2026 es el año en que la CNBV aprieta dos tuercas distintas del mismo problema. Una regula cómo comparten datos los bancos entre sí: es el Open Banking, bajo la Ley Fintech. La otra regula cómo verifican quién es el cliente antes de dejarle operar: es la biometría, bajo la Circular Única de Bancos.
La primera avanza despacio: ocho años después de la Ley Fintech, la capa más valiosa de datos sigue sin regulación secundaria. La segunda sí dio un salto concreto: desde el 2 de julio de 2026, los bancos pueden (y en ciertos casos deben) verificar la identidad de sus clientes con biometría facial, no solo con huella.
Para compliance, la diferencia importa: una norma lleva ocho años frenada, mientras la otra se publicó, entró en vigor y ya corre un plazo de cumplimiento. Este artículo repasa las dos piezas: qué exige cada una, por qué están conectadas y qué implican para bancos y fintech.
Qué es el Open Banking según la Ley Fintech mexicana
La Ley Fintech de 2018 obliga a compartir información financiera mediante APIs estandarizadas. Su artículo 76 divide el modelo en tres niveles: datos abiertos (productos, tarifas, ubicaciones), datos agregados (estadísticas anonimizadas) y datos transaccionales (historial del cliente, con su consentimiento).
Solo el primer nivel tiene regulación secundaria completa, publicada por la CNBV hace años. Las otras dos capas siguen sin normas técnicas pese a que el plazo legal ya venció, y son las que permitirían productos realmente personalizados, como mejores ofertas de crédito basadas en el historial real del cliente.
Cronograma del Open Banking en México
| Hito | Momento | Estado en 2026 |
| Ley Fintech (marco general, Art. 76) | 2018 | En vigor |
| Disposiciones CNBV sobre datos abiertos (capa 1) | Publicadas por la CNBV | Implementadas |
| Regulación secundaria de datos agregados y transaccionales (capas 2 y 3) | Plazo vencido según la Ley Fintech | Sin publicar |
| Demanda de amparo contra CNBV, Banxico y SHCP por la omisión | Diciembre de 2025 | En trámite |
Puede consultarse el texto oficial de la Ley Fintech y su artículo 76 en la biblioteca de leyes de la Cámara de Diputados.
Cinco años de retraso, en cifras y en tribunales
México cerró 2025 con cerca de 795 fintechs activas (Finnovista), un ecosistema que consolida más que crece. Open Banking Tracker registra 167 bancos mexicanos con algún tipo de API pública, aunque la profundidad varía mucho entre ellos: la mayoría cumple solo el mínimo obligatorio de la capa de datos abiertos.
El 10 de diciembre de 2025, dos emprendedores presentaron una demanda de amparo contra la CNBV, Banxico y la SHCP. Su motivo: la CNBV no ha emitido la regulación de datos agregados y transaccionales que la propia Ley Fintech exige desde hace cinco años.
Su argumento es directo: la omisión frena proyectos de negocio que dependen de ese nivel de dato. El contexto tampoco ayuda: la CNBV opera en 2026 con un recorte presupuestal del 4.5% y ha perdido personal técnico hacia el sector privado.
«Open Finance no es solo una innovación tecnológica; es un eslabón elemental para la verdadera inclusión y salud financiera.»
— Adrián Martínez Pérez, emprendedor, en El Financiero.
México en cifras: Open Banking y ecosistema fintech
| Indicador | Dato | Fuente |
| Fintechs activas en México (2025) | ~795 | Finnovista |
| Bancos con algún tipo de API pública | 167 | Open Banking Tracker |
| Recorte presupuestal a la CNBV (2026) | -4.5% | El Financiero |
La pieza que sí avanzó: la nueva resolución CNBV sobre biometría facial
Mientras el Open Banking transaccional espera, la CNBV actuó rápido en otro frente. El 1 de julio de 2026 modificó la Circular Única de Bancos (CUB) para incorporar la biometría facial como método de verificación de identidad en operaciones presenciales, junto a la huella dactilar que era, desde 2017, el único biométrico admitido. La resolución entró en vigor el 2 de julio.
La medida no llega sola: desde febrero de 2026 la CURP biométrica es obligatoria a nivel nacional para trámites de alto valor, y el robo de identidad en México también ha crecido con fuerza según reportes del sector. Banca, registro civil e instituciones de crédito convergen hacia el mismo estándar: identidad verificada con datos biométricos, no solo documentales.
La reforma aplica al canal presencial, en cuentas nivel 3 y 4 (las de mayor saldo, sin tope de depósito): apertura de cuentas nivel 4, operaciones activas y medios de pago de niveles 3-4, y retiros o transferencias sobre cuentas nivel 4, incluso si la cuenta está en otra institución.
Los bancos tienen 90 días hábiles para adaptar sus sistemas, hasta mediados de noviembre de 2026. Los que ya tenían base biométrica propia deben avisar a la CNBV en 30 días naturales.
