¿Qué pueden hacer con tu CURP o tu RFC? Riesgos y cómo cuidarlos
· Escrito y mantenido por Nonimo
Con tu CURP o tu RFC, por sí solos, nadie abre una cuenta ni saca un crédito. Pero los dos dicen de ti más de lo que parece, se piden para casi todo y casi nunca viajan solos: van junto con la copia de tu INE, tu domicilio o tu Constancia de Situación Fiscal. Ese paquete completo es el que conviene cuidar.
No se trata de dejar de darlos. Se trata de saber qué revelan, quién los necesita de verdad y qué puedes revisar si sospechas que alguien los usa. Con la copia de la INE que suele ir junto pasa igual, y ponerle marca de agua para la renta o el trámite deja escrito para quién era.
Qué dice de ti tu CURP, y por qué te la piden en todos lados
La Clave Única de Registro de Población tiene 18 caracteres. Según la Ley General de Población (art. 91), sirve para identificarte de forma individual y contiene, al menos, tu nombre y apellidos, tu fecha de nacimiento, tu sexo, tu lugar de nacimiento y tu nacionalidad.
Buena parte de eso se lee en la propia clave. El instructivo de RENAPO para asignarla la arma así:
- Posiciones 1 a 4: letras de tus apellidos y de tu nombre.
- Posiciones 5 a 10: tu fecha de nacimiento, en año, mes y día.
- Posición 11: tu sexo.
- Posiciones 12 y 13: el estado donde naciste.
- Posiciones 14 a 18: consonantes de tu nombre, un diferenciador y un dígito verificador.
Quien ve tu CURP ya sabe tu fecha de nacimiento y de dónde eres.
Y te la van a seguir pidiendo. Desde la reforma publicada en el DOF el 16 de julio de 2025, la misma ley dice que todo ente público o particular está obligado a solicitar la CURP para sus trámites y servicios (art. 91 Sexies). Además, la CURP con huellas y fotografía será el documento nacional de identificación, en formato físico y digital, y los datos biométricos se integran con el consentimiento de su titular (art. 91 Bis). La ley ya lo dice; cómo y cuándo llegará a cada persona es algo que todavía no está claro en fuentes oficiales. En la ventanilla de un ayuntamiento llega con cada trámite, y cómo se oculta antes de pegar un oficio en ChatGPT lo contamos en la IA para la ventanilla municipal.
Qué dice de ti tu RFC
El Registro Federal de Contribuyentes es la clave con la que el SAT te identifica para todo lo fiscal. Según el propio SAT, el de una persona física tiene 13 caracteres: cuatro letras de tus apellidos y de tu nombre, seis cifras con tu fecha de nacimiento y tres caracteres finales, la homoclave, que asigna el SAT para que no haya dos iguales.
Si pones tus dos claves lado a lado, lo más probable es que veas que las primeras diez posiciones casi coinciden, porque las dos se arman con tu nombre y tu fecha de nacimiento.
¿Qué pueden hacer con tu CURP o tu RFC?
Aquí conviene no exagerar. La CURP y el RFC no son contraseñas: los escribes en la solicitud de empleo, en la escuela, en la factura del súper. Lo que los vuelve delicados es lo que se junta con ellos. En una escritura, por ejemplo, van junto a la fecha de nacimiento, el estado civil y el domicilio de cada otorgante, y por eso conviene quitarlos antes de usar la IA con escrituras y poderes.
CONDUSEF describe el robo de identidad como apropiarse de los datos personales de otra persona sin su permiso, por lo general para cometer un fraude, y advierte que se usa para contratar productos financieros, hacer compras o cargos que no reconoces o pedir un crédito. Para eso casi nunca basta una clave. Lo que sirve es el expediente: tu nombre, tu CURP, tu RFC, tu fecha de nacimiento, tu domicilio y una foto de tu identificación, todo en el mismo lugar. Si quieres ver qué trae exactamente la credencial, revisa qué pueden hacer con una copia de tu INE.
Por eso el consejo práctico es mandar sólo lo que cada trámite pide. Una escuela que te pide la CURP no necesita además tu Constancia de Situación Fiscal, y quien te va a facturar no necesita tu INE. CONDUSEF lo resume así: si te piden copia, pregunta a dónde van tus datos, porque empresas y gobierno deben tener un aviso de privacidad. Y si la CURP va en la foto de tu INE y el trámite no la pide, puedes ocultar la CURP de tu credencial antes de mandarla.
La Constancia de Situación Fiscal: lo que no tienes que mandar
Este es el caso más claro de mandar de más. Muchas empresas siguen pidiendo la constancia completa para facturarte o para darte de alta en la nómina, y el SAT dijo en su comunicado 04/2026, del 20 de enero de 2026, que no hace falta:
- Para facturar bastan cuatro datos: tu RFC, tu nombre, tu código postal y tu régimen fiscal.
- Condicionar la factura a que entregues la constancia es una infracción, con multa de 21,420 a 122,440 pesos.
- Para la nómina, los empleadores no deben pedirle la constancia a sus trabajadores: pueden obtener los datos por un trámite ante el SAT. Lo detallamos en IA para recursos humanos y nómina.
