Recientemente, el Diario Oficial de la Federación publicó la resolución impulsada por la Secretaría de Hacienda y Crédito Público (SHCP) y la Comisión Nacional Bancaria y de Valores (CNBV) que modifica las disposiciones de carácter general aplicables a las instituciones de crédito en materia de verificación de identidad mediante tecnología biométrica. Las instituciones tienen 90 días hábiles para adecuar sus procesos.
Es natural que la primera reacción de cualquier institución sea preguntarse qué debe hacer para cumplir en ese plazo. Pero reducir esta reforma a una lista de casillas por marcar sería desaprovechar lo que realmente está en juego: la oportunidad de construir, de una vez, la infraestructura de identidad que sostendrá a la institución durante la próxima década de cambios regulatorios y de fraudes cada vez más sofisticados.
La pregunta correcta en el momento correcto
Y es que, con tan poco plazo para cumplir la ley, las instituciones financieras se están preguntando cómo cumplir con la regulación. Pero más allá de cumplir con la ley ahora, la pregunta correcta debe ser: cuál es la infraestructura de identidad ideal, para que el cumplimiento de las evoluciones regulatorias de los próximos diez años se haga de una forma completamente escalable y natural.
Pero antes de hablar de estrategia, conviene tener claro el contenido técnico de la reforma, porque es sobre esa base que se construye cualquier decisión de infraestructura:
- Biometría facial como mecanismo oficial de verificación que complementa el esquema existente de huella dactilar, con un umbral mínimo de coincidencia del 90% contra los registros del INE, la SRE u otras autoridades federales.
- Autorización para construir bases de datos biométricas propias, bajo gobierno y protección de cada institución, con prohibición expresa de compartir o comercializar esa información con terceros y obligación de auditorías periódicas de ciberseguridad.
- La identidad debe validarse contra fuentes y autoridades federales autorizadas, con estándares de coincidencia y controles de seguridad definidos por la regulación.
- Requisitos de seguridad y gobierno de la información: cifrado, segregación en infraestructura dedicada, control de accesos y borrado seguro.
- Se otorga un plazo de 90 días hábiles para que las instituciones realicen las adecuaciones correspondientes.
Por tanto, la clave de esta nueva regulación se encuentra en estos puntos nuevos como la puerta de entrada a una nueva era de infraestructura digital de identidad. Además de que el incumplimiento puede contraer consecuencias serias y es un riesgo que no debe subestimarse.
Pero enfocar la conversación únicamente en la sanción es quedarse en la superficie del problema. La cuestión que de verdad determina si una institución sale fortalecida o simplemente «sobrevive» a esta reforma es otra.
La oportunidad no está en capturar biometría, sino en administrar identidades
Bajo el modelo anterior, las soluciones biométricas usadas en procesos de KYC tenían que resolver bien sólo una operación de matching 1:1 de rostro o de huella contra un único registro y responder si «¿esta persona es quien dice ser?», este es un problema que el mercado ya sabe resolver.
Así las cosas, la distinción que casi nadie está haciendo es el hecho de que bajo el nuevo modelo regulatorio existe un sólo tipo de plataforma biométrica en el mundo llamada “ABIS” (Automated Biometric Identification System) capaz de enfrentar los retos del manejo de biometrías (facial, dactilar y otras) de manera simultánea y segura, sin importar si es para verificar o para identificar.
Para las soluciones que se enfocan en cubrir todos los componentes de un KYC regulado, resulta casi imposible competir a este nivel en el manejo de biometría de clase mundial, ya que estos motores biométricos son soluciones especializadas de industria que por su propia complejidad requieren grandes volúmenes de R&D e inversión.
Los ABIS tienen muchas ventajas, sus ciclos de vida son sumamente largos porque son tecnologías muy estables, lo que permite calcular perfectamente el horizonte de la inversión; además, preparan a la institución para la implementación de cientos de casos de uso basados en la autenticación, en combinación con otras tecnologías (ATMs / Tellers, Adquirencia, E-commerce, sucursales, hiper-personalización de campañas de mkt, etc.)
Adicionalmente, el armado de BBDD biométricas es un reto distinto donde el concepto de deduplicación es sumamente relevante (asegurar que una persona no esté ya bajo otra identidad). Aquí la pregunta no es responder si alguien es quien dice ser, sino si esa persona ya existe en el sistema, quizás bajo otra identidad.
Responder esto contra toda una base biométrica —y no solo contra un registro— requiere una capa de infraestructura diseñada para identificar, deduplicar, monitorear contra listas de control y sostener biometría multimodal a escala, no un simple verificador de transacciones.
