Identidad digital: qué es y cómo se verifica

El 16 de julio de 2025, el Diario Oficial de la Federación publicó el decreto que convirtió la CURP con huellas y fotografía en «el documento nacional de identificación obligatorio, de aceptación universal y obligatoria en todo el territorio nacional», disponible «en formato físico y digital». Y la cuenta única del gobierno, Llave MX, cerró su primer año con 20.5 millones de cuentas y 168 sistemas y portales conectados, según el propio gobierno.

México está montando una infraestructura de identidad nacional, con calendarios que se ajustan sobre la marcha e impugnaciones en los tribunales. Antes de seguir, conviene fijar qué es la identidad digital, porque el término significa tres cosas distintas según quién lo use. Y para un negocio, confundirlas sale caro.

Qué es la identidad digital

La identidad digital es el conjunto de datos, atributos y credenciales que representan a una persona en los sistemas digitales: quién dice ser, qué documentos lo respaldan y qué cuentas, registros y llaves lo conectan con servicios concretos.

El primer sentido es la huella digital: perfiles, publicaciones y rastros que una persona deja en línea. De eso hablan las guías de reputación. El segundo es la identidad ciudadana digital, es decir, los documentos y llaves que emite el Estado, como la CURP biométrica y Llave MX en México o la cartera EUDI en Europa. El tercero es el que le importa a un negocio: la identidad verificable. Son los datos de un cliente que la empresa comprobó contra un documento y un rostro vivo antes de abrirle una cuenta.

Aquí nos ocupamos de los dos últimos y, sobre todo, de lo que los separa.

Identidad digital no es verificación de identidad

Una identidad digital es una representación. La verificación de identidad es el proceso que comprueba que detrás de ella hay una persona real y que esa persona es quien dice ser. Parece una distinción de manual, pero es justo el hueco por el que entra el fraude.

Un perfil con nombre, correo, teléfono y hasta una CURP válida es una identidad digital completa, y aun así puede no corresponder a nadie. Los defraudadores arman identidades sintéticas mezclando datos reales de varias personas con datos inventados. Cada dato por separado pasa la validación formal, pero juntos describen a alguien que no existe.

Por eso la verificación se hace sobre la persona y no sobre los datos: un documento auténtico, un rostro vivo frente a la cámara y la coincidencia entre ambos. Si ese paso falta, cualquier identidad digital, incluso una emitida por el Estado, queda como una afirmación sin comprobar de quien la presenta.

México: la CURP biométrica y Llave MX

La reforma de 2025 creó el artículo 91 Bis de la Ley General de Población: la CURP que contenga «huellas dactilares y fotografía» es ahora el documento nacional de identificación. La arquitectura tiene tres piezas: la CURP biométrica como documento base, Llave MX como cuenta de acceso a trámites, y una plataforma de identidad que las une.

El calendario generó confusión y hay que leerlo con cuidado. Gobernación ha declarado que el trámite no se impondrá de manera forzosa y no ha fijado fecha límite; lo «obligatorio» del decreto es la aceptación del documento. El Financiero anticipaba que desde febrero de 2026 sería requerida en trámites financieros y educativos, con un calendario que podría ajustarse. En la práctica, cada trámite que la pide la vuelve ineludible. La propia palabra «obligatoria» ha exigido aclaraciones oficiales.

El proyecto avanza entre impugnaciones. R3D, que había advertido que la CURP biométrica obligatoria y la plataforma de identidad «consolidarían un sistema autoritario de vigilancia masiva», presentó demandas de amparo contra el paquete legislativo, incluida la vinculación de las líneas telefónicas a la CURP. Artículo 19 litiga su propio amparo ante tribunales federales. El contexto institucional da argumentos a los críticos: el registro arranca después de la extinción del INAI, y la protección de datos personales quedó dentro de una secretaría del Ejecutivo.

Para un negocio, esto tiene dos consecuencias. La CURP biométrica va a estandarizar el documento que presenta el cliente. Pero tus obligaciones de verificación siguen igual: las normas de identificación del cliente exigen que la entidad compruebe por sí misma a la persona.

La Unión Europea: la cartera EUDI

Europa recorre el mismo camino con otra arquitectura. El reglamento eIDAS 2 obliga a cada Estado miembro a ofrecer una cartera europea de identidad digital (la EUDI Wallet), con la que ciudadanos y empresas podrán identificarse y compartir documentos electrónicos en toda la UE. Si operas en España, la situación se parece a la de México. El Estado estandariza la credencial, y verificar al cliente sigue siendo tarea del negocio regulado.

Cómo se verifica una identidad digital en la práctica

Para pasar de una identidad declarada a una verificada hacen falta cuatro comprobaciones. Las cuatro caben en un solo flujo remoto.

El documento. Se lee y se valida su autenticidad: estructura, elementos de seguridad, zona MRZ. Los sistemas actuales de verificación de documentos cubren cientos de tipos de decenas de países.

El rostro. La comparación de rostros confirma que la selfie del solicitante coincide con la fotografía del documento.

La vida. La prueba de vida comprueba que frente a la cámara hay una persona real y presente, y no una foto, un video o un deepfake. En el momento del onboarding, ninguna credencial estatal hace esta comprobación por ti.

Las listas. El cotejo contra sanciones y personas expuestas políticamente, cuando la actividad del negocio lo exige.

Más que el orden, importa que no falte ninguna. Una verificación de identidad completa encadena las cuatro en una sola solicitud, y el expediente que sale de ahí es el que el regulador espera ver cuando pregunta.

El eslabón que decide

Una identidad digital es tan fiable como la verificación que la respaldó. Si la cuenta se abrió con un documento sin comprobar o un rostro sin prueba de vida, el historial, los límites y la confianza que se construyan encima arrastran ese fallo. Ninguna credencial nacional lo arregla después; hay que resolverlo en el alta.

La credencial la emite el Estado; la verificación es tuya

Biometric.Vision encadena las cuatro comprobaciones en una sola solicitud de API: documento (433 tipos, 180 países), comparación de rostros, prueba de vida y screening AML. Para empezar, tienes 500 verificaciones gratis al mes.

Solicita una demo y revisa el flujo con los documentos de tu mercado.