En resumen: En España, el KYC en 2026 gira en torno a la calidad del expediente: las empresas deben mostrar exactamente cómo identificaron al cliente, comprobaron la titularidad real, gestionaron la incorporación remota y verificaron a las contrapartes cripto bajo las reglas posteriores a MiCA.
Al mismo tiempo, los puntos débiles son los datos de titularidad obsoletos, las comprobaciones de estado poco claras y los registros de clientes que dejan de tener sentido una vez que la relación avanza más allá de la incorporación.
La Ley 10/2010 y el Real Decreto 304/2014 aún pueden regir el KYC español, pero los expedientes de clientes ahora se están evaluando frente a una combinación más estricta de escrutinio supervisor, datos centrales de titularidad real, la fase transitoria de MiCA, los primeros trabajos técnicos que salen de AMLA y las nuevas reglas españolas sobre el DNI digital para uso en el sector privado.
En este artículo, desglosamos el estado actual del cumplimiento KYC en España y damos consejos prácticos para las empresas que operan en ese país. Nos centraremos principalmente en las partes que probablemente afecten la incorporación, la revisión periódica, el monitoreo de cuentas y la calidad del reporte en 2026.
¡Descargo de responsabilidad! El contenido proporcionado en esta publicación del blog es solo para fines informativos y no constituye asesoramiento legal ni una opinión legal.
Reciba publicaciones como esta en su bandeja de entrada con el resumen quincenal del blog de Regula
Construir un expediente de cliente: Ley 10/2010 y Real Decreto 304/2014
La Ley 10/2010 se aplica a entidades de crédito, entidades de pago y dinero electrónico, ciertos proveedores de servicios cripto, abogados en determinadas transacciones, empresas inmobiliarias, operadores de juegos de azar, auditores, asesores fiscales, comerciantes de bienes de alto valor y otras empresas no financieras.
La Ley 10/2010 establece las obligaciones principales, mientras que el Real Decreto 304/2014 desarrolla cómo funcionan esas obligaciones en la práctica, especialmente en áreas como la incorporación no presencial y los controles internos.
Según la ley, las empresas deben cumplir cuatro obligaciones KYC principales:
-
identificar al cliente;
-
identificar y verificar al titular real;
-
recopilar información suficiente sobre el propósito y la naturaleza prevista de la relación;
-
mantener la relación y sus transacciones bajo revisión a lo largo del tiempo.
Aunque hay poca novedad en estas acciones, vale la pena señalar que los resultados de estas acciones deben formar un solo expediente de cliente, en lugar de registros desconectados mantenidos por distintos equipos.
De este modo, el expediente del cliente puede considerarse deficiente si al menos una de las medidas no se aplicó correctamente:
-
si la incorporación recopiló buenos datos de ID, pero las notas de monitoreo son débiles
-
si las alertas de transacciones son sólidas, pero los datos de titularidad real están obsoletos
-
si se presenta un reporte de operación sospechosa (STR) a tiempo, pero las notas de revisión especial no explican por qué la actividad parecía sospechosa
Un contexto como la incorporación remota hace que esto sea especialmente relevante. El Real Decreto 304/2014 establece las vías permitidas para la identificación no presencial, incluidos los métodos de firma electrónica, una copia notarial del documento de identidad, un primer pago desde una cuenta a nombre del cliente en una institución cualificada, u otro procedimiento seguro previamente autorizado por Sepblac, el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias. En el plazo de un mes, la empresa también debe obtener los documentos necesarios para la debida diligencia.
En la práctica, la pregunta clave no es qué tan pulido se ve el flujo del cliente en pantalla, sino si la empresa puede recuperar posteriormente evidencia clara de qué se comprobó, qué resultado se alcanzó y por qué se aceptó al cliente. Un buen expediente español de identificación remota debería permitir que un revisor averigüe:
- qué se comprobó exactamente;
- qué resultado alcanzaron el sistema y el analista;
- qué ocurrió cuando el caso salió de la ruta normal.
Resumen práctico
-
Construya el expediente de cliente español como un solo registro, no como tareas separadas de incorporación, monitoreo y revisión.
-
Trate la identificación remota como un asunto de evidencia.
-
Revise de nuevo las obligaciones de gobernanza sobre la persona de contacto, el comité interno, la revisión externa, la capacitación y los recursos técnicos.
Abordar la titularidad real: Real Decreto 609/2023
El Real Decreto 609/2023 creó el Registro Central de Titularidades Reales y dio a España un único registro central para datos actuales de titularidad real.
Está en funcionamiento desde el 19 de septiembre de 2023, y los sujetos obligados bajo la Ley 10/2010 pueden acceder a datos actuales, certificados y extractos para comprobaciones de titulares reales. El decreto también modificó el artículo 9.6 del reglamento AML para que las empresas deban consultar el registro central para identificar y comprobar al titular real, aunque todavía pueden usar otras fuentes fiables cuando corresponda.
