El 85% de los pagos en México se siguen haciendo en efectivo. Ese dato, compartido por el vicepresidente de pagos de FinTech México y recogido por EL CEO, es el contexto de la iniciativa de Ley de Economía Digital para Pagos Digitales y Electrónicos que el Ejecutivo envió a la Cámara de Diputados el 8 de septiembre, dentro del Paquete Económico 2027.
Leí la iniciativa y después la comenté con tres directores de comercio digital. Ninguno me preguntó por inclusión financiera. Los tres preguntaron lo mismo: qué pasa con mi tasa de aprobación, con mis contracargos y con mi póliza si el país mueve su consumo a canales digitales en cuatro trimestres.
Las dos lecturas conviven. El texto de la Ley de Economía Digital apenas se turnó a comisiones y va a cambiar antes de votarse. Aquí van cuatro contrapuntos entre lo que dice la iniciativa y lo que vive la operación.
Contrapunto 1. La iniciativa dice inclusión. Tu modelo antifraude lee gente sin historial
Lo que dice el texto. Según El Imparcial, al entrar en vigor la Ley de Economía Digital, Hacienda tendrá 15 días hábiles para publicar la primera lista de sujetos obligados, y los reguladores de cada sector otros 15 para emitir reglas de operación. Gasolineras y casetas se anunciaron como primer objetivo desde la Convención Bancaria de marzo.
Lo que vive tu operación. Cada persona que migra del efectivo entra a tu checkout sin huella transaccional. Dispositivo nuevo, correo reciente, domicilio sin verificar. Tus reglas leen ese perfil como riesgo y lo rechazan. Mientras tanto, la Condusef reportó que las reclamaciones por posible fraude en banca múltiple crecieron 18% entre enero y mayo de 2026, y cerca de 49% en sofipos y sofomes. En el primer semestre, según La Jornada, las reclamaciones por posible fraude sumaron 43,871, un alza de 16.7%.
Qué hacer con eso. Separa tu tasa de aprobación por antigüedad de cliente. El promedio general esconde la caída en clientes nuevos, que es exactamente por donde va a llegar el volumen de esta Ley de Economía Digital.
(El punto de partida de la iniciativa: tres años de digitalización movieron cinco puntos de efectivo)
Contrapunto 2. La iniciativa dice CURP Digital. Tu flujo recibe una cara que alguien inyecta
Lo que dice el texto. La CURP Digital, que integra huellas y fotografía bajo la Agencia de Transformación Digital y Telecomunicaciones, queda como documento válido para abrir cuentas y contratar servicios financieros a distancia, junto con el Expediente Digital Ciudadano. Va en la misma dirección que la reforma a la Circular Única de Bancos del 1 de julio de 2026, que exige biometría facial para cuentas de nivel 3 y 4, documentada por KYC Systems.
Lo que vive tu operación. Hay dos ataques distintos y muchas empresas todavía los tratan igual. El ataque de presentación pone una foto o una máscara frente a la cámara, y la prueba de vida clásica lo detecta. El ataque de inyección mete video sintético directo en el flujo de verificación, por API, SDK o cámara virtual, sin pasar por la cámara. El informe de fraude de identidad de Veriff encontró que en 2025 los medios presentados digitalmente tuvieron 300% más probabilidad de estar generados o alterados con IA que en 2024, y que la suplantación explicó más del 85% de los intentos fraudulentos de verificación. Una encuesta de Gartner a 302 líderes de ciberseguridad, citada por Shufti Pro, encontró que 62% de las organizaciones sufrió un ataque con deepfake en el último año.
El punto incómodo. Una contraseña comprometida se cambia en treinta segundos. Tu rostro y tus huellas no se cambian nunca. Un identificador nacional único sube el premio del ataque y elimina la rotación como defensa.
Qué hacer con eso. Pide a tu proveedor de verificación una respuesta escrita sobre inyección: atestación de la aplicación, verificación de cámara de hardware, detección de emuladores y certificación ISO/IEC 30107-3. Si la respuesta es “tenemos prueba de vida”, no contestó la pregunta.
