Las nuevas disposiciones publicadas por la CNBV el 1 de julio de 2026 otorgan a los bancos 90 días hábiles para incorporar el reconocimiento facial, junto a la huella dactilar, como mecanismo de verificación en operaciones presenciales de mayor riesgo. Leído así, en el resumen ejecutivo, suena a un ajuste técnico más.
Sin embargo, lo interesante empieza cuando uno deja de leer el resumen ejecutivo y entra en la operación. Ahí aparecen tres decisiones que pueden marcar la diferencia entre cumplir las nuevas disposiciones y llegar con una solución que también sirva para los próximos años:
- El alta y la autenticación no son el mismo proceso. El cotejo biométrico cambia según sea la primera vez que se registra un cliente, o una operación posterior.
- Externalizar la tecnología sí está permitido. El banco puede apoyarse en un proveedor para operar la base biométrica, pero la responsabilidad sobre el dato sigue siendo suya.
- La sucursal deja de ser una excepción. La verificación biométrica pasa a ser un requisito también en el canal presencial para las operaciones de mayor riesgo.
Son tres matices que el texto de la norma menciona, pero cuyas implicaciones operativas no siempre son evidentes, en un momento en el que la evolución del fraude digital en México ya venía presionando al sector hacia controles de identidad más estrictos también en el canal presencial.
Las nuevas disposiciones, Anexo 71 en una mirada
| Campo | Detalle |
|---|---|
| Publicación | DOF, 1 de julio de 2026 |
| Entrada en vigor | 2 de julio de 2026 |
| Plazo general de cumplimiento | 90 días hábiles (Tercero Transitorio), hasta finales de octubre / inicios de noviembre de 2026 |
| A quién aplica | Operaciones presenciales de mayor riesgo en cuentas nivel 3 y 4 |
| Qué autoriza | Reconocimiento facial como dato biométrico adicional a la huella dactilar |
| Aviso transitorio (bases ya existentes) | Anexo 75, dentro de 30 días naturales desde la entrada en vigor (Segundo Transitorio) |
| Aviso ordinario (bases nuevas) | Anexo 75, dentro de 20 días hábiles desde que inicia el uso de la base (Art. 51 Bis 2) |
¿Qué es el Anexo 71 de la CNBV?
El Anexo 71 es el anexo técnico de las Disposiciones de carácter general aplicables a las instituciones de crédito de la Comisión Nacional Bancaria y de Valores (CNBV), lo que en el sector se conoce como la Circular Única de Bancos. Fija los requisitos que un banco debe cumplir para capturar y usar huellas dactilares y biometría facial como mecanismos de identificación.
La versión anterior del anexo solo cubría huella dactilar. Esta reforma lo sustituye por completo e incorpora el rostro con sus propios requisitos técnicos: no es un añadido menor, es una sección completa del anexo con sus propios estándares de calidad de imagen, detección de vida y de- duplicación.
Cumplir el Anexo 71 es un objetivo de corto plazo. Elegir una arquitectura biométrica que siga funcionando cuando cambie la regulación es una decisión estratégica.
No nos estamos preguntando si es conveniente o se debe incorporar reconocimiento facial. Esa decisión prácticamente quedó resuelta por la CNBV. La verdadera decisión es dónde construir la capacidad biométrica: como un proyecto puntual para cumplir una norma, o como una infraestructura transversal para identidad digital.
¿A quién aplican las nuevas disposiciones y desde cuándo?
Las nuevas disposiciones no aplican a todas las operaciones bancarias por igual. La obligación se concentra en aquellas donde una suplantación de identidad tiene mayor impacto.
En términos prácticos:
- Las cuentas nivel 3 son productos con un expediente reforzado y límites de operación definidos por regulación.
- Las cuentas nivel 4 corresponden a la cuenta bancaria tradicional, sin límite de depósitos y con mayor exposición a fraude y lavado de dinero.
El regulador puso el requisito exactamente donde una suplantación de identidad tiene más consecuencias, y eso es lo primero que debería definir qué procesos revisar antes que otros.
