Última actualización: octubre de 2026

La verificación de documentos y la verificación de bases de datos responden a dos preguntas distintas sobre un solicitante. La verificación de documentos comprueba que un documento de identidad parezca auténtico y pertenezca a la persona que lo presenta. La verificación de bases de datos comprueba que el nombre, la fecha de nacimiento, la dirección y el número de identificación que introduce el solicitante existan y coincidan con registros de confianza. Ninguna de las dos pruebas demuestra lo que demuestra la otra, por lo que un banco, entidad de crédito o fintech debe decidir cuándo es suficiente con una y cuándo necesita ambas.

Esta guía explica cómo funciona cada método, qué demuestra y qué no demuestra cada uno, dónde falla cada uno, qué dice al respecto la norma del Programa de Identificación de Clientes (CIP) bancario y cómo elegir entre ellos.

Resumen rápido

• La verificación de documentos demuestra que una credencial parece auténtica y coincide con su titular. No demuestra que la identidad que hay detrás de la credencial tenga historial alguno.

• La verificación de bases de datos demuestra que los datos de una identidad existen y coinciden con registros como el expediente de una oficina de crédito. No demuestra que el solicitante sea la persona que describen esos registros.

• Los controles de documentos fallan ante falsificaciones bien hechas y documentos o selfies generados por IA. Los controles de bases de datos fallan ante registros desactualizados y ante identidades sintéticas creadas para coincidir.

• La norma CIP, 31 CFR 1020.220, permite a un banco verificar la identidad mediante documentos, métodos no documentales o ambos, según los procedimientos basados en el riesgo que tenga establecidos por escrito.

• La mayoría de los programas utilizan una coincidencia de datos para solicitantes de menor riesgo, solicitan un documento cuando los datos no aclaran la identidad o el riesgo es mayor, y combinan ambos con señales del dispositivo y del comportamiento cuando hay mucho en juego.

• Ninguno de los dos métodos determina la intención. Una identidad verificada puede pertenecer a un estafador.

La respuesta corta

La verificación de documentos demuestra que un documento de identidad es auténtico y pertenece a la persona que lo presenta. La verificación de bases de datos demuestra que los datos de identidad que proporciona un solicitante existen y coinciden con registros de confianza. El primero evalúa la credencial y a su titular; el segundo evalúa los datos.

Ningún método demuestra ambas cosas, y ninguno demuestra la intención. Una verificación confirma que la identidad declarada existe y coincide con sus documentos en un momento dado. No establece que el solicitante actúe de buena fe, ni que la identidad no se haya creado específicamente para superar la verificación.

La norma CIP de los bancos trata ambos métodos como formas de verificación distintas. Según la norma 31 CFR 1020.220(a)(2)(ii), los procedimientos de un banco deben describir cuándo utilizará documentos, métodos no documentales o una combinación de ambos. Por eso los programas de identidad se basan en el riesgo: un método para algunos solicitantes, el otro para otros y ambos para los de mayor riesgo.

Cómo funciona la verificación de documentos

La verificación de documentos, a veces llamada verificación de documentos de identidad, es el proceso de comprobar un documento de identidad emitido por el gobierno y confirmar que la persona que lo presenta es su titular legítimo. La mayoría de los softwares de verificación de documentos a distancia siguen cuatro pasos consecutivos.

1. Captura. El solicitante fotografía o escanea el anverso y el reverso de una licencia de conducir, pasaporte o documento nacional de identidad. El software comprueba primero la calidad de la imagen, ya que los reflejos, el desenfoque o un borde recortado hacen que cualquier comprobación posterior sea poco fiable.

2. Controles de autenticidad. El software compara el documento con el diseño conocido de ese tipo de documento y analiza sus medidas de seguridad, como fuentes, hologramas, microimpresión y la ubicación de cada campo, en busca de indicios de manipulación o de una plantilla que no coincida.

3. Extracción y coherencia de datos. El reconocimiento óptico de caracteres lee los campos impresos y, si el documento tiene una zona de lectura mecánica o un código de barras, el software también los lee. Ambas lecturas deben coincidir entre sí, con las propias reglas del documento (por ejemplo, una fecha de caducidad futura) y con lo que el solicitante ha escrito.

4. Coincidencia con el titular. El solicitante se toma un selfie en vivo y un sistema de comparación facial lo contrasta con la foto del documento. Una prueba de detección de vida comprueba si el selfie procede de una persona real delante de la cámara y no de una foto, una pantalla o una transmisión de vídeo inyectada.

El Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) describe la comprobación de identidad en fases similares en la norma NIST SP 800-63A-4, publicada definitivamente en julio de 2025. En ese marco, la verificación de documentos abarca dos de ellas: validar las pruebas (si el documento es auténtico, exacto y vigente) y verificar al solicitante (si esta persona es la que describen las pruebas). Las directrices del NIST están escritas para agencias federales; son una referencia de uso común, no una norma vinculante para los bancos.

Cómo funciona la verificación de bases de datos

La verificación de bases de datos es el proceso de cotejar los datos de identidad que introduce un solicitante con registros independientes. También se denomina verificación basada en datos o no documental, y cuando se ejecuta a través de una API al abrir una cuenta, suele llamarse verificación de identidad electrónica.

El solicitante introduce su nombre, fecha de nacimiento, dirección y un número de identificación (normalmente el número de Seguro Social en Estados Unidos). El servicio de verificación compara esos datos con fuentes como los expedientes de las agencias de crédito, los registros públicos y otros datos comerciales, y devuelve si cada elemento coincide, coincide parcialmente o no coincide. No se fotografía nada y el solicitante no necesita tener un documento en la mano.

Un director de cumplimiento normativo de un banco describió el patrón habitual: comprobar primero al solicitante con una agencia de crédito, exigir que el nombre, la fecha de nacimiento y la dirección introducidos coincidan con el archivo de la agencia, y derivar al solicitante a otro método, a menudo un documento, si no coinciden.

Las fuentes gubernamentales también forman parte del proceso. El servicio de verificación electrónica del SSN basado en el consentimiento (eCBSV) de la Administración del Seguro Social permite a las instituciones financieras autorizadas y a sus proveedores de servicios comprobar, con el consentimiento por escrito del titular, si un número de Seguro Social, un nombre y una fecha de nacimiento coinciden con los registros de la SSA. Devuelve un sí o un no, identifica qué elemento no coincide y señala si existe un registro de defunción.

Al igual que cualquier control de base de datos, el eCBSV confirma que los elementos coinciden. No confirma que el solicitante sea la persona a la que pertenecen.

En los términos de la norma NIST SP 800-63A-4, la verificación de bases de datos es una validación de atributos: comprobar que los atributos principales que declara una persona se sostienen frente a fuentes autorizadas o creíbles.

Qué demuestra cada método y qué no

La verificación de bases de datos demuestra que los datos de una identidad existen y coinciden entre sí en registros de confianza. No demuestra que la persona que los introduce sea la persona descrita. Cualquiera que tenga el nombre, la fecha de nacimiento, la dirección y el número de Seguro Social de una persona real puede superar una coincidencia de base de datos sobre la identidad de esa persona.

La verificación de documentos demuestra que una credencial parece auténtica y, con una comparación facial, que la persona que la presenta se parece a la foto. No demuestra que la identidad del documento tenga un historial de crédito, un historial de direcciones o existencia alguna fuera de dicho documento. Una falsificación bien hecha de una persona inventada puede superar los controles de documentos sin coincidir con nada en ningún sitio.

Ambos métodos son complementarios porque cada uno cubre el punto ciego del otro. Una coincidencia de base de datos sin un documento deja abierta la duda de quién solicita el acceso. Un documento sin una coincidencia de base de datos deja abierta la duda de si la identidad es real.

Ninguno de los dos métodos determina la intención. Un solicitante que supera ambos controles ha demostrado que una identidad de apariencia real y una credencial de apariencia real coinciden. El solicitante no ha demostrado que pretenda utilizar la cuenta de forma honesta, por lo que las decisiones de apertura de cuentas también se apoyan en señales del dispositivo, del comportamiento y de la solicitud.

Dónde falla la verificación de documentos

La verificación de documentos falla cuando una falsificación es lo suficientemente buena como para superar los controles. Las comprobaciones de autenticidad basadas en plantillas comparan un documento con el diseño conocido de su tipo, y una falsificación bien hecha sobre el diseño correcto puede superarlas. El responsable de estrategia contra el fraude al consumidor de una empresa de telecomunicaciones lo expresó así: "Nuestra solución actual de verificación de identidad va a quedar obsoleta porque se basa en plantillas y cada vez vemos más casos en los que los estafadores son capaces de crear identificaciones falsas que superan estos controles basados en plantillas". Este mismo responsable describió haber visto la misma cara en varios documentos de identidad diferentes, un patrón que ningún control de documentos individual puede detectar porque cada documento se aprueba por separado.

