Abres la aplicación del banco, introduces tus credenciales y vuelve a aparecer el mismo mensaje: activa el reconocimiento facial para entrar más rápido y de forma más segura. Lo rechazas, pasan unos días y la aplicación vuelve a insistir. La sensación que puede dejar es bastante clara: tarde o temprano voy a tener que aceptarlo.
Pero hay una diferencia importante entre que el banco recomiende utilizar la biometría y que exista una norma que obligue a hacerlo. Actualmente no existe una obligación general que fuerce a los clientes bancarios a activar Face ID, la huella o el reconocimiento facial para entrar en la app.
Lo que sí existe desde hace años es una regulación europea que obliga a las entidades financieras a proteger determinados accesos y operaciones mediante autenticación reforzada del cliente. Esa exigencia ha convertido el móvil en una pieza fundamental de la seguridad bancaria y explica por qué cada vez aparecen más avisos relacionados con biometría, dispositivos de confianza y confirmaciones dentro de la aplicación.
La norma exige identificarte bien, no utilizar tu cara
El origen de buena parte de estos cambios está en la conocida como autenticación reforzada del cliente o SCA, incorporada al marco europeo de pagos PSD2.
La idea es sencilla: para determinadas operaciones no debería bastar con una única contraseña. La autenticación debe combinar al menos dos elementos independientes pertenecientes a categorías diferentes.
- Algo que sabes: por ejemplo, una contraseña o un PIN.
- Algo que tienes: por ejemplo, un teléfono previamente vinculado a tu cuenta.
- Algo que eres: características biométricas como una huella o determinados sistemas de reconocimiento facial.
La regulación no dice que uno de esos elementos tenga que ser obligatoriamente tu cara. De hecho, la Autoridad Bancaria Europea ha aclarado que PSD2 no impone una tecnología concreta de autenticación. Es cada proveedor de servicios de pago quien diseña su sistema siempre que cumpla los requisitos de seguridad correspondientes.
Esto explica por qué dos bancos pueden funcionar de maneras muy distintas. Uno puede permitir entrar mediante contraseña y confirmar posteriormente determinadas operaciones desde el móvil. Otro puede vincular la aplicación al dispositivo y utilizar Face ID o huella como segunda comprobación.
Entonces, ¿por qué la aplicación insiste tanto con Face ID o la huella?
Porque para el banco la biometría resuelve varias cosas a la vez.
La primera es la comodidad. Si cada vez que abres la aplicación tuvieras que introducir una contraseña bancaria larga, probablemente muchos usuarios terminarían recurriendo a claves más sencillas o repitiéndolas. Face ID o la huella permiten mantener una credencial complicada detrás y hacer que el acceso cotidiano tarde apenas un segundo.
La segunda razón es la seguridad. Una contraseña puede verse por encima del hombro, capturarse mediante phishing o terminar filtrada. Una comprobación biométrica realizada por el propio teléfono añade una barrera diferente.
Y la tercera está relacionada con la vinculación del dispositivo. Las aplicaciones bancarias modernas no ven necesariamente tu teléfono como una simple pantalla desde la que introducir una contraseña. El propio móvil puede convertirse en uno de los elementos que demuestran que eres tú, porque la aplicación ha sido activada previamente en ese dispositivo.
Es el mismo principio que encontramos en la autenticación de dos factores. En TecnoOrbita ya hemos explicado qué ocurre cuando pierdes el móvil que utilizabas para generar el segundo factor y cómo recuperar el acceso a tus cuentas sin ese código.
Activar Face ID en la app del banco no significa darle tu cara al banco
Esta es probablemente la duda de privacidad más importante.
Cuando una aplicación de iPhone utiliza el sistema estándar de Face ID de Apple, la aplicación no recibe una fotografía de tu cara ni la plantilla matemática utilizada para reconocerte.
Los datos de Face ID se cifran y permanecen protegidos dentro del Secure Enclave del dispositivo. Cuando la aplicación bancaria solicita una comprobación, iOS realiza el reconocimiento y comunica a la aplicación básicamente el resultado: autenticación correcta o incorrecta.
