Verificación de identidad digital en México: qué validar antes de dar de alta a un cliente
Antes de aprobar un alta, conviene responder tres preguntas: ¿el documento es confiable?, ¿la persona que realiza el proceso corresponde a su titular?, ¿los datos coinciden con las fuentes pertinentes? Una respuesta positiva en una capa no resuelve automáticamente las otras.
La verificación de identidad digital reúne estas comprobaciones para sustentar una decisión. Para un director de Riesgo, el reto consiste en detectar inconsistencias relevantes y permitir que los usuarios legítimos avancen sin solicitudes innecesarias. Eso exige controles escalonados, resultados interpretables y evidencia de por qué se aprobó o detuvo cada solicitud.
1. Documento, persona y fuentes: tres comprobaciones diferentes
Un documento puede contener datos reales y estar alterado. También puede ser auténtico y haber sido presentado por alguien distinto de su titular.
La guía técnica NIST SP 800-63A-4 distingue la validación de evidencias y atributos de la verificación que vincula al solicitante con esa identidad. Es una referencia técnica; no sustituye la regulación mexicana ni acredita por sí misma a un proveedor.
Para llevar esa distinción a la operación, utiliza esta matriz:
| Capa | Qué comprobar | Qué no demuestra por sí sola |
|---|---|---|
| Documento | Legibilidad, vigencia, consistencia y señales de alteración mediante controles compatibles con ese documento. | Que quien lo presenta sea su titular. |
| Persona | Correspondencia facial y resultado de la prueba de vida. | Que los datos documentales estén confirmados por su emisor. |
| Fuentes | Coincidencia de los atributos consultados y alcance de la respuesta recibida. | Que la persona esté presente o tenga intención legítima. |
| Decisión | Reglas aplicadas, discrepancias, evidencia y motivo del resultado. | Que el cliente nunca cometerá fraude. |
Leer una identificación mediante OCR no equivale a autenticarla. La extracción de texto debe distinguirse del análisis documental y del contraste posterior de los datos.
2. Qué pedirle a la biometría y qué no dar por resuelto
La comparación facial y la prueba de vida responden preguntas distintas. La primera evalúa correspondencia entre rostros; la segunda aporta evidencia sobre la presencia de una persona durante la captura.
NIST también trata por separado los ataques de presentación y la inyección de contenido en el proceso. Por ello, una evaluación de prueba de vida no debe interpretarse automáticamente como cobertura frente a cualquier ataque digital.
Antes de aceptar una afirmación sobre inteligencia artificial, solicita evidencia del componente evaluado, su versión, condiciones de prueba y limitaciones. Una capacidad anunciada o propuesta para una integración todavía no es una capacidad probada en tu operación.
Define además qué ocurrirá ante una captura deficiente. Una imagen oscura debe conducir a instrucciones claras o a una alternativa autorizada, no directamente a una etiqueta de fraude. Si persisten contradicciones, un analista debe poder revisar el caso con criterios documentados.
3. Controles escalonados para cuidar fraude y conversión
La siguiente es una propuesta operativa, ajustable a la regulación, al producto y al riesgo de cada empresa:
Establece el mínimo obligatorio. Determina qué documentos, verificaciones y autorizaciones necesita cada tipo de alta. El nivel de riesgo no permite omitir requisitos legales.
Resuelve problemas de captura. Solicita repetir únicamente la imagen o el dato afectado. Explica cómo corregirlo.
Contrasta las inconsistencias relevantes. Identifica qué atributo difiere y qué fuente puede aclararlo. Evita repetir consultas que no aportan evidencia nueva.
Escala las excepciones. Envía a revisión humana las discrepancias que no puedan resolverse con las reglas previstas.
Registra la decisión. Conserva el motivo de aprobación, suspensión o rechazo y la evidencia necesaria conforme a los plazos aplicables.
Distingue siempre entre “sin coincidencia”, “no fue posible consultar” y “resultado inconcluso”. Tratarlos como un mismo rechazo impide saber si el problema fue de identidad, disponibilidad o calidad.
