La Plataforma Única de Identidad (PUI) es la infraestructura tecnológica del Estado Mexicano que interconecta bases de datos públicas y privadas para apoyar la búsqueda, localización e identificación de personas desaparecidas o no localizadas. Obliga a todas las instituciones que administran registros con información de identidad de personas —entre ellas, todo el sistema financiero mexicano confirmado por la CNBV— a exponer servicios que la plataforma pueda consultar y a responder de forma automatizada, segura y auditable.
ÍNDICE
1.- Qué es la PUI
2.- Por qué existe y por qué importa
3.-Quiénes están obligados
4.-Cuando: fechas y plazos
5.-Dónde: trámites, portales y ambientes
6.-Cómo funciona la interconexión
7.-Cómo prepararse: ruta en 6 etapas
8.-Cómo apoya PUI-Service
9.-Fuentes oficiales
La PUI es una plataforma del Gobierno de México que permite validar información entre distintas bases de datos —públicas y privadas— para encontrar coincidencias que ayuden a ubicar a personas reportadas como desaparecidas o no localizadas, emitiendo alertas a las autoridades competentes.
La operan RENAPO, órgano desconcentrado de la Secretaría de Gobernación, con el apoyo técnico de la Agencia de Transformación Digital y Telecomunicaciones (ATDT).
La confusión que cuesta semanas de proyecto
La PUI no es una plataforma de verificación de identidad de clientes. Este es el punto donde más instituciones se equivocan, y el error tiene consecuencias de arquitectura:
| Modelo tradicional | Modelo PUI |
|---|---|
| Su institución pregunta al gobierno | El gobierno le pregunta a su institución |
| Usted consume un servicio externo | Usted expone un servicio propio |
| La disponibilidad la garantiza el proveedor | La disponibilidad la garantiza usted |
| Se activa cuando usted lo decide | Se activa cuando la autoridad emite un reporte |
Dicho de otro modo: no necesita un cliente de API. Necesita un servicio propio, publicado, disponible y monitoreado que la autoridad pueda invocar en cualquier momento.
No sustituye sus procesos de identificación de clientes, biometría o validación de INE.
No es una lista restrictiva ni un insumo de PLD.
No es opcional ni depende del tamaño de la institución.
No se escribe "PIU". El término correcto es PUI: Plataforma Única de Identidad.
México supera las cien mil personas registradas como desaparecidas. Los registros que su institución ya administra —un domicilio, un teléfono, una operación reciente— pueden contener el dato que permita localizar a una persona. Por eso la obligación se diseñó como respuesta automatizada y verificable, y no como un trámite de escritorio.
La CNBV subraya un matiz importante: la interconexión permite validar información sin compartir datos sensibles indiscriminadamente y respetando en todo momento las obligaciones de secrecía.
El artículo 43 Bis de la LGMDFP prevé multas de 10,000 a 20,000 veces el valor diario de la UMA para quienes no permitan el acceso o no proporcionen la información requerida. Con el valor de la UMA vigente en 2026, el rango supera el millón de pesos por infracción.
Dos agravantes que suelen subestimarse:
Un servicio expuesto a una plataforma de gobierno, disponible en régimen continuo y que procesa datos personales sensibles, es infraestructura crítica. Mal implementado, se convierte en superficie de ataque, hallazgo de auditoría o incidente de protección de datos.
Es la objeción más frecuente en comités de riesgos. La CNBV se pronunció al respecto en su comunicación del 31 de marzo de 2026, en el sentido de que la adhesión a la PUI no vulnera las obligaciones de secrecía. La interpretación aplicable a su figura debe validarse con su área jurídica y con las fuentes oficiales.