Este cambio es la razón por la que las empresas no pueden quedarse solo con recopilar un organigrama accionarial, una declaración y un conjunto de documentos corporativos. Ahora el expediente debería mostrar:
-
qué declaró el cliente sobre la titularidad y el control;
-
qué mostraba el registro central el día de la revisión;
-
qué hizo el analista si las dos versiones no coincidían.
El lado del mantenimiento también es ahora más estricto: el decreto indica que los cambios en la titularidad real deben actualizarse dentro de diez días una vez que los responsables tengan conocimiento del cambio.
Para las entidades que no reportan a través del Registro Mercantil u otro registro sectorial, la actualización se realiza mediante presentación electrónica al registro central. Eso convierte la titularidad real en un dato vivo, con consecuencias evidentes para la revisión periódica. Un expediente corporativo que no se haya actualizado después de un cambio de control, cambio de director o reestructuración del grupo puede volverse poco fiable mucho más rápido de lo que los equipos suponen.
Resumen práctico
- Incluya el registro central de titularidad real dentro del flujo estándar de incorporación corporativa.
- Guarde evidencia del resultado del registro en la fecha de revisión.
- Cree una regla escrita para gestionar discrepancias.
- Añada la vigencia de la titularidad a la revisión periódica, especialmente después de cambios de control o actividad.
Refinar AML y CFT: Reglamento (UE) 2024/1624 y Directiva (UE) 2024/1640
El paquete AML de la UE adoptado en 2024 suele comentarse como un evento futuro porque el nuevo Reglamento AML se aplicará a partir del 10 de julio de 2027. Sin embargo, el nuevo paquete ya ha empezado a afectar la forma en que las empresas deberían pensar sobre los expedientes de clientes, las estructuras de cuentas, las transacciones vinculadas y las expectativas supervisoras.
EUR-Lex describe el Reglamento (UE) 2024/1624 como el nuevo conjunto de reglas para obligaciones AML/CFT, mientras que la Directiva (UE) 2024/1640 reformula la parte institucional. AMLA ya ha comenzado su trabajo técnico, y en febrero de 2026 abrió consultas sobre borradores de estándares para la debida diligencia del cliente y para la identificación de relaciones de negocio, transacciones ocasionales y transacciones vinculadas.
Una señal pequeña pero reveladora del cambio en España llegó en enero de 2025: Sepblac actualizó los reportes requeridos al Registro de Cuentas Bancarias para múltiples códigos IBAN vinculados a una misma cuenta debido al artículo 16 de la Directiva (UE) 2024/1640 sobre IBAN virtuales.
Así que, si su empresa usa identificadores de cuenta por capas, IBAN virtuales o estructuras de embedded finance, la calidad del expediente de cliente ahora depende en parte de qué tan claramente se registren esas relaciones.
España también está ofreciendo a las empresas material oficial actual para ajustar el riesgo. La actualización de Sepblac de 2024 de la Evaluación Nacional de Riesgos actualizó amenazas, vulnerabilidades y riesgos sectoriales nacionales que habían aparecido desde el informe anterior.
Los catálogos actuales de indicadores de riesgo del Tesoro, publicados en 2025 y aún vigentes en 2026, cubren entidades de crédito, entidades de pago y dinero electrónico, bienes raíces, juegos de azar, seguros, valores, profesionales, arte y joyería, y están acompañados por tipologías de blanqueo agrupadas por delito precedente. Para un equipo de cumplimiento, este es ahora el material fuente más actual para prompts de incorporación, escenarios de alerta y listas de verificación de revisión.
Resumen práctico
-
Compare su modelo de datos de clientes y cuentas con el paquete AML de la UE de 2024 ahora, no en 2027.
-
Revise cómo sus sistemas registran IBAN virtuales, transacciones vinculadas y transacciones ocasionales.
-
Use la actualización de 2024 de la Evaluación Nacional de Riesgos y los catálogos de riesgo de 2025 para reajustar los prompts de incorporación y la lógica de alertas.
-
Mantenga una lista interna para los cambios que ya están vigentes en España y otra para los borradores de estándares técnicos de la UE que aún están bajo consulta.
Endurecer el control sobre cripto: Reglamento (UE) 2023/1114 (MiCA)
El panorama cripto de España ha estado cambiando rápidamente desde que se introdujo MiCA: a partir del 1 de julio de 2026, solo podrán operar los proveedores autorizados por la CNMV u otra autoridad europea. La CNMV también ha publicado criterios y preguntas frecuentes recientes sobre el periodo transitorio, enfatizando que las empresas que planean solicitar autorización deberían hacerlo con suficiente antelación.
Ahora, la página de registro del Banco de España indica que el antiguo registro para proveedores de cambio de moneda virtual y custodia de monederos fue suprimido el 30 de diciembre de 2024 y se mantiene solo con fines informativos para registros realizados antes de esa fecha que puedan acogerse al régimen transitorio de MiCA.