La propia Apple explica que las aplicaciones compatibles con Face ID solo reciben información acerca de si la autenticación ha tenido éxito. No pueden acceder a los datos faciales registrados en el dispositivo.
Android dispone de un mecanismo parecido mediante su sistema de autenticación biométrica. Las aplicaciones pueden utilizar el cuadro de autenticación proporcionado por el sistema y Android devuelve el resultado de la comprobación.
Esto también explica por qué puedes cambiar la cara o huella registrada desde los ajustes del teléfono sin tener que enviar nuevamente una fotografía al banco.
No confundas desbloqueo biométrico con verificación de identidad mediante selfie
Aquí hay una diferencia enorme que muchas aplicaciones explican bastante mal.
Utilizar Face ID o la huella para abrir una aplicación no es lo mismo que hacerte una fotografía o grabar un vídeo para que el banco compruebe tu identidad.
En el primer caso, normalmente estás utilizando el sistema biométrico integrado en el propio teléfono.
En el segundo, la entidad puede estar realizando un proceso de identificación remota: comparar una fotografía, leer tu documento de identidad, comprobar que eres una persona real o realizar otras verificaciones.
Ese segundo procedimiento puede implicar un tratamiento de datos completamente diferente y debe explicarse en las condiciones y políticas correspondientes. Por eso conviene fijarse en las palabras utilizadas por la aplicación.
Si únicamente aparece algo como «Usar Face ID para iniciar sesión», normalmente estamos hablando del mecanismo biométrico del teléfono. Si solicita grabar tu rostro, mover la cabeza, enseñar el DNI o realizar una prueba de vida, el proceso es distinto.
¿Puedes seguir entrando con PIN o contraseña?
En muchos bancos, sí. La biometría se ofrece como una forma más cómoda de autenticarse y puede desactivarse desde los ajustes de seguridad de la aplicación.
Pero no existe una interfaz bancaria universal y cada entidad decide cómo implementa sus mecanismos de autenticación. Algunas aplicaciones permiten elegir claramente entre biometría y una clave. Otras utilizan una combinación de contraseña, código de acceso propio de la aplicación y dispositivo registrado.
También puede ocurrir que el banco exija que el teléfono tenga configurado algún sistema seguro de bloqueo. Eso no significa necesariamente que debas utilizar reconocimiento facial: el propio dispositivo puede admitir un código, contraseña, patrón o sistema biométrico dependiendo de Android o iOS.
En Android, de hecho, la API biométrica contempla expresamente la posibilidad de utilizar las credenciales del propio dispositivo, como PIN, patrón o contraseña, cuando el desarrollador habilita esa alternativa.
Por tanto, si tu banco pide activar desbloqueo facial en la app, el mensaje no debería interpretarse automáticamente como «es obligatorio por ley».
Una app puede recomendar la biometría sin que sea imprescindible
El diseño de las aplicaciones también tiene bastante culpa de la confusión.
Un botón grande que dice «Activar ahora» y una opción pequeña para «Ahora no» hacen que una recomendación parezca prácticamente obligatoria. Y si el aviso aparece cada pocas semanas, todavía más.
Eso no cambia la naturaleza técnica de la función.
La biometría tiene ventajas reales y, en un teléfono personal correctamente protegido, es una opción muy cómoda para entrar en la aplicación bancaria sin escribir continuamente la contraseña. Pero comodidad y obligación son conceptos diferentes.
Algo parecido ocurre con muchos ajustes de seguridad del móvil: que aparezcan destacados no significa que debamos activarlos automáticamente. En TecnoOrbita ya hemos visto cómo determinados modos de protección pueden resultar útiles para algunos usuarios y completamente innecesarios para otros.
La futura regulación europea tampoco va en la dirección de obligarte a usar tu cara
Europa está revisando actualmente las normas de servicios de pago mediante el nuevo paquete formado por PSD3 y el futuro Reglamento de Servicios de Pago.
En noviembre de 2025, el Parlamento Europeo y el Consejo alcanzaron un acuerdo político provisional y durante 2026 el procedimiento ha seguido avanzando hacia su adopción definitiva.
