Verificación de identidad KYC para empresas: guía práctica
Verificación de identidad KYC para empresas: onboarding digital, prueba de vida, validación de INE y CURP, comparación facial y datos personales. Lee más.
La verificación de identidad KYC para empresas sirve para confirmar, antes de darle acceso a un servicio, que una persona es quien dice ser y que sus documentos son reales. En esta guía te explicamos cómo funciona un onboarding digital, qué hace cada validación (INE, CURP, prueba de vida, comparación facial) y qué cuidar en materia de cumplimiento y datos personales.
Qué es la verificación de identidad KYC
KYC significa "conoce a tu cliente": saber quién está del otro lado antes de operar.
KYC (Know Your Customer) nació en el sector financiero, donde identificar a los clientes es una obligación regulatoria. Hoy lo usan muchas otras empresas que necesitan confianza en el primer contacto: financieras y fintech, arrendadoras, aseguradoras, plataformas que pagan a proveedores o repartidores, inmobiliarias, renta de autos, telecomunicaciones y cualquier negocio que otorgue crédito.
El objetivo es responder tres preguntas:
- ¿El documento es auténtico? No está alterado ni es una copia impresa.
- ¿Los datos son reales? Corresponden a un registro oficial vigente.
- ¿La persona es la titular? Quien está presentando el documento es la misma persona que aparece en él, y está presente en ese momento.
Validar solo los datos no basta. Una CURP o un RFC identifican un registro, pero no prueban que quien los escribe sea su titular. Por eso un buen proceso combina varias capas.
Cómo funciona un onboarding digital
El onboarding digital es el alta de un cliente sin que tenga que ir a una sucursal.
Un flujo típico de verificación de identidad tiene estos pasos:
- Captura de datos básicos: nombre, correo, teléfono y, si aplica, CURP o RFC.
- Foto de la identificación: anverso y reverso de la INE u otro documento, tomada desde la cámara del celular o la computadora.
- Extracción de datos (OCR): el sistema lee el nombre, la CURP, la fecha de nacimiento y otros datos del documento, para que el usuario no los capture a mano.
- Revisión del documento: se buscan señales de alteración, fotos de pantalla, impresiones o documentos vencidos.
- Validación contra fuentes oficiales: se consultan los datos de la INE y la CURP en los servicios disponibles.
- Selfie con prueba de vida: la persona se toma una foto o un video corto para demostrar que está presente.
- Comparación facial: se compara el rostro de la selfie con la foto de la identificación o con la registrada en la fuente oficial.
- Decisión: aprobación automática, rechazo o envío a revisión manual, con una bitácora de todo lo que pasó.
Bien diseñado, este proceso toma pocos minutos para el usuario. Mal diseñado, se vuelve el punto donde más clientes abandonan el registro.
Validación de INE y CURP
Son dos verificaciones distintas que se complementan.
Validación de la credencial para votar (INE)
La credencial del INE es la identificación más usada en México. El INE cuenta con un servicio de verificación de datos de la Credencial para Votar al que acceden instituciones mediante convenios, y ha revisado instrumentos con personas morales para verificar datos y realizar comparación facial, como se observa en documentos de su repositorio oficial.
En la práctica, muchas empresas acceden a estas validaciones a través de proveedores especializados de verificación de identidad, que ya tienen la integración y los acuerdos necesarios. Lo que obtienes es una respuesta sobre si la credencial está registrada y vigente y si los datos coinciden.
Consulta de la CURP
La CURP se puede consultar en el portal oficial del gobierno de México. En un proceso automatizado, la consulta suele hacerse también a través de un proveedor, para confirmar que la CURP existe y que nombre y fecha de nacimiento coinciden.
Recuerda: que una CURP sea válida solo prueba que el registro existe. Para saber que la persona es su titular necesitas la prueba de vida y la comparación facial.
Prueba de vida y comparación facial
La prueba de vida confirma que hay una persona real; la comparación facial confirma que es la correcta.
Prueba de vida (liveness): detecta si frente a la cámara hay una persona real o un intento de engaño, como una foto impresa, un video reproducido en otra pantalla, una máscara o una imagen manipulada. Hay dos enfoques:
- Activa: se le pide al usuario un gesto, como girar la cabeza, parpadear o seguir un punto en pantalla.
- Pasiva: el sistema analiza la imagen o el video sin pedir acciones, lo que reduce la fricción.
Comparación facial (1 a 1): compara la selfie contra la foto de la identificación o contra la foto registrada en la fuente oficial, y devuelve un nivel de similitud. Tu empresa define, junto con el proveedor, a partir de qué nivel se aprueba en automático y cuándo se manda a revisión humana.
| Validación | Qué prueba | Qué no prueba |
|---|---|---|
| Revisión del documento | Que la identificación no parece alterada | Que la persona sea la titular |
| Validación INE / CURP | Que los datos existen en un registro oficial | Que quien los presenta sea el titular |
| Prueba de vida | Que hay una persona real presente | Quién es esa persona |
| Comparación facial | Que el rostro coincide con el documento | Que el documento sea auténtico |
Ninguna capa es suficiente por sí sola. La combinación es lo que da confianza.
Cumplimiento y protección de datos personales
Verificar identidad implica tratar datos muy delicados; hay que hacerlo con reglas claras.
Datos personales y datos sensibles
En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025, regula cómo las empresas privadas recaban y usan datos personales. Entre otras cosas:
- Define los datos personales sensibles como aquellos que afectan la esfera más íntima de la persona o cuyo mal uso pueda causar discriminación o un riesgo grave. La lista de ejemplos de la ley es enunciativa, no limitativa.
