Qué es KYC y cómo funciona la verificación del cliente

KYC son las siglas de Know Your Customer, «Conoce a tu cliente»: el proceso con el que un banco, una fintech o cualquier negocio obligado comprueba quién es su cliente antes de abrirle una cuenta o firmar un contrato. En México la regulación lo llama identificación y conocimiento del cliente, y su resultado es el expediente de identificación.

En México esa obligación tiene dos fuentes. Los bancos la cumplen por el artículo 115 de la Ley de Instituciones de Crédito y las Disposiciones de carácter general que lo desarrollan: antes de operar con un cliente por medios electrónicos deben integrar su expediente de identificación. Inmobiliarias, casas de juegos y sorteos, comercios de vehículos, joyerías y otros negocios con actividades vulnerables la cumplen por el artículo 18 de la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI).

Abajo va lo básico: qué reúne el expediente, cómo se abre una cuenta a distancia en México y qué conviene preguntarle a un proveedor de verificación.

Qué es KYC

KYC designa el conjunto de procedimientos con los que una entidad comprueba quién es la persona con la que va a establecer una relación de negocio, antes de establecerla.

En México la base legal para los bancos es el artículo 115 de la Ley de Instituciones de Crédito. Les obliga a seguir los lineamientos de Hacienda sobre «el adecuado conocimiento de sus clientes y usuarios, para lo cual aquéllas deberán considerar los antecedentes, condiciones específicas, actividad económica o profesional y las plazas en que operen». Por eso el KYC abarca también a qué se dedica el cliente y dónde opera, además de su nombre y su identificación.

Para los negocios con actividades vulnerables, el artículo 18 de la LFPIORPI pide verificar la identidad del cliente «basándose en documentos u otros medios de identificación con reconocimiento oficial», recabar copia y, si es persona física, su declaración sobre si conoce la existencia de un beneficiario controlador. Si el cliente se niega a dar la información, el negocio debe abstenerse de realizar la operación. Quién supervisa cada régimen se explica en prevención de lavado en México: PLD, CNBV y Ley Fintech.

Expediente de identificación: qué documentos reúne en México

Las Disposiciones de carácter general del artículo 115 piden a una persona física mexicana una identificación oficial vigente con fotografía y firma, como la credencial para votar del INE o el pasaporte, y un comprobante de domicilio. Datos, documentos, versiones digitales y el resultado de la entrevista o del mecanismo tecnológico usado se conservan juntos, como parte del expediente de identificación de cada cliente (disposición 8ª). Qué se puede comprobar en cada identificación lo explicamos en identificaciones oficiales de México. Más detalle en el checklist del expediente de identificación.

Qué incluye una verificación KYC

Una comprobación completa de identidad remota reúne cuatro elementos.

Documento. Lectura del documento de identidad y validación de su autenticidad, vigencia e integridad. En México suele ser la credencial para votar del INE o el pasaporte.

Biometría facial. Comparación uno a uno entre el selfie del solicitante y la fotografía del documento, para confirmar que quien presenta el documento es su titular.

Prueba de vida. Comprobación de que ante la cámara hay una persona real y no una fotografía, un vídeo reproducido en pantalla, una máscara o un deepfake.

Listas. Cotejo contra la lista de personas bloqueadas de la Secretaría de Hacienda: el artículo 115 de la Ley de Instituciones de Crédito obliga a los bancos a suspender «de forma inmediata» las operaciones con los clientes que figuren en ella. En el mismo paso se revisan las personas políticamente expuestas y las listas de sanciones internacionales.

A esto se añade una obligación que suele olvidarse en los presupuestos: conservar. Los bancos guardan al menos diez años la información y documentación de identificación de sus clientes (artículo 115 de la Ley de Instituciones de Crédito). Quienes realizan actividades vulnerables guardan diez años la documentación que sirve de soporte a las operaciones hechas desde el 17 de julio de 2025, cuando entró en vigor la reforma de la LFPIORPI.

KYC, AML, eKYC y KYB: en qué se diferencian

Una cosa contiene a la otra: el eKYC es una forma de hacer KYC, y el KYC es una parte del AML. Por eso un banco puede tener un eKYC impecable e incumplir igualmente el artículo 115 de la Ley de Instituciones de Crédito si no presenta los reportes de operaciones inusuales o internas preocupantes.

Apertura a distancia en México: RENAPO, INE y biometría

Los bancos mexicanos pueden identificar al cliente sin entrevista presencial desde marzo de 2019, cuando Hacienda reconoció la identificación por videoconferencia en tiempo real. Lo recuerda la resolución publicada en el DOF el 28 de agosto de 2024, que volvió a reformar las Disposiciones del artículo 115. En sus considerandos cita la Guía sobre Identificación Digital del GAFI, de marzo de 2020, entre cuyos mecanismos menciona la prueba de vida y los elementos biométricos.

Para abrir una cuenta de forma no presencial, la disposición 4ª Ter exige, además de los datos habituales, la geolocalización del dispositivo desde el que se abre la cuenta y el consentimiento con firma electrónica o firma electrónica avanzada.

