Normativa KYC

¿Qué es la normativa KYC en el sector cripto?

La normativa KYC establece reglas que obligan a los proveedores de servicios cripto a identificar, verificar y supervisar a sus clientes antes de permitir determinadas actividades financieras.KYC significa «Know Your Customer» (conoce a tu cliente) y es un componente esencial de los controles contra el blanqueo de capitales y la financiación del terrorismo.En el sector cripto, la normativa KYC puede aplicarse a plataformas de trading de activos digitales, custodios, servicios de acceso a monedas fiduciarias, proveedores de pagos, plataformas de activos tokenizados, servicios relacionados con wallets, servicios de stablecoins y otros proveedores de servicios de activos virtuales.La normativa KYC no es una criptomoneda, un token, una red blockchain, una wallet, un contrato inteligente, una estrategia de trading ni un producto de inversión.Se trata de requisitos legales y de cumplimiento que vinculan la identidad real con el acceso regulado a activos digitales.

La guía del Grupo de Acción Financiera Internacional sobre activos virtuales explica que los activos virtuales pueden negociarse o transferirse digitalmente y que se necesitan estándares globales para evitar que se utilicen indebidamente para el blanqueo de capitales y la financiación del terrorismo.

Para los usuarios de criptomonedas, el significado sencillo de la normativa KYC es que muchas plataformas deben saber quiénes son sus clientes antes de ofrecer determinados servicios.

Por qué es importante la normativa KYC en el sector cripto

La normativa KYC es importante porque los activos cripto pueden cruzar fronteras rápidamente y, a menudo, las transacciones se liquidan sin las mismas opciones de reversión que ofrecen los sistemas de pago tradicionales.Esta velocidad puede facilitar el acceso financiero abierto, los pagos, las remesas, el trading, los activos tokenizados y las aplicaciones blockchain.También puede aprovecharse para cometer estafas, mover fondos obtenidos mediante hackeos, eludir sanciones, pagar rescates, cometer fraudes, blanquear capitales y financiar el terrorismo.La normativa KYC ayuda a las plataformas a confirmar que sus usuarios son personas reales o empresas legítimas.También les permite comprender el riesgo de sus clientes, detectar actividad inusual, comprobar la exposición a sanciones y conservar registros para los reguladores o las fuerzas del orden.La normativa KYC no elimina los riesgos de las criptomonedas.No garantiza que un token sea seguro, que una plataforma sea solvente, que una wallet esté protegida ni que un usuario evite el phishing.Reduce los riesgos relacionados con la identidad y los delitos financieros, pero los usuarios siguen necesitando buenos hábitos de seguridad e investigación independiente.

Cómo suele funcionar la normativa KYC

La normativa KYC suele exigir que una plataforma recopile información básica de identidad del cliente.Esta información puede incluir el nombre legal, la fecha de nacimiento, la nacionalidad, la dirección de residencia, el número de teléfono, la dirección de correo electrónico y los datos del documento de identidad.A continuación, la plataforma puede verificar la identidad del cliente mediante un pasaporte, un documento nacional de identidad, un permiso de conducir, un permiso de residencia u otro documento expedido por una autoridad pública.Algunas plataformas también solicitan un justificante de domicilio, como un extracto bancario, una factura de suministros, un documento fiscal o una carta oficial.Muchas plataformas cripto utilizan comprobaciones con selfie, comparación facial y detección de vida para confirmar que la persona que presenta el documento está físicamente presente.Tras verificar la identidad, la plataforma puede comprobar si el usuario figura en listas de sanciones, bases de datos de personas expuestas políticamente, registros de noticias adversas, indicadores de fraude y reglas internas de riesgo.Si el usuario supera las comprobaciones, la cuenta puede recibir el estado KYC aprobado y acceder a determinados servicios.Si el usuario presenta un riesgo mayor, la plataforma puede solicitar medidas de diligencia debida reforzada antes de permitir transferencias de mayor importe o funciones avanzadas.

Normativa KYC frente a normativa AML

La normativa KYC y la normativa AML están relacionadas, pero no son lo mismo.KYC se centra en identificar y verificar a los clientes.AML significa «anti-money laundering» (prevención del blanqueo de capitales) y abarca un sistema más amplio para detectar, prevenir y comunicar actividades financieras sospechosas.Un programa AML puede incluir KYC, diligencia debida del cliente, diligencia debida reforzada, comprobación de sanciones, supervisión de transacciones, comunicación de actividades sospechosas, formación de empleados, auditorías independientes y conservación de registros.

La página de la norma de FinCEN sobre diligencia debida del cliente explica que esta diligencia incluye identificar y verificar a los titulares reales de determinados clientes que son personas jurídicas.

En el sector cripto, KYC indica a una plataforma quién es el cliente, mientras que la supervisión AML ayuda a determinar si su comportamiento puede resultar sospechoso.Un usuario puede superar el proceso KYC y, aun así, ser objeto de una revisión AML posteriormente si su actividad cripto parece inusual, de alto riesgo o incompatible con el perfil de su cuenta.

