Qué exige una auditoría cuando la sesión se autentica con biometría multimodal

Hasta hace poco, revisar la actividad de una mesa de trading consistía en cruzar registros de acceso con órdenes ejecutadas. Un usuario, una contraseña, una IP. Cuando la sesión empieza a autenticarse con biometría multimodal —rostro, voz, huella y comportamiento en paralelo— ese esquema se rompe. La pregunta ya no es solo quién entró, sino qué señal se capturó, dónde se guardó y durante cuánto tiempo se conserva.

Los equipos de cumplimiento que están evaluando estos despliegues suelen plantear las mismas dudas antes de dar el visto bueno. No son preguntas teóricas: cada una obliga a decisiones de arquitectura concretas y a documentación que sobreviva a una inspección externa.

Dónde viven las plantillas y quién las toca

Una plantilla biométrica no es una contraseña. No se puede rotar como un token ni resetear como un PIN. Si se filtra, el usuario no puede cambiarse la cara. Por eso la primera exigencia es saber si la plantilla se almacena en el dispositivo del trader, en un módulo seguro del servidor o en un tercero. Cada opción cambia el modelo de riesgo y el tipo de evidencia que queda disponible para auditoría.

Los auditores piden además separación entre el dato biométrico y la identidad operativa. Si ambos viven en la misma tabla, cualquier consulta de cumplimiento expone más de lo necesario.

Cuánto tiempo se conserva cada captura

Aquí chocan dos lógicas. La operativa quiere conservar historial para investigar incidentes; la normativa de protección de datos empuja a minimizar. La salida habitual es distinguir entre la plantilla de referencia —que se mantiene mientras el trader tenga cuenta— y las capturas puntuales de cada verificación, que se descartan tras confirmar la decisión salvo que la operación haya sido rechazada.

Revocación cuando alguien deja la mesa

Un trader despedido no debería poder operar ni un minuto después. Con contraseñas basta con desactivar la cuenta. Con biometría hay que verificar que la plantilla se elimina o se invalida en todos los nodos donde esté replicada, incluidos los de contingencia. Los procedimientos de baja que solo contemplan el directorio corporativo se quedan cortos.

Qué evidencia queda cuando se rechaza una orden

Este es el punto que más fricción genera. Si el sistema bloquea una operación por riesgo biométrico, el trader querrá saber por qué y el auditor necesitará reconstruir la decisión. Sin un registro que indique qué señal falló, con qué umbral y en qué momento, la trazabilidad es insuficiente. Guardar la captura completa resuelve el problema técnico pero abre otro de privacidad: hay que decidir qué se conserva y qué se descarta.

Fricciones entre jurisdicciones

Un mismo trader puede operar desde Buenos Aires, Madrid y Singapur en la misma jornada. Las reglas sobre consentimiento explícito, transferencia internacional de datos biométricos y plazos de retención no coinciden. La arquitectura que funciona suele separar la verificación local de la decisión central, de modo que el dato sensible no cruce fronteras innecesariamente.

Ninguna de estas exigencias es nueva en su lógica, pero sí en su aplicación. Los procedimientos de auditoría que servían para contraseñas y tokens necesitan reescribirse con la misma seriedad con la que se diseñó el sistema biométrico. Si quieres ver cómo encajan estas piezas en un despliegue real, revisa las soluciones de autenticación continua o escríbenos desde la página de contacto.