La constancia lleva más que esos cuatro datos: tus actividades económicas, tus obligaciones y tu domicilio fiscal. Si te la piden para facturar, puedes contestar con los cuatro datos y citar el comunicado. Si llevas la contabilidad de varios clientes y recibes constancias todos los días, te puede servir ver cómo cuidar los datos de tus clientes en un despacho contable.
Y si esos RFC terminan en una hoja de clientes que vas a subir a la IA, puedes ocultar las claves de todo el Excel de una vez.
Cómo revisar si alguien usa tu RFC o tus datos
Hay dos lugares donde mirar.
Tus facturas en el SAT. El SAT explica que cualquier contribuyente puede revisar en tiempo real sus facturas en el portal del SAT con su RFC y su contraseña. Desde el servicio de factura electrónica puedes consultar tanto las que emitiste como las que recibiste. Fíjate si hay algo que no reconoces.
Tu reporte de crédito especial. CONDUSEF recomienda pedirlo para comprobar que no haya movimientos anormales y, si los hay, avisar a la sociedad de información crediticia. Ahí aparecería una tarjeta o un crédito abierto a tu nombre sin que lo pidieras.
Si encuentras algo, CONDUSEF indica acudir con ellos para presentar una reclamación por robo de identidad; si procede, te orientan para hacer la denuncia ante el Ministerio Público. Y si además perdiste la credencial, los pasos están en qué hacer si te robaron la INE.
Antes de pegar tu CURP o tu RFC en un chat de IA
Cada vez más gente le pide a ChatGPT, Claude o Copilot que le ayude a llenar una solicitud, revisar un contrato de renta o redactar un correo al SAT. Es muy útil, pero lo que pegas sale de tu computadora y se queda en el historial de la conversación. Y el chat no necesita tus claves reales para ayudarte: entiende igual un texto que dice [CURP] que uno con los 18 caracteres. Qué más conviene quitar antes de pegar lo resumimos en qué datos ocultar de un texto antes de usar la IA.
Si además le pegas tu fecha de nacimiento, tu domicilio y tu correo, estás armando en otro lugar justo el expediente que conviene no dejar suelto. Para entender qué datos tienen protección especial en México, revisa qué son los datos personales sensibles.
Para eso existe Nonimo, una app para Windows y Mac que trabaja en tu computadora, antes de que pegues el texto en el chat. Cambia por marcadores tu CURP y tu RFC, los nombres y los correos, y también la fecha de nacimiento y el domicilio cuando van con su etiqueta. Mandas el texto con los marcadores, el chat responde sobre ellos, y esos datos no salen de tu computadora.
Nonimo es el software que hace esto en tu propia computadora: oculta nombres, CURP y RFC antes de que el texto llegue a ChatGPT. Sin cuenta, y la app lo hace sin que los datos de tus clientes salgan de tu computadora.
Preguntas frecuentes
¿Qué pueden hacer con mi CURP?
Sola, poco: la CURP no es secreta y la ley obliga a pedirla en casi cualquier trámite. Lo que sí hace es revelar tu fecha de nacimiento, tu sexo, tu estado de nacimiento y las iniciales de tu nombre. El riesgo crece cuando viaja junto con la copia de tu INE, tu domicilio y tu firma, porque ese paquete es el que sirve para hacerse pasar por ti en un registro a distancia.
¿Qué pueden hacer con mi RFC?
El RFC es la clave con la que el SAT te identifica para todo lo fiscal, y no es secreta: va impresa en cada factura que recibes. Para que te emitan una factura, el SAT dice que bastan tu RFC, tu nombre, tu código postal y tu régimen fiscal, así que no hace falta mandar más. Si quieres ver qué facturas aparecen con tu RFC, entra al portal del SAT con tu RFC y tu contraseña.
¿Es peligroso mandar una copia de mi CURP?
No suele serlo por sí sola, porque la CURP no abre nada. Pero la constancia es un papel con tu nombre completo y tu clave, y conviene saber a dónde va. Si te la piden, pregunta para qué la usarán: quien guarda tus datos debe tener un aviso de privacidad. Y si la mandas por WhatsApp o correo, pide que la borren cuando termine el trámite.
¿Me pueden pedir la Constancia de Situación Fiscal para facturar?
No. El SAT aclaró en enero de 2026 que la constancia no es requisito para emitir una factura, y que condicionar la factura a que la entregues es una infracción con multa de 21,420 a 122,440 pesos. Para facturar bastan tu RFC, tu nombre, tu código postal y tu régimen fiscal. Tu empleador tampoco debe pedírtela para la nómina.
¿Qué hago si creo que alguien usa mis datos?
Revisa tus facturas en el portal del SAT y tu reporte de crédito especial. Si aparece una cuenta o un crédito que no reconoces, avisa de inmediato a la institución donde aparece. CONDUSEF recomienda presentar ahí una reclamación por robo de identidad, y te orienta para hacer la denuncia ante el Ministerio Público. Guarda constancia de cada reporte que hagas.
¿Es seguro pegar mi CURP o mi RFC en ChatGPT?
Lo que pegas en un chat de IA sale de tu computadora y se queda en el historial de la conversación. Si sólo quieres que te ayude a llenar un formato o a revisar un contrato, no necesita tus claves reales. Cámbialas antes por un marcador como [CURP] o [RFC] y el chat te responde igual, sin quedarse con tus datos.