Verificación dactilar vs. verificación facial: confundirlas puede salir caro
Aquí conviene ir con cuidado, porque el Anexo 71 en realidad describe dos momentos distintos de verificación, y confundirlos lleva a diseñar mal el flujo completo. No se pueden interpretar las nuevas disposiciones como una obligación de consultar a una autoridad cada vez que un cliente realiza una operación. La norma no dice eso. Lo que exige es construir correctamente la base biométrica y utilizarla después para autenticar al cliente en las operaciones posteriores.
Esa diferencia cambia por completo la arquitectura tecnológica, los tiempos de respuesta y la dependencia de servicios externos.
| Criterio | Verificación dactilar (alta) | Cotejo facial (autenticación) |
|---|---|---|
| Contra qué se coteja | INE, SRE u otra autoridad federal | La propia base biométrica de la institución |
| Tipo de cotejo | 1:1 contra el registro externo | 1:1 contra el registro interno |
| Umbral de coincidencia | Mínimo 90% (a confirmar con Ramón contra el texto del DOF) | No se fija como % contra un tercero: es verificación interna |
| Cuándo se aplica | Alta del cliente en la base biométrica (primer registro) | Cada operación posterior, con el cliente ya dado de alta |
| Dependencia externa | Sí, en el momento del alta | No; la norma exige cotejar solo contra la base propia |
Cuando se da de alta al cliente en la base biométrica
La primera vez que una institución registra los datos biométricos de un cliente, sea huella o rostro, tiene que cotejarlos contra los registros de una autoridad externa: INE, SRE, la autoridad fiscal mexicana u otra dependencia federal que ofrezca ese servicio de verificación. El propio anexo fija una coincidencia mínima del 90% para este cotejo. Esto es lo que se suele leer como «el requisito de las nuevas disposiciones», y es cierto, pero es solo la primera mitad.
Cuando el cliente ya está registrado y vuelve a operar
La segunda mitad es la autenticación de un cliente que ya fue dado de alta antes. Ahí el cotejo es 1 a 1, pero ya no contra INE o SRE en cada operación, sino contra la propia base biométrica que la institución construyó. La norma es explícita en este punto: las acciones de verificación deben hacerse exclusivamente contra la información que obra en la base de cada institución.
Diseñar este segundo flujo, como si tuviera que volver a consultar a una autoridad externa, añade una dependencia y una latencia que las nuevas disposiciones no exigen.
¿Puede un banco contratar un proveedor biométrico?
Vale la pena aclarar algo que se presta a confusión en estas primeras semanas: el Art. 51 Bis 2 sí permite que un banco contrate a un tercero para construir y operar su base biométrica. Lo dice de forma explícita.
Lo que no permite es que la información de esa base se venda, transfiera, comparta o se haga interoperable entre instituciones o con terceros para efectos de verificación de identidad. Son dos cosas distintas: contratar un proveedor para el servicio es una decisión de negocio permitida; que el dato biométrico circule fuera del control de la institución no lo es, sin importar quién sea el proveedor.
Para un equipo de cumplimiento, esto cambia la pregunta que hay que hacerse al elegir tecnología. No es si el proveedor puede operar la verificación, porque la norma ya contempla eso. Es qué controles de segregación lógica, cifrado y trazabilidad ofrece, para que la institución pueda demostrar, si la CNBV lo pide, que sigue siendo dueña efectiva del dato y de su gobierno, aunque el motor biométrico lo opere un tercero.
¿Qué exige la norma y cómo responde la tecnología?
| Lo que pide el Anexo 71 | Facephi |
|---|---|
| Detección de vida ISO/IEC 30107-3 | ✅ iBeta Level 1 y Level 2 |
| Deduplicación conforme NIST FRVT | ✅ Tecnología evaluada por NIST |
| Calidad de imagen ISO 19794 | ✅ Compatible |
| Seguridad de la información | ✅ ISO 27001, SOC 2 Type II, ENS Alto |
Gobierno del dato: aprobación del Consejo de Administración
Aquí hay un matiz que conviene tener claro antes de asumir que cualquier base biométrica necesita pasar por el Consejo. La aprobación del Consejo de Administración que exigen los artículos 51 Bis 3 y 51 Bis 5 no aplica al proceso estándar del Art. 51 Bis 2. Aplica a quien quiera usar un mecanismo o un documento de identificación distinto al que ya describe la norma, y necesite autorización especial de la CNBV para hacerlo. En ese caso sí, la descripción detallada del mecanismo debe llevar aprobación del Consejo antes de someterse a la CNBV.
