El principio de atribución en la firma electrónica avanzada: qué presume la ley y qué no

Serie: Desmenuzando las presunciones de la firma electrónica  ·  Artículo 1

---

Cuando firmas un contrato con tu e.firma o con una plataforma de firma electrónica, ocurre algo que casi todos damos por sentado: la ley asume que fuiste tú quien firmó. Ese “asumir” tiene nombre técnico atribución y no es magia ni certeza absoluta: es una presunción legal con reglas, requisitos y límites precisos.

Entender qué presume la ley (y qué no) es la diferencia entre confiar ciegamente en un documento electrónico y saber realmente qué tan sólido es. Empecemos por el principio que sostiene todo lo demás.

Qué es la atribución

La atribución responde a una sola pregunta: ¿quién firmó? O, en el lenguaje de la ley, ¿de quién proviene este mensaje de datos?

Es el vínculo jurídico que permite imputar la autoría de un documento electrónico a una persona determinada el firmante. En el papel, ese vínculo lo daba tu firma autógrafa: un trazo, en teoría irrepetible, que te conectaba con el documento. En lo electrónico, ese vínculo lo construyen los datos de creación de la firma (tus claves criptográficas privadas) y la forma en que se controlan.

La atribución no es un capricho conceptual: es uno de los tres pilares que el derecho mexicano exige para que un mensaje de datos tenga pleno valor probatorio, junto con:

• Fiabilidad: que pueda acreditarse cómo se generó y conservó la información.

• Integridad: que el documento no haya sido alterado después de firmarse.

• Accesibilidad: que pueda consultarse más adelante.

De esa tríada, la atribución contesta el “quién”. La integridad —tema del próximo artículo— contesta algo distinto: el “no lo cambiaron”. Confundirlas es el error más común, y volveremos a ello.

Dónde vive la atribución en la ley

En materia mercantil la más frecuente para quien firma contratos privados el ordenamiento clave es el Código de Comercio, en su título de Comercio Electrónico.

El artículo 90 fija la regla base: se presume que un mensaje de datos proviene del emisor cuando fue enviado (i) por el propio emisor, (ii) usando sus medios de identificación como claves o contraseñas o los de alguien facultado para actuar en su nombre, o (iii) por un sistema de información programado por él para operar automáticamente. El artículo 90 bis complementa el esquema del lado de quien recibe y confía en el mensaje.

Sobre esa base, el artículo 97 define cuándo una firma electrónica es avanzada o fiable, con al menos cuatro requisitos. Dos de ellos son precisamente los que sostienen la atribución:

• Los datos de creación de la firma corresponden exclusivamente al firmante.

• Esos datos estaban, al momento de firmar, bajo su control exclusivo.

(Los otros dos requisitos detectar cualquier alteración de la firma y del documento pertenecen a la integridad, no a la atribución.)

En pocas palabras: la firma avanzada refuerza la atribución porque parte de que solo tú tienes, y solo tú controlas, los datos con los que se creó la firma.

Qué presume exactamente la ley

Aquí está el corazón del tema. La presunción de atribución significa que, cumplidos esos supuestos, la ley da por sentado que firmaste tú, sin que la contraparte tenga que probarlo primero. El documento entra al juego con esa ventaja a su favor.

Pero y este “pero” es todo se trata de una presunción iuris tantum: admite prueba en contrario. El propio artículo 90 opera “salvo prueba en contrario”, y el artículo 97 aclara que cualquier persona puede demostrar por otros medios que una firma es fiable, o bien presentar pruebas de que no lo es.

Traducido: la presunción no convierte al documento en verdad indiscutible. Hace algo más modesto pero importante: invierte la carga de la prueba. Ya no es la contraparte quien debe demostrar que firmaste; eres tú quien, si lo niegas, debe demostrar que no fuiste tú (por ejemplo, que te robaron las credenciales o que el método no era fiable).

Lo que la presunción NO significa

• No es prueba plena e irrefutable. Una firma avanzada es sólida, no invulnerable. Puede desvirtuarse con prueba en contrario.

• No prueba, por sí sola, que estuviste de acuerdo con el contenido. La atribución conecta la firma contigo; los vicios del consentimiento son una discusión aparte.

• No sustituye a la integridad ni a la conservación. Que la firma sea tuya no garantiza que el documento no se haya alterado después: eso es integridad, y se acredita por otra vía (la NOM-151, entre otras).

• No es exclusiva de la firma avanzada. El Código de Comercio reconoce la presunción de atribución a los métodos de firma electrónica en general cuando son fiables. Lo que la avanzada aporta no es “el derecho a la presunción”, sino una base técnica más robusta que la hace más difícil de derribar.

  
  

No confundas atribución con integridad

La distinción entre quién firmó (atribución) y si el documento fue alterado (integridad) no es un tecnicismo académico: mezclarlas produce errores con consecuencias reales.

Un ejemplo reciente lo ilustra. En octubre de 2025, un tribunal colegiado emitió una tesis aislada sosteniendo que un pagaré digital solo produce efectos si se firma con firma electrónica avanzada. El problema de fondo, según han señalado especialistas, es que el razonamiento usa una herramienta de integridad (la constancia NOM-151, que acredita que el documento no cambió) para resolver un requisito de atribución (identificar al firmante). Al invertir esos conceptos, se termina exigiendo un estándar que la ley no impone.

Dos aclaraciones útiles: primero, una tesis aislada no es obligatoria orienta, pero no vincula a los demás jueces; segundo, este caso muestra por qué vale la pena entender la diferencia entre atribución e integridad incluso fuera de un tribunal. Cuando alguien te diga que “solo la firma avanzada tiene validez”, conviene preguntar de qué requisito está hablando en realidad.

Qué significa esto para ti

• Cuida tus datos de creación y credenciales como cuidarías tu firma. Toda la presunción descansa en que solo tú controlas tus claves.

• Guarda las constancias y los rastros de la firma. Poder demostrar cómo, cuándo y con qué se firmó es lo que vuelve la presunción difícil de derribar.

• Si alguna vez niegas una firma, prepárate para probarlo. La carga se invierte hacia quien desconoce; no basta con decir “yo no firmé”.

• No confundas robustez con infalibilidad. La firma avanzada te da una posición muy fuerte, no inatacable. Saberlo te permite usarla con confianza informada.

En el próximo artículo desmenuzamos el segundo pilar: la presunción de integridad, la NOM-151 y por qué “que no lo hayan cambiado” es una pregunta completamente distinta de “quién lo firmó”.