancaria y de Valores) regula los bancos y casas de bolsa, y exige la verificación biométrica de los clientes en los procesos KYC, incluyendo el cotejo facial contra documentos de identidad oficiales (INE/IFE) para la apertura de cuentas en línea. Las Disposiciones de Carácter General aplicables a las Instituciones de Crédito (Circular Única de Bancos) establecen los estándares mínimos de identificación.

Síntesis clave: Las entidades financieras reguladas por la CNBV deben implementar procedimientos KYC biométricos compatibles con la LFPIORPI y la Circular Única de Bancos. La UIF puede requerir información directamente a las entidades supervisadas y formular denuncias penales ante la FGR. Fuente: UIF — Portal oficial.

Documentos de identidad en México: INE, CURP y RFC

Los documentos de identidad primarios en México son:

• INE (credencial para votar — Instituto Nacional Electoral): el documento de identidad oficial más extendido en México para personas físicas. Incluye datos biométricos del titular (huellas dactilares y fotografía). La versión digital, INE Digital, está disponible a través de la app del INE y es reconocida para trámites electrónicos. El número de identificación en el INE incluye la Clave de Elector.
• CURP (Clave Única de Registro de Población): número de identificación individual emitido por el RENAPO (Registro Nacional de Población). Sirve como identificador único de personas físicas en trámites gubernamentales y es complementario al INE en procesos KYC.
• RFC (Registro Federal de Contribuyentes): número de identificación fiscal emitido por el SAT para personas físicas y morales. Es obligatorio para facturación electrónica (CFDI) y debe verificarse en procesos KYC de entidades financieras y sujetos obligados bajo LFPIORPI.
• e.firma (anteriormente FIEL): firma electrónica avanzada emitida por el SAT, basada en certificado digital. Proporciona autenticación de alta seguridad para trámites fiscales y puede ser utilizada como mecanismo de autenticación en onboarding digital de alto valor.

Síntesis clave: La verificación del RFC a través del SAT y la validación de la INE son componentes esenciales de los flujos KYC para sujetos obligados bajo la LFPIORPI.

Sistema SPEI y autenticación biométrica en la banca mexicana

El SPEI (Sistema de Pagos Electrónicos Interbancarios), administrado por el Banco de México (Banxico), es el sistema de pagos instantáneos de referencia en México. Para operaciones de alto valor realizadas a través de SPEI, las instituciones bancarias exigen autenticación fuerte, incluida la verificación biométrica cuando el canal es digital. La banca móvil mexicana —BBVA México, Santander México, Banorte, entre otros— integra reconocimiento facial y dactilar como segundo factor de autenticación para transferencias SPEI y operaciones de riesgo elevado.

Biometría en el ciclo de vida del KYC

La verificación biométrica se integra en tres momentos del ciclo KYC:

1. Incorporación (onboarding): verificación facial con liveness detection + cotejo contra documento de identidad (INE/pasaporte). Cumple con los requisitos de la LFPIORPI y la Circular Única de Bancos para identificación del cliente en procesos no presenciales.
2. Reautenticación periódica: huella dactilar o facial para verificar que el titular sigue siendo el mismo usuario activo. Reduce el riesgo de apropiación de cuentas (ATO — Account Takeover), modalidad de fraude en crecimiento en el ecosistema fintech mexicano.
3. Transacciones de alto valor: segundo factor biométrico obligatorio en pagos SPEI que superen umbrales definidos internamente o en contratos que impliquen riesgo operacional elevado.

La plataforma CheckFile combina verificación documental con análisis biométrico en un flujo unificado, alcanzando una tasa de recall del 94,8 % en detección de fraude con una tasa de falsos positivos del 3,2 %, según datos internos de CheckFile ZPD.