La IA generativa ha abaratado las falsificaciones realistas. El director ejecutivo de una entidad de crédito describió un caso reciente: "Otra cosa que ha surgido esta mañana es que nos han enviado una licencia de conducir generada por IA como documento requerido, y nuestro equipo humano lo ha detectado, pero nuestra tecnología tiene que ser capaz de captar eso por ellos". Un gestor de políticas de riesgo de una entidad de crédito digital planteó el mismo punto de forma más directa, describiendo una IA capaz de imitar documentos con tanta precisión que un revisor no puede distinguir la falsificación del original.

El paso del selfie también es objeto de ataques. El responsable de un equipo de KYC en una empresa de software de gestión inmobiliaria afirmó: "También nos ha pasado que nos envíen un selfie sosteniendo su identificación, y todo el conjunto es completamente falso, generado con IA". Los controles de detección de vida, los ataques de inyección y los deepfakes son un tema aparte; nuestra guía sobre las mejores herramientas de detección de deepfakes explica cómo funcionan estos controles y cómo evaluarlos.

Los documentos que se solicitan como un paso adicional de verificación también son un objetivo. Un gestor de analítica y estrategia contra el fraude de un banco digital describió a solicitantes que, cuando se les pide una licencia de conducir o un extracto de cuenta, falsifican el documento y lo envían de vuelta. La alerta del FinCEN de noviembre de 2024 sobre medios ultrafalsos (deepfakes), FIN-2024-Alert004, incluye entre sus señales de alarma los documentos de identidad que no son coherentes entre sí, o una foto que no coincide con el resto de la información de identificación del solicitante.

Dónde falla la verificación de bases de datos

La verificación de bases de datos falla con solicitantes legítimos cuando los registros están desactualizados. Los archivos de las agencias de crédito contienen la última dirección que una persona facilitó a una entidad de crédito, no necesariamente la dirección donde vive ahora. El director de cumplimiento normativo mencionado anteriormente resumió el problema: "No conozco a nadie que llame a la agencia de crédito para decirle que actualice su información". Las personas que se han mudado recientemente o que tienen poco historial crediticio no superan la coincidencia por razones que nada tienen que ver con el fraude, y cada fallo desvía a un solicitante legítimo hacia un proceso más lento.

La verificación de bases de datos también da por buenas identidades que fueron creadas específicamente para superarla. La Reserva Federal define el fraude de identidad sintética de la siguiente manera: "El fraude de identidad sintética (SIF) consiste en el uso de una combinación de información de identificación personal (PII) para fabricar una persona o entidad con el fin de cometer un acto deshonesto para obtener un beneficio personal o financiero". El Banco de la Reserva Federal de Boston ha descrito cómo se arman estas identidades a partir de fragmentos de información de diferentes personas reales, como el número de cuenta de una persona, el número de licencia de conducir de otra y el número de Seguro Social de un niño. Cada fragmento es real, por lo que una búsqueda sobre él puede devolver una coincidencia. Nuestra guía para detectar identidades sintéticas analiza las señales para identificarlas.

Una búsqueda basada en un único identificador también puede pasar por alto un duplicado casi exacto. Un vicepresidente de riesgo y cumplimiento de una cooperativa de crédito describió dos registros con el mismo nombre y fecha de nacimiento pero diferentes números de Seguro Social, uno de ellos presentado con una identificación falsa que se parecía mucho a la real. El documento parecía correcto y una búsqueda por número de Seguro Social no habría conectado ambos registros. El personal lo detectó únicamente porque un empleado casualmente buscó por el nombre exacto.

Qué dice la norma CIP sobre los controles de documentos y datos

La norma del Programa de Identificación de Clientes bancarios, 31 CFR 1020.220, exige a un banco obtener, como mínimo y antes de abrir una cuenta, el nombre del cliente, la fecha de nacimiento (para personas físicas), la dirección y un número de identificación. Según la sección 1020.220(a)(2), el programa debe incluir "procedimientos basados en el riesgo para verificar la identidad de cada cliente" que sean suficientes para que el banco "tenga la certeza razonable de que conoce la verdadera identidad" del cliente.

