¿Qué es la Plataforma Única de Identidad (PUI) y a qué instituciones obliga?

La Plataforma Única de Identidad (PUI) es la infraestructura tecnológica del Estado Mexicano que interconecta bases de datos públicas y privadas para apoyar la búsqueda, localización e identificación de personas desaparecidas o no localizadas. Obliga a todas las instituciones que administran registros con información de identidad de personas —entre ellas, todo el sistema financiero mexicano confirmado por la CNBV— a exponer servicios que la plataforma pueda consultar y a responder de forma automatizada, segura y auditable.

ÍNDICE 

1.- Qué es la PUI
2.- Por qué existe y por qué importa
3.-Quiénes están obligados
4.-Cuando: fechas y plazos
5.-Dónde: trámites, portales y ambientes
6.-Cómo funciona la interconexión
7.-Cómo prepararse: ruta en 6 etapas
8.-Cómo apoya PUI-Service
9.-Fuentes oficiales

1.- ¿Qué es la Plataforma Única de Identidad (PUI)?

La PUI es una plataforma del Gobierno de México que permite validar información entre distintas bases de datos —públicas y privadas— para encontrar coincidencias que ayuden a ubicar a personas reportadas como desaparecidas o no localizadas, emitiendo alertas a las autoridades competentes.

La operan RENAPO, órgano desconcentrado de la Secretaría de Gobernación, con el apoyo técnico de la Agencia de Transformación Digital y Telecomunicaciones (ATDT).

La confusión que cuesta semanas de proyecto

La PUI no es una plataforma de verificación de identidad de clientes. Este es el punto donde más instituciones se equivocan, y el error tiene consecuencias de arquitectura:

Modelo tradicional vs. Modelo PUI

Dicho de otro modo: no necesita un cliente de API. Necesita un servicio propio, publicado, disponible y monitoreado que la autoridad pueda invocar en cualquier momento.

Qué no es la PUI

• No sustituye sus procesos de identificación de clientes, biometría o validación de INE.

• No es una lista restrictiva ni un insumo de PLD.

• No es opcional ni depende del tamaño de la institución.

• No se escribe "PIU". El término correcto es PUI: Plataforma Única de Identidad.
  

2. ¿Por qué existe la PUI y por qué le importa a su institución?

El propósito

México supera las cien mil personas registradas como desaparecidas. Los registros que su institución ya administra —un domicilio, un teléfono, una operación reciente— pueden contener el dato que permita localizar a una persona. Por eso la obligación se diseñó como respuesta automatizada y verificable, y no como un trámite de escritorio.

La CNBV subraya un matiz importante: la interconexión permite validar información sin compartir datos sensibles indiscriminadamente y respetando en todo momento las obligaciones de secrecía.

El riesgo regulatorio

El artículo 43 Bis de la LGMDFP prevé multas de 10,000 a 20,000 veces el valor diario de la UMA para quienes no permitan el acceso o no proporcionen la información requerida. Con el valor de la UMA vigente en 2026, el rango supera el millón de pesos por infracción.

Dos agravantes que suelen subestimarse:

• Quien sanciona es SEGOB, no el supervisor financiero. Es una vía de exposición distinta a la que su área de cumplimiento gestiona habitualmente.
• El incumplimiento puede configurarse por omisión técnica. Si el servicio no responde cuando la PUI consulta, el resultado práctico equivale a no proporcionar la información.

El riesgo operativo

Un servicio expuesto a una plataforma de gobierno, disponible en régimen continuo y que procesa datos personales sensibles, es infraestructura crítica. Mal implementado, se convierte en superficie de ataque, hallazgo de auditoría o incidente de protección de datos.

¿Y el secreto bancario?

Es la objeción más frecuente en comités de riesgos. La CNBV se pronunció al respecto en su comunicación del 31 de marzo de 2026, en el sentido de que la adhesión a la PUI no vulnera las obligaciones de secrecía. La interpretación aplicable a su figura debe validarse con su área jurídica y con las fuentes oficiales.

3. ¿Quiénes están obligados?

Los Lineamientos definen como sujetos obligados a todas las instituciones responsables de registros, bases de datos o sistemas de información a que se refiere el artículo 12 Bis de la LGMDFP. El criterio no es el giro ni el tamaño: es administrar información de identidad de personas.