*Seguro te interesa: Aplicación del neuromarketing impulsa la precisión en las decisiones de compra en Latinoamérica
Contrapunto 3. La iniciativa dice terminal para todos. Tu estado de resultados dice comisión y conectividad
Lo que dice el texto. Banxico emitirá lineamientos para que las terminales punto de venta acepten cobros con código QR desde el celular del cliente, junto con tecnología NFC. Los proveedores de bienes y servicios deberán contar con infraestructura para recibir esos medios e informar cuáles tienen disponibles.
Lo que vive tu operación. El subdirector de análisis económico de Kapital lo resumió con precisión en EL CEO: márgenes ya comprimidos, costo de comisión, inversión en terminales y conectividad, fricción con clientes que no logran pagar. En el sur del país la conversación es de cobertura, no de voluntad.
El riesgo que veo poco discutido. Cuando el pago digital es la única vía permitida en un sector, la caída de tu procesador deja de ser una molestia comercial y se acerca a un incumplimiento. La iniciativa permite efectivo o cheque durante una contingencia técnica y aclara que esa excepción no opera de forma permanente ni recurrente. Traducido a riesgos: tu tiempo de recuperación deja de ser un tema de experiencia de usuario y pasa a ser un tema de cumplimiento.
Qué hacer con eso. Revisa si tu póliza ciber incluye interrupción de negocio por falla de un proveedor tecnológico, con qué periodo de espera y por qué monto. En el mercado mexicano esa extensión suele venir recortada o ausente en pólizas medianas.
(El contexto de fraude sobre el que llega la ley: primer semestre de 2026 en reclamaciones ante Condusef)
Contrapunto 4. La iniciativa habla de confianza. Tu póliza habla de otra cosa
Lo que dice el texto. La CURP Digital y el Expediente Digital Ciudadano entran como mecanismos de confianza para la contratación remota de servicios financieros dentro del marco de la Ley de Economía Digital.
Lo que vive tu operación. En cuanto tu negocio toca datos biométricos, cambia de régimen. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares publicada el 20 de marzo de 2025 clasifica los biométricos como datos sensibles, exige consentimiento expreso y por escrito, y prohíbe crear bases de datos sensibles sin una justificación legítima y concreta. La autoridad ya no es el INAI, es la Secretaría Anticorrupción y Buen Gobierno. Las sanciones llegan a 320,000 UMA y se duplican cuando hay datos sensibles de por medio.
El detalle que cambia la conversación con tu corredor. En México las multas administrativas no son asegurables. Tu póliza ciber responde por defensa jurídica, forense, notificación a titulares, gestión de crisis e interrupción del negocio. La sanción la paga la empresa con su propio flujo. Quien te ofrezca “cobertura de multas” sin explicar ese matiz te está vendiendo una expectativa.
Y el tamaño del problema de identidad ya está medido. El Universal reportó, con cifras de Condusef, que el robo de identidad en la banca mexicana implicó 11,302 millones de pesos reclamados en 2024, 77% más que el año previo, con 36,428 reclamaciones. El comercio queda en medio, entre el emisor que rechaza y el cliente que exige.
Lo que yo pondría en la agenda de octubre
Sin plan a 90 días. Tres cosas concretas:
- Una. Pide a tu proveedor de verificación esa respuesta escrita sobre ataques de inyección. La conversación revela en diez minutos qué tan expuesto estás.
- Dos. Corre con operaciones el escenario de cuatro horas sin cobro digital y ponle número. Ese número es tu argumento para negociar la cobertura de interrupción en la próxima renovación, y también para pedir un acuerdo de nivel de servicio (SLA) más duro a tu procesador.
- Tres. Separa en tu tablero la tasa de aprobación de clientes nuevos. Si la Ley de Economía Digital avanza, tu crecimiento va a entrar por ahí, y tus reglas actuales no lo están esperando.
La iniciativa va a cambiar en comisiones. Tu operación no tiene que esperar a que la voten.