Estándares globales KYC y GAFI

El GAFI es el principal organismo internacional que establece estándares contra el blanqueo de capitales, la financiación del terrorismo y la financiación de la proliferación.El GAFI no concede licencias directamente a todas las empresas cripto de todos los países.En su lugar, establece estándares internacionales que muchas jurisdicciones utilizan al redactar leyes locales sobre activos virtuales y proveedores de servicios de activos virtuales.

La actualización específica del GAFI de 2025 sobre activos virtuales y PSAV insta a reforzar la acción global para abordar los riesgos de financiación ilícita en el sector de los activos virtuales.

Los estándares del GAFI influyen en la normativa KYC al promover que los países apliquen a los proveedores de servicios cripto la diligencia debida del cliente, la conservación de registros, la comunicación de transacciones sospechosas, los controles de sanciones y los requisitos de la Travel Rule.Esta influencia global es importante porque la actividad cripto cruza fronteras.Si una jurisdicción cuenta con normas KYC y AML poco estrictas, los delincuentes pueden intentar aprovechar esa brecha para mover fondos a través de redes cripto globales.Una normativa KYC más sólida y coherente puede reducir el arbitraje regulatorio y mejorar la integridad del mercado.

¿Quién debe cumplir la normativa KYC?

La normativa KYC suele aplicarse a las empresas que prestan servicios financieros relacionados con criptomonedas, no a los usuarios corrientes que simplemente mantienen activos en una wallet privada.Una plataforma de custodia que guarda activos de clientes puede necesitar controles KYC.Un servicio de acceso a monedas fiduciarias que permite comprar criptomonedas mediante transferencias bancarias o tarjetas puede necesitar controles KYC.Un servicio de pagos cripto puede necesitar controles KYC.Una plataforma de activos tokenizados puede necesitar controles KYC si el activo está sujeto a restricciones de elegibilidad o transferencia.Una empresa que presta servicios a clientes institucionales puede necesitar controles KYC y KYB.KYB significa «Know Your Business» (conoce tu empresa) y permite verificar empresas, directivos, titulares reales y representantes autorizados.Es posible que el software de una wallet de autocustodia no requiera KYC para crear una wallet, pero los servicios regulados relacionados con ella sí pueden exigir la verificación de identidad.

Normativa KYC y proveedores de servicios de activos virtuales

Un proveedor de servicios de activos virtuales es una empresa que realiza determinadas actividades con activos virtuales por cuenta de otra persona o en su nombre.Según la legislación local, esto puede incluir servicios de exchange, transferencia, custodia, salvaguarda y servicios relacionados con la emisión o venta de tokens.La normativa KYC suele considerar a los proveedores de servicios de activos virtuales como intermediarios clave, porque conectan a los usuarios con la liquidez, la custodia, los pagos en moneda fiduciaria y las transferencias.Estos proveedores pueden tener que verificar a sus clientes antes de abrir cuentas o procesar determinadas transacciones.También pueden tener que supervisar la actividad después del registro.Esta supervisión continua es importante porque un cliente que parecía de bajo riesgo al registrarse puede recibir posteriormente fondos de riesgo, cambiar su comportamiento o mover activos a destinos sospechosos.Por tanto, un marco KYC sólido no es solo un formulario de registro.Es un proceso continuo de revisión de identidad, evaluación del riesgo, supervisión y conservación de registros.

Diligencia debida del cliente

La diligencia debida del cliente es el proceso de comprender quién es el cliente y por qué utiliza el servicio.En el sector cripto, puede incluir la verificación de identidad, la actividad prevista de la cuenta, el origen de los fondos, el origen del patrimonio, la finalidad de las transacciones y la revisión del riesgo de las wallets.Un pequeño usuario minorista que compra criptomonedas con sus ingresos personales tiene un perfil de riesgo distinto al de una cuenta de empresa que mueve diariamente grandes cantidades de stablecoins.Una plataforma debe comprender estas diferencias antes de asignar límites a las cuentas y establecer reglas de supervisión.La diligencia debida del cliente es importante porque la identidad, por sí sola, no explica el riesgo.La plataforma también debe comprender el comportamiento, los patrones de transacción y si la actividad se ajusta al perfil del cliente.Si un cliente mueve de repente importes inusualmente elevados o recibe fondos de wallets de riesgo, la plataforma puede tener que solicitar más información.

Diligencia debida reforzada

La diligencia debida reforzada consiste en una revisión más exhaustiva de usuarios, empresas, transacciones o jurisdicciones de mayor riesgo.Una plataforma puede aplicarla a personas expuestas políticamente, cuentas de gran volumen, estructuras corporativas complejas, países de alto riesgo, actividad inusual de wallets o retiradas de gran importe.Puede requerir documentos sobre el origen de los fondos o del patrimonio, extractos bancarios, registros fiscales, facturas de empresa, contratos, pruebas de titularidad de wallets o explicaciones de las transacciones.Una revisión reforzada no significa automáticamente que el usuario haya hecho algo indebido.Normalmente significa que la plataforma necesita más información antes de aprobar el acceso de mayor riesgo.En el sector cripto, la diligencia debida reforzada es especialmente importante porque los fondos pueden pasar por numerosas wallets, bridges, protocolos y plataformas antes de llegar a una cuenta.Las plataformas deben comprender si el origen de los fondos es legítimo y si el cliente puede explicar la actividad.