Sector financiero (confirmado por la CNBV el 31 de marzo de 2026)

No hay excepción general por tamaño, volumen de cartera ni antigüedad. Una SOFIPO regional enfrenta el mismo requisito funcional que un banco nacional; lo que cambia es la capacidad instalada para atenderlo.

Otros sectores alcanzados

Salud, educación, telecomunicaciones, transporte y aviación, hospedaje, registros patronales y de seguridad social, además de instituciones públicas de búsqueda, procuración de justicia y servicios forenses.

La diferencia para el sector financiero: la supervisión sectorial ya está articulada, con capacidad de requerimiento y de exigir evidencia.

 ¿Quién hace qué dentro de la institución? 

Este es el punto donde más proyectos se atrasan: no es un proyecto de TI, es un proyecto de cinco áreas.

4. ¿Cuándo? Línea de tiempo y plazos 

El punto donde el mercado no coincide

Existen dos lecturas sobre el cómputo de plazos, y conviene conocerlas porque afectan decisiones de presupuesto:

• Lectura A: el 31 de marzo de 2026 fue la fecha límite de inscripción, contada como 45 días hábiles desde la publicación de los manuales técnicos. Bajo esta lectura, quien no se inscribió está en incumplimiento.
• Lectura B: el plazo de 45 días hábiles del Transitorio Tercero corre desde la publicación de los tres manuales previstos; como el tercero sigue pendiente, el cómputo formal no ha iniciado y la comunicación de la CNBV fue una confirmación de obligación, no un vencimiento estricto.

Nuestra postura, y la recomendación que damos a nuestros clientes: la discusión interpretativa no cambia la conclusión operativa.

1. La obligación legal está vigente desde julio de 2025 en ambas lecturas.
2. La especificación técnica ya está publicada: no hay razón para esperar.
3. El trabajo de ingeniería toma semanas, y los trámites institucionales dependen de terceros.

Esperar a que se cierre el debate solo comprime el tiempo disponible para hacerlo bien. Verifique el estado vigente de publicaciones y plazos directamente en el DOF antes de fijar su plan.

5. ¿Dónde se realiza el proceso?

La última fila es la que define la arquitectura: el servicio corre en su casa, no en la del gobierno. La disponibilidad, el cifrado, los accesos y la evidencia son responsabilidad de la institución.

6. ¿Cómo funciona la interconexión? 

El ciclo operativo

1. Una persona es reportada como desaparecida y el caso se registra ante la autoridad de búsqueda, generando un identificador único de expediente.
2. La PUI activa el reporte y lo distribuye a las instituciones interconectadas.
3. Cada institución consulta sus propios registros —típicamente por CURP— para determinar si tiene información de esa persona.
4. Si hay coincidencia, la institución notifica a la PUI la información que corresponda conforme al marco aplicable.
5. Cuando la persona es localizada, la PUI desactiva el reporte y el monitoreo termina.

Las tres modalidades de búsqueda 

Diseñar solo para la primera fase es el camino más rápido a un hallazgo de auditoría. El volumen no depende del tamaño de su cartera, sino de cuántos reportes emita la autoridad y de la frecuencia del monitoreo.

Requisitos técnicos conforme al Manual Técnico

El Manual Técnico publicado en el DOF define la especificación de la integración: estructura de los servicios de intercambio, formato de solicitudes y respuestas, esquema de autenticación por token, campos obligatorios, requisitos de cifrado —incluido el tratamiento de información biométrica— y las pruebas de seguridad sobre el software (SAST, SCA y DAST).

Los parámetros técnicos concretos deben tomarse siempre del manual vigente publicado en el DOF y sus anexos, no de resúmenes de terceros —incluido este artículo.

7. Cómo prepararse: ruta en 6 etapas

• Etapa 1 · Habilitación institucional

Designar representante legal y enlace técnico. Alta de persona moral en Llave MX con e.firma vigente. Habilitar buzón de notificaciones. Cuello de botella real: depende de Jurídico y de la vigencia de la e.firma, no del área técnica. Arránquelo primero.

