PUI y Llave MX: qué es la Plataforma Única de Identidad y cómo cumple una SOFOM
La PUI no es un trámite de PLD ni de CONDUSEF: es una obligación de interconexión que nació en la Ley General de Población y que alcanza a quien presta servicios financieros. Aquí, qué pide, en qué orden y dónde se atora.
Durante años el oficial de cumplimiento de una SOFOM tuvo un mapa claro de autoridades: CONDUSEF para registros y quejas, CNBV y UIF para prevención de lavado, SAT para lo fiscal. La Plataforma Única de Identidad (PUI) se sale de ese mapa. No la administra ninguna de ellas, no tiene que ver con lavado de dinero y, sin embargo, obliga a la SOFOM a conectar sus sistemas con el Gobierno Federal.
Por eso se pierde con facilidad. Llega como un memo del despacho, alguien lo archiva pensando que es para bancos, y meses después resulta que la entidad tenía que haberse acreditado, inscrito y pasado una revisión de seguridad.
Qué es la PUI y de dónde sale
La PUI es una plataforma del Registro Nacional de Población para consultar, validar y gestionar la CURP. La creó la reforma de 2025 a la Ley General de Población y a la Ley General en materia de Desaparición de Personas. Su propósito central no es comercial: es localizar a personas desaparecidas a partir de los registros que ya existen en el país, públicos y privados.
El mecanismo es sencillo de explicar: cuando hay un reporte de búsqueda activo, la plataforma pregunta a los registros conectados si esa CURP aparece en ellos, y la institución que encuentra una coincidencia la notifica. La ley prevé el monitoreo continuo de la CURP de la persona buscada y avisos cuando aparezca en los registros de los sujetos obligados.
Por qué le aplica a una SOFOM
La reforma ordena interconectar la PUI con los registros de particulares que presten servicios financieros, entre otros sectores como transporte, salud, telecomunicaciones o paquetería. Una SOFOM E.N.R. tiene, por definición, una base de datos de personas identificadas con su CURP: clientes, avales, obligados solidarios. Ese es el registro que la ley quiere ver.
Los Lineamientos para el Desarrollo y Operación de la PUI les dan nombre a estos particulares: Instituciones Diversas. Son las responsables de esos registros privados, de naturaleza distinta a las instituciones públicas, y están obligadas a interconectarse.
La PUI no es PLD. No pide alertas, operaciones inusuales ni grados de riesgo. Lo que la plataforma consulta es identidad: si la CURP que busca está en tus registros y qué datos de localización tienes de esa persona. Mezclar la PUI con el expediente de prevención de lavado es un error de diseño que además expone información que nadie pidió.
El camino de la interconexión: Llave MX, inscripción y conexión
En la práctica el trámite se recorre en tres tramos, y cada uno tiene un dueño distinto dentro de la SOFOM.
1. Llave MX de la persona moral
Los Lineamientos piden que la Institución Diversa se registre en el sitio habilitado con una cuenta Llave MX de persona moral. Esto lo hace el representante legal o el apoderado con facultades, y conviene que sea alguien que va a seguir en la entidad: la cuenta queda ligada a esa persona.
2. Inscripción en la plataforma
Con la cuenta activa, la SOFOM se inscribe como Institución Diversa y declara la dirección (URL) de su servicio, que es el punto al que la PUI le va a mandar las solicitudes de búsqueda. Aquí entra el área de sistemas: la URL tiene que existir, responder y estar protegida, porque la plataforma prueba la conexión antes de aceptarla.
3. La conexión técnica
Los manuales técnicos publicados en el DOF el 23 de enero de 2026 describen la conexión. La plataforma llama a la institución para activar un reporte de búsqueda (siempre con un identificador y la CURP), para hacer pruebas y para desactivarlo; la institución, cuando encuentra algo, responde notificando la coincidencia. La autenticación es por token con vigencia corta, el tráfico va cifrado en tránsito y los datos biométricos, si los hubiera, se cifran aparte.
Las tres fases de búsqueda por CURP
Los Lineamientos prevén tres tipos de búsqueda: básica, histórica y continua. Para la SOFOM esto significa que un mismo reporte no se contesta una sola vez.
| Fase | Qué se busca | Qué implica para la SOFOM |
|---|---|---|
| Básica | Los datos más recientes que la institución tenga de esa CURP | Una respuesta inmediata con lo último que tiene el expediente |
| Histórica | Lo registrado desde la fecha de la desaparición, con un tope hacia atrás | Hay que poder consultar el historial, no sólo el dato vigente |
| Continua | Cualquier aparición nueva de la CURP mientras el reporte siga activo | Si esa persona solicita un crédito mañana, el sistema tiene que avisar |
La fase continua es la que cambia la operación. No basta con consultar la base el día que llega el reporte: cada alta de cliente, cada aval nuevo y cada actualización de expediente tiene que cruzarse contra los reportes activos mientras no se den de baja.
