Qué es KYC y cómo funciona la verificación del cliente

España registró 488.426 ciberdelitos en 2025, el 19,8% de toda la criminalidad del país. Casi nueve de cada diez —429.677— fueron fraudes informáticos. Las víctimas ascendieron a 383.285, un 9,3% más que el año anterior. Se esclareció el 14,6% de los hechos conocidos. Seis de cada siete casos no llegan a esclarecerse. El control que funciona es el que se aplica antes de abrir la cuenta.

En España conviven dos marcos jurídicos distintos para la identificación a distancia, y se confunden constantemente. Uno se aplica a bancos, fintech y aseguradoras. El otro, a los prestadores cualificados de servicios de confianza. Las exigencias no son las mismas, y elegir el marco equivocado deja a la entidad sin cobertura.

Qué es KYC

KYC son las siglas de Know Your Customer, «conoce a tu cliente». Designa el conjunto de procedimientos con los que una entidad comprueba quién es la persona con la que va a establecer una relación de negocio, antes de establecerla.

En España la obligación procede de la ley. El artículo 3 de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo impone la identificación formal del cliente. Con carácter previo a la relación de negocio, y comprobada «mediante documentos fehacientes».

El artículo 7 de la misma ley permite modular en función del riesgo las medidas de los artículos 4, 5 y 6 —titular real, propósito de la relación y seguimiento continuo—, pero no las del artículo 3. La identificación formal no admite enfoque basado en riesgo. Se hace siempre.

Qué incluye una verificación KYC

Una comprobación completa de identidad remota reúne cuatro elementos:

Documento. Lectura del documento de identidad y validación de su autenticidad, vigencia e integridad. Los documentos admisibles los fija el artículo 6 del Reglamento. DNI para españoles. Tarjeta de residencia, TIE o pasaporte para extranjeros. El documento oficial de identidad expedido en origen vale solo para ciudadanos de la Unión Europea o del Espacio Económico Europeo.

Biometría facial. Comparación uno a uno entre el selfie del solicitante y la fotografía del documento, para confirmar que quien presenta el documento es su titular.

Prueba de vida. Comprobación de que ante la cámara hay una persona real y no una fotografía, un vídeo reproducido en pantalla, una máscara o un deepfake.

Listas. Cotejo contra listas de sanciones y contramedidas financieras internacionales, de aplicación obligatoria por el artículo 42 de la Ley 10/2010, y contra listas de personas con responsabilidad pública. La propia autorización del SEPBLAC lo exige con carácter previo a la ejecución de cualquier operación.

A esto se añade una obligación que suele olvidarse en los presupuestos: el artículo 25 obliga a conservar la documentación durante diez años. Transcurridos cinco, el acceso queda restringido a los órganos de control interno.

KYC, AML y eKYC: tres términos que se mezclan

La relación es de contención: el eKYC es una forma de hacer KYC, y el KYC es una parte del AML. Una entidad puede tener un eKYC impecable y aun así incumplir la Ley 10/2010 si carece de examen externo o de reporte de operaciones sospechosas.

Los dos marcos de la identificación no presencial

Aquí está la distinción que la mayoría de los materiales del sector pasa por alto.

Marco 1: sujetos obligados

Para bancos, fintech, aseguradoras y proveedores de criptoactivos la puerta de entrada es el artículo 21 del Real Decreto 304/2014. Enumera las circunstancias que permiten establecer una relación no presencial. La relevante es la letra d) del apartado 1:

«La identidad del cliente quede acreditada mediante el empleo de otros procedimientos seguros de identificación de clientes en operaciones no presenciales, siempre que tales procedimientos hayan sido previamente autorizados por el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias»

El mismo apartado añade una obligación que a menudo se pasa por alto en el diseño del flujo: en el plazo de un mes desde el establecimiento de la relación no presencial, la entidad debe obtener del cliente copia de los documentos necesarios para la diligencia debida.

Sobre esa base el SEPBLAC dictó dos autorizaciones que siguen vigentes. La de identificación no presencial mediante videoconferencia, con efectos desde el 1 de marzo de 2016. Y la de vídeo-identificación no asistida, firmada el 11 de mayo de 2017 y efectiva desde el 1 de junio de 2017.