- Para datos sensibles, el artículo 8 exige consentimiento expreso y por escrito, mediante firma autógrafa, firma electrónica o el mecanismo de autenticación que se establezca.
- Obliga a poner a disposición un aviso de privacidad y a mantener medidas de seguridad administrativas, técnicas y físicas.
- La autoridad en la materia es ahora la Secretaría Anticorrupción y Buen Gobierno.
La imagen del rostro y los datos biométricos merecen el trato más cuidadoso. Revisa con tu asesor legal cómo clasificarlos y qué consentimiento recabar en tu caso.
Obligaciones según tu industria
Si tu empresa es una entidad financiera regulada, las reglas sobre identificación de clientes y servicios a distancia las establecen autoridades como la CNBV y se actualizan con frecuencia. Otras actividades tienen obligaciones de prevención de lavado de dinero. Tu área de cumplimiento o tu asesor legal deben definir qué exige tu caso; el software debe construirse para cumplir esas reglas, no al revés.
Buenas prácticas técnicas
- Pide solo lo necesario para la finalidad que declaraste.
- Cifra documentos, selfies y resultados, en tránsito y en reposo.
- Restringe el acceso por rol: no todo tu equipo necesita ver la INE de un cliente.
- Define cuánto tiempo conservas cada dato y elimínalo cuando ya no lo necesites.
- Registra en una bitácora cada consulta, resultado y decisión.
- Revisa a tu proveedor: dónde almacena los datos, cómo los protege y qué hace con ellos.
Cómo elegir un proveedor de verificación de identidad
El proveedor hace la validación; tu sistema decide qué hacer con el resultado.
Antes de contratar, pregunta:
- ¿Qué validaciones incluye: documento, INE, CURP, prueba de vida, comparación facial, listas de riesgo?
- ¿Qué documentos acepta además de la INE, como pasaporte o identificaciones de otros países?
- ¿Ofrece SDK para web y apps móviles, y una API para recibir resultados?
- ¿Cómo cobra: por verificación completa o por cada validación?
- ¿Dónde almacena los datos y por cuánto tiempo?
- ¿Qué evidencias independientes tiene sobre su prueba de vida?
- ¿Qué pasa si su servicio no está disponible?
Una recomendación: no amarres todo tu proceso a un solo proveedor. Si tu sistema separa "pedir la verificación" de "decidir con el resultado", cambiar de proveedor después es mucho más sencillo.
Errores comunes en un proceso KYC
- Validar solo datos sin prueba de vida ni comparación facial.
- Pedir que el usuario suba fotos de su galería, que facilita usar imágenes ajenas.
- No tener revisión manual para los casos dudosos.
- Guardar INE y selfies sin cifrar en una carpeta compartida o en el correo.
- Diseñar un flujo largo y confuso, que hace que los clientes legítimos abandonen.
Si además te preocupa el fraude en pagos y cuentas, la verificación de identidad es solo una capa; los controles de acceso y el monitoreo completan la protección. Lo explicamos en nuestra guía sobre cómo evitar el fraude en tu empresa.
Cómo te ayudamos en DEXMA
Integramos la verificación de identidad en tu onboarding y en tus sistemas, con el proveedor que elijas.
En DEXMA desarrollamos el flujo completo: pantallas de registro, integración con proveedores de verificación, reglas de decisión, revisión manual y resguardo seguro de la información. Servicios relacionados:
- Verificación de identidad: onboarding digital con validación de documentos, prueba de vida y comparación facial a través de proveedores especializados.
- Desarrollo de aplicaciones web y móviles: el registro de tus clientes dentro de tu propia app.
- Ciberseguridad: cifrado, control de accesos y bitácoras para datos sensibles.
- Automatización de procesos: aprobaciones, alertas y revisiones sin trabajo manual.
- Pagos y dispersiones SPEI: verificar a la persona antes de pagarle o prestarle.
Si estás comparando opciones, te puede ayudar nuestra guía de software a la medida vs. software comercial. Y si quieres diseñar tu proceso, cuéntanos qué necesitas verificar y en qué momento.
Preguntas frecuentes
¿Qué es la verificación de identidad KYC?
Es el proceso para confirmar que una persona es quien dice ser antes de darle acceso a un servicio. Combina la revisión del documento, la validación de sus datos contra registros oficiales, una prueba de vida y la comparación de su rostro con el de la identificación.
¿Qué es la prueba de vida?
Es una validación que confirma que frente a la cámara hay una persona real y presente, y no una foto, un video reproducido o una máscara. Puede ser activa, pidiendo un gesto al usuario, o pasiva, analizando la imagen sin pedir acciones.
¿Se puede validar una INE en línea?
Sí. El INE ofrece un servicio de verificación de datos de la Credencial para Votar al que acceden instituciones mediante convenios, y muchas empresas lo usan a través de proveedores de verificación de identidad que ya cuentan con esa integración.
¿Necesito el consentimiento del usuario para tomar su selfie y su INE?
Sí. Debes informar en tu aviso de privacidad para qué usas los datos y, en el caso de datos personales sensibles, la ley exige consentimiento expreso y por escrito. Revisa con tu asesor legal cómo recabarlo en tu flujo.
¿Solo las empresas financieras necesitan KYC?
No. Para las entidades financieras suele ser una obligación regulatoria, pero cualquier empresa que otorgue crédito, pague a terceros, rente bienes de valor o quiera reducir fraudes en el registro de clientes puede beneficiarse de verificar identidades.