Los Lineamientos definen como sujetos obligados a todas las instituciones responsables de registros, bases de datos o sistemas de información a que se refiere el artículo 12 Bis de la LGMDFP. El criterio no es el giro ni el tamaño: es administrar información de identidad de personas.
| Figura | ¿Obligada? |
|---|---|
| Bancos e instituciones de banca múltiple | Sí |
| Aseguradoras y afianzadoras | Sí |
| SOFOMes (ER y ENR, según el criterio aplicable a cada figura) | Sí |
| SOFIPOs y SOCAPs | Sí |
| Casas de bolsa y emisoras | Sí |
| IFPEs e ITFs (fintech) | Sí |
| Centros cambiarios y transmisores de dinero | Sí |
No hay excepción general por tamaño, volumen de cartera ni antigüedad. Una SOFIPO regional enfrenta el mismo requisito funcional que un banco nacional; lo que cambia es la capacidad instalada para atenderlo.
Salud, educación, telecomunicaciones, transporte y aviación, hospedaje, registros patronales y de seguridad social, además de instituciones públicas de búsqueda, procuración de justicia y servicios forenses.
La diferencia para el sector financiero: la supervisión sectorial ya está articulada, con capacidad de requerimiento y de exigir evidencia.
| Rol | Responsabilidad |
|---|---|
| Representante legal | Alta de la persona moral en Llave MX con e.firma; solicitud de inscripción |
| Enlace técnico | Coordinación de la interconexión con la autoridad |
| TI / Arquitectura | Exposición y consumo de servicios, ambientes, disponibilidad |
| Seguridad de la información | Cifrado, gestión de accesos, pruebas de seguridad |
| Cumplimiento / Jurídico | Interpretación normativa, protección de datos, evidencia |
| Auditoría interna | Verificación de trazabilidad e integridad de registros |
Este es el punto donde más proyectos se atrasan: no es un proyecto de TI, es un proyecto de cinco áreas.
| Fecha | Hito |
|---|---|
| 16 de julio de 2025 | Reformas a la LGMDFP y a la Ley General de Población. Nace la obligación de interconexión (Art. 12 Bis LGMDFP; Art. 91 Quater LGP) |
| 27 de noviembre de 2025 | Publicación en el DOF de los Lineamientos para el Desarrollo y Operación de la PUI (cód. 5774120) |
| 23 de enero de 2026 | Publicación en el DOF del Manual Técnico de la Solución Tecnológica para Instituciones Diversas y del correspondiente a Instituciones Públicas (edición vespertina) |
| 31 de marzo de 2026 | Comunicación de la CNBV que confirma la obligación de interconexión para el sistema financiero |
| Pendiente al cierre de esta edición | Manual de Operación de la PUI para el SNIP, tercer instrumento previsto en los transitorios de los Lineamientos |
Existen dos lecturas sobre el cómputo de plazos, y conviene conocerlas porque afectan decisiones de presupuesto:
Nuestra postura, y la recomendación que damos a nuestros clientes: la discusión interpretativa no cambia la conclusión operativa.
Esperar a que se cierre el debate solo comprime el tiempo disponible para hacerlo bien. Verifique el estado vigente de publicaciones y plazos directamente en el DOF antes de fijar su plan.
| Paso | Dónde |
|---|---|
| Alta de la persona moral | Portal Llave MX, con archivos de e.firma del SAT (.cer y .key) y RFC |
| Solicitud de inscripción a la interconexión | Portal oficial de inscripción de la plataforma de búsqueda |
| Descarga del Manual Técnico y anexos | DOF y el propio portal de inscripción |
| Notificaciones de la autoridad | Buzón habilitado durante la inscripción |
| Pruebas de integración | Ambiente de pruebas designado por la autoridad |
| Operación productiva | Infraestructura de la propia institución |
La última fila es la que define la arquitectura: el servicio corre en su casa, no en la del gobierno. La disponibilidad, el cifrado, los accesos y la evidencia son responsabilidad de la institución.
| Fase | Qué exige | Dónde suele fallar |
|---|---|---|
| Búsqueda inmediata | Respuesta rápida sobre un reporte recién activado | Latencia y disponibilidad del servicio |
| Búsqueda histórica | Revisión de registros pasados, incluyendo archivo | Datos en sistemas legados, sin CURP normalizada o en respaldos fríos |
| Vigilancia continua | Monitoreo recurrente mientras el reporte esté activo | Ausencia de un proceso automatizado; se resuelve manualmente y no escala |
Diseñar solo para la primera fase es el camino más rápido a un hallazgo de auditoría. El volumen no depende del tamaño de su cartera, sino de cuántos reportes emita la autoridad y de la frecuencia del monitoreo.
