Imaginemos por un momento que dentro de diez, veinte o treinta años una persona descubre que alguien está utilizando su identidad biométrica para acceder a un servicio, cruzar un sistema de seguridad o realizar una operación que ella jamás autorizó. Ahora imaginemos algo todavía más complejo: ¿Qué ocurriría si esa información hubiera sido obtenida de una base de datos gubernamental comprometida?

No estamos hablando simplemente de cambiar una contraseña. Una contraseña puede modificarse. Un correo electrónico puede sustituirse. Incluso una tarjeta bancaria puede cancelarse y reemplazarse. Pero ¿qué hacemos cuando alguien obtiene información biométrica vinculada permanentemente con nuestra identidad?

Ese es el problema que considero que debemos comenzar a discutir seriamente en México ante la expansión de la CURP biométrica y de los sistemas de identidad digital.

El problema no es la tecnología. Es la concentración del riesgo.

La incorporación de datos biométricos a los sistemas de identidad puede ofrecer beneficios importantes. México busca fortalecer la identificación de las personas, reducir duplicidades, combatir la suplantación de identidad y facilitar el acceso a servicios públicos. La legislación reciente contempla que, cuando la CURP tenga asociados datos biométricos, pueda funcionar como documento nacional de identificación; además, se plantea una Plataforma Única de Identidad para consultar, validar y gestionar esta información.

El objetivo, en principio, es razonable. El problema comienza cuando nos hacemos una pregunta diferente:

¿Qué sucede si el sistema que concentra esa identidad es comprometido?

Porque mientras más servicios dependen de una misma identidad digital, mayor es también el impacto potencial de una vulnerabilidad. No estamos hablando solamente de una base de datos. Estamos hablando de una infraestructura capaz de convertirse en uno de los sistemas de información más sensibles del país. Y aquí aparece una paradoja:

La misma centralización que puede hacer más eficiente al Estado también puede concentrar enormes cantidades de riesgo.

Una contraseña se cambia. Un rostro no.

Los datos biométricos tienen una característica que los hace especialmente delicados: están vinculados a características físicas de una persona. Huellas dactilares, reconocimiento facial, iris, voz y otros identificadores pueden utilizarse para verificar quién somos. Pero si esa información se filtra, el problema no desaparece simplemente cambiando una contraseña. No significa que una persona pueda ser “clonada” literalmente a partir de una fotografía o una huella robada. El problema es más profundo:

los mecanismos de autenticación basados en características biométricas pueden quedar comprometidos de una manera que no podemos solucionar simplemente emitiendo una nueva huella o un nuevo rostro.

Por eso los datos biométricos requieren medidas de protección especialmente rigurosas. El propio INAI ha desarrollado recomendaciones específicas para la seguridad en el tratamiento de datos biométricos y metodologías para la gestión de riesgos en sistemas que manejan datos personales. Y esto debería hacernos reflexionar. Porque el escenario que debemos evitar no es solamente:

“Alguien robó una base de datos”.

El verdadero escenario preocupante es:

“Alguien comprometió un sistema que permite demostrar quién eres”.

¿Qué pasaría si esa información terminara en manos equivocadas?

Aquí es donde el problema comienza a adquirir dimensiones mucho mayores. Podríamos imaginar mercados clandestinos donde se comercialicen grandes cantidades de información personal. Podríamos imaginar campañas de fraude extremadamente sofisticadas. Sistemas de inteligencia artificial capaces de combinar información biométrica con fotografías, documentos, historiales, patrones de comportamiento y actividad digital. Podríamos imaginar sistemas de vigilancia capaces de identificar automáticamente a una persona en determinados espacios.

Y en un futuro de ciudades altamente digitalizadas, podríamos encontrarnos con escenarios todavía más complejos. Una persona podría ser identificada automáticamente para entrar a un edificio, utilizar un transporte, acceder a determinados servicios o interactuar con infraestructura inteligente.

¿Qué sucede si el sistema se equivoca? ¿Quién corrige el error? ¿Quién responde? ¿Quién determina que esa persona realmente es quien el sistema dice que es? Y, todavía más importante: ¿qué sucede cuando una decisión automatizada comienza a afectar la vida real de una persona? No es ciencia ficción. Es una cuestión de arquitectura, gobernanza, ciberseguridad y derechos digitales.

Capturar biométricos es relativamente fácil. Protegerlos no.

Aquí existe una diferencia que considero fundamental. Podemos instalar un lector de huellas. Podemos instalar una cámara con reconocimiento facial. Podemos conectar un escáner de iris. Podemos desarrollar una aplicación que capture esos datos y almacenarlos en una base de datos. Técnicamente, hacerlo puede ser relativamente sencillo. Pero eso no significa que tengamos construido un sistema seguro. La verdadera complejidad aparece después.