Implementación práctica: requisitos mínimos en México

Antes de desplegar un sistema biométrico en México, una organización debe garantizar:

• Aviso de privacidad específico con mención expresa del tratamiento de datos biométricos como datos sensibles, la finalidad, el tiempo de conservación y los destinatarios, conforme a la LFPDPPP Art. 15 y 16.
• Consentimiento expreso y por escrito del titular para el tratamiento de cada categoría de dato sensible, conforme al Art. 9 LFPDPPP. El consentimiento no puede obtenerse mediante cláusulas genéricas.
• Política de retención de plantillas biométricas: las plantillas no deben conservarse más allá del tiempo necesario al cumplimiento de la finalidad declarada.
• Liveness detection certificada contra ataques de presentación (ISO/IEC 30107-3), considerando las alertas de la CNBV y la UIF sobre fraude biométrico en fintech.
• Procedimiento de atención de derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) para titulares que ejerzan sus derechos bajo LFPDPPP Art. 28–37.
• Medidas de seguridad técnicas, administrativas y físicas para proteger los datos biométricos conforme al Art. 19 LFPDPPP y al Reglamento.
• Cumplimiento con la LFPIORPI para sujetos obligados, con documentación de los procedimientos de identificación biométrica y presentación de reportes al SAT.

Conozca los precios y planes de CheckFile para soluciones de verificación biométrica adaptadas al volumen de su organización.

Preguntas frecuentes

¿Los datos biométricos son siempre datos personales bajo la LFPDPPP?

Sí. La LFPDPPP Art. 3, fracción V define los datos personales como cualquier información concerniente a una persona física identificada o identificable. Los datos biométricos son datos personales por naturaleza y, cuando permiten identificar inequívocamente a una persona, se clasifican como datos sensibles conforme al Art. 3, fracción VI, sujetándose al régimen reforzado que exige consentimiento expreso y aviso de privacidad específico.

¿Qué diferencia hay entre verificación biométrica e identificación biométrica en el contexto regulatorio mexicano?

La verificación biométrica (1:1) compara al usuario contra su propia plantilla previamente registrada: confirma que "eres quien dices ser". Por ejemplo, el cotejo facial del selfie capturado contra la fotografía de la INE. La identificación biométrica (1:N) busca a quién pertenece un rasgo en una base de datos de múltiples personas. Bajo la LFPDPPP, ambas constituyen tratamiento de datos sensibles; sin embargo, la identificación 1:N presenta riesgos de privacidad adicionales que deben abordarse en el análisis de impacto previo al despliegue.

¿Qué es el Equal Error Rate (EER) y cómo se interpreta?

El EER es el umbral operativo en que la tasa de falsa aceptación (FAR) y la tasa de falso rechazo (FRR) se igualan. Un EER bajo indica mayor precisión general. La huella dactilar típica tiene un EER del 1–2 %; el reconocimiento facial moderno alcanza valores del 0,1–2 %; el iris llega al 0,01 %. En aplicaciones bancarias, se configura el sistema para minimizar el FAR (probabilidad de aceptar a un impostor), aunque esto eleve el FRR.

¿Es obligatorio obtener consentimiento expreso para usar reconocimiento facial en México?

Sí. La LFPDPPP Art. 9 establece que los datos sensibles — incluidos los biométricos — solo pueden tratarse con el consentimiento expreso del titular, el cual no puede inferirse del silencio ni de comportamientos pasivos. El consentimiento debe obtenerse antes de recabar los datos, debe ser por escrito o mediante mecanismo de autenticación equivalente, y debe referirse a finalidades específicas. El INAI ha confirmado que el reconocimiento facial en procesos de onboarding digital requiere consentimiento expreso y diferenciado del consentimiento general.

¿Puede la UIF exigir biometría en los procesos AML?

La UIF no impone una tecnología concreta, pero la LFPIORPI y la Circular Única de Bancos (CNBV) exigen que los sujetos obligados implementen procedimientos de identificación del cliente que permitan confirmar la identidad del titular con certeza razonable en operaciones no presenciales. La verificación biométrica con liveness detection es el método aceptado por la industria para cumplir con este requisito en el onboarding digital, siempre que esté respaldada por consentimiento expreso conforme a la LFPDPPP y documentada en los procedimientos internos de prevención de lavado de dinero.

---

Descubra cómo CheckFile integra verificación biométrica y documental en un único flujo para KYC, AML y onboarding digital seguro en México.

Para profundizar en las técnicas de detección de fraude documental, consulte nuestro artículo sobre detección de fraude documental con IA.