El Manual Técnico publicado en el DOF define la especificación de la integración: estructura de los servicios de intercambio, formato de solicitudes y respuestas, esquema de autenticación por token, campos obligatorios, requisitos de cifrado —incluido el tratamiento de información biométrica— y las pruebas de seguridad sobre el software (SAST, SCA y DAST).
Los parámetros técnicos concretos deben tomarse siempre del manual vigente publicado en el DOF y sus anexos, no de resúmenes de terceros —incluido este artículo.
Etapa 1 · Habilitación institucional
Designar representante legal y enlace técnico. Alta de persona moral en Llave MX con e.firma vigente. Habilitar buzón de notificaciones. Cuello de botella real: depende de Jurídico y de la vigencia de la e.firma, no del área técnica. Arránquelo primero.
Etapa 2 · Diagnóstico técnico
Inventariar dónde viven los datos de identidad (core, CRM, expedientes, archivo). Definir estrategia de consulta por CURP y por criterios alternos para registros antiguos. Decidir arquitectura: desarrollo interno, servicio de terceros o middleware on-premise.
Etapa 3 · Desarrollo de la interconexión
Implementar los servicios que se exponen y los que se consumen, conforme al Manual Técnico y sus anexos.
Etapa 4 · Seguridad, trazabilidad y evidencia
Gestión de accesos y segregación de funciones. Registro completo de transacciones y eventos con censura de información personal en logs. Mecanismos de integridad que permitan demostrar que los registros no fueron alterados. Pruebas SAST, SCA y DAST. Diseño de continuidad y recuperación.
Etapa 5 · Pruebas y salida a productivo
Validación en ambiente de pruebas, pruebas de integración con la autoridad, liberación controlada con criterios de aceptación documentados.
Etapa 6 · Operación y mejora continua
Monitoreo de disponibilidad, atención de incidentes, conservación de evidencia y actualización ante cambios normativos.La interconexión no es un proyecto que se cierra: es un servicio que se opera.
PUI-Service es la solución on-premise de Quality Consulting para la interconexión segura y controlada con la Plataforma Única de Identidad. Opera como middleware dentro de la infraestructura de la institución: los datos no salen de su ambiente y la evidencia permanece bajo su custodia.
| Lo que exige la interconexión | Cómo lo atiende PUI-Service |
|---|---|
| Servicio disponible que la PUI pueda consultar | Middleware ya implementado, diseñado para operación continua y recuperación ante fallos |
| Control sobre los datos | Arquitectura on-premise con gestión de accesos y control de datos |
| Evidencia para auditoría | Registros completos de transacciones y eventos con cadena HMAC inalterable |
| Protección de datos personales | Información personal censurada en logs |
| Seguridad del software | Pruebas SAST, SCA y DAST en el ciclo de desarrollo |
| Alineación con el marco normativo | 30 controles de cumplimiento implementados |
| Capacidad de ejecución | Ruta de implementación en 5 etapas, tiempo estimado aproximado de un mes* |
Sujeto a la respuesta del Gobierno, a la disponibilidad del cliente y a la infraestructura requerida.
Quality Consulting es una empresa evaluada en CMMI Nivel 3 (DEV), con experiencia en el sector de servicios financieros, y acompaña cada etapa: del diagnóstico técnico a la estabilización en producción.
Publicado por Quality Consulting, empresa evaluada CMMI Nivel 3 (DEV), desarrolladora de PUI-Service, solución on-premise de interconexión con la PUI para instituciones financieras reguladas en México.
Este artículo tiene fines informativos y no constituye asesoría legal. La interpretación y aplicación del marco normativo debe validarse con las fuentes oficiales vigentes y con el área jurídica de cada institución. Quality Consulting acompaña la implementación técnica de la interconexión; la determinación del cumplimiento corresponde a las autoridades competentes.
Última actualización: agosto de 2026 · Próxima revisión programada: noviembre de 2026
puiservice.mx · cequalityconsulting.mx · contacto@cequality.com