Reconocimiento facial: cómo funciona y para qué sirve

El reconocimiento facial es una tecnología biométrica que identifica a una persona o confirma su identidad comparando los rasgos de su rostro, captados en una foto o un video, con una imagen de referencia. Sirve para desbloquear el celular, controlar el acceso a un edificio, abrir una cuenta bancaria a distancia y detectar a un mismo cliente registrado dos veces.

La CURP biométrica, con fotografía y huellas dactilares, se creó por decreto publicado en julio de 2025. La fotografía del rostro forma parte ahora del documento nacional de identificación, y la comparación facial, de los trámites de todos los días.

Aun así, el término se usa para cosas muy distintas. Desbloquear un celular, abrir una cuenta bancaria a distancia y encontrar un rostro en una base de un millón de registros son tareas diferentes, cada una con su tecnología, sus errores y su marco legal.

Qué es el reconocimiento facial

A diferencia de una persona, el sistema no mira fotografías. Convierte el rostro en una plantilla matemática, un vector de rasgos como la geometría de los pómulos, la distancia entre los ojos o la forma del contorno, y compara plantillas entre sí.

De esa conversión depende todo lo demás. Una plantilla bien construida resiste los cambios superficiales. El algoritmo de comparación de rostros de Biometric.Vision analiza 512 puntos biométricos y mantiene la coincidencia aunque cambien el peso, la barba, el peinado, el maquillaje, los lentes o aparezcan cicatrices, porque se apoya en rasgos que esos cambios no tocan.

Cómo funciona el reconocimiento facial, paso a paso

1. Detección. Una cámara capta la foto o el video, y el sistema localiza el rostro y lo separa del fondo. Si en la imagen hay varias caras, trata cada una por separado.
2. Extracción de rasgos. Del rostro detectado se miden los rasgos estables: la distancia entre los ojos, la forma de la nariz y de la mandíbula, las proporciones y la textura. No cambian con la luz del día ni con un ángulo razonable de la cámara.
3. Plantilla. Los rasgos se convierten en una plantilla biométrica, un vector de números. La imagen original deja de ser necesaria; lo que se guarda y se compara es la plantilla.
4. Comparación 1:1 o 1:N. La plantilla nueva se coteja contra una sola de referencia, como la foto del documento, o contra toda una galería de rostros. El sistema devuelve una puntuación de similitud, y quien lo opera le aplica su umbral.

El resultado nunca es un «sí» o un «no» a secas. Es un número, y quien opera el sistema fija el umbral que lo convierte en decisión.

Verificación 1:1 e identificación 1:N

Bajo el mismo nombre conviven dos tareas distintas. El NIST, el instituto de estándares de EE. UU., las evalúa por separado.

La verificación 1:1 responde a «¿eres quien dices ser?»: compara la selfie del cliente con la foto de su documento. Sobre ella se construye el onboarding remoto, porque la comparación 1:1 confirma que el pasaporte pertenece a quien lo presenta.

La identificación 1:N responde a «¿quién eres dentro de esta base?»: busca un rostro en una galería completa y devuelve candidatos con su puntuación. En un negocio, la búsqueda 1:N trabaja sobre la propia base de clientes verificados y detecta cuentas duplicadas y registros de personas ya bloqueadas. La diferencia también es legal. Buscar en tu galería de usuarios que consintieron el tratamiento es una cosa; alimentar bases con la extracción indiscriminada de rostros de internet es otra, y está prohibida en la UE desde febrero de 2025.

En el flujo real las dos tareas se encadenan: el 1:1 confirma la identidad declarada; el 1:N revisa que esa persona no exista ya bajo otro nombre.

La regulación bancaria mexicana usa la misma división. El Anexo 71 de las disposiciones de la CNBV, en su versión publicada en el DOF el 1 de julio de 2026, pide que al registrar el rostro de un cliente el banco valide que no esté ya en su base con los datos de otra persona «conforme estándar NIST FRVT 1:N», y llama «cotejo 1 a 1» a la autenticación de los clientes ya registrados.

Qué compone un sistema de reconocimiento facial

En un flujo de verificación remota, un sistema de reconocimiento facial tiene cinco piezas:

• La captura: la cámara del celular, de la computadora o de un torniquete de acceso. De su calidad depende todo lo demás.
• La prueba de vida: comprueba que frente a la cámara hay una persona y no una foto, una pantalla o una máscara.
• El algoritmo: detecta el rostro, extrae los rasgos y construye la plantilla.
• La referencia: la foto del documento para el 1:1 o la galería de clientes para el 1:N.
• El umbral y la revisión humana: el número a partir del cual una similitud cuenta como coincidencia y el equipo que revisa los casos dudosos.