Normativa KYC y Travel Rule

La Travel Rule es uno de los requisitos de cumplimiento cripto más importantes relacionados con la normativa KYC.Por lo general, exige que determinada información sobre el ordenante y el beneficiario acompañe a las transferencias que cumplen los requisitos entre proveedores de servicios regulados.

Las directrices de la Autoridad Bancaria Europea sobre la Travel Rule explican los procedimientos para detectar información ausente o incompleta en las transferencias de fondos y determinadas transferencias de criptoactivos.

Estas directrices se aplican desde el 30 de diciembre de 2024 en la Unión Europea.Para los usuarios, la Travel Rule puede significar que algunos depósitos y retiradas requieren algo más que una dirección de wallet.Una plataforma puede preguntar quién es el titular de la wallet de destino, si pertenece al usuario o qué proveedor de servicios recibe la transferencia.Una transferencia puede retrasarse si falta información obligatoria, esta es incoherente o está relacionada con actividad de alto riesgo.Por eso, la normativa KYC afecta tanto a la apertura de cuentas como a las transferencias cripto.

Normativa KYC en la Unión Europea

La Unión Europea ha creado un amplio marco regulatorio para las criptomonedas mediante MiCA y normas relacionadas con la prevención del blanqueo de capitales.MiCA significa «Markets in Crypto-Assets Regulation» (Reglamento sobre los mercados de criptoactivos).

La página informativa de ESMA sobre MiCA explica que ESMA publica un registro provisional de MiCA con libros blancos de criptoactivos, proveedores de servicios de criptoactivos autorizados y entidades no conformes.

MiCA no es solo una ley KYC, pero afecta al entorno regulado en el que operan los proveedores de servicios de criptoactivos.Las empresas cripto de la UE deben tener en cuenta la autorización, la gobernanza, la información al cliente, la conservación de registros, la conducta de mercado, la salvaguarda de activos, la gestión de reclamaciones y los controles operativos.Las obligaciones KYC y AML se suman a estos requisitos más amplios.Las normas de la UE sobre la Travel Rule también exigen determinada información sobre las transferencias de fondos y criptoactivos.Para los usuarios, esto significa que el acceso regulado a las criptomonedas en la UE depende cada vez más de la verificación de identidad, la información sobre las transferencias y la claridad del estado de autorización de la plataforma.

Normativa KYC en Estados Unidos

En Estados Unidos, muchas empresas cripto pueden estar sujetas a las obligaciones de la Bank Secrecy Act si sus actividades incluyen la transmisión de dinero u otros servicios financieros regulados.

La guía de FinCEN sobre moneda virtual convertible explica que las personas que aceptan y transmiten moneda virtual convertible pueden considerarse transmisores de dinero y tener que registrarse como empresas de servicios monetarios.

La guía de FinCEN también explica que los transmisores de dinero sujetos a estas normas deben cumplir requisitos de programas AML, conservación de registros, supervisión y comunicación.Para los usuarios cripto, esto significa que una plataforma regulada en Estados Unidos puede necesitar verificación de identidad, comprobación de sanciones, supervisión de transacciones y procedimientos para actividades sospechosas.Las normas estadounidenses también pueden interactuar con la legislación sobre valores, materias primas, impuestos, sanciones y transmisión de dinero de cada estado.Esto crea un entorno regulatorio complejo en el que las obligaciones KYC concretas dependen del servicio ofrecido, el tipo de cliente, el activo y el flujo de la transacción.

Normativa KYC en el Reino Unido

En el Reino Unido, las empresas de criptoactivos incluidas en el régimen contra el blanqueo de capitales y la financiación del terrorismo deben registrarse ante la Financial Conduct Authority.

La página de la FCA sobre el régimen AML y CTF para criptoactivos explica que las empresas que realizan actividades con criptoactivos sujetas a las Money Laundering Regulations deben registrarse.

La misma página de la FCA explica que se prevé que un nuevo régimen regulatorio británico para criptoactivos entre en vigor el 25 de octubre de 2027 si el proyecto legislativo se convierte en ley.A efectos de KYC, el marco británico ya exige que las empresas pertinentes gestionen el riesgo de delitos financieros y apliquen controles AML.Se espera que el futuro régimen incorpore más actividades con criptoactivos a un marco de autorización más amplio.Los usuarios deben entender que el registro o la autorización no eliminan los riesgos cripto.Significan que la empresa debe cumplir los requisitos regulatorios aplicables a las actividades correspondientes.

