Verificar que alguien es quien dice ser dejó de ser un problema de tecnología. Comparar dos caras lo hace bien cualquier modelo decente desde hace años.
El problema es otro, y son dos: saber que del otro lado hay una persona y no una foto, y qué hacés con esos datos después.
Primero, lo legal
Los datos biométricos son datos sensibles, y eso cambia todo el régimen.
En Chile, la Ley 21.719 entra en vigencia el 1 de diciembre de 2026, con notificación de brechas en 72 horas y multas de hasta 20.000 UTM. En Costa Rica, la Ley 8968 exige consentimiento informado y expreso, y PRODHAB tiene facultades para ordenar que un tratamiento se detenga.
En los dos países, guardar rostros te pone en la categoría más exigente. Y una brecha de datos biométricos no se arregla como una de contraseñas: la contraseña se cambia, la cara no.
Segundo, la suplantación
Este es el punto que más se subestima.
Una foto no distingue a una persona de la foto de esa persona. Si tu verificación acepta una imagen, alguien puede sostener una fotografía frente a la cámara y pasar. Ese ataque no requiere conocimientos técnicos: requiere una impresora.
Por eso existe la prueba de vida. Con un video corto se puede analizar si hay una persona real delante o una imagen. La prueba de vida pasiva es la que no le pide nada al usuario —ni girar la cabeza ni parpadear a pedido—: corre sobre el video que ya grabó, sin agregar fricción al que sí es legítimo.
Tercero, y el más importante: qué guardás
Acá está la decisión de diseño que define todo lo demás.
Hay tres formas de resolverlo, y son muy distintas entre sí:
- Guardar las imágenes. La peor. Tenés un repositorio de rostros con nombre al lado, que es exactamente lo que un atacante quiere y lo que la ley mira con lupa.
- Guardar los vectores faciales. Mejor que la foto, pero sigue siendo dato biométrico: identifica de forma unívoca a una persona. Que no se vea como una cara no lo saca de la categoría.
- No guardar nada. Procesar en memoria, responder y descartar. Queda el registro de que hubo una consulta, con su resultado y su fecha, pero ninguna imagen y ningún vector.
La tercera es la única que te saca del problema en lugar de administrarlo. No podés filtrar lo que no tenés.
Cuatro preguntas antes de contratar
Si estás evaluando un servicio de verificación facial, estas cuatro separan bastante:
- ¿Guardan imágenes o vectores? Si la respuesta tarda, ya sabés.
- ¿Corre prueba de vida, y es pasiva? Sin prueba de vida estás validando fotos.
- ¿Qué pasa si no hay rostro en la imagen? Debería devolver un error, no un "no coincide". La diferencia importa el día que alguien reclame por qué se le rechazó.
- ¿Quién define qué tan estricto es? El umbral de una app de asistencia no puede ser el mismo que el de un alta bancaria. Si el proveedor lo fija por vos, uno de los dos casos va a estar mal calibrado.
Lo que construimos
EgoFaceV es nuestro servicio de verificación facial por API. Recibe la foto de referencia y un video corto, responde si es la misma persona y si está viva, con la tolerancia que define quien lo consume.
No almacena fotos, videos ni vectores faciales. Todo se procesa en memoria y se descarta al responder; queda solo el registro de que hubo una consulta, con su puntaje y su fecha, para auditoría y uso.
Si no detecta rostro en la referencia o en la prueba, devuelve error y no un resultado negativo ambiguo. Y si tu caso no admite video, acepta foto — pero se pierde la prueba de vida, y eso conviene decirlo antes y no después.
Se contrata por formulario de contacto, definiendo caso de uso, volumen y tolerancia. Contanos qué necesitás verificar.