AMLR y AMLA: Anti-Blanqueo Europa y Cómo Cambia el KYC en España

El 31 de mayo de 2024 el Parlamento Europeo y el Consejo adoptaron tres normas simultáneas que reforman integralmente el régimen anti-blanqueo (AML) y de prevención de la financiación del terrorismo (CFT) en la Unión Europea. Se publicaron en el DOUE el 19 de junio de 2024.

1. Reglamento (UE) 2024/1624 — AMLR ("AML Regulation" o "Single Rulebook"). Es el cuerpo central del paquete. De aplicación directa en todos los Estados miembros, sin transposición. Armoniza definiciones, obligaciones del KYC, ámbito de sujetos obligados, identificación de beneficiarios efectivos, régimen de PEPs, sanciones financieras y reporting. Entra en aplicación el 10 de julio de 2027.

2. Directiva (UE) 2024/1640 — AMLD6 (Sexta Directiva). Complementa el AMLR con aspectos institucionales que requieren transposición nacional: organización de las Unidades de Inteligencia Financiera (UIFs), supervisión nacional, intercambio de información entre autoridades, registro centralizado de beneficiarios efectivos. Plazo de transposición en España: 10 de julio de 2027.

3. Reglamento (UE) 2024/1620 — Creación de AMLA. Crea la Autoridad Europea Anti-Blanqueo (AMLA — Anti-Money Laundering Authority) con sede en Frankfurt am Main, Alemania. Es la primera autoridad supervisora europea específica en materia de blanqueo. Operativa desde el 1 de julio de 2025; supervisión directa efectiva en 2028.

Es la sexta generación de normas AML/CFT europeas (las anteriores son AMLD1 a AMLD5, todas directivas). El cambio cualitativo es el paso de un sistema basado en directivas dispersas a un Reglamento único armonizado + una autoridad supervisora europea.

La Autoridad Europea Anti-Blanqueo (AMLA) es el actor institucional más novedoso del paquete. Tras una competición entre nueve ciudades candidatas, el Consejo y el Parlamento decidieron en febrero de 2024 su sede en Frankfurt am Main, junto a las del BCE y la EIOPA, consolidando Frankfurt como capital regulatoria financiera de la UE.

AMLA quedó constituida formalmente el 26 de junio de 2024 y empezó a operar el 1 de julio de 2025. Está en fase de constitución plena: selección de personal directivo, definición de procedimientos, designación de las entidades sujetas a supervisión directa. Supervisión efectiva: a partir de 2028.

Las funciones de AMLA son:

Supervisión directa de un grupo selecto de 40 a 200 entidades financieras de mayor riesgo o transfronterizas. Los criterios para la selección incluyen: presencia en múltiples Estados miembros, volumen de negocio transfronterizo, exposición a sectores o jurisdicciones de alto riesgo, naturaleza de los servicios prestados. La lista final se publicará tras el primer ejercicio de evaluación (previsto 2026-2027).

Supervisión indirecta del resto de entidades, vía los supervisores nacionales. AMLA coordina, evalúa la calidad de la supervisión nacional, puede emitir guías vinculantes y, en casos extremos, asumir la supervisión directa de una entidad concreta si considera que el supervisor nacional no actúa adecuadamente.

Coordinación de UIFs (Unidades de Inteligencia Financiera). En España, la UIF es el SEPBLAC. AMLA facilita el intercambio de información entre UIFs nacionales y coordina la respuesta a flujos transfronterizos sospechosos.

Capacidad sancionadora. Para las entidades bajo supervisión directa, AMLA puede imponer sanciones de hasta el 10 % del volumen anual mundial en infracciones muy graves, similar al GDPR.

El AMLR establece un límite máximo armonizado UE para pagos en efectivo en operaciones comerciales: 10.000 €. A partir del 10 de julio de 2027, ningún Estado miembro podrá superar este tope.

Los Estados miembros pueden fijar límites más bajos en función de sus circunstancias nacionales. España ya tiene un régimen más estricto: la Ley 7/2012, de 29 de octubre, de modificación de la normativa tributaria y presupuestaria limita los pagos en efectivo entre empresarios y profesionales y particulares a 1.000 € (anteriormente 2.500 €, reducido en 2021). Para particulares no profesionales el límite era 10.000 € (alineado con AMLR).

Este límite no aplica a operaciones entre particulares no profesionales (compraventa entre amigos, regalos, etc.) ni a operaciones que no se realicen en territorio español si el ordenante no reside en España.

Las operaciones que superen los límites deben hacerse por medios trazables (transferencia, tarjeta, cheque nominativo). Incumplir es infracción tributaria y de prevención del blanqueo: sanción del 25 % del importe pagado en efectivo, con responsabilidad solidaria del pagador y el receptor.

Conexión con otras normas del cluster: las transferencias SEPA Instant son ahora gratuitas y disponibles 24/7, eliminando la principal excusa para pagar en efectivo. Además, la EUDI Wallet permitirá pagos verificados con identificación robusta, complementando la trazabilidad.