Normativa KYC en Singapur

Singapur regula los servicios de tokens de pago digitales a través de la Monetary Authority of Singapore.

La notificación PSN02 de la MAS establece requisitos AML y CFT para los proveedores de servicios de tokens de pago digitales.

Estos requisitos pueden incluir evaluación de riesgos, diligencia debida del cliente, supervisión continua, comunicación de transacciones sospechosas y conservación de registros.El enfoque de Singapur es importante porque combina licencias, controles AML, riesgo tecnológico y expectativas de protección al consumidor para la actividad con tokens de pago digitales.Para los usuarios, esto significa que el acceso regulado puede requerir comprobaciones de identidad, revisión de transferencias y supervisión de cuentas.Para las empresas cripto, significa que los controles KYC deben formar parte del marco de cumplimiento completo y no limitarse a subir un documento.

Normativa KYC en Japón

Japón regula a los proveedores de servicios de exchange de criptoactivos mediante un marco de supervisión financiera que incluye expectativas contra el blanqueo de capitales y controles operativos.

La página de leyes y normativas de la Agencia de Servicios Financieros de Japón incluye directrices de supervisión para los proveedores de servicios de exchange de criptoactivos.

El enfoque regulatorio japonés para las criptomonedas es conocido por exigir registro, medidas de protección al cliente y controles contra los delitos financieros a los proveedores de servicios pertinentes.Los requisitos KYC en Japón pueden incluir identificación del cliente, supervisión de transacciones, comunicación de transacciones sospechosas y controles alineados con los estándares AML globales.Para los usuarios, esto significa que una cuenta cripto regulada puede requerir verificación de identidad y revisión de transferencias antes de ofrecer determinados servicios.Para las empresas, significa que los controles de cumplimiento deben ajustarse tanto a la supervisión específica de las criptomonedas como a las expectativas generales contra los delitos financieros.

Normativa KYC y comprobación de sanciones

La comprobación de sanciones es una parte importante de la normativa KYC en el sector cripto.Las normas sobre sanciones restringen las relaciones con determinadas personas, entidades, países, wallets o actividades.Las plataformas cripto pueden comprobar a los clientes durante el registro y supervisarlos después de su aprobación, ya que las listas de sanciones pueden cambiar.

La guía de cumplimiento de sanciones de OFAC para el sector de las monedas virtuales describe prácticas de cumplimiento adaptadas a las empresas de monedas virtuales.

La comprobación de sanciones puede incluir nombres, países, direcciones, titulares reales, contrapartes, exposición de wallets y destinos de transacciones.Un usuario puede superar la verificación de identidad y, aun así, estar sujeto a restricciones si los fondos están relacionados con wallets sancionadas o actividades prohibidas.Los usuarios deben evitar interactuar con wallets desconocidas, plataformas sospechosas o servicios que puedan generar exposición a sanciones.

Normativa KYC y personas expuestas políticamente

Una persona expuesta políticamente es alguien que desempeña o ha desempeñado una función pública destacada, o alguien estrechamente relacionado con esa persona.La normativa KYC suele exigir una revisión adicional de las personas expuestas políticamente debido a los riesgos de corrupción, soborno, influencia o uso indebido de fondos públicos.Ser una persona expuesta políticamente no significa automáticamente que el usuario esté bloqueado.Normalmente significa que la plataforma debe aplicar una diligencia debida reforzada y una supervisión más estricta.En el sector cripto, la comprobación de PEP puede aplicarse a usuarios particulares, titulares reales, directivos, firmantes autorizados y responsables de empresas.Las plataformas deben gestionar cuidadosamente las coincidencias PEP, ya que los nombres comunes pueden generar falsos positivos.Un proceso de revisión justo comprueba si la coincidencia es real y si la actividad de la cuenta se ajusta al perfil del cliente.

Normativa KYC y KYB

KYB significa «Know Your Business» (conoce tu empresa) y es la versión de KYC para cuentas de empresas.Las empresas cripto que prestan servicios a clientes corporativos deben verificar la empresa y a las personas que la controlan.KYB puede requerir documentos de registro, licencias empresariales, registros fiscales, organigramas de titularidad, datos de los directivos, documentos de titulares reales, justificantes del domicilio empresarial y cartas de autorización.Las comprobaciones de titularidad real son importantes porque los delincuentes pueden utilizar empresas pantalla o estructuras con testaferros para ocultar quién ejerce el control.Las cuentas de empresa también pueden presentar más riesgo porque mueven importes mayores, prestan servicios a muchos usuarios finales o operan en varias jurisdicciones.Por tanto, la normativa KYC suele exigir un proceso más exhaustivo para las empresas que para los usuarios minoristas particulares.Una cuenta de empresa no debe aprobarse únicamente porque tenga un nombre corporativo y una página web.

