CURP biométrica: qué obliga a las empresas y qué no resuelve todavía

El decreto publicado en el Diario Oficial de la Federación el 16 de julio de 2025 estableció la Clave Única de Registro de Población (CURP) biométrica como documento nacional de identificación obligatorio. El plazo de 90 días naturales para su adopción venció a mediados de octubre de 2025. Las empresas que rechacen este documento enfrentan multas de hasta 2.35 millones de pesos, aunque la infraestructura estatal de validación en línea aún no opera para fines de verificación de clientes (KYC).

El marco legal y la sanción por rechazo

El decreto añadió cinco artículos a la Ley General de Población que sostienen el esquema operativo. El artículo 91 Bis define la CURP con huellas dactilares y fotografía como documento de «aceptación universal y obligatoria en todo el territorio nacional». El artículo 91 Sexies obliga a todo ente público o particular a solicitarla en sus trámites.

La sanción se ancla en el artículo 114 Bis, que impone multas de 10,000 a 20,000 veces el valor diario de la Unidad de Medida y Actualización (UMA) a quienes incumplan las obligaciones del artículo 91 Bis. Con la UMA de 117.31 pesos vigente desde el 1 de febrero de 2026, el rango de la multa va de 1.17 a 2.35 millones de pesos, previo apercibimiento por reiterado incumplimiento.

La redacción del 114 Bis crea una distinción operativa crítica. La multa sanciona el incumplimiento del artículo 91 Bis (rechazar una CURP biométrica presentada), no el del 91 Sexies (no solicitarla). Una empresa que rechace el documento en ventanilla cae en el supuesto sancionado. La empresa que omita solicitarla queda fuera de esa remisión literal, a la espera de que el Reglamento de la Ley General de Población fije los términos de operación.

La Plataforma Única de Identidad y su alcance actual

El origen del decreto explica su infraestructura. La reforma buscaba fortalecer la búsqueda de personas desaparecidas, no desplegar identidad digital comercial.

Los Lineamientos para el Desarrollo y Operación de la Plataforma Única de Identidad (PUI) se publicaron el 27 de noviembre de 2025. Los manuales técnicos para instituciones públicas y diversas se publicaron el 23 de enero de 2026. Estos documentos declaran en su primer objetivo que el intercambio de información tiene como «finalidad exclusiva apoyar las acciones de búsqueda y localización de personas desaparecidas o no localizadas».

Un banco que se interconecte bajo estos manuales obtiene dos funciones: consultar reportes activos de personas desaparecidas y notificar coincidencias. No obtiene verificación de clientes. La función que un área de cumplimiento necesita depende del pendiente Manual de Operación del Servicio Nacional de Identificación Personal (SNIP). El servicio de validación entrará en operación 45 días hábiles después de la expedición de ese manual.

Lo que ya exige la CNBV desde 2017

Para las entidades financieras, la verificación remota de identidad opera bajo reglas previas. La resolución del 29 de agosto de 2017 que añadió los artículos 51 Bis a la Circular Única de Bancos describe un procedimiento con mayor detalle que la nueva ley.

El artículo 51 Bis 4 obliga a verificar en línea contra los registros del Instituto Nacional Electoral (INE) el Código Identificador de Credencial y los nombres. Sobre la huella dactilar, la norma exige una coincidencia de «al menos en un noventa y ocho por ciento» y prueba de huella viva para evitar impresiones simuladas.

La misma resolución exige corroborar de manera remota con el Registro Nacional de Población (RENAPO) que los datos proporcionados coinciden con ese registro antes de la contratación. Para la apertura no presencial de cuentas de nivel 3 y 4, el procedimiento incluye comparar la fotografía de la credencial con el rostro del solicitante. El umbral de fiabilidad de esa comparación facial lo determina y defiende el comité de riesgos de cada institución.

Aceptar no equivale a verificar

El artículo 91 Bis establece que «la integración de los datos biométricos se realizará, previo consentimiento de las personas titulares». La ley obliga a la empresa a aceptar la CURP biométrica cuando el cliente la presenta, pero no la faculta para exigir que el cliente la tramite.

En un flujo de alta real conviven tres perfiles: quien posee CURP biométrica, quien posee la CURP tradicional y el extranjero en estancia regular. El sistema debe procesar los tres.

Aceptar un documento no comprueba que la persona frente a la cámara sea su titular legítimo. Esa comprobación se resuelve leyendo el documento, comparando el rostro con la fotografía impresa y confirmando la presencia de una persona viva.

Cobertura operativa del flujo de alta

Entre lo que la ley obliga y lo que el alta necesita, la verificación biométrica cubre tres comprobaciones específicas. La consulta directa a RENAPO o a la Lista Nominal del INE sigue siendo una integración separada, pendiente de la autorización del RENAPO y del manual SNIP.

Esta verificación trabaja sobre el documento y el rostro. No consulta bases de datos gubernamentales. Esa capa requiere una integración distinta.

La parte del alta que puede cerrarse hoy es la validación del documento y el rostro. Solicite una demostración con documentos mexicanos reales y mida los resultados sobre casos propios antes de fijar el umbral que su comité de riesgos deberá defender. Evalúe también las capacidades de comparación facial, prueba de vida y orquestación de flujos.