El Anexo 71 de la CNBV fija parámetros de la captura (imagen frontal a color, distancia mínima de 90 píxeles entre los ojos) y exige, para la primera captura del rostro, protección contra la suplantación conforme a ISO/IEC 30107-3 o a la Face Verification Certification.

Para qué sirve el reconocimiento facial

El uso más cotidiano es el desbloqueo del celular: el teléfono compara el rostro con una plantilla guardada en el propio aparato. Le siguen el control de acceso a oficinas y edificios, el registro de asistencia del personal y las cámaras de vigilancia en espacios públicos, donde la búsqueda 1:N despierta más dudas de privacidad.

En México, dos normas recientes llevan el rostro a trámites concretos. El decreto publicado en el DOF el 16 de julio de 2025 añadió a la Ley General de Población el artículo 91 Bis: la CURP que contenga huellas dactilares y fotografía «será el documento nacional de identificación obligatorio». La resolución de la CNBV del 1 de julio de 2026 permite a los bancos formar su propia base de datos de huellas dactilares y biometría facial de sus clientes y usarla para verificar la identidad al abrir cuentas de nivel 4, contratar créditos y medios de pago o autorizar retiros y transferencias. Antes de integrar a un cliente, el banco debe verificar la coincidencia con los registros biométricos del INE, la SRE, la autoridad fiscal u otra dependencia federal. La resolución entró en vigor al día siguiente de su publicación y dio a los bancos 90 días hábiles para ajustarse.

Los sectores que más lo adoptan comparten un problema: atienden a distancia a personas que no conocen. La banca lo usa para el alta remota de cuentas y la confirmación de operaciones; las telecomunicaciones, para frenar registros de líneas con documentos ajenos; las aseguradoras, para verificar identidad en la contratación y los pagos; las casas de empeño y las microfinancieras, para acelerar operaciones presenciales sin papeleo; los exchanges de criptomonedas y el juego en línea, para cumplir sus obligaciones KYC y cortar las cuentas múltiples.

El rostro sustituye a la contraseña o al trámite presencial. Por eso la calidad de la verificación inicial marca la del resto del sistema.

Qué exige la ley en México

La regulación mexicana de datos personales cambió por completo en 2025. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares se publicó el 20 de marzo de 2025, tras la desaparición del INAI. Para las empresas privadas, la autoridad de la nueva ley es la Secretaría Anticorrupción y Buen Gobierno; «Transparencia para el Pueblo», órgano desconcentrado de esa Secretaría, asume la función garante en materia de transparencia, y el personal del instituto extinto pasó a ambas estructuras.

Quien busque reglas específicas se llevará una sorpresa: la palabra «biométricos» no aparece en el texto de la ley. Los datos sensibles se definen con una lista «enunciativa más no limitativa» (origen racial o étnico, salud, información genética), y las plantillas faciales quedan sin clasificar. Como la lista es abierta, la autoridad puede considerarlas sensibles. Lo prudente para una empresa es tratarlas con el estándar de los datos sensibles, con consentimiento reforzado, finalidades explícitas y minimización, aunque la ley no las nombre.

Además, hay litigios abiertos. Contra el paquete legislativo de la CURP biométrica y la plataforma de identidad hay demandas de amparo de R3D y un litigio de Artículo 19 ante tribunales federales. Si despliegas reconocimiento facial en México, las reglas pueden cambiar sobre la marcha, así que documenta los consentimientos y guarda lo mínimo.

Los límites que conviene conocer

El reconocimiento facial compara rostros, pero no comprueba que el rostro esté vivo. Una fotografía impresa, un video en una pantalla o un deepfake pueden presentar un rostro perfectamente comparable. Por eso la detección de vida (liveness) va antes, como capa obligatoria en cualquier flujo remoto. Sin ella, ninguna cifra de precisión del reconocimiento dice nada sobre la resistencia al fraude.

La segunda limitación es estadística. La puntuación de similitud depende de la calidad de la imagen, la iluminación y el ángulo, y a escala aparecen parecidos genuinos. Un sistema bien operado no rechaza en automático por una coincidencia dudosa. Define umbrales y manda los casos grises a revisión humana.

Del rostro a la decisión, en un solo flujo

Un onboarding completo encadena tres preguntas. ¿Hay una persona viva frente a la cámara? Lo resuelve la prueba de vida. ¿Es quien dice ser? Lo resuelve la comparación 1:1 con el documento, con el algoritmo situado en el puesto 37 de la evaluación independiente NIST FRTE. ¿Ya existe en tu base? Para eso está la búsqueda 1:N. Las tres se responden en una sola solicitud, con 500 verificaciones gratis al mes para empezar.

Solicita una demo y revisa el flujo con tus propios casos.