Normativa KYC y análisis de blockchain

El análisis de blockchain suele utilizarse junto con la normativa KYC porque las transacciones cripto tienen lugar en registros públicos.Una plataforma puede verificar la identidad de un cliente y también revisar el perfil de riesgo de sus depósitos y retiradas.El análisis de blockchain puede detectar exposición a estafas, hackeos, ransomware, mercados de la darknet, wallets sancionadas, mixers de alto riesgo, fondos robados o bridges sospechosos.Esto no significa que siempre se conozca por su nombre a cada titular de una wallet.Significa que los datos públicos de blockchain pueden revelar patrones de transacción y relaciones de riesgo.KYC responde a la pregunta de quién es el cliente de la plataforma.El análisis de blockchain ayuda a responder de dónde proceden los fondos y adónde se dirigen.En conjunto, estas herramientas ayudan a las plataformas a aplicar un enfoque basado en el riesgo a la actividad con activos digitales.

Normativa KYC y wallets de autocustodia

Por lo general, no se necesita KYC para crear una dirección blockchain o mantenerla en una wallet de autocustodia.Un usuario puede generar una wallet y controlar sus claves privadas sin presentar documentos de identidad a una plataforma centralizada.Sin embargo, la normativa KYC puede seguir aplicándose cuando el usuario interactúa con servicios regulados.Un servicio de acceso a monedas fiduciarias puede exigir KYC antes de que el usuario compre criptomonedas.Una plataforma de custodia puede exigirlo antes de permitir una retirada.Una plataforma de activos tokenizados puede exigir KYC antes de permitir que una dirección de wallet reciba tokens restringidos.Una transferencia sujeta a la Travel Rule puede requerir información del beneficiario antes de procesarse.La autocustodia y el acceso regulado son capas distintas del ecosistema cripto.Los usuarios deben entender que controlar una wallet no elimina todos los requisitos de cumplimiento relacionados con los servicios de terceros.

Normativa KYC y DeFi

Las finanzas descentralizadas permiten a los usuarios interactuar con contratos inteligentes mediante wallets de autocustodia.Muchos protocolos DeFi no exigen un proceso tradicional de registro de cuentas a nivel de protocolo.Sin embargo, la normativa KYC aún puede afectar a los puntos de acceso a DeFi, los pools de activos del mundo real tokenizados, los productos DeFi institucionales, las interfaces reguladas y los mercados de liquidez con permisos.Una interfaz DeFi puede bloquear jurisdicciones restringidas o comprobar el riesgo de las wallets.Un protocolo de activos del mundo real puede permitir que solo wallets con KYC aprobado mantengan o transfieran determinados tokens.Una institución regulada puede exigir la verificación de identidad antes de permitir a sus clientes acceder a productos on-chain.Esto significa que DeFi no es una categoría jurídica única con una sola respuesta sobre KYC.El requisito KYC depende de quién opera el servicio, qué ofrece el producto, dónde se encuentran los usuarios y si la actividad está sujeta a la normativa local.

Normativa KYC y stablecoins

Las stablecoins son activos cripto diseñados para mantener su valor frente a un activo de referencia, a menudo una moneda fiduciaria.La normativa KYC puede afectar a los emisores de stablecoins, las plataformas de canje, los proveedores de pagos, los custodios y los servicios regulados que gestionan transferencias de stablecoins.Un usuario puede recibir una stablecoin en una wallet de autocustodia sin pasar por un proceso de registro tradicional.Sin embargo, el canje directo de stablecoins con un emisor o el uso de un servicio de pago regulado pueden requerir una verificación de identidad.Las stablecoins son importantes para la normativa KYC porque pueden utilizarse para trading, liquidaciones, pagos, remesas y transferencias transfronterizas de valor.Los reguladores suelen centrarse en las reservas de las stablecoins, los derechos de canje, los controles de sanciones, los sistemas AML y la supervisión de transacciones.Los usuarios deben entender que un valor estable no implica un riesgo de cumplimiento nulo.Los proveedores de servicios regulados pueden revisar, bloquear o retrasar una transferencia de stablecoins si surgen problemas de KYC o de sanciones.

Normativa KYC y activos tokenizados

Los activos tokenizados son activos o derechos tradicionales representados en redes blockchain.Algunos ejemplos son los fondos tokenizados, la exposición tokenizada a bonos del Tesoro, el crédito tokenizado, los derechos tokenizados sobre bienes inmuebles o los tokens de inversión con permisos.La normativa KYC puede ser más estricta para los activos tokenizados porque el token puede representar un producto financiero regulado o un derecho de inversión restringido.Una plataforma de activos tokenizados puede tener que comprobar la identidad, la jurisdicción, la elegibilidad del inversor, el estado de la empresa, el riesgo de sanciones y las restricciones de transferencia del usuario.Algunos activos tokenizados pueden utilizar listas de permitidos para que solo wallets aprobadas puedan mantener o transferir el token.Superar el proceso KYC no significa que el producto esté libre de riesgos.Solo significa que el usuario puede cumplir los requisitos de identidad o elegibilidad de la plataforma.Los usuarios aún deben revisar los derechos legales, las condiciones de canje, los acuerdos de custodia, el riesgo del emisor, las comisiones y la liquidez.