Sus requisitos son concretos y verificables. La autorización de 2017 exige:

• que el proceso se realice desde un único dispositivo;

• que imagen y sonido se transmitan «sin alteración y en directo ("streaming")», con grabación inmediata;

• que «no será admisible el uso de archivos pregrabados por el cliente u otras personas ajenas al sujeto obligado»;

• que cada grabación sea «específica e individualmente revisada» antes de ejecutar cualquier operación;

• que se obtenga una fotografía del anverso y reverso del documento, «no reputándose válida a estos efectos la mera captura de fotogramas» del proceso;

• que el procedimiento se documente y se testee antes de implantarlo: «No se procederá a la implantación efectiva del procedimiento si los resultados de las pruebas no acreditan su eficacia».

Dos precisiones prácticas. La ejecución puede externalizarse, pero el sujeto obligado mantiene «la plena responsabilidad». Y el SEPBLAC autoriza el tipo de procedimiento, no a proveedores concretos: los procedimientos específicos «no estarán sujetos a nueva autorización». Un proveedor que afirme estar «aprobado por el SEPBLAC» describe mal la norma.

Marco 2: prestadores cualificados

La Orden ETD/465/2021, que regula los métodos de identificación remota por vídeo, es más exigente en lo técnico y no se aplica a los sujetos obligados. Su artículo 2 delimita el ámbito a «los prestadores cualificados públicos y privados de servicios electrónicos de confianza establecidos en España», es decir, a la emisión de certificados electrónicos cualificados.

Esta orden sí regula la prueba de vida. Su artículo 11.4 exige detectar manipulaciones «garantizándose su prueba de vida», con un código único, aleatorio, impredecible y de un solo uso de al menos seis caracteres enviado al dispositivo del solicitante, y, en la modalidad asistida, interacciones físicas conforme a un protocolo con acciones tanto comunes como aleatorias. También impone conservación de quince años y una evaluación de conformidad previa ante el órgano de supervisión, con silencio negativo a los seis meses.

Confundir los dos marcos tiene consecuencias en ambos sentidos. Una entidad financiera que se apoye en la Orden ETD/465/2021 no cumple por ello el artículo 21 del Reglamento. Un proveedor que invoque las autorizaciones del SEPBLAC no acredita nada sobre certificados cualificados.

De dónde procede realmente la obligación de prueba de vida

Un dato que cambia la conversación con los proveedores: la autorización de vídeo-identificación no asistida —la que ampara los flujos automatizados que hoy vende el sector— no menciona la prueba de vida. Ni «vida», ni «biometría», ni «reconocimiento facial» aparecen en su texto. Ni una sola vez.

La obligación existe, pero llega por otra vía. Las Directrices de la EBA sobre el uso de soluciones de incorporación remota de clientes (EBA/GL/2022/15), aplicables desde el 2 de octubre de 2023 a todas las entidades de crédito y financieras del ámbito AML, establecen en su apartado 41 que, cuando la solución sea unattended —sin interacción con un empleado—, la entidad debe:

«perform liveness detection verifications, which may include procedures where a specific action from the customer is required to verify that he/she is present in the communication session or which can be based on the analysis of the received data and does not require a specific action by the customer»

La redacción admite expresamente ambas modalidades: activa, con una acción solicitada al usuario, y pasiva, basada en el análisis de los datos recibidos sin pedir nada. Las mismas directrices exigen verificar los elementos de seguridad del documento, cotejarlo contra la base PRADO y comprobar que no ha sido «displayed on a screen».

Qué encuentra el supervisor cuando inspecciona

El SEPBLAC publica cada año lo que ha visto en sus inspecciones. Su Memoria de Actividades 2024 señala el alta a distancia como problema recurrente en el sector financiero:

«No todos emplean el sistema de video conferencia o video grabación para la identificación, o se emplea sin cumplir los requisitos que exige el Sepblac, lo que genera un riesgo alto de suplantación de identidad».

Y añade la consecuencia concreta para las entidades de crédito: cuando las altas a distancia se hacen sin controles suficientes, «aumenta el número de "cuentas mula" que canalizan fondos de origen ilícito».