Qué exige el Anexo 71 de la CUB
| Elemento | Requisito | Detalle |
| Verificación de identidad | Coincidencia mínima del 90% | Contra registros del INE, la SRE, el SAT u otra autoridad federal |
| Anti-suplantación (facial) | Certificación ISO/IEC 30107-3 | Obligatoria para evitar ataques de presentación (fotos, máscaras, pantallas) |
| Calidad de imagen | ISO/IEC 19794-5 | Captura 2D frontal, ambiente controlado, sin gafas ni accesorios |
| Bases de datos biométricas | Prohibida su venta o transferencia | Entre instituciones de crédito o a terceros, según la propia resolución |
| Plazo de adecuación | 90 días hábiles | Hasta mediados de noviembre de 2026 |
La resolución permite a los bancos apoyarse en proveedores de tecnología para construir la infraestructura de captura y verificación exigida, aunque la base de datos resultante sigue siendo del banco.
La ley prohíbe venderla, compartirla o transferirla a otras instituciones o a terceros: contratar un proveedor no es lo mismo que delegar la custodia del dato. Puede consultarse el análisis legal de la resolución que modifica la CUB del despacho Basham, Ringe y Correa.
Por qué ambas normas están conectadas
El Open Banking solo funciona si el dato compartido es confiable desde el origen: una API que mueve información de un cliente mal identificado no mejora el sistema, lo contamina.
La resolución de biometría facial no forma parte, formalmente, del capítulo de Open Banking, pero resuelve un problema que sí le pertenece: garantizar que el «titular» del dato es quien dice ser, en el canal presencial que todavía usa la mayoría de los usuarios financieros mexicanos según encuestas del propio sector.
Dicho de otro modo: de poco sirve terminar de redactar la regulación de datos transaccionales si, el día que se publique, los bancos no pueden garantizar que el historial pertenece a la persona correcta. La biometría facial es, en ese sentido, un requisito previo silencioso, sin el cual el Open Finance completo no tendría sentido.
Dos normas CNBV, un mismo problema de fondo
| Norma | Qué regula | Estado en 2026 |
| Ley Fintech, Art. 76 (Open Banking) | Compartir datos entre instituciones vía API | Solo capa 1 (datos abiertos) operativa |
| CUB, Art. 51 Bis y Anexo 71 (biometría) | Verificar identidad en operaciones presenciales | En vigor desde el 2 de julio, 90 días para adecuarse |
Los retos de compliance que deja la nueva norma
Cumplir el Anexo 71 no es solo instalar una cámara: exige certificación anti-suplantación, calidad de imagen específica, segregación de la base de datos y auditorías periódicas. Para bancos medianos y neobancos sin proveedor biométrico homologado, el plazo de 90 días hábiles deja poco margen para construir esa infraestructura desde cero.
Pains de compliance en la nueva resolución CNBV
| Pain | Por qué importa | Qué exige o resuelve |
| Certificación anti-suplantación (liveness) | El Anexo 71 la hace obligatoria, no opcional | Certificación ISO/IEC 30107-3 frente a ataques de presentación (fotos, vídeos, máscaras) |
| Verificación contra INE/SRE con 90% de coincidencia | Es el umbral legal mínimo para autenticar | Conectividad certificada con las bases oficiales |
| Segregación y seguridad de la base biométrica propia | La CNBV puede suspender su uso si falla | Infraestructura dedicada, cifrado, auditoría anual |
Facephi obtuvo en 2022 la certificación ISO/IEC 30107-3 Nivel 2 de Facephi de iBeta para su tecnología de liveness facial, tras someterla a ataques con máscaras, fotografías y software de animación sin que ninguno lograra acceso fraudulento.
Es exactamente el estándar que el nuevo Anexo 71 exige ahora a la banca mexicana. Pero es una base técnica de partida, no una garantía automática de cumplimiento: cada banco debe validar su propia implementación con la CNBV.
Facephi ofrece además guías específicas sobre cumplimiento CNBV y LFPIORPI para el sector financiero mexicano y sobre verificación de identidad para fintech.
Preguntas frecuentes sobre Open Banking y biometría facial en México
Permite, y en ciertos casos obliga, a los bancos a verificar la identidad de sus clientes con reconocimiento facial en operaciones presenciales, además de la huella dactilar que era el único método admitido desde 2017. Entró en vigor el 2 de julio de 2026.
A operaciones presenciales de cuentas nivel 3 y 4: apertura de cuentas nivel 4, operaciones activas y medios de pago de niveles 3-4, y retiros o transferencias sobre cuentas nivel 4, incluso si la cuenta está en otra institución.
Exige protección anti-suplantación certificada bajo ISO/IEC 30107-3 y calidad de imagen conforme a ISO/IEC 19794-5, ambas obligatorias para evitar ataques de presentación.
No. La resolución prohíbe vender, transferir o compartir esas bases entre instituciones de crédito o con terceros. Sí permite, en cambio, contratar proveedores de tecnología para construir la infraestructura de captura.
Son normas distintas, pero conectadas: el Open Banking (artículo 76 de la Ley Fintech) regula cómo se comparten los datos entre instituciones, y la biometría facial regula cómo se verifica que esos datos pertenecen a la persona correcta desde el origen.
No. Solo la capa de datos abiertos opera; las capas de datos agregados y transaccionales siguen sin regulación secundaria y son objeto de una demanda de amparo presentada en diciembre de 2025.
90 días hábiles desde la entrada en vigor, hasta mediados de noviembre de 2026. Los bancos que ya tenían una base biométrica propia deben notificarlo a la CNBV en un plazo de 30 días naturales.