Privacidad y normativa KYC

La normativa KYC obliga a las plataformas a recopilar datos personales sensibles.Estos datos pueden incluir documentos de identidad, selfies, direcciones, comprobaciones biométricas, datos fiscales, registros bancarios, documentos empresariales e información sobre el origen de los fondos.Por tanto, la privacidad es una preocupación importante en el KYC cripto.Una plataforma responsable debe recopilar únicamente la información necesaria para una finalidad legal, de cumplimiento, de seguridad o de prestación del servicio claramente definida.Debe proteger los datos mediante cifrado, controles de acceso, conexiones seguras con proveedores, registros de auditoría, políticas de conservación y procesos de eliminación cuando la ley lo permita.Los usuarios solo deben presentar documentos de identidad a través de los canales oficiales de la plataforma.Deben evitar enlaces sospechosos de KYC recibidos por mensajes privados, respuestas en redes sociales, anuncios en buscadores o correos electrónicos desconocidos.

Normativa KYC y conservación de datos

La normativa KYC suele exigir que las plataformas conserven los registros de los clientes durante un periodo determinado.Los registros pueden incluir documentos de identidad, resultados de verificación, actividad de la cuenta, información sobre transferencias, evaluaciones de riesgo, resultados de comprobaciones, notas de revisión y registros de auditoría.La conservación de registros ayuda a las plataformas a responder a los reguladores, auditores, solicitudes de las fuerzas del orden, disputas con usuarios e investigaciones de actividades sospechosas.Sin embargo, conservar registros también genera riesgos de privacidad y ciberseguridad, ya que los datos de identidad pueden ser valiosos para los delincuentes.Las plataformas no deben conservar datos sensibles indefinidamente, salvo que la ley lo exija o que el riesgo lo justifique.Deben definir periodos de conservación, permisos de acceso, procedimientos de eliminación y responsabilidades de los proveedores.Los usuarios deben entender que cerrar una cuenta no siempre elimina inmediatamente todos los registros KYC, ya que las leyes contra los delitos financieros pueden exigir su conservación.

Normativa KYC y experiencia de usuario

La normativa KYC puede generar fricciones para los usuarios porque exige documentos, selfies, justificantes de domicilio y, en ocasiones, registros financieros.Una buena plataforma debe explicar qué se necesita antes de que el usuario inicie la verificación.Debe mostrar estados claros, como pendiente, aprobado, rechazado, caducado, restringido o acción requerida.Debe explicar por qué se ha rechazado un documento cuando el problema se pueda solucionar.Debe admitir los tipos de documentos habituales en las regiones en las que presta servicios.Debe proteger los datos sensibles y ofrecer canales seguros para subir documentos.Un buen diseño del proceso KYC puede reducir los rechazos erróneos, los retrasos en la asistencia y la frustración de los usuarios.Un diseño deficiente puede llevar a usuarios legítimos a abandonar el registro o exponerlos a riesgos para su privacidad.

Requisitos KYC habituales para los usuarios cripto

La mayoría de las plataformas cripto reguladas exigen el nombre legal y la fecha de nacimiento.Muchas exigen un documento de identidad expedido por una autoridad pública.Algunas solicitan un justificante de domicilio.Algunas exigen un selfie o una comprobación de vida.Algunas solicitan pruebas del origen de los fondos para conceder límites superiores o revisar actividades inusuales.Algunas requieren información sobre la ocupación, los ingresos, la finalidad de las transacciones o la residencia fiscal.Algunas exigen datos del beneficiario para determinadas transferencias cripto.Algunas requieren confirmar la titularidad de la wallet antes de permitir retiradas.Las cuentas de empresa pueden necesitar documentos corporativos, organigramas de titularidad, datos de directivos y verificación de titulares reales.Los requisitos concretos dependen de la jurisdicción, las políticas de la plataforma, el tipo de cliente y de producto, el importe de la transacción y el nivel de riesgo.

Qué no demuestra la normativa KYC

La aprobación KYC no demuestra que un token sea una buena inversión.No demuestra que una plataforma carezca de riesgo financiero.No demuestra que un contrato inteligente sea seguro.No demuestra que una stablecoin vaya a mantener siempre su valor.No protege al usuario del phishing si firma una transacción maliciosa.No significa que todas las retiradas futuras vayan a ser instantáneas.La aprobación KYC solo significa que la plataforma ha aceptado la información de identidad del usuario para un determinado nivel de acceso.Los usuarios aún deben investigar los activos, proteger sus wallets, activar la autenticación de dos factores, verificar los enlaces y evitar operar por impulso.

Señales de alerta relacionadas con la normativa KYC

Una señal de alerta importante es que una plataforma solicite la frase de recuperación durante el proceso KYC.Ningún proceso KYC legítimo necesita una frase de recuperación de wallet, una clave privada ni una frase secreta.Otra señal de alerta es recibir un mensaje privado que afirme que es urgente completar el KYC a través de un enlace aleatorio.Una tercera señal es que una plataforma solicite documentos de identidad sin ofrecer una política de privacidad clara.Una cuarta señal es un servicio que se ofrece a vender o alquilar cuentas cripto verificadas.Una quinta señal es una cuenta de asistencia que exige una comisión para aprobar el KYC o desbloquear retiradas.

