La resolución no llega como una noticia aislada. Forma parte de una tendencia más amplia: cada vez más servicios financieros, trámites digitales y mecanismos de identidad están dejando atrás la validación tradicional basada en documentos, contraseñas o firmas, para moverse hacia sistemas donde el cuerpo de la persona se convierte en la credencial.
Y ahí empieza el problema.
Porque una cosa es que un banco necesite verificar que una persona es quien dice ser. Otra muy distinta es que cada institución pueda construir, conservar o explotar bases biométricas propias con información que el ciudadano no puede cambiar si algo sale mal.
Qué publicó realmente el DOF
La resolución modifica artículos relacionados con los procesos de identificación y autenticación de clientes en bancos. El documento señala que las instituciones podrán utilizar información biométrica para verificar la identidad de las personas físicas, compararla con registros del Instituto Nacional Electoral, de la Secretaría de Relaciones Exteriores o del Registro Nacional de Población, según corresponda, y también conformar bases propias de información biométrica bajo ciertos requisitos técnicos.
Esto incluye, entre otras cosas, la captura de huellas dactilares y de imagen facial. El Anexo 71 establece requisitos técnicos para la captura de biométricos, como resolución de imagen, profundidad, calidad, mecanismos de deduplicación, controles contra suplantación, infraestructura tecnológica dedicada, cifrado, bitácoras, segregación de bases de datos y restricciones de acceso.
En papel, la CNBV está diciendo: si los bancos van a usar biométricos, deben hacerlo con reglas técnicas mínimas, controles de seguridad y procedimientos documentados.
Eso es importante, pero no resuelve el fondo del problema.
Lo que la resolución permite
El cambio más relevante no es solo que los bancos puedan verificar biométricamente a una persona. Eso ya venía avanzando desde hace años. Lo realmente delicado es que la resolución abre la puerta para que las instituciones puedan conformar o utilizar bases propias de información biométrica, siempre que cumplan los requisitos establecidos por la autoridad.
En la práctica, esto puede significar que distintos bancos tengan sus propios registros biométricos de sus clientes. No necesariamente una sola base centralizada, sino múltiples bases, múltiples infraestructuras, múltiples proveedores, múltiples lectores, múltiples aplicaciones y múltiples puntos donde esa información puede ser capturada, procesada, almacenada o consultada.
Desde el punto de vista operativo, esto puede tener sentido para los bancos. Les permite reducir fricción, acelerar procesos, combatir suplantación de identidad y disminuir dependencia de validaciones externas. Pero desde el punto de vista del ciudadano, el riesgo crece.
Porque la eficiencia del banco se construye sobre un dato que no le pertenece al banco.
Le pertenece a la persona.
El riesgo no está solo en que pidan biométricos
El debate público suele quedarse en una pregunta muy simple: “¿está bien o mal que el banco pida biométricos?”. Pero la pregunta importante es otra: ¿qué pasa cuando esos biométricos se convierten en una credencial permanente, distribuida entre instituciones privadas, proveedores tecnológicos y sistemas que el ciudadano no puede auditar?
Una contraseña se puede cambiar. Una tarjeta se puede cancelar. Un token se puede renovar. Una huella dactilar, un rostro o una plantilla biométrica no se reemplazan con una llamada al banco.
Ese es el punto central.
Si una base de contraseñas se filtra, el daño puede ser grave, pero existe un camino de recuperación. Se bloquean accesos, se cambian claves, se activan dobles factores y se revocan sesiones. Si una base biométrica se filtra, el problema no desaparece con una actualización de credenciales. La persona queda expuesta con un identificador que la acompañará durante años, quizá durante toda su vida.
La resolución habla de controles, pero el ciudadano no tiene forma real de verificar si esos controles se cumplen correctamente. No puede revisar si el cifrado está bien implementado, si las bitácoras se auditan, si el proveedor externo tiene buenas prácticas, si la base fue segregada de verdad o si los datos fueron eliminados cuando dejaron de ser necesarios.