El AMLR amplía y armoniza la lista de "sujetos obligados" (entidades que deben cumplir las obligaciones AML). En España ya estaban listados en el artículo 2 de la Ley 10/2010; el AMLR mantiene la mayoría y añade nuevos sectores.

Sector financiero (sin cambios estructurales): entidades de crédito (bancos, cajas, cooperativas), establecimientos financieros de crédito (EFC), entidades de pago, entidades de dinero electrónico, aseguradoras, empresas de servicios de inversión, gestoras de fondos.

Sectores ampliados o nuevos:

Proveedores de servicios de criptoactivos (CASPs) autorizados bajo MiCA. La inclusión plena de los CASPs es una de las novedades más importantes del AMLR. Hasta ahora solo estaban parcialmente regulados; con AMLR son plenos sujetos obligados con todas las exigencias de KYC, beneficiarios efectivos, reporting de operaciones sospechosas, etc.

Plataformas de financiación participativa (crowdfunding) autorizadas bajo el Reglamento (UE) 2020/1503. Antes solo algunas modalidades estaban sujetas; ahora todas.

Comerciantes y agentes de fútbol profesional y los clubes de fútbol profesionales en operaciones que superen umbrales (€). Inclusión motivada por el uso documentado del fútbol como canal de blanqueo en algunas jurisdicciones.

Operadores de bienes de lujo: joyería y orfebrería >10.000 €, vehículos de motor >250.000 €, aeronaves, yates >7.500.000 €. También operadores de obras de arte que ya estaban incluidos.

Profesionales (mantenidos): abogados, notarios, contables, auditores, asesores fiscales, agentes inmobiliarios, casinos. En su actividad relevante AML (operaciones financieras o inmobiliarias).

El AMLR refuerza significativamente las obligaciones de Know Your Customer (KYC).

Identificación inicial del cliente. Para operaciones ocasionales: identificación obligatoria desde 1.000 € (mantenido). Para relaciones de negocio (apertura de cuenta, préstamo): identificación robusta desde el primer euro. Para microcréditos online: las financieras deben cumplir desde la primera solicitud, no esperar a importes significativos.

La verificación de la identidad debe realizarse con documentos oficiales (DNI, NIE, pasaporte) y, opcionalmente, vía videoidentificación cualificada o futura EUDI Wallet. La wallet europea agiliza enormemente este paso desde 2027.

Identificación de beneficiarios efectivos (BE). Cuando el cliente es una persona jurídica, hay que identificar a quien directa o indirectamente posee al menos el 25 % del capital o derechos de voto, o quien controla por otros medios. Para sectores de alto riesgo, el umbral puede bajar al 15 % o 10 %. Si no se puede identificar, debe identificarse al directivo principal.

El AMLD6 obliga a los Estados miembros a mantener registros centralizados de beneficiarios efectivos con interconexión a nivel UE. En España, el Registro Central de Titularidades Reales (RCTR) ya existe; deberá adaptarse para cumplir AMLD6.

Régimen reforzado para PEPs (Personas Expuestas Políticamente). Cargos públicos (de Estado miembro UE, terceros países u organizaciones internacionales) y sus familiares y allegados próximos. La relación con PEPs exige aprobación de la alta dirección de la entidad, identificación del origen del patrimonio y monitorización continua. El AMLR amplía la lista de cargos considerados PEPs y mantiene un régimen de 12 meses tras cesar en el cargo.

Sanctions screening. Verificación obligatoria contra las listas de sanciones financieras del Consejo de la UE (Reglamentos sobre Rusia, Bielorrusia, Irán, Corea del Norte, terrorismo, etc.). Aplicable en cada operación y en altas de clientes.

Monitorización continua y reporte de operaciones sospechosas (SAR). Las entidades deben monitorizar la actividad del cliente durante toda la relación y reportar operaciones sospechosas al SEPBLAC. Plazo: inmediato tras la detección.

La inclusión plena de los proveedores de servicios de criptoactivos (CASPs) es uno de los cambios estructurales más relevantes del AMLR. Hasta ahora la regulación AML del sector cripto era fragmentaria.

Los CASPs son entidades autorizadas bajo el Reglamento MiCA (UE 2023/1114): exchanges, custodios, gestores de carteras cripto, etc. Empresas como Bit2Me, Bitnovo, Bit Panda (todas con CASPs autorizados en España) son sujetos obligados plenos bajo AMLR.

Obligaciones específicas para CASPs:

Travel rule. Para transferencias de criptoactivos, deben transmitir información sobre ordenante y beneficiario (similar al SEPA en pagos tradicionales). Aplicable desde el 30 de diciembre de 2024 bajo el Reglamento (UE) 2023/1113 sobre transferencias de fondos.

Identificación robusta antes de operar. Sin excepciones por anonimato. La filosofía "permissionless" original del mundo cripto desaparece para los servicios prestados por CASPs regulados.

Prohibición de cuentas anónimas. Los CASPs no pueden ofrecer cuentas con monedas que privilegian el anonimato fuerte (privacy coins como Monero, Zcash) si no permiten cumplir las exigencias AML. Algunos exchanges ya retiraron estas monedas.