La alerta de la SEC a los inversores sobre estafas con criptoactivos advierte de que los estafadores utilizan tácticas de presión, oportunidades falsas y afirmaciones engañosas para atraer a sus víctimas.

Los usuarios deben considerar los mensajes falsos de KYC como un grave riesgo de phishing.

Buenas prácticas para los usuarios cripto

Completa el KYC únicamente en el sitio web oficial o la aplicación móvil oficial de la plataforma.Comprueba cuidadosamente el nombre del dominio antes de subir documentos de identidad.Utiliza fotos nítidas de documentos válidos en las que se vean todas las esquinas.Asegúrate de que los datos de la cuenta coincidan con los del documento de identidad legal.No utilices la identidad de otra persona.No pagues a desconocidos para superar el KYC.No alquiles, vendas ni compartas una cuenta cripto verificada.Activa la autenticación de dos factores antes de mover fondos.Nunca compartas frases semilla, claves privadas, palabras de recuperación, contraseñas ni códigos de autenticación de dos factores durante el proceso KYC.Revisa las políticas de privacidad de la plataforma antes de enviar información sensible.

Buenas prácticas para las empresas cripto

Las empresas cripto deben diseñar controles KYC basados en el riesgo real y no aplicar un proceso idéntico a todos los casos.Deben identificar las jurisdicciones en las que operan, los productos que ofrecen, los tipos de clientes que registran y los flujos de transacciones que admiten.Deben aplicar la diligencia debida del cliente antes de dar acceso a servicios regulados.Deben aplicar una diligencia debida reforzada a los usuarios y las cuentas de empresa de mayor riesgo.Deben comprobar los riesgos de sanciones y de personas expuestas políticamente durante el registro y de forma continua.Deben integrar análisis de blockchain cuando admitan depósitos y retiradas de criptomonedas.Deben vincular el estado KYC con los límites, el acceso a moneda fiduciaria, los controles de retirada, KYB y los procesos de la Travel Rule.Deben proteger los datos personales mediante sólidos controles de ciberseguridad y supervisión de proveedores.Deben conservar registros de auditoría que expliquen por qué se aprobaron, rechazaron, restringieron o escalaron las cuentas.Deben formar a los equipos de asistencia para detectar estafas de KYC falsas y técnicas de ingeniería social.

El futuro de la normativa KYC en el sector cripto

La normativa KYC en el sector cripto avanza hacia regímenes de autorización más formales, una mayor aplicación de la Travel Rule, controles de sanciones más estrictos y una integración más profunda del análisis de blockchain.Los reguladores también prestan más atención a las stablecoins, los activos tokenizados, las transferencias transfronterizas, la custodia, la conducta de mercado y la protección al consumidor.La inteligencia artificial puede mejorar la verificación de identidad, la revisión de documentos, la detección de deepfakes y la supervisión del fraude.Al mismo tiempo, también puede hacer más convincentes los documentos falsos y los intentos de suplantación de identidad.Esto significa que probablemente la normativa KYC exigirá comprobaciones de vida más sólidas, gobernanza de modelos, supervisión humana y pruebas contra el fraude.La identidad digital con protección de la privacidad también puede adquirir mayor importancia.Los futuros sistemas podrían permitir a los usuarios demostrar que han superado el KYC o que cumplen una norma sin compartir documentos de identidad completos con cada aplicación.Por tanto, el KYC cripto podría evolucionar hacia un equilibrio entre cumplimiento, privacidad, credenciales vinculadas a wallets y acceso basado en el riesgo.

Malentendidos habituales sobre la normativa KYC

Un malentendido es que la normativa KYC prohíbe las wallets de autocustodia.La mayoría de las normas KYC se dirigen a los proveedores de servicios regulados, aunque las wallets de autocustodia aún pueden verse afectadas cuando sus usuarios utilizan servicios regulados.Otro malentendido es que la aprobación KYC significa que todos los productos cripto son seguros.La aprobación KYC solo confirma la verificación de identidad para un determinado nivel de acceso.Un tercer malentendido es que la normativa KYC es igual en todas partes.Las normas varían según la jurisdicción, el tipo de producto, el tipo de cliente y la actividad de transferencia.Un cuarto malentendido es que no necesitar KYC siempre significa tener privacidad completa.La actividad en blockchain puede seguir siendo pública, rastreable y vinculable a otras fuentes de datos.Un quinto malentendido es que el KYC solo es necesario al registrarse.El proceso puede continuar mediante supervisión, actualización de documentos, diligencia debida reforzada y revisión de transferencias.

Preguntas frecuentes

¿Qué es la normativa KYC?