Esta distinción es, en la práctica, la que diferencia una arquitectura pensada solo para “pasar la auditoría”, de una arquitectura pensada para operar el negocio a largo plazo y de forma sostenible y escalable. En otras palabras, un matcher responde a una transacción, un ABIS responde a una estrategia de identidad.
El ciclo de vida de identidad que la regulación pone en el centro
Puesto en conjunto, lo que la reforma exige puede leerse ya como un ciclo de vida completo de identidad, con un requisito técnico concreto en cada etapa:
- Capturar — con calidad certificable (NFIQ para huella, ICAO para rostro) y sin fricción para el usuario, sin necesidad de un lector especializado, incluso desde un teléfono con cámara básica.
- Verificar — prueba de vida (ISO/IEC 30107-3) más coincidencia 1:1 de al menos 90% contra fuentes federales.
En general las instituciones ya resuelven bien los pasos 1 y 2, cumpliendo con la parte más visible de la regulación. Pero…
- Identificar (ABIS) — deduplicación 1:N contra la base propia de la institución, con monitoreo de listas de control.
- Vincular — autenticación multifactor diferenciada según el nivel de riesgo de la cuenta o la operación.
- Reutilizar — la identidad ya verificada y deduplicada, disponible en sucursal, app, cajero, portal y punto de venta, sin repetir el proceso desde cero en cada canal.
- Preparado para crecer – en un futuro se pudieran incorporar nuevas biometrías como palmar e iris conforme la regulación y los mercados avancen.
Estos pasos 3, 4, 5 y 6 son los que determinan si esa inversión se convierte en una capacidad reutilizable o en un proyecto de cumplimiento aislado que habrá que rehacer con la siguiente reforma.
Y es que el verdadero valor de una infraestructura de identidad no comienza cuando se captura un rostro o una huella. Comienza cuando esa identidad puede reutilizarse de forma segura en todos los canales de la institución —sucursal, app, cajero, portal web, punto de venta— sin tener que volver a verificarla desde cero cada vez.
Cómo deben prepararse las empresas: una hoja de ruta consultiva
Con un plazo de 90 días hábiles, no hay tiempo para desarrollos internos desde cero. Sí hay tiempo, sin embargo, para tomar decisiones de arquitectura que eviten empezar de cero en la próxima reforma. Algunas preguntas que conviene resolver primero:
- ¿Nuestra plataforma soporta identificación 1:N a la escala de nuestra base de clientes, o solo verificación 1:1? Muchas plataformas de KYC no fueron diseñadas para los retos actuales de biometría en millones de registros.
- ¿Cómo vamos a construir y gobernar nuestra propia base biométrica? La ley exige cifrado, segregación, auditoría de accesos y borrado seguro, además de prohibir compartir esos datos con terceros. Procesar y encriptar la biometría en el dispositivo del usuario, en lugar de centralizar datos crudos, facilita cumplir estos requisitos y reduce el riesgo de fuga de información.
- ¿Nuestra solución actual nos ayudará en la generación de nuevos ingresos y no sólo en cumplir con el marco regulatorio? El uso de MFA biométricos en los diferentes tipos de canales crea una verdadera experiencia multicanal y permite la segmentación e hiper personalización de servicios ya que la “identificación” de individuos se lleva a cabo en tiempo real y con pruebas de vida.
- ¿La infraestructura elegida hoy puede incorporar nuevas modalidades biométricas o nuevos requisitos regulatorios sin rediseño completo? Es la pregunta que separa una solución táctica de una infraestructura duradera.
Ninguna de estas decisiones depende de qué tan sofisticado sea el sensor que capture el rostro o la huella. Dependen de qué tan bien diseñada esté la infraestructura que decide qué hacer con esa captura después: cómo se verifica, cómo se deduplica, cómo se gobierna y cómo se reutiliza en el resto de la organización.
En resumen: la regulación define el mínimo, la infraestructura sienta las bases del futuro del negocio
Las instituciones que traten esta reforma únicamente como un requisito por cumplir en 90 días probablemente enfrentarán el mismo ejercicio, con el mismo desgaste, la próxima vez que la regulación biométrica avance —y todo indica que seguirá avanzando—. Las que aprovechen este plazo para construir una infraestructura de identidad basada en un ABIS bien diseñado, con gobierno de datos sólido y capacidad de identificación 1:N real, estarán resolviendo no sólo la obligación de hoy, sino sentando las bases para absorber, casi sin fricción, la que venga después.