El supervisor matiza dónde está y dónde no está el problema. La identificación formal, dice, no suele ser problemática: la documentación mínima está, aunque con frecuencia sin actualizar. Las debilidades aparecen en el seguimiento continuo de la relación y en los sistemas de alerta.

Dos cifras del mismo informe sitúan el contexto. Las comunicaciones por indicio analizadas pasaron de 13.854 en 2023 a 24.320 en 2024. Un 76% más en un año. Solo los sujetos obligados financieros aportaron 20.924 de ellas. Las inspecciones a sujetos obligados realizadas ese mismo año fueron 25, dieciocho de ellas a entidades financieras. La supervisión no se agota ahí: el SEPBLAC contabiliza además 353 actuaciones supervisoras, en su mayoría cuestionarios anuales de información estructurada.

La lectura para una entidad es doble. La probabilidad de recibir una inspección presencial en un año dado es baja. La de tener que responder por escrito sobre sus procedimientos, alta. Y a partir del 1 de julio de 2027 la AMLA inicia el primer proceso de selección de entidades para supervisión directa, que concluye en seis meses.

Por qué la prueba de vida ya no basta por sí sola

En febrero de 2026 la Dirección General de Política Estratégica y Asuntos Internacionales publicó las conclusiones de las pruebas del proyecto DIDIT en el sandbox financiero regulado por la Ley 7/2020. El enfoque de los ensayos —falsificar documentos con una impresora de tarjetas y comprar máscaras hiperrealistas para darse de alta en entidades reales— se acordó con el SEPBLAC. Las pruebas se ejecutaron en abril y mayo de 2025. El documento contiene una frase que ninguna entidad debería pasar por alto:

«Con un DNI impreso con una foto falsa (Deep-fake) un atacante puede superar muchos de los procesos de identificación digital, incluso el procedimiento de video-identificación que incluye prueba de vida, mostrar el anverso y el reverso del DNI mientras se graba al potencial cliente o la verificación manual si es necesario».

En las pruebas, «el flujo NFC fue el único que bloqueó la suplantación, sin intervención humana». La combinación que el informe recomienda es lectura del chip más prueba de vida activa, no una sola de las dos. La máscara hiperrealista sí fue rechazada por la prueba de vida.

Conviene saber quién hizo las pruebas: el promotor del proyecto en el sandbox es una empresa privada que vende verificación con NFC. El hallazgo está documentado ante un supervisor, pero no es un ensayo neutral.

La lectura correcta no es que la prueba de vida sea inútil, sino que protege contra un tipo de ataque —la presentación de un artefacto ante la cámara— y no contra otro: un documento físico auténtico en su soporte pero con fotografía generada. Son controles distintos y se acumulan.

Qué cambia en 2027

El paquete europeo antiblanqueo aprobado en 2024 fija un calendario que conviene tener presente al firmar contratos plurianuales:

Lo relevante para la verificación de identidad está en el artículo 22.6 del AMLR, que admite dos vías para comprobar la identidad: la presentación de un documento de identidad o pasaporte, o «el uso de medios de identificación electrónica, siempre que cumplan los requisitos del Reglamento (UE) n.º 910/2014 en lo que respecta a los niveles de seguridad "sustancial" o "elevado", y de servicios de confianza cualificados según se establece en dicho Reglamento».

En paralelo, España ya tiene una obligación vencida y más inmediata. El Real Decreto 255/2025 regula la versión digital del DNI, que «tendrá la misma eficacia jurídica a efectos de identificación». Dio a las entidades públicas y privadas doce meses para adoptar las medidas necesarias para su funcionamiento. El plazo venció el 2 de abril de 2026.

Errores frecuentes en la documentación del sector

Tres imprecisiones circulan con insistencia y conviene no reproducirlas.

La primera es citar una inexistente «Ley 10/2020». La norma de prevención del blanqueo es la Ley 10/2010, modificada de forma sustancial por el Real Decreto-ley 7/2021.

La segunda afecta a las sanciones. Se atribuye con frecuencia una multa máxima de diez millones de euros al incumplimiento de la identificación. Según el texto consolidado, el fallo en la identificación formal del artículo 3 constituye infracción grave (artículo 52.1.a). Las infracciones graves se sancionan conforme al artículo 57: mínimo 60.000 euros y máximo el mayor de estos importes —el 10% del volumen de negocio anual, el tanto del contenido económico de la operación más un 50%, el triplo del beneficio obtenido o cinco millones de euros. Los diez millones corresponden al artículo 56, reservado a las infracciones muy graves. Es una diferencia de cinco millones.