¿Cómo se almacenan? ¿Cómo se cifran?

¿Quién puede acceder? ¿Desde dónde?

¿Cómo se autentican los administradores? ¿Cómo se registran y auditan los accesos?

¿Cómo se segmenta la infraestructura? ¿Qué ocurre si un servidor es comprometido? ¿Existe una arquitectura de respaldo? ¿Existe recuperación ante desastres? ¿Se realizan pruebas de penetración independientes? ¿Existe monitoreo permanente?

¿Hay mecanismos de detección de intrusiones? ¿Se puede aislar una parte del sistema sin detener todo el servicio? ¿Existe un plan de respuesta ante incidentes?

¿Quién tiene las llaves criptográficas? ¿Quién puede modificarlas? ¿Quién audita a quienes tienen acceso privilegiado?

Y quizás una de las preguntas más importantes: ¿qué ocurre si un proveedor tecnológico externo que participa en la infraestructura también es comprometido?

La seguridad no comienza en la base de datos. Comienza desde el hardware, el firmware, la red, los sistemas operativos, las aplicaciones, las identidades administrativas, los centros de datos, los proveedores, los respaldos y las personas que operan toda esa infraestructura. Es un problema de arquitectura integral.

El verdadero desafío para el Estado

Por eso considero que el debate sobre la CURP biométrica no debería reducirse a:

“¿Estamos a favor o en contra de utilizar biométricos?”

La pregunta debería ser mucho más incómoda: ¿Tenemos la infraestructura, el talento especializado, los procesos y la capacidad institucional necesarios para proteger una infraestructura de identidad de esta magnitud durante décadas?

Porque construir el sistema es solamente el principio. El Gobierno de México ya reconoce que la CURP biométrica forma parte de una transformación de la infraestructura de identidad nacional y que su implementación requiere coordinación entre distintas instituciones. Incluso durante 2026 se han destinado recursos para equipamiento, operación y mantenimiento de infraestructura relacionada con la identidad biométrica en registros civiles. Eso demuestra algo importante:

no estamos hablando de un experimento aislado. Estamos construyendo infraestructura nacional. Y una infraestructura nacional necesita estándares nacionales de seguridad.

El factor que puede cambiar completamente el escenario: la inteligencia artificial

Ahora agreguemos una variable que hace que este debate sea todavía más importante.

La inteligencia artificial.

Durante mucho tiempo, encontrar vulnerabilidades en sistemas complejos requería equipos especializados de investigadores y hackers. Eso está cambiando. En abril de 2026, Anthropic presentó resultados de Claude Mythos Preview, un modelo diseñado con capacidades particularmente avanzadas para investigación de ciberseguridad. Como parte del proyecto Glasswing, Anthropic y sus socios reportaron haber identificado más de 10,000 vulnerabilidades de severidad alta o crítica en software utilizado por organizaciones relevantes. Y aquí está el punto que considero más importante:

la IA no solamente puede utilizarse para defender sistemas. También puede reducir el costo y el tiempo necesarios para encontrar vulnerabilidades.

Anthropic llegó incluso a restringir inicialmente la disponibilidad general de Mythos debido a la preocupación por sus capacidades en ciberseguridad. Posteriormente, la propia compañía documentó que un método para evadir ciertas salvaguardas de Fable 5 permitió utilizar el modelo para identificar vulnerabilidades de software. Y los acontecimientos posteriores son todavía más interesantes.

En julio de 2026, Anthropic informó que durante determinadas evaluaciones de ciberseguridad algunos modelos Claude alcanzaron sistemas reales a través de entornos de prueba mal configurados; la compañía también reportó un incidente durante pruebas del AI Security Institute del Reino Unido en el que Mythos 5 realizó acciones no autorizadas sobre Internet.

Esto no significa que la IA sea automáticamente capaz de “hackear cualquier sistema”. Sería una exageración. Pero sí demuestra que estamos entrando en una etapa donde las capacidades de análisis, descubrimiento de vulnerabilidades y automatización de tareas ofensivas están aumentando rápidamente. Y esto cambia la ecuación.

La seguridad no puede avanzar más lentamente que la capacidad de atacar

Supongamos que construimos una enorme infraestructura nacional de identidad. Miles de servidores. Millones de registros. Interconexión entre instituciones. Servicios digitales. Sistemas de autenticación. Aplicaciones móviles. APIs. Proveedores externos. Infraestructura en la nube. Dispositivos biométricos. Personal administrativo. Y millones de ciudadanos dependiendo de ella.

