CURP biométrica: qué obliga a las empresas y qué no resuelve todavía

El decreto publicado en el Diario Oficial de la Federación el 16 de julio de 2025 le dio a México un documento nacional de identidad y, en el mismo texto, una obligación para todo particular que preste trámites y servicios. El artículo 91 Sexies que ese decreto añadió a la Ley General de Población lo dice sin matices: «Todo ente público o particular estará obligado a solicitar la Clave Única de Registro de Población para la prestación de sus trámites y servicios».

El transitorio cuarto de ese mismo decreto dio noventa días naturales para adoptar las medidas necesarias. Como el decreto entró en vigor el 17 de julio de 2025, el plazo venció a mediados de octubre de ese año.

El artículo 114 Bis fija la sanción: multas de 10,000 a 20,000 veces el valor diario de la Unidad de Medida y Actualización, previo apercibimiento por el reiterado incumplimiento. Con la UMA vigente desde el 1 de febrero de 2026, de 117.31 pesos diarios, el rango va de 1.17 a 2.35 millones de pesos.

Lo que la ley dice, artículo por artículo

El esquema descansa sobre cinco de los artículos que añadió el decreto, y cada uno crea una obligación distinta. La multa respalda solo a uno de ellos.

Conviene que un área jurídica lea con calma la redacción del 114 Bis. La multa se ancla en el artículo 91 Bis, el que ordena aceptar la CURP biométrica como identificación válida, y no en el 91 Sexies, que es el que ordena solicitarla. Si una empresa rechaza en ventanilla una CURP biométrica, cae en el supuesto sancionado. Si simplemente no pide la CURP, queda fuera de esa remisión literal.

El 91 Sexies remite además al Reglamento de la Ley General de Población. Hasta que ese reglamento fije los términos, la obligación está en la ley, pero nadie ha escrito cómo se opera en detalle.

El origen del decreto explica su alcance

El texto no nació como una reforma de identidad digital. Su título lo dice: decreto que reforma la Ley General en Materia de Desaparición Forzada de Personas y la Ley General de Población, «en materia de fortalecimiento de búsqueda, localización e identificación de personas desaparecidas». La CURP biométrica y la Plataforma Única de Identidad entraron por esa puerta. Qué es la identidad digital y en qué se diferencia de la verificación de identidad está desarrollado en otro artículo.

Ese origen condiciona toda la infraestructura posterior. Por eso una empresa que busca ahí un servicio de validación de identidad todavía no lo encuentra.

La Plataforma Única de Identidad todavía no valida identidades

Los Lineamientos para el Desarrollo y Operación de la Plataforma Única de Identidad se publicaron el 27 de noviembre de 2025. Su glosario distingue dos figuras. Las Entidades Registradoras son «instituciones públicas». Las Entidades Usuarias son «las instituciones públicas o diversas» que el RENAPO autoriza a consultar y validar datos personales, biométricos y administrativos, así que esta segunda categoría va más allá del sector público. Lo que abre la puerta es la autorización del RENAPO conforme al Manual de Operación.

Su transitorio segundo ordenó emitir tres documentos en treinta días hábiles: el Manual de Operación de la PUI para el Servicio Nacional de Identificación Personal y los manuales técnicos para las instituciones públicas y para las instituciones diversas. El transitorio cuarto ata el arranque a uno solo de ellos. El servicio «entrará en operación en un plazo no mayor a 45 días hábiles posteriores a la expedición del Manual de Operación».

Los dos manuales técnicos aparecieron en la edición vespertina del DOF del 23 de enero de 2026, en versión 1.0 fechada el 13 de enero. Son especificaciones de API, con sus endpoints, tokens y listas de control de acceso, y su primer objetivo deja claro para qué sirven: el intercambio de información con las instituciones diversas se establece «con la finalidad exclusiva de apoyar las acciones de búsqueda y localización de personas desaparecidas o no localizadas».

Un banco que se interconecte bajo esos manuales puede consultar reportes activos de personas desaparecidas y notificar coincidencias. Verificar a sus clientes, no. Esa función depende de otro documento, el Manual de Operación del SNIP, que es donde se fijan los niveles de aseguramiento de la identidad que menciona el glosario de los Lineamientos. Y es también el manual que pone en marcha el plazo de 45 días hábiles.

Lo que la CNBV ya exigía desde 2017

Los bancos ya hacían verificación remota de identidad ocho años antes de la CURP biométrica. La resolución del 29 de agosto de 2017 que añadió los artículos 51 Bis a la Circular Única de Bancos describe el procedimiento con un detalle que la nueva ley no tiene.

El artículo 51 Bis 4 obliga a verificar en línea, contra los registros del Instituto Nacional Electoral, el Código Identificador de Credencial y los nombres y apellidos tal como aparecen en la credencial para votar. Para la huella dactilar la norma da un número: debe coincidir «al menos en un noventa y ocho por ciento» con los registros del INE. También exige que el lector asegure que la huella se toma directamente de la persona, «evitando el registro de huellas provenientes de impresiones en algún material que pretenda simular la huella de otra persona (prueba de huella viva)». Ese requisito lleva nombre propio en la norma desde 2017.

La misma resolución hace obligatoria la comprobación de la CURP: antes de la contratación, las instituciones deben corroborar de forma remota con el Registro Nacional de Población que los datos proporcionados coinciden con ese registro, y guardar evidencia. Para abrir sin presencia física cuentas de nivel 3 y de nivel 4 con tope de abonos mensuales, el procedimiento añade la comparación de la fotografía de la credencial para votar con el rostro del solicitante para «hacer el reconocimiento biométrico facial entre estas».

El regulador no fija el umbral de esa comparación facial. El artículo 51 Bis 9, fracción IV, pide evidencia de que los reconocimientos de rostro tengan «el nivel de fiabilidad determinado por el comité de riesgos de la Institución». La entidad elige el punto de corte y tiene que defenderlo.

Aceptar no es verificar

El artículo 91 Bis contiene una frase que decide cómo debe leerse todo lo anterior: «La integración de los datos biométricos se realizará, previo consentimiento de las personas titulares».

Quien decide integrar sus datos biométricos es el titular. La ley obliga a la empresa a aceptar la CURP biométrica cuando alguien la presenta, pero no le permite exigir al cliente que la tramite. En una fila real hay de todo: gente con CURP biométrica, gente con la CURP tradicional y extranjeros en estancia regular. El alta tiene que funcionar para todos.

Aceptar un documento tampoco prueba que la persona frente a la cámara sea su titular. Eso se resuelve igual que antes: se lee el documento, se compara el rostro con la fotografía impresa y se confirma que ese rostro es de alguien presente y vivo.

Dónde entra la verificación biométrica

Entre lo que exige la ley y lo que necesita un alta quedan tres comprobaciones.

Sobre el alcance: esta verificación trabaja con el documento y el rostro, sin consultar el RENAPO ni la Lista Nominal del INE. Esa consulta es otra integración. Por la vía de la Plataforma Única de Identidad, sigue pendiente de la autorización del RENAPO y del manual que falta.

Lo que ya puede cerrar hoy en el alta es el documento y el rostro. Solicite una demostración con sus propios documentos mexicanos y mida los resultados sobre casos reales antes de fijar el umbral que su comité tendrá que defender.