Dicho de otro modo: si un banco sigue el proceso estándar ya descrito en las nuevas disposiciones, la aprobación del Consejo no es un paso obligatorio de la norma. Pero si va a proponer algo distinto (otro tipo de dispositivo, otro estándar, otro flujo de verificación) sí necesita ese respaldo antes de plantearlo a la CNBV. Vale la pena que cada institución revise en cuál de los dos caminos está, porque cambia bastante el proceso interno de aprobación.
La sucursal ya no queda fuera del cambio
Durante años, la inversión biométrica se concentró en el alta remota y en los canales digitales, mientras la sucursal física operaba bajo un supuesto cómodo: si el cliente está ahí en persona, buena parte del riesgo de identidad ya está resuelto. Las nuevas disposiciones eliminan ese supuesto.
En cuentas nivel 3 y 4, estar presente ya no exime de verificación biométrica formal, y la sucursal necesita ahora la misma disciplina de trazabilidad, cifrado y prueba de vida que ya se exige en remoto.
Un banco con un motor biométrico sólido en sus canales digitales, pero un proceso manual o de baja trazabilidad en sucursales, no tiene un ajuste de producto pendiente. Tiene una decisión de arquitectura pendiente.
Y esa decisión probablemente trascienda a estas nuevas disposiciones de la CNBV.
Checklist para cumplimiento: as decisiones que un banco debería tomar antes de noviembre
Si algo deja claro esta resolución es que el desafío ya no es únicamente regulatorio. También es tecnológico y operativo.
El plazo de adecuación a las nuevas disposiciones termina en noviembre. Pero la decisión importante empieza mucho antes: cumplir el Anexo 71 es el punto de partida para diseñar una arquitectura que no haya que rehacer con la próxima actualización regulatoria.
Las instituciones que aprovechen esta actualización para construir una arquitectura biométrica preparada para futuras exigencias regulatorias probablemente evitarán rediseñar procesos cada vez que cambie la norma.
Cumplir el plazo es el objetivo inmediato. Construir una capacidad de identidad digital preparada para lo que viene es la verdadera decisión estratégica.
Bruno Rivadeneyra firma este análisis desde su experiencia en cumplimiento e identidad digital. Si su institución está evaluando cómo cumplir el Anexo 71 dentro del plazo, la guía de cumplimiento CNBV y LFPIORPI profundiza en los requisitos técnicos y operativos que este artículo describe.
Es el anexo técnico de la Circular Única de Bancos que fija los requisitos para capturar y usar huella dactilar y biometría facial como mecanismos de verificación de identidad en la banca mexicana. Sustituye la versión anterior, que solo cubría huella.
Se publicó el 1 de julio de 2026, entró en vigor al día siguiente, y da 90 días hábiles de plazo general para que las instituciones se alineen, según el Tercero Transitorio de la resolución.
A las instituciones de crédito supervisadas por la CNBV, para operaciones presenciales de mayor riesgo en cuentas nivel 3 y 4.
No. Al dar de alta a un cliente, huella y rostro se cotejan contra INE, SRE u otra autoridad federal, con una coincidencia mínima del 90%. Cuando el cliente ya está registrado y vuelve a operar, el cotejo es 1 a 1 contra la propia base biométrica de la institución, no contra la autoridad externa.
Sí, la norma lo permite de forma explícita. Lo que no permite es que la información de esa base se venda, transfiera, comparta o se haga interoperable entre instituciones o con terceros para fines de verificación.
No necesariamente. La aprobación del Consejo aplica cuando la institución propone un mecanismo o documento de identificación distinto al que ya describe la norma, y necesita autorización especial de la CNBV para usarlo.
La CNBV puede requerir información adicional y, si detecta incumplimientos graves o reiterados, instruir la suspensión parcial o total, temporal o definitiva, del uso de la base de datos biométrica, previo derecho de audiencia a la institución.
No. El Anexo 71 regula la verificación biométrica dentro de la Circular Única de Bancos, y convive con las obligaciones de prevención de lavado de dinero de la LFPIORPI, que siguen vigentes.