Para las cuentas de la disposición 14ª Bis, que admiten la captura remota de datos, la 7ª fija verificaciones que se suman según el nivel de la cuenta:

• consulta al Registro Nacional de Población para integrar la CURP y comprobar nombre, género, entidad federativa y fecha de nacimiento;
• validación del teléfono móvil por un canal distinto al que se usó para darlo;
• en las cuentas de nivel 3, cotejo de los datos de la credencial para votar (el CIC o el OCR, año de registro, clave de elector, número y año de emisión) con los registros del INE o de otra autoridad que preste ese servicio; para el pasaporte y la matrícula consular, con los de la SRE;
• en las cuentas de la fracción IV, además, firma electrónica avanzada y verificación de la coincidencia de la información biométrica con los registros del INE, de la SRE u otra autoridad, con la constancia integrada al expediente.

La norma pide comparar la biometría con un registro oficial. Que ante la cámara esté la persona viva, y no una foto o un video, lo comprueba la prueba de vida del proveedor.

Por qué la prueba de vida ya no basta por sí sola

En febrero de 2026, en España, la Dirección General de Política Estratégica y Asuntos Internacionales publicó las conclusiones de las pruebas del proyecto DIDIT en el sandbox financiero regulado por la Ley 7/2020. El enfoque de los ensayos se acordó con el SEPBLAC: falsificar documentos con una impresora de tarjetas y comprar máscaras hiperrealistas para darse de alta en entidades reales. Las pruebas se hicieron en abril y mayo de 2025. El documento dice textualmente:

Con un DNI impreso con una foto falsa (Deep-fake) un atacante puede superar muchos de los procesos de identificación digital, incluso el procedimiento de video-identificación que incluye prueba de vida, mostrar el anverso y el reverso del DNI mientras se graba al potencial cliente o la verificación manual si es necesario.

En las pruebas, «el flujo NFC fue el único que bloqueó la suplantación, sin intervención humana». La combinación que el informe recomienda es lectura del chip más prueba de vida activa, no una sola de las dos. La máscara hiperrealista sí fue rechazada por la prueba de vida.

Eso sí, el promotor del proyecto en el sandbox es una empresa privada que vende verificación con NFC. El hallazgo está documentado ante un supervisor, pero el ensayo no es neutral.

La prueba de vida sigue siendo útil. Protege contra un tipo de ataque, la presentación de un artefacto ante la cámara, y no contra otro: un documento físico auténtico en su soporte pero con fotografía generada. Son controles distintos y hacen falta los dos.

Qué mirar en una solución de verificación

Estas son las preguntas que vale la pena hacerle a un proveedor:

1. ¿Consulta el Registro Nacional de Población para validar la CURP y los datos de nacimiento del cliente?
2. ¿Coteja los datos de la credencial para votar (CIC u OCR, clave de elector, año de registro, número y año de emisión) con los registros del INE o de otra autoridad que preste ese servicio?
3. ¿Puede verificar la coincidencia biométrica con registros oficiales y entregar una constancia para el expediente cuando el tipo de cuenta lo exige?
4. ¿Registra la geolocalización del dispositivo en la apertura no presencial?
5. ¿La detección de vida es activa, pasiva o ambas, y detecta la recaptura de pantalla?
6. ¿La arquitectura de conservación soporta los diez años del artículo 115 de la Ley de Instituciones de Crédito?

Cómo lo resuelve Biometric.Vision

Nuestra plataforma cubre los cuatro elementos descritos al principio. Cada módulo se invoca por API y devuelve un veredicto: aprobado o rechazado.

Liveness Core realiza la verificación pasiva en menos de un segundo con una precisión declarada del 99,1 %: el usuario solo mira a la cámara, sin movimientos de cabeza. Existe además un modo activo que solicita girar la cabeza, parpadear y sonreír, para los escenarios que requieren interacción explícita. El producto distingue cuatro clases de ataque: deepfakes generativos, inyecciones en el flujo de vídeo mediante emuladores o cámaras virtuales, máscaras de silicona y 3D, y reproducciones en pantalla o papel.

La comparación de rostros 1:1 coteja el selfie con la fotografía del documento sobre 512 puntos biométricos, con umbral de similitud configurable. La verificación de documentos analiza más de 433 tipos de documentos en 1,2 segundos. Comprueba la geometría del retrato, las fuentes, la microestructura de los caracteres, las sumas de verificación de la MRZ y las señales de recaptura. El cribado AML comprueba listas de sanciones y PEP en la misma solicitud.

Para los requisitos de conservación y territorialidad del dato existe despliegue on-premise: los selfies, las fotografías de documentos y las plantillas biométricas permanecen en el perímetro de la entidad.

Sobre las cifras: el dato de bloqueo del 99,9 % de ataques biométricos que figura en nuestra web procede de pruebas internas sobre más de 10 000 ataques, no de una evaluación de laboratorio independiente. Cuando compare proveedores, pida siempre la metodología, el conjunto de ataques y el punto de operación. Un porcentaje sin esos datos no sirve para comparar.