La norma menciona ambos métodos. La sección 1020.220(a)(2)(ii) exige que los procedimientos describan cuándo utilizará el banco documentos, métodos no documentales o una combinación de ambos.

• Métodos documentales, 1020.220(a)(2)(ii)(A). En el caso de una persona física, la sección (A)(1) ofrece como ejemplos una identificación vigente emitida por el gobierno que acredite la nacionalidad o la residencia y que lleve una fotografía o medida de seguridad similar, como una licencia de conducir o un pasaporte.

• Métodos no documentales, 1020.220(a)(2)(ii)(B). La sección (B)(1) ofrece como ejemplos ponerse en contacto con el cliente; verificar la identidad de forma independiente comparando la información de una agencia de informes de consumo, una base de datos pública u otra fuente; comprobar referencias con otras instituciones financieras; y obtener un estado financiero.

La norma no dice que deban utilizarse métodos no documentales con todos los clientes. Según la sección 1020.220(a)(2)(ii)(B)(2), los procedimientos no documentales "deben contemplar" cinco situaciones: una persona física que no pueda presentar un documento de identidad con foto vigente emitido por el gobierno; documentos con los que el banco no esté familiarizado; una cuenta abierta sin obtener documentos; un cliente que abra la cuenta sin comparecer en persona; y otras circunstancias que aumenten el riesgo de que el banco no pueda verificar la identidad mediante documentos. La apertura de cuentas a distancia entra de lleno en esa lista.

Los inspectores interpretan la norma de la misma manera. La sección del Programa de Identificación de Clientes del Manual de Inspección BSA/AML de la FFIEC describe la verificación mediante documentos y la verificación mediante métodos no documentales, y establece que un banco que utilice métodos no documentales debe disponer de procedimientos para ellos.

Cuándo utilizar cada uno y cuándo utilizar ambos

El método adecuado depende del riesgo del solicitante y de lo que devuelva el primer control. La norma CIP deja la elección en manos de los procedimientos basados en el riesgo de cada banco, y la mayoría de los programas se estructuran en tres niveles.

• Únicamente una coincidencia de datos para solicitantes de menor riesgo cuyos datos coincidan claramente con registros de confianza. Este es el paso más sencillo para un solicitante legítimo y con el que se inician la mayoría de las aperturas de cuentas a distancia.

• Un documento cuando los datos no coinciden o el riesgo es mayor. Una coincidencia parcial, un historial escaso, una dirección que no coincide o un producto de mayor riesgo exigen pruebas que la base de datos no puede proporcionar. Este es el patrón de "primero la agencia de crédito, documento como alternativa" que describió el director de cumplimiento normativo.

• Ambos, además de otras señales, cuando el riesgo es máximo. Para cuentas de gran valor o de alto riesgo, un documento y una coincidencia de base de datos de forma conjunta, combinados con inteligencia de dispositivos, señales de comportamiento y comprobaciones en otras solicitudes, cubren más lagunas que cualquiera de los dos métodos por separado. Las comprobaciones cruzadas son las que detectan la misma cara en varios documentos de identidad o los mismos datos detrás de varios solicitantes.

El canal también modifica la opción por defecto. En una sucursal, el personal puede inspeccionar el documento en persona. Un vicepresidente de riesgo y cumplimiento de una cooperativa de crédito describió al personal de atención al público examinando la identificación y confiando en que parezca correcta, para luego solicitar un informe de verificación de la base de datos. La apertura a distancia elimina la inspección en persona, que es una de las situaciones que deben contemplar los procedimientos no documentales de la norma.

El orden en que se ejecutan los controles, y cuándo pasar de uno al siguiente, es una decisión de diseño en sí misma. Nuestra guía para crear un programa de cumplimiento KYC abarca el programa CIP en su conjunto y cómo secuenciar los controles de verificación, y nuestra guía sobre detección de fraudes KYC trata las señales de fraude que los acompañan. Elegir un proveedor de verificación de identidad para realizar los controles de documentos y datos es una evaluación independiente, con sus propios criterios.

Verificación de documentos frente a verificación de bases de datos de un vistazo

La tabla resume la relación de compromiso: cada método demuestra lo que el otro no puede, y cada uno falla donde el otro es fuerte.

