La promesa de abrir una cuenta bancaria o contratar un crédito desde el sofá se cumplió más rápido de lo que el sistema estaba preparado para absorber. Lo que comenzó como una carrera por eliminar sucursales y formularios físicos mutó, en menos de una década, en una disputa silenciosa por la autenticidad de quien está al otro lado de la pantalla. Jorge Todd Souza, codirector general de Nubarium, lo resume sin adornos: el objetivo de la no presencialidad ya se alcanzó; el problema que nació con esa solución es ahora el centro de gravedad de la industria. La suplantación de identidad durante el onboarding digital dejó de ser un riesgo operativo periférico para convertirse en el primer filtro que determina si una entidad financiera cumple o no con sus obligaciones de prevención de lavado de dinero.
Esa transformación no es abstracta. Cada vez que un banco o una fintech aprueba a un cliente con identidad falsa, alterada o sintética, no solo pierde dinero por fraude: abre una puerta regulatoria que puede terminar en multas millonarias, restricciones de licencia o, en el peor escenario, en la inclusión involuntaria de redes de lavado. La validación de identidad se ha convertido, por tanto, en el punto donde convergen la experiencia de usuario, la rentabilidad y la supervivencia regulatoria.
Nubarium ha respondido reforzando su apuesta biométrica y obteniendo la acreditación iBeta PAD Level 2, un estándar que mide la capacidad de un sistema para distinguir entre una persona real y un intento de ataque mediante fotografías, videos, máscaras o modelos tridimensionales. La certificación no es un adorno de marketing: en un mercado donde los deepfakes ya superan la calidad de muchos sistemas de detección de vida de primera generación, contar con una evaluación independiente de nivel 2 se vuelve un argumento comercial y, sobre todo, un escudo ante supervisores que exigen pruebas de diligencia.
El cuello de botella ya no es la tecnología, sino la fragmentación regulatoria
Una lectura superficial celebraría la llegada de biometría avanzada como la solución definitiva. La realidad es más incómoda. La tecnología de detección de vida y de comparación facial ha madurado lo suficiente para reducir drásticamente los falsos positivos y los ataques simples. El verdadero obstáculo que enfrenta la región es la disparidad de criterios entre reguladores. En México, la CNBV y la UIF han endurecido las expectativas sobre el conocimiento del cliente, pero los lineamientos técnicos sobre qué constituye una prueba de vida aceptable siguen siendo interpretables. En Colombia, Perú o Chile las exigencias varían en plazos, retención de datos y niveles de certeza biométrica. Esta fragmentación obliga a las plataformas de verificación a mantener múltiples flujos de cumplimiento, eleva costos y, paradójicamente, crea zonas grises que los actores maliciosos explotan con mayor facilidad que las entidades formales.
Desde esta perspectiva, la adquisición de Nubarium por Trompo Capital no debe leerse únicamente como una inyección de recursos para ampliar infraestructura. Es también una apuesta por la capacidad de estandarizar procesos a escala regional antes de que los reguladores lo hagan de manera descoordinada. Quien controle los rieles de verificación en varios países tendrá una ventaja estructural cuando llegue la inevitable armonización normativa. El capital privado está comprando no solo tecnología, sino posicionamiento ante un futuro de reglas convergentes.
Tres tensiones que el mercado prefiere no nombrar
La primera tensión es la del usuario que ya no confía. Cada escaneo facial, cada captura de documento y cada prueba de vida genera un rastro de datos biométricos cuya custodia genera inquietud legítima. Los bancos argumentan que sin esos datos no pueden cumplir con PLD; los defensores de privacidad advierten que una filtración de plantillas biométricas es irreversible: no se puede cambiar de rostro como se cambia una contraseña. Esta fricción no se resuelve con mejores cláusulas de consentimiento. Requiere arquitecturas de minimización de datos y pruebas de conocimiento cero que la mayoría de las soluciones actuales todavía no ofrecen de forma madura.
La segunda tensión enfrenta a las fintech de rápido crecimiento contra los bancos tradicionales. Las primeras necesitan onboarding en minutos para competir; los segundos pueden permitirse fricciones adicionales porque ya tienen base de clientes. Cuando un proveedor de verificación eleva el nivel de seguridad, las fintech sienten el golpe en tasas de conversión. El resultado es una negociación constante entre riesgo aceptable y velocidad comercial. En la práctica, muchas entidades terminan calibrando sus umbrales de rechazo no solo por seguridad, sino por el costo de oportunidad de perder un cliente potencial. Ese equilibrio es frágil y varía según el apetito de riesgo de cada consejo de administración.