Conviene añadir quién decide. Los expedientes sancionadores los resuelve la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias, con el SEPBLAC como órgano de apoyo. Los requerimientos y sanciones se publican en la web del Tesoro Público.

La tercera es tratar la Orden ETD/465/2021 como norma AML. No lo es.

Qué mirar en una solución de verificación

Traducido a preguntas concretas para un proveedor:

1. ¿La solución permite cumplir los requisitos operativos de las autorizaciones del SEPBLAC: dispositivo único, streaming sin pregrabación, revisión individual de cada grabación, fotografía independiente del documento?

2. ¿La detección de vida es activa, pasiva o ambas? Ambas están admitidas por el apartado 41 de EBA/GL/2022/15.

3. ¿Se comprueban los elementos de seguridad del documento y se detecta la recaptura de pantalla?

4. ¿Hay lectura NFC del chip para los documentos que lo incorporan?

5. ¿La arquitectura de conservación soporta los diez años del artículo 25?

6. ¿Está previsto el soporte de medios de identificación electrónica de nivel sustancial o elevado, de cara al artículo 22.6 del AMLR?

Cómo lo resuelve Biometric.Vision

Nuestra plataforma cubre los cuatro elementos descritos al principio. Cada módulo se invoca por API y devuelve un veredicto: aprobado o rechazado.

Liveness Core realiza la verificación pasiva en menos de un segundo con una precisión declarada del 99,1%: el usuario solo mira a la cámara, sin movimientos de cabeza. Existe además un modo activo que solicita girar la cabeza, parpadear y sonreír, para los escenarios que requieren interacción explícita. El producto distingue cuatro clases de ataque: deepfakes generativos, inyecciones en el flujo de vídeo mediante emuladores o cámaras virtuales, máscaras de silicona y 3D, y reproducciones en pantalla o papel.

La comparación de rostros 1:1 coteja el selfie con la fotografía del documento sobre 512 puntos biométricos, con umbral de similitud configurable.

La verificación de documentos analiza más de 433 tipos de documentos en 1,2 segundos. Comprueba la geometría del retrato, las fuentes, la microestructura de los caracteres, las sumas de verificación de la MRZ y las señales de recaptura.

El cribado AML comprueba listas de sanciones y PEP en la misma solicitud.

Para los requisitos de conservación y territorialidad del dato existe despliegue on-premise: los selfies, las fotografías de documentos y las plantillas biométricas permanecen en el perímetro de la entidad.

Una precisión honesta sobre las cifras: el dato de bloqueo del 99,9% de ataques biométricos que figura en nuestra web procede de pruebas internas sobre más de 10.000 ataques, no de una evaluación de laboratorio independiente. Al comparar proveedores, exija en todos los casos la metodología, el conjunto de ataques y el punto de operación —no un porcentaje suelto.

Preguntas frecuentes

¿Es obligatorio el KYC en España?
Sí, para los sujetos obligados del artículo 2 de la Ley 10/2010. La identificación formal del artículo 3 debe practicarse siempre y no admite modulación por riesgo.

¿Es legal abrir una cuenta sin presencia física?
Sí, siempre que concurra alguna de las circunstancias del artículo 21 del Real Decreto 304/2014, entre ellas los procedimientos autorizados por el SEPBLAC.

¿Necesito autorización del SEPBLAC para mi procedimiento de vídeo-identificación?
No. Las autorizaciones de 2016 y 2017 amparan el tipo de procedimiento; los procedimientos específicos «no estarán sujetos a nueva autorización», aunque el SEPBLAC puede controlarlos conforme al artículo 47 de la Ley 10/2010.

¿Cuánto tiempo hay que conservar la documentación?
Diez años, según el artículo 25 de la Ley 10/2010.

¿Qué diferencia hay entre KYC y AML?
El AML es el programa completo de prevención del blanqueo. El KYC es la parte dedicada a conocer al cliente.

Ver Liveness Core y solicitar una demostración.