Factores de riesgo
El primer factor de riesgo es la dispersión. Mientras más instituciones tengan bases biométricas propias, mayor será la superficie de ataque. No se necesita que todos fallen; basta con que falle uno. Un banco, un proveedor, una aplicación, una integración mal diseñada o un empleado con privilegios excesivos pueden convertirse en el punto débil.
El segundo factor es la irreversibilidad. La biometría no es una credencial común. Si se compromete, no hay una forma sencilla de revocarla. Por eso, cualquier política pública o regulación que permita su uso masivo debe partir de una lógica de máxima restricción, no de simple conveniencia operativa.
El tercer factor es la asimetría. El banco obtiene eficiencia y control; el ciudadano entrega un dato permanente. Si algo falla, la institución puede argumentar que cumplió con sus procedimientos, mientras la persona afectada tendrá que demostrar que no autorizó una operación o que su identidad fue suplantada.
El cuarto factor es la dependencia tecnológica. El documento establece requisitos técnicos, pero no elimina el riesgo de implementación. En ciberseguridad, una cosa es escribir controles en una disposición y otra muy distinta es garantizar que todos los bancos, todos los proveedores y todos los sistemas los apliquen bien, todo el tiempo.
El quinto factor es el uso futuro. Una base biométrica creada para autenticar clientes puede terminar siendo atractiva para otros fines: prevención de fraude, cumplimiento regulatorio, investigaciones, integraciones con otras plataformas o nuevos modelos de identidad digital. Aunque la resolución limite la venta, transferencia o divulgación de esa información, el riesgo de ampliación de uso siempre existe cuando la infraestructura ya fue creada.
El ciudadano carga con la consecuencia más grave
La resolución no dice que la ciberseguridad sea responsabilidad del ciudadano. De hecho, impone obligaciones a las instituciones. Pero en la práctica, el ciudadano queda como el principal afectado si esa seguridad falla.
El banco administra el sistema. El proveedor opera la tecnología. La autoridad emite las reglas. Pero el dato biométrico es de la persona.
Y si ese dato se compromete, quien no podrá cambiar de rostro o de huella será el ciudadano.
Ese es el desequilibrio que debe preocuparnos. No se trata de negar que exista fraude financiero, ni de ignorar que los bancos necesitan mejores mecanismos de autenticación. El problema es presentar la biometría como si fuera una solución limpia, moderna y segura por definición, cuando en realidad introduce riesgos nuevos y mucho más difíciles de corregir.
La pregunta que falta
El DOF nos dice qué requisitos técnicos deben cumplir los bancos. Pero la discusión pública debería ir más allá.
¿Quién audita esas bases biométricas?
¿Cuánto tiempo se conservan los datos?
¿Qué proveedores participan?
¿Qué pasa si un banco cambia de proveedor tecnológico?
¿Cómo se informa al cliente sobre el uso real de sus biométricos?
¿Qué mecanismo de reparación existe si hay una filtración?
¿Cómo podrá una persona impugnar una operación que el banco diga que fue autenticada biométricamente?
Sin esas respuestas, el riesgo queda maquillado con lenguaje técnico.
Conclusión
Lo publicado en el DOF no significa que mañana todos los bancos puedan hacer lo que quieran con nuestros biométricos. La resolución sí establece requisitos, controles y obligaciones. Pero también confirma una tendencia preocupante: México avanza hacia un modelo donde la identidad financiera depende cada vez más de datos corporales permanentes.
Y eso exige una discusión mucho más seria.
La biometría puede ayudar a combatir ciertos fraudes, pero también puede crear un problema mayor si se implementa como una solución de confianza ciega. La seguridad no está solo en capturar una huella o escanear un rostro. La seguridad está en limitar el uso, reducir la exposición, auditar los sistemas, sancionar fallas y proteger al ciudadano cuando la tecnología se equivoca.
Porque el verdadero riesgo no es que un banco verifique tu identidad.
El verdadero riesgo es que cada banco termine teniendo una copia de algo que tú nunca podrás cambiar.