México endurece reglas antilavado y biometría bancaria

México publicó el Acuerdo 115/2026, que reforma las Reglas de Carácter General de la LFPIORPI, mientras la CNBV avanzó con cambios a la Circular Única de Bancos sobre validación biométrica. En conjunto, ambas medidas elevan las exigencias de ciberseguridad, gestión tecnológica, identificación de clientes y control interno para bancos, financieras y otros sujetos obligados.

¿Qué cambió en las reglas antilavado?

El Acuerdo 115/2026 no modifica la LFPIORPI, sino las reglas que la desarrollan, y cambia el eje del cumplimiento desde una lógica documental hacia un modelo basado en riesgos, con más peso para la identificación del beneficiario controlador, el monitoreo transaccional y el uso de herramientas tecnológicas.

El acuerdo fue publicado el 7 de agosto de 2026 en el Diario Oficial de la Federación, según Garrigues, y desarrolla obligaciones introducidas por la reforma del 16 de julio de 2025, de acuerdo con KPMG. OVA.mx y PCGA.mx coinciden en que el nuevo esquema incluye un calendario escalonado de aplicación, con entrada en vigor general el 30 de noviembre de 2026.

Calendario de adecuación antilavado

Según Garrigues, además de la vigencia general del 30 de noviembre de 2026, hay plazos específicos adicionales para ciertas obligaciones hasta 2027. PCGA.mx amplía ese esquema y señala que el Acuerdo 115/2026 concentra la exigibilidad entre 2026 y 2028, según el tipo de obligación y de sujeto alcanzado.

¿A quién alcanza el nuevo esquema de cumplimiento?

El impacto no se limita al sistema bancario. Kim Gómez Franco e Ibarra, Pacheco y González señalan que la reforma alcanza sectores como el inmobiliario y las operaciones mediante fideicomisos, donde se refuerzan las obligaciones de identificación del beneficiario controlador y trazabilidad de recursos.

En ese terreno, la actualización de contratos, sistemas de gestión documental y controles sobre información compartida con bancos aparece como una tarea directa para las áreas de cumplimiento. B2B Mexico describió la reforma como histórica, porque modifica de manera integral reglas vigentes desde 2013, con retoques puntuales en 2014 y 2020.

¿Cómo se cruza con la biometría bancaria?

La CNBV también ajustó su Circular Única de Bancos para ampliar la validación biométrica, con la huella dactilar y la biometría facial como mecanismos alternativos en ciertas operaciones presenciales, sin que una técnica reemplace obligatoriamente a la otra.

AMITI detalla que la reforma modifica los artículos 51 Bis a 51 Bis 5 y sustituye el Anexo 71, concentrando la validación biométrica obligatoria en cuentas de niveles 3 y 4, asociadas a mayores capacidades transaccionales. Ese diseño acota el alcance operativo inicial, pero concentra las exigencias de ciberseguridad en segmentos donde el riesgo de lavado y fraude es más alto.

La asociación también precisa que la resolución publicada el 1 de julio de 2026 en el Diario Oficial da a las instituciones de crédito 90 días hábiles, no naturales, para hacer las adecuaciones. Eso impacta la planificación de integraciones biométricas y pruebas de seguridad.

¿Qué presión regulatoria suma el frente de transparencia?

En paralelo, en agosto de 2026 se reportó que la Suprema Corte de Justicia de la Nación otorgó a la CONDUSEF facultades más amplias para sancionar a entidades financieras que oculten información de sus clientes, lo que refuerza el riesgo regulatorio en transparencia y tratamiento de datos.

El Cronista también informó que la Corte validó normas que permiten a la CONDUSEF imponer sanciones por malas prácticas de cobranza. Infobae, por su parte, señaló una decisión de la SCJN que responsabiliza a empresas telefónicas por negligencia en la verificación de identidad cuando facilitan fraudes de SIM swapping, un antecedente que refuerza la convergencia entre autenticación robusta, ciberseguridad y responsabilidad de proveedores en el ecosistema financiero y de telecomunicaciones.

¿Qué lugar ocupa la tecnología en esta agenda?

La CNBV ya usa herramientas de inteligencia artificial para supervisión, según un artículo de Revista IMEF, aunque su Informe Anual 2024 no menciona iniciativas regulatorias específicas sobre IA aplicada al sector financiero. En ese mismo marco, QMA recordó que con la nueva Ley de Ciberseguridad de México el sector privado mantiene marcos sectoriales preexistentes, incluidas las regulaciones de la CNBV y la LFPDPPP.

Para bancos y entidades supervisadas, el cuadro regulatorio de agosto de 2026 deja una exigencia común, que es adaptar sistemas, controles y flujos de información a una lógica de riesgo, trazabilidad y verificación más estricta, con calendarios que se extienden hasta 2028.