La tercera tensión es interna a la propia industria de verificación. La carrera por certificaciones como iBeta PAD Level 2 puede generar una falsa sensación de seguridad. Estos estándares evalúan ataques conocidos en condiciones controladas. Los adversarios, sin embargo, evolucionan fuera del laboratorio. La aparición de máscaras de silicona de alta fidelidad, de deepfakes en tiempo real y de identidades sintéticas construidas con datos robados de múltiples fuentes pone en duda cuánto tiempo dura la vigencia de una acreditación. Confiar ciegamente en un sello de calidad sin monitoreo continuo de amenazas emergentes es, en sí mismo, un riesgo operacional.
Quién paga el precio cuando la identidad falla
Los perdedores más visibles son los usuarios legítimos cuyas identidades son robadas y utilizadas para abrir cuentas o solicitar créditos. La recuperación de una identidad comprometida puede tomar meses y, en muchos casos, deja huellas crediticias difíciles de borrar. Menos visibles, pero igualmente dañados, son los pequeños comercios y prestamistas que confían en las validaciones de terceros y luego enfrentan contracargos o pérdidas por fraude. En el extremo opuesto, las entidades que invierten de forma agresiva en controles robustos asumen un costo que sus competidores más laxos no pagan, al menos hasta que un escándalo o una sanción regulatoria reordena el tablero.
Los reguladores, por su parte, se encuentran atrapados entre dos mandatos: facilitar la inclusión financiera y evitar que el sistema se convierta en vehículo de lavado. Cada vez que endurecen los requisitos de verificación, corren el riesgo de expulsar a poblaciones que carecen de documentación perfecta o de dispositivos de alta calidad. Cada vez que aflojan, abren espacios para el crimen organizado. Esta dualidad explica por qué las normas avanzan de manera gradual y, a menudo, reactiva: solo después de un caso mediático o de un informe de evaluación mutua del GAFI se aceleran los cambios.
Para proveedores como Nubarium, el escenario es de doble filo. La demanda proyectada tras la adquisición por Trompo Capital es real: más bancos y fintech buscarán externalizar la complejidad biométrica. Pero esa demanda viene acompañada de responsabilidad. Un fallo de detección que permita un onboarding fraudulento no solo daña al cliente final; puede contaminar la reputación del proveedor y activar cláusulas de responsabilidad contractual. En un mercado que se consolida, la tolerancia al error tiende a cero.
Lo que viene no es más biometría, sino biometría bajo presión
La trayectoria más probable para los próximos tres años combina tres fuerzas. Primero, la presión regulatoria seguirá elevando el piso mínimo de controles de identidad, especialmente en operaciones de alto riesgo y en el cruce de fronteras. Segundo, los ataques de suplantación se sofisticarán al ritmo de los modelos generativos, lo que obligará a los sistemas de detección de vida a incorporar señales de comportamiento, análisis de entorno y pruebas multifactoriales más allá del rostro. Tercero, la consolidación de proveedores —ilustrada por la operación de Trompo Capital— reducirá el número de jugadores independientes y aumentará el poder de negociación de las plataformas que logren escala regional.
Ese escenario no está exento de riesgos estructurales. La concentración de datos biométricos en pocas manos crea un objetivo atractivo para atacantes estatales o crimen organizado. Un compromiso exitoso de una base de plantillas faciales a escala latinoamericana tendría consecuencias que van mucho más allá de un fraude puntual: erosionaría la confianza en el propio mecanismo de verificación digital. Además, la dependencia de certificaciones internacionales diseñadas en contextos distintos al latinoamericano puede generar una falsa adecuación: lo que funciona en un laboratorio de Estados Unidos no necesariamente resiste las condiciones de conectividad, calidad de cámara y diversidad étnica de la región.
Existe también el riesgo de que la industria se estanque en una lógica de “checkbox compliance”, donde la prioridad sea exhibir acreditaciones y no medir la efectividad real contra las amenazas locales. Si los indicadores de éxito se limitan a tasas de aprobación y tiempos de respuesta, se dejará de lado la métrica que realmente importa: cuántas identidades sintéticas o robadas lograron atravesar el filtro y cuánto dinero se lavó o se defraudó a través de ellas.
La verificación digital dejó de ser un servicio de apoyo para convertirse en infraestructura crítica del sistema financiero. Quienes la proveen ya no venden solo tecnología; venden la posibilidad de que el resto de la industria opere sin colapsar bajo el peso del fraude y la sanción. Esa responsabilidad exige algo más que certificaciones y rondas de capital. Exige una vigilancia continua, una arquitectura que asuma el fracaso parcial como inevitable y una conversación abierta con reguladores y usuarios sobre los límites de lo que la biometría puede garantizar. El reto que nació cuando se cumplió el sueño de no ir a la sucursal apenas comienza a mostrar su verdadero tamaño.