La normativa KYC establece reglas que obligan a los proveedores de servicios cripto a identificar, verificar y supervisar a los clientes antes de permitir determinadas actividades de la cuenta.

¿Por qué exigen KYC las plataformas cripto?

Las plataformas cripto exigen KYC para reducir el fraude, cumplir las normas AML, comprobar los riesgos de sanciones, gestionar los límites de las cuentas, facilitar el acceso a moneda fiduciaria y cumplir las expectativas regulatorias.

¿Es igual la normativa KYC en todos los países?

No. La normativa KYC varía según la jurisdicción, el regulador, el tipo de cliente y producto, el importe de la transacción y la actividad de la empresa.

¿Se aplica el KYC a las wallets de autocustodia?

Por lo general, no se necesita KYC para crear una wallet básica de autocustodia, pero los servicios regulados relacionados con ella pueden exigir la verificación de identidad.

¿Qué documentos suelen necesitarse para el KYC cripto?

Entre los documentos habituales se encuentran el pasaporte, el documento nacional de identidad, el permiso de conducir, el permiso de residencia, un justificante de domicilio y un selfie; en ocasiones también se solicitan documentos sobre el origen de los fondos.

¿Qué es la Travel Rule en el sector cripto?

La Travel Rule exige que determinada información sobre el ordenante y el beneficiario acompañe a las transferencias que cumplen los requisitos entre proveedores de servicios financieros o cripto regulados.

¿Cuál es la diferencia entre KYC y KYB?

KYC verifica a clientes particulares, mientras que KYB verifica empresas, directivos, representantes autorizados y titulares reales.

¿Puede una plataforma rechazar mi KYC?

Sí. El KYC puede rechazarse por documentos caducados, imágenes borrosas, datos que no coinciden, documentos no admitidos, comprobaciones faciales fallidas, ubicaciones restringidas o cuestiones de riesgo.

¿Tener el KYC aprobado significa que mis fondos están seguros?

No. La aprobación KYC no garantiza la seguridad de las inversiones, la solvencia de la plataforma, la seguridad de los contratos inteligentes ni la protección contra estafas.

¿Puede cambiar el estado KYC después de la aprobación?

Sí. El estado puede cambiar si caducan documentos, cambia la legislación o la actividad de la cuenta, o si resulta necesaria una diligencia debida reforzada.

¿Por qué solicitan las plataformas información sobre el origen de los fondos?

Las plataformas pueden solicitarla para entender si los depósitos, las retiradas o la actividad de la cuenta se ajustan al perfil del cliente y no están relacionados con actividad sospechosa.

¿Qué no deben compartir nunca los usuarios durante el KYC?

Durante cualquier proceso KYC, los usuarios nunca deben compartir frases semilla, claves privadas, palabras de recuperación de la wallet, contraseñas ni códigos de autenticación de dos factores.

Conclusión

La normativa KYC es una parte fundamental del panorama actual de cumplimiento en el sector cripto.Obliga a muchos proveedores de servicios cripto a verificar a sus clientes, comprender los riesgos, comprobar la exposición a sanciones, supervisar la actividad y conservar registros.Estas normas ayudan a reducir el fraude, el blanqueo de capitales, la financiación del terrorismo, la evasión de sanciones, el uso indebido de cuentas y el uso inadecuado de los servicios de activos digitales.También determinan cómo acceden los usuarios a los servicios de entrada de moneda fiduciaria, las retiradas cripto, los servicios de stablecoins, los activos tokenizados, las cuentas de empresa y los límites de cuenta más elevados.La normativa KYC no es igual en todas partes, pero los estándares globales del GAFI han influido en muchos marcos nacionales y regionales.La Unión Europea, Estados Unidos, el Reino Unido, Singapur, Japón y otras jurisdicciones aplican cada uno sus propios enfoques a la identidad cripto y los controles AML.Los usuarios deben entender que la aprobación KYC es una condición de acceso, no una garantía de seguridad.Una cuenta verificada puede seguir expuesta al phishing, a pérdidas de mercado, a errores con wallets, a revisiones de retiradas o a activos de riesgo.Las empresas cripto deben tratar el KYC como un proceso continuo de gestión del riesgo, no como una casilla que se marca una sola vez al registrarse.Deben combinar la diligencia debida del cliente, KYB, la diligencia debida reforzada, los procesos de la Travel Rule, la comprobación de sanciones, el análisis de blockchain y la protección de la privacidad.La mejor forma de entender la normativa KYC es verla como el conjunto de reglas que conecta la identidad real con la participación regulada en el sector cripto.Bien diseñada, facilita un acceso más seguro, una mayor integridad del mercado y mejores controles contra los delitos financieros.Mal diseñada, puede generar riesgos para la privacidad, fricciones para los usuarios, falsos positivos y una falsa sensación de seguridad.Para cualquier persona que utilice servicios cripto, entender la normativa KYC es esencial, ya que las reglas de identidad afectan ahora a la forma de depositar, operar, retirar, transferir e interactuar con la economía de activos digitales en general.