Para evaluar el flujo, mide conversión, abandono por etapa, recapturas, revisiones y fraude confirmado. Revisa también cuántas alertas terminaron siendo casos legítimos. Una tasa de aprobación mayor, aislada, no demuestra una mejora.
4. Ejemplo hipotético: una discrepancia que merece aclaración
Caso expresamente hipotético: una empresa de arrendamiento recibe la solicitud digital de una persona física con actividad empresarial.
La captura documental es legible y los resultados biométricos satisfacen la política definida. Sin embargo, el nombre del formulario no coincide exactamente con el obtenido del documento.
En lugar de rechazar, el proceso identifica que el solicitante omitió su segundo nombre. Se confirma la información y se realiza el contraste previsto con la fuente habilitada. Si la discrepancia queda resuelta y se cumplen los demás controles, la solicitud continúa.
Si la fuente no responde, el caso queda pendiente; no se registra como suplantación. Si devuelve información contradictoria, se escala con la evidencia disponible.
La revisión humana tampoco debe convertirse en una autorización informal para ignorar alertas: necesita atribuciones, criterios y registro de su resolución.
5. Cómo integrar Identidad y VeriDocID con evidencia y contexto normativo
Las capacidades de Identidad de SUMA, dentro de VeriDocID, permiten combinar verificación documental, biometría facial, prueba de vida y consultas a fuentes gubernamentales habilitadas. Su integración mediante SDKs y APIs permite conectarlas con experiencias web o móviles; los módulos y conexiones dependen del alcance contratado.
La implementación debe definir qué resultados recibe tu sistema, cómo los interpreta y qué evidencia conserva. Recomendamos relacionar cada solicitud con la fecha de consulta, las verificaciones realizadas, la versión de las reglas y, cuando intervenga una persona, el motivo de su decisión.
Como complemento, la verificación de email, teléfono e IP puede aportar contexto de riesgo digital. Estas señales deben apoyar la evaluación, sin convertirse por sí solas en prueba de suplantación.
En México, el diseño también debe considerar:
Protección de datos. La LFPDPPP vigente, publicada en 2025 y con última reforma indicada del 14 de noviembre de 2025, regula el tratamiento por particulares. Son relevantes los artículos 5, 7–9, 12, 14–16 y 18: principios, consentimiento y excepciones, proporcionalidad, información y seguridad. Recabar más información no sustituye justificar su finalidad.
Regulación bancaria específica. La resolución de la CNBV publicada en el DOF el 14 de julio de 2026, vigente desde el día siguiente, modificó el artículo 51 Bis 6 de las disposiciones aplicables a instituciones de crédito e incorporó supuestos relacionados con cuentas Nivel 2 Bis. También contempla prueba de vida en los mecanismos señalados. Su ámbito es bancario y depende del contrato y supuesto aplicable; no debe trasladarse automáticamente a cualquier empresa.
La tecnología aporta comprobaciones; el cumplimiento requiere además políticas, responsabilidades y una implementación acorde con la actividad.
6. Preguntas frecuentes antes de aprobar el alta
¿Una CURP encontrada confirma que estoy hablando con su titular?
No. Confirma únicamente lo que indique la consulta sobre ese registro. Todavía necesitas vincular a la persona con la identidad presentada.
¿Qué hago si la comparación facial queda cerca del umbral?
Aplica el procedimiento definido para resultados inconclusos: revisar calidad, permitir una nueva captura controlada o escalar. No ajustes el umbral para aprobar un caso aislado.
¿Debo rechazar cuando una fuente no está disponible?
La indisponibilidad no demuestra fraude. Aplica la contingencia autorizada para ese producto, sin omitir verificaciones obligatorias ni presentar una consulta pendiente como exitosa.
¿Qué evidencia debería poder revisar un analista?
Qué se comprobó, qué resultado se obtuvo, qué discrepancia existe y qué regla se activó. Facilita solo el acceso necesario a los datos y registra la resolución.
Conoce cómo VeriDocID de SUMA México puede integrarse a tu proceso de alta para combinar comprobaciones y gestionar excepciones con criterios claros.