Reforma de la CNBV a la Circular Única de Bancos: impacto de la validación biométrica en instituciones financieras.
- La biometría facial ya se utilizaba en procesos bancarios no presenciales.
- La reforma reconoce expresamente su uso como alternativa en determinadas operaciones presenciales.
- La norma no obliga a reemplazar la huella dactilar por biometría facial.
- Las bases biométricas propias deben validarse con fuentes oficiales, mantenerse actualizadas y cumplir controles reforzados.
- El nuevo Anexo 71 establece requerimientos técnicos para la captura y gestión de biometría facial.
La Comisión Nacional Bancaria y de Valores (CNBV) modificó la Circular Única de Bancos (CUB) para incorporar expresamente la biometría facial como alternativa a la huella dactilar en determinadas operaciones bancarias presenciales.
La reforma también refuerza los requisitos para la gestión de bases propias de biometría facial, la validación con fuentes oficiales y los mecanismos de seguridad, trazabilidad y conservación de evidencia.
Publicada en el Diario Oficial de la Federación (DOF) el 1 de julio de 2026, la resolución, que entró en vigor al día siguiente, otorga a las instituciones de crédito un plazo de 90 días hábiles para realizar las adecuaciones correspondientes.
¿Qué cambia con la reforma de la CNBV a la Circular Única de Bancos?
La reforma modifica los artículos 51 Bis a 51 Bis 5 y sustituye el Anexo 71 de las disposiciones de carácter general aplicables a las instituciones de crédito. El marco deja de estar centrado únicamente en huellas dactilares y pasa a regular la información biométrica con un alcance más amplio.
“Esto no significa que la biometría facial sea completamente nueva en la banca mexicana. Su uso ya estaba contemplado para aperturas y procesos no presenciales. La novedad es su incorporación expresa como alternativa para operaciones presenciales”, explica Matías Soto, Senior Regulatory Counsel en Sovos.
¿En qué cuentas se exige validación biométrica?
La validación biométrica obligatoria se concentra principalmente en las cuentas de niveles 3 y 4, asociadas a mayores capacidades transaccionales y controles reforzados de identidad.
En estos casos debe utilizarse al menos un mecanismo biométrico, que puede ser la huella dactilar o la biometría facial. La institución puede definir cuál emplear de acuerdo con sus procesos, autorizaciones y capacidades tecnológicas.
En las cuentas de niveles 1 y 2 continúan predominando otros mecanismos de identificación, como la recopilación de datos personales, la documentación y la validación de la Clave Única de Registro de Población (CURP). La regulación no establece para ellas una obligación biométrica general.
Bases biométricas propias y validación con fuentes oficiales
Las instituciones pueden conformar bases propias de biometría facial para autenticar a sus clientes en interacciones posteriores.
Antes de incorporar un registro a la base propia, la información debe validarse contra una fuente oficial autorizada, como el Instituto Nacional Electoral (INE), la Secretaría de Relaciones Exteriores u otra dependencia federal habilitada.
Una vez realizada esa verificación, la institución podrá utilizar la información en futuras autenticaciones, siempre que mantenga la base actualizada, conserve evidencia y cumpla las revisiones previstas por la normativa.
La regulación prohíbe vender, transferir, compartir, reutilizar o interoperar estas bases con otras instituciones o terceros.
Seguridad, evidencia y nuevo Anexo 71
La actualización del Anexo 71 incorpora requerimientos técnicos para la captura y validación de información biométrica facial, además de las especificaciones aplicables a las huellas dactilares.
El documento oficial contempla procedimientos para la primera captura, controles sobre empleados y responsables del proceso y condiciones destinadas a preservar la integridad de los registros.
Las instituciones deberán revisar especialmente:
- La calidad, seguridad e integridad de las capturas biométricas.
- La validación inicial contra fuentes oficiales autorizadas.
- La evidencia y trazabilidad asociadas a cada registro.
- La actualización de las bases y las revisiones periódicas.
- Los accesos, contratos y flujos de información con proveedores.
- Los procedimientos correctivos y reportes dirigidos a la CNBV.
En la práctica, la administración de la base biométrica pasa a ser un proceso continuo donde la información debe mantenerse protegida, vigente y disponible para fines de auditoría.
Una oportunidad para ampliar la biometría facial presencial
La reforma permite que los bancos que ya utilizan biometría facial en aplicaciones y otros canales digitales evalúen extender esa capacidad a sus operaciones presenciales.
“La huella dactilar depende normalmente de lectores físicos específicos. La biometría facial, en cambio, puede integrarse en dispositivos con cámara y facilitar una experiencia más ágil tanto en sucursales como en otros puntos de atención. Esto puede facilitar la experiencia de usuario”, dice Matías Soto.
La conveniencia operativa no reemplaza las exigencias de seguridad. Las soluciones utilizadas deberán cumplir las especificaciones del Anexo 71, permitir la validación con fuentes oficiales y generar la evidencia necesaria para demostrar el funcionamiento correcto del proceso.
¿Cómo prepararse para la nueva regulación?
Durante el plazo de adecuación, las instituciones financieras deben revisar sus procesos presenciales de autenticación, la administración de sus bases biométricas y el cumplimiento de los nuevos requerimientos de seguridad, evidencia y trazabilidad.
Sovos apoya a las instituciones financieras en la implementación de soluciones de validación biométrica facial con validación contra fuentes oficiales autorizadas. Sus capacidades permiten fortalecer la autenticación, registrar evidencia de cada validación y alinearse con las exigencias técnicas y regulatorias.
Preparar la autenticación bancaria para el nuevo marco regulatorio
La reforma amplía las alternativas de validación biométrica disponibles para las instituciones de crédito y fortalece las exigencias sobre la gestión de información biométrica. El período de adecuación representa una oportunidad para revisar procesos, actualizar controles y preparar la operación para cumplir con el nuevo marco regulatorio.
Fortalece la autenticación y la verificación de identidad con soluciones alineadas con la nueva regulación.
Habla con un experto de Sovos.
Preguntas frecuentes sobre la reforma biométrica a la CUB
¿La biometría facial será obligatoria para los bancos?
No. La reforma permite utilizar biometría facial como alternativa a la huella dactilar en operaciones sujetas a validación biométrica. No obliga a reemplazar un mecanismo por otro.
¿La reforma aplica a todas las cuentas bancarias?
La validación biométrica se concentra principalmente en cuentas de niveles 3 y 4. Para las cuentas de niveles 1 y 2 continúan aplicándose, en general, controles basados en datos personales y documentación.
¿Los bancos pueden almacenar la biometría de sus clientes?
Sí. Pueden crear bases propias de biometría facial, siempre que los registros se validen previamente contra fuentes oficiales y se cumplan las exigencias de actualización, seguridad, evidencia y trazabilidad.
¿Qué regula el nuevo Anexo 71?
Establece las especificaciones técnicas y los controles aplicables a la captura, validación, gestión y protección de la información biométrica utilizada por las instituciones de crédito.
Autor: Sovos
Sovos se creó para resolver las complejidades de la transformación digital de los impuestos, con ofertas completas y conectadas para la determinación de impuestos, los controles continuos de las transacciones, los informes fiscales y mucho más. Entre los clientes de Sovos se encuentran la mitad de las empresas de la lista Fortune 500, así como empresas de todos los tamaños que operan en más de 70 países. Los productos SaaS de la empresa y la plataforma Sovos S1, de su propiedad, se integran con una amplia variedad de aplicaciones empresariales y procesos de cumplimiento de la normativa gubernamental. Sovos tiene empleados en toda América y Europa, y es propiedad de Hg y TA Associates.