• Etapa 2 · Diagnóstico técnico

Inventariar dónde viven los datos de identidad (core, CRM, expedientes, archivo). Definir estrategia de consulta por CURP y por criterios alternos para registros antiguos. Decidir arquitectura: desarrollo interno, servicio de terceros o middleware on-premise.

• Etapa 3 · Desarrollo de la interconexión

Implementar los servicios que se exponen y los que se consumen, conforme al Manual Técnico y sus anexos.

• Etapa 4 · Seguridad, trazabilidad y evidencia

Gestión de accesos y segregación de funciones. Registro completo de transacciones y eventos con censura de información personal en logs. Mecanismos de integridad que permitan demostrar que los registros no fueron alterados. Pruebas SAST, SCA y DAST. Diseño de continuidad y recuperación.

• Etapa 5 · Pruebas y salida a productivo

Validación en ambiente de pruebas, pruebas de integración con la autoridad, liberación controlada con criterios de aceptación documentados.

• Etapa 6 · Operación y mejora continua

Monitoreo de disponibilidad, atención de incidentes, conservación de evidencia y actualización ante cambios normativos.La interconexión no es un proyecto que se cierra: es un servicio que se opera.

Los cinco errores más caros

1. Tratarla como proyecto de KYC y construir un consumidor en lugar de un proveedor de servicios.
2. Empezar por el código y no por Llave MX: el desarrollo termina antes que el trámite.
3. Resolver solo la búsqueda inmediata e ignorar la histórica y la continua.
4. Registrar sin poder demostrar integridad. Guardar logs no es trazabilidad.
5. Dejar datos personales expuestos en bitácoras y convertir un requisito de cumplimiento en un incidente de protección de datos.

8. Cómo apoya PUI-Service a su institución

PUI-Service es la solución on-premise de Quality Consulting para la interconexión segura y controlada con la Plataforma Única de Identidad. Opera como middleware dentro de la infraestructura de la institución: los datos no salen de su ambiente y la evidencia permanece bajo su custodia.

Cómo apoya PUI-Service a su institución

Sujeto a la respuesta del Gobierno, a la disponibilidad del cliente y a la infraestructura requerida.

Qué cambia cuando la interconexión está bien resuelta

• Cumplimiento tiene respuesta documentada ante un requerimiento, sin operativos manuales.
• TI deja de sostener un desarrollo a la medida y libera capacidad para el roadmap del negocio.
• Dirección convierte una obligación en una capacidad demostrable ante supervisores y consejo.
• Y en el plano que motiva toda la normativa: la institución responde en minutos cuando alguien está buscando a una persona.

Quality Consulting es una empresa evaluada en CMMI Nivel 3 (DEV), con experiencia en el sector de servicios financieros, y acompaña cada etapa: del diagnóstico técnico a la estabilización en producción.

9. Fuentes oficiales

• DOF, 27 de noviembre de 2025 — Lineamientos para el Desarrollo y Operación de la Plataforma Única de Identidad (cód. 5774120).
• DOF, 23 de enero de 2026 — Manual Técnico de la Solución Tecnológica para Instituciones Diversas y para Instituciones Públicas (edición vespertina).
• Ley General en Materia de Desaparición Forzada de Personas — artículos 12 Bis y 43 Bis.
• Ley General de Población — artículo 91 Quater y disposiciones aplicables al RENAPO.
• CNBV — comunicación sobre la interconexión de entidades e instituciones financieras a la PUI (gob.mx/cnbv).

Sobre este contenido

Publicado por Quality Consulting, empresa evaluada CMMI Nivel 3 (DEV), desarrolladora de PUI-Service, solución on-premise de interconexión con la PUI para instituciones financieras reguladas en México.
Este artículo tiene fines informativos y no constituye asesoría legal. La interpretación y aplicación del marco normativo debe validarse con las fuentes oficiales vigentes y con el área jurídica de cada institución. Quality Consulting acompaña la implementación técnica de la interconexión; la determinación del cumplimiento corresponde a las autoridades competentes.
Última actualización: agosto de 2026 · Próxima revisión programada: noviembre de 2026
puiservice.mx · cequalityconsulting.mx · contacto@cequality.com