Monitorización transaccional avanzada. Detección de patrones típicos de blanqueo en cripto: mixers/tumblers, transacciones fraccionadas, conexión con wallets de la dark web. AMLA puede supervisar directamente a los CASPs más grandes.

Para el ecosistema fintech en España, esto afecta a las entidades cripto autorizadas por la CNMV bajo MiCA, así como a las que reciban autorización tras el periodo transitorio.

El AMLR introduce un régimen sancionador armonizado, sin perjuicio de las sanciones más altas que cada Estado miembro pueda imponer.

Para personas jurídicas: hasta el 10 % del volumen anual mundial o 10 millones de euros (la mayor de ambas) por infracciones muy graves. Para infracciones graves o menos graves, escala inferior.

Para personas físicas: hasta 5 millones de euros o cuantías equivalentes en infracciones muy graves. Las personas con responsabilidades directivas (consejeros, miembros del órgano de cumplimiento, oficiales AML) pueden ser sancionadas individualmente.

Sanciones específicas para CASPs: régimen reforzado por el riesgo elevado del sector. Posibilidad de revocación de la autorización MiCA en casos graves.

Sanciones aplicables por AMLA. Para las entidades bajo supervisión directa de AMLA (40-200 entidades transfronterizas de mayor riesgo), las sanciones las impone directamente AMLA. Para el resto, las imponen los supervisores nacionales.

España. En el régimen actual (Ley 10/2010), las sanciones máximas son de hasta el 10 % del volumen anual o cuantías fijas (en función de la gravedad y la cifra de negocio). La transposición de AMLD6 puede modificar el régimen, pero las cuantías ya estaban alineadas con AMLR.

Responsabilidad personal de directivos. El AMLR refuerza la responsabilidad individual de los miembros del órgano de administración y del responsable de cumplimiento AML, que pueden ser sancionados directamente si se demuestra negligencia o connivencia.

SEPBLAC — Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales. Es la Unidad de Inteligencia Financiera (UIF) española. Recibe los reportes de operaciones sospechosas (SAR) de los sujetos obligados, analiza la información y la transmite al Ministerio Fiscal o a las Fuerzas y Cuerpos de Seguridad cuando hay indicios delictivos. Sede en Madrid, depende del Banco de España. Coordina con AMLA y con otras UIFs europeas.

Comisión de Prevención del Blanqueo de Capitales (CPBC). Es el órgano colegiado interministerial que define la política nacional anti-blanqueo y coordina entre Banco de España, CNMV, DGSFP y resto de supervisores sectoriales.

Banco de España. Supervisa a las entidades de crédito y EFC también desde la perspectiva AML. Coordina con SEPBLAC y CPBC.

CNMV. Supervisa a empresas de servicios de inversión, gestoras y CASPs (criptos bajo MiCA) en aspectos AML.

DGSFP. Supervisa aseguradoras en aspectos AML.

La Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo es la norma nacional principal. Transpone las directivas AML anteriores. La AMLD6 obligará a modificarla antes de julio de 2027.

Las financieras del catálogo del portal ya son sujetos obligados bajo la Ley 10/2010. El AMLR no las saca del régimen, pero refuerza varias obligaciones:

KYC desde el primer euro. En microcréditos online no se admite ningún umbral de exención. Cada solicitud requiere identificación robusta del cliente, verificación de identidad y consulta de listas de sanciones. La EUDI Wallet agilizará este paso desde 2027.

Sanctions screening en cada operación. Antes de conceder cualquier crédito, verificar al solicitante y al beneficiario (si distintos) contra las listas de sanciones del Consejo de la UE. Esto incluye listas de Rusia (post-invasión de Ucrania), terrorismo, países sancionados, etc.

PEPs y allegados. Si un solicitante es PEP o familiar/allegado próximo, la aprobación requiere alta dirección, identificación del origen del patrimonio y monitorización continua. Muchas financieras de microcréditos no estaban preparadas operativamente para gestionar PEPs por la rareza estadística de su clientela; deberán reforzar procedimientos.

Reporting al SEPBLAC. Cualquier operación sospechosa (importes incongruentes con el perfil, conexión con cuentas extranjeras de alto riesgo, fraccionamiento de operaciones, presión por finalización rápida sin verificaciones) debe reportarse al SEPBLAC. Plazo: inmediato.

Beneficiarios efectivos. Si una financiera presta a una persona jurídica (microcrédito a pyme o autónomo con sociedad), debe identificar al beneficiario efectivo (≥25 % capital o control). Consulta al Registro Central de Titularidades Reales (RCTR).

Coste de cumplimiento. Las financieras pequeñas absorberán un coste de adaptación significativo: software de sanctions screening, formación, procedimientos PEPs, reporting automatizado al SEPBLAC. La consolidación del sector es probable.

Conexión con el resto del cluster: AMLR + CCD2 + AI Act + DORA + EUDI Wallet + PSD3 configuran el nuevo marco regulatorio integral de las financieras europeas hasta 2030.