Ahora agreguemos sistemas de inteligencia artificial capaces de analizar enormes cantidades de código, buscar vulnerabilidades y automatizar determinadas tareas de ciberseguridad. La pregunta cambia. Ya no es solamente:

“¿Podemos construirlo?”

La pregunta es:

“¿Podemos defenderlo durante los próximos 10, 20 o 30 años mientras la tecnología de ataque también evoluciona?”

Porque un sistema seguro hoy puede no serlo dentro de diez años. Una arquitectura considerada adecuada actualmente podría quedar obsoleta. Un algoritmo criptográfico considerado suficientemente fuerte hoy podría enfrentar nuevos tipos de ataques en el futuro. Una vulnerabilidad que todavía no conocemos podría permanecer escondida durante años. Y una base de datos que estamos construyendo para resolver problemas actuales podría seguir existiendo cuando las herramientas tecnológicas para atacarla sean radicalmente diferentes.

México no debería esperar a sufrir el incidente para descubrir que no estaba preparado

Aquí es donde mi preocupación deja de ser exclusivamente tecnológica. Se convierte en una cuestión de política pública. No estoy diciendo que México no deba modernizar su sistema de identidad. Tampoco estoy diciendo que la biometría sea inherentemente mala. De hecho, puede aportar enormes beneficios en la reducción del fraude, la identificación de personas y el acceso a servicios. El punto es otro.

Una infraestructura crítica no debería construirse pensando únicamente en cómo ponerla en funcionamiento. Debe diseñarse pensando también en cómo sobrevivirá a un ataque. Debe existir una estrategia de seguridad desde el diseño. No después del primer incidente. No después de la primera filtración. No después de que aparezca una vulnerabilidad. Y mucho menos después de que millones de ciudadanos hayan entregado información que ya no puede simplemente “cambiarse”.

Antes de digitalizar nuestra identidad, debemos construir la capacidad de protegerla

Desde mi perspectiva, el debate sobre la CURP biométrica debería llevarnos a una conversación mucho más profunda sobre las capacidades tecnológicas del Estado mexicano.

Necesitamos infraestructura. Necesitamos centros de datos seguros y resilientes. Necesitamos arquitectos de sistemas. Especialistas en criptografía. Ingenieros de redes. Expertos en seguridad ofensiva y defensiva. Especialistas en gestión de identidades. Auditores independientes. Equipos de respuesta ante incidentes. Sistemas de respaldo y recuperación. Pruebas permanentes. Gobernanza de datos. Legislación clara. Transparencia. Y, sobre todo, una cultura institucional en la que la seguridad no sea un requisito que se agrega al final del proyecto.

La seguridad debe ser parte de la arquitectura desde el primer día.

Porque estamos hablando de algo mucho más delicado que una contraseña. Estamos hablando de la identidad de millones de personas. Y una vez que esa identidad entra al mundo digital, debemos asumir algo desde el principio: todo sistema conectado puede ser atacado.

La pregunta nunca debería ser si será atacado. La pregunta debería ser: ¿qué tan preparado está el sistema para resistir cuando ocurra?

México tiene frente a sí una oportunidad enorme para modernizar su infraestructura de identidad. Pero modernizar no significa solamente digitalizar. Digitalizar nuestra identidad sin construir primero las capacidades necesarias para protegerla podría convertir una solución tecnológica en una nueva superficie de riesgo para toda la sociedad. Por eso, antes de preguntarnos si podemos construir una identidad digital nacional, deberíamos hacernos una pregunta todavía más importante:

¿Estamos preparados para protegerla durante las próximas décadas?

---

Fuentes —

• Anthropic. (2026, April 7). Assessing Claude Mythos Preview’s cybersecurity capabilities. Anthropic
• Anthropic. (2026, April 2026). Project Glasswing: An initial update. Anthropic
• Anthropic. (2026, July 30). Investigating three real-world incidents in our cybersecurity evaluations. Anthropic
• Cámara de Diputados. (2025, julio 16). Decreto por el que se reforman y adicionan diversas disposiciones de la Ley General de Población. Cámara de Diputados
• Gobierno de México. (2025, marzo 24). Presidenta Claudia Sheinbaum presenta reformas para combatir el delito de desaparición como la creación de la Plataforma Única de Identidad. Presidencia de la República.
• Gobierno de México. (2026, abril 13). CURP Biométrica: derecho y herramienta de justicia social. Secretaría de Gobernación.
• Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. (s. f.). Documentos y guías para el sector público. INAI