La revisión de seguridad: SAST, DAST y SCA
Antes de autorizar la conexión, la plataforma pide reportes de pruebas de seguridad del servicio que la SOFOM expone:
- SAST: análisis estático del código fuente, para encontrar fallas antes de ejecutarlo.
- DAST: pruebas dinámicas contra el servicio en funcionamiento, atacándolo como lo haría un tercero.
- SCA: revisión de las librerías y dependencias de terceros que usa el sistema, buscando vulnerabilidades conocidas.
El manual técnico es estricto: pide que la URL base y los servicios estén libres de vulnerabilidades en todos los niveles, incluidas las bajas, y toma como referencia marcos como OWASP y NIST. Esto es lo que más frena el trámite. Una SOFOM que opera con un sistema comprado y sin acceso al código no puede correr un SAST por su cuenta, y un reporte con hallazgos bajos sin corregir puede regresar.
Pregúntale a tu proveedor de sistema antes de inscribirte: quién expone el servicio, quién corre las pruebas y quién corrige lo que salga. Si la respuesta es "nadie", el trámite se queda a la mitad.
Qué pasa si no se cumple
La reforma trae multas de 10,000 a 20,000 UMA para el particular que no permita el acceso a sus registros o no proporcione o actualice la información, y la verificación y sanción corresponden a la Secretaría de Gobernación. La Ley General de Población prevé una multa del mismo rango por incumplir la obligación de la plataforma, previo apercibimiento.
Sobre plazos: los transitorios de los Lineamientos fijan tiempos para que la autoridad emita los manuales y para que los usuarios pidan acceso una vez emitidos. No se encontró publicada una fecha límite propia para las SOFOM, así que la interconexión debe atenderse conforme a la disposición vigente y a lo que la autoridad comunique en el portal de la PUI.
Más allá de la multa, hay un costo que no está en la ley: la PUI existe para encontrar personas. Un registro que no contesta, o que contesta tarde, es un registro que no ayudó en una búsqueda.
Cómo se resuelve de raíz
La PUI se vuelve manejable cuando se trata como lo que es: un servicio permanente, no un trámite que se cierra. Eso pide tres cosas. Que la búsqueda vea el expediente completo, incluidos avales y obligados solidarios, y su historial. Que cada alta nueva se cruce contra los reportes activos sin que nadie tenga que acordarse. Y que el servicio que se expone tenga dueño técnico para las pruebas de seguridad.
Cumplencia trae el módulo de la PUI dentro del sistema: el propio tenant genera y rota su clave de conexión desde la pantalla, el sistema expone el servicio que la plataforma llama para activar y desactivar reportes, y la búsqueda se limita a los datos de identidad del expediente de clientes y participantes, sin tocar la información de prevención de lavado.
Preguntas frecuentes
¿La PUI es una obligación de prevención de lavado de dinero?
No. La PUI nace de la Ley General de Población y de la ley en materia de desaparición de personas. Lo que consulta es identidad por CURP, no alertas ni reportes de operaciones.
¿Una SOFOM E.N.R. está obligada a conectarse a la PUI?
La reforma ordena interconectar la plataforma con los registros de particulares que prestan servicios financieros, y los Lineamientos llaman Instituciones Diversas a esos particulares. Una SOFOM con base de clientes identificados con CURP entra en ese supuesto.
¿Qué es Llave MX y para qué la necesita la SOFOM?
Es la cuenta de identidad digital del Gobierno de México. Los Lineamientos piden que la Institución Diversa se registre con una cuenta Llave MX de persona moral antes de inscribirse en la plataforma.
¿Por qué piden pruebas SAST, DAST y SCA?
Porque la SOFOM expone un servicio al que la plataforma se conecta. Las pruebas demuestran que el código, el servicio en funcionamiento y sus librerías no tienen vulnerabilidades antes de autorizar la conexión.
¿Qué multa hay por no cumplir con la PUI?
La reforma prevé multas de 10,000 a 20,000 UMA para el particular que no permita el acceso a sus registros o no proporcione la información, y la Secretaría de Gobernación es quien verifica y sanciona.
¿Lo llevas todo a mano?
Cumplencia integra crédito, cumplimiento y contabilidad en un solo sistema, con cada obligación en su fecha, su alerta y su acuse guardado.
Solicitar una demo de 30 minutos