El objetivo está especialmente centrado en reforzar la protección frente al fraude, mejorar la seguridad de los pagos y proteger mejor al usuario.
Pero resulta especialmente significativo que los textos negociados insistan también en evitar que la autenticación reforzada dependa exclusivamente de un único mecanismo o, con determinadas excepciones, de disponer obligatoriamente de un smartphone.
Es decir, la evolución normativa va hacia más seguridad y más alternativas de autenticación, no hacia convertir el reconocimiento facial en un requisito universal.
Lo que sí merece la pena hacer aunque rechaces la biometría
No utilizar Face ID o huella no significa que debas rebajar la seguridad de la cuenta.
Si decides continuar con PIN o contraseña, utiliza una credencial exclusiva para la banca y evita códigos predecibles. Tampoco conviene reutilizar el mismo PIN en diferentes servicios.
Mantén actualizado el móvil y la aplicación bancaria, revisa periódicamente los dispositivos vinculados y desconfía de cualquier mensaje que te lleve mediante un enlace directamente a una supuesta activación de seguridad.
Las opciones biométricas deben activarse desde la aplicación oficial del banco o desde los ajustes del propio teléfono, no desde una página que llegue por SMS o correo electrónico.
Esto es especialmente importante porque las técnicas de phishing utilizan precisamente mensajes de urgencia relacionados con cuentas bloqueadas, dispositivos nuevos y supuestas verificaciones de identidad.
En TecnoOrbita tenemos también una guía para revisar contraseñas, autenticación en dos pasos y sesiones activas, una buena comprobación si hace tiempo que no revisas la seguridad de tus cuentas.
Entonces, ¿merece la pena activar el desbloqueo facial?
Si hablamos del mecanismo biométrico estándar del teléfono y utilizas un dispositivo personal bien protegido, activar Face ID o una huella fuerte suele ser una opción razonable. Evita escribir continuamente credenciales y añade una forma rápida de demostrar que eres tú.
Pero si prefieres continuar utilizando PIN o contraseña, el simple hecho de que aparezca repetidamente el aviso del banco no significa que una nueva ley te obligue a entregar tus datos biométricos.
La clave es distinguir tres cosas: la obligación del banco de aplicar medidas fuertes de autenticación, la tecnología que la entidad elige para cumplirlas y la opción de comodidad que ofrece al usuario.
Son tres conceptos relacionados, pero no son lo mismo. Y esa diferencia explica por qué el botón de «activar reconocimiento facial» aparece cada vez con más frecuencia, aunque Europa nunca haya dicho que tengas que mirar a la cámara para consultar tu saldo.
Preguntas frecuentes sobre la biometría en las aplicaciones bancarias
¿Es obligatorio activar Face ID para utilizar la app del banco?
No existe una obligación general europea que exija utilizar Face ID o reconocimiento facial para acceder a la banca móvil. Las normas exigen autenticación reforzada en determinados supuestos, pero no imponen una tecnología biométrica concreta.
¿El banco recibe los datos de mi cara cuando utilizo Face ID?
Cuando una aplicación utiliza el sistema estándar Face ID de Apple, los datos faciales permanecen protegidos en el dispositivo. La aplicación recibe el resultado de la autenticación, pero no los datos faciales registrados.
¿Por qué los bancos utilizan cada vez más la biometría?
La biometría permite autenticar al usuario rápidamente y puede formar parte de sistemas de seguridad que combinan el teléfono registrado con algo que identifica personalmente al usuario, reduciendo la dependencia de una contraseña introducida repetidamente.
¿Puedo seguir utilizando un PIN en lugar del reconocimiento facial?
Depende de la implementación de cada entidad. Muchos bancos ofrecen métodos alternativos mediante PIN, contraseña o credenciales del dispositivo, aunque la combinación concreta de mecanismos de autenticación puede variar.
¿Una selfie de verificación es lo mismo que Face ID?
No. Face ID es un sistema biométrico gestionado por el dispositivo. Una verificación mediante selfie o vídeo puede formar parte de un procedimiento de identificación remota del banco y supone un tratamiento diferente de la información.