Esto significa que una entrada heredada del Banco de España ya no es una respuesta completa a todas las preguntas requeridas, como:
- ¿Está registrado este proveedor?
- ¿Quién es la autoridad competente?
- ¿Cuál es la base legal actual para operar?
- Si la empresa está usando un periodo transitorio, ¿cuándo vence esa base?
Este es uno de los rincones más interesantes de los requisitos KYC en España porque la documentación puede parecer engañosamente completa. Un expediente puede contener un registro antiguo, documentos de la empresa y una captura de pantalla reciente, pero aun así omitir el punto que ahora más importa: el estado actual bajo MiCA. Para la debida diligencia de terceros, muchas plantillas antiguas necesitan reescribirse.
Resumen práctico
-
No trate una entrada histórica del Banco de España como una comprobación de estado completa.
-
Registre la autoridad competente, la base legal y la fecha del estado en cada expediente de proveedor cripto.
-
Añada una fecha de vencimiento cuando el expediente dependa de un estado transitorio.
-
Revise de nuevo a los socios cripto existentes antes del 1 de julio de 2026 si el expediente no se ha actualizado desde que MiCA entró en vigor.
Apoyar el ID digital: Real Decreto 255/2025 y Reglamento (UE) 2024/1183
El Real Decreto 255/2025 otorga a la versión digital del documento nacional de identidad español (DNI) el mismo valor legal para identificación que la tarjeta física, y establece que las entidades públicas y privadas deben adoptar las medidas necesarias para su correcto funcionamiento dentro de los doce meses posteriores a la entrada en vigor del decreto.
A nivel de la UE, el Reglamento (UE) 2024/1183 modifica eIDAS y establece el Marco Europeo de Identidad Digital, incluidas las carteras europeas de identidad digital destinadas a usarse tanto en servicios públicos como privados.
Esto no significa que la captura de documentos esté a punto de desaparecer del KYC español. Las empresas seguirán necesitando un registro sólido del propósito del cliente, la titularidad real, la actividad esperada y el comportamiento transaccional.
Lo que puede cambiar pronto es el tipo de evidencia de identidad que los clientes traen al flujo. El DNI digital y el marco de identidad más amplio de la UE empujan la incorporación remota hacia evidencia de identidad electrónica más sólida, registros de auditoría más claros y una recuperación más limpia posteriormente cuando se reabra un expediente.
Aquí también hay un punto simple de experiencia del cliente: cuando la evidencia de identidad es más fuerte desde el inicio, la revisión posterior puede volverse menos repetitiva. Eso puede reducir seguimientos innecesarios cuando el cliente ya proporcionó una fuente de identidad autorizada que la empresa puede recuperar y verificar de nuevo durante la revisión.
Los borradores de estándares de debida diligencia del cliente de AMLA también apuntan en esa misma dirección al trabajar sobre qué información y documentos deberían recopilar las empresas y cómo los atributos de identificación electrónica pueden encajar en comprobaciones basadas en riesgo.
Resumen práctico
-
Revise si su flujo de incorporación en España puede gestionar evidencia de identidad electrónica más sólida a medida que esté disponible.
-
Mantenga registros de auditoría en un formato que vincule el evento de identidad con el expediente más amplio del cliente.
-
Coloque la configuración de identificación remota, la conservación de evidencias y la redacción de políticas en un solo registro controlado.
-
Planifique un periodo mixto en el que IDs físicos (como las tarjetas de identidad españolas), el uso del DNI digital y el uso más amplio de carteras de la UE puedan aparecer todos en la misma base de clientes.
Cumplir con los requisitos de KYC en España
En 2026, España espera que las empresas demuestren que la admisión de clientes, las comprobaciones de titularidad real, el monitoreo de cuentas y los reportes sospechosos pertenecen a un único expediente que aún tenga sentido cuando otro equipo, un experto externo o un supervisor lo lea más adelante.
Para los equipos que quieren expedientes más sólidos, la tecnología útil es aquella que ayuda a verificar documentos de identidad, comparar un rostro vivo con la foto del titular, leer datos del chip cuando estén disponibles y preservar evidencia que aún pueda revisarse años después. Aquí es donde la Plataforma de IDV de Regula puede intervenir: es un marco integral para verificación de identidad y gestión del ciclo de vida del usuario, con orquestación flexible y flujos de trabajo configurables que pueden adaptarse a todas las necesidades de cumplimiento KYC.
Reúne capacidades muy relevantes para el KYC en España, entre ellas:
- flujos de trabajo configurables de KYC e incorporación;
- screening automatizado AML y PEP, así como listas de vigilancia personalizadas;
- verificación documental y biométrica, respaldada por una amplia base de datos de plantillas de documentos, comprobación de los rostros y prueba de vida;
- gestión estructurada de datos de usuarios y evidencia lista para auditoría para monitoreo continuo;
- integración con stacks tecnológicos existentes mediante conectores flexibles.
¿Necesita mantener el cumplimiento KYC en España? El equipo de Regula puede ayudarle.