Dónde encaja Oscilar

Oscilar ofrece una plataforma de admisión y riesgo, y actúa como capa de decisión y coordinación en torno a los controles de documentos y bases de datos, en lugar de ser un proveedor de alguno de ellos. Oscilar no realiza por sí misma la verificación de documentos, las pruebas de detección de vida ni los controles del número de Seguro Social. Llama a los proveedores externos de datos y verificación de identidad que elija un banco o fintech, y decide qué hacer con sus resultados.

La página de admisión de clientes de Oscilar describe esta función con sus propias palabras: "Coordine controles KYC y controles de identidad mejorados para obtener una perspectiva real de 360° de cada solicitante". Los flujos de trabajo de admisión se adaptan al perfil de riesgo de cada solicitante, y las "Verificaciones adicionales: activan una debida diligencia reforzada y pasos de verificación adicionales cuando es necesario". Así es como funcionan en la práctica los niveles anteriores: primero una coincidencia de datos, una solicitud de documento cuando los datos no coinciden o el riesgo aumenta, y los resultados combinados con otras señales antes de tomar una decisión.

Esas otras señales son importantes porque ninguno de los dos métodos de verificación determina la intención. La misma página describe cómo los equipos "Aprovechan señales avanzadas como la inteligencia de dispositivos, la biometría del comportamiento y el enriquecimiento de datos" junto con los resultados de la verificación. Oscilar proporciona un historial de auditoría completo por decisión con argumentos almacenados, y está diseñada con intervención humana en el proceso. Oscilar cuenta con supervisión automática de modelos que abarca la desviación de datos, de características y de conceptos, además de KPI de resultados medidos por segmentos, y la plataforma está optimizada para tomar decisiones en menos de 100 ms.

Preguntas frecuentes

¿Qué es la verificación de documentos?

La verificación de documentos es el proceso de comprobar que un documento de identidad emitido por el gobierno, como una licencia de conducir o un pasaporte, es auténtico y pertenece a la persona que lo presenta. El software de verificación de documentos captura una imagen del documento, comprueba sus medidas de seguridad y diseño, extrae y contrasta sus datos y, por lo general, compara la foto del documento con un selfie en vivo.

¿Qué es la verificación de bases de datos?

La verificación de bases de datos es el proceso de cotejar los datos de identidad que introduce un solicitante (normalmente nombre, fecha de nacimiento, dirección y un número de identificación) con registros independientes, como archivos de agencias de crédito y registros públicos. La verificación de bases de datos confirma que los datos existen y coinciden entre sí. La verificación de bases de datos no confirma que el solicitante sea la persona que describen esos datos.

¿Exige la norma CIP un documento?

No. La norma CIP de los bancos, 31 CFR 1020.220(a)(2)(ii), permite a un banco verificar la identidad mediante documentos, métodos no documentales o una combinación de ambos, según describan sus procedimientos basados en el riesgo. Los procedimientos no documentales del banco deben contemplar situaciones como la de un cliente que no pueda presentar un documento de identidad con foto vigente emitido por el gobierno o que abra una cuenta sin comparecer en persona.

¿Puede una identidad sintética superar la verificación de bases de datos?

Sí. Una identidad sintética combina fragmentos de información personal, que a menudo incluyen datos reales, para fabricar una persona, por lo que una búsqueda en una base de datos sobre esos fragmentos puede devolver una coincidencia. Detectar identidades sintéticas requiere señales que van más allá de la propia coincidencia, como la forma en que se crearon los registros de la identidad y si sus datos aparecen en otras solicitudes.

¿Es lo mismo la verificación de identidad electrónica que la verificación de bases de datos?

En su mayoría, sí. La verificación de identidad electrónica suele significar verificar los datos de un solicitante en bases de datos mediante una comprobación en línea, que es lo mismo que la verificación de bases de datos. Algunos proveedores también utilizan el término para referirse a los controles remotos de documentos y selfies, por lo que conviene preguntar qué controles ejecuta un servicio de verificación de identidad electrónica determinado.

La verificación de documentos y la verificación de bases de datos funcionan mejor de forma conjunta. La verificación de bases de datos demuestra que los datos de una identidad son reales y coherentes; la verificación de documentos demuestra que una credencial es auténtica y está en las manos adecuadas. Un programa basado en el riesgo utiliza la coincidencia de datos cuando es suficiente, solicita un documento cuando no lo es y toma una decisión con ambos y con señales que ningún control puede detectar por sí solo. Para ver cómo se ejecutan estos controles en un único flujo de admisión, lea sobre cómo coordina Oscilar los controles de identidad en la admisión de clientes.