El Paquete RTS de AMLA en Octubre: Tres Normas, Una Fecha

El 1 de octubre de 2026, AMLA transmitió tres conjuntos de Normas Técnicas de Regulación (RTS) a la Comisión Europea. No es una consulta, un borrador ni una nota de orientación. Es el paso formal de presentación que da inicio al proceso de adopción en virtud del artículo 27 del Reglamento (UE) 2024/1620. Una vez que la Comisión las adopte y se publiquen en el Diario Oficial, se convierten en derecho vinculante en los 27 estados miembros de la UE.

Las tres normas — sobre diligencia debida con el cliente, relaciones de negocio y transacciones vinculadas, y controles a escala de grupo — forman en conjunto la columna vertebral operativa del AMLR, que se aplica a partir del 10 de julio de 2027. Entender qué requiere cada una es ahora una tarea prioritaria de planificación para toda entidad obligada que opere en la UE.

Qué Cambió el 1 de Octubre

La consulta sobre CDD se cerró en mayo de 2026, con las normas pendientes de remisión a la Comisión Europea antes del 10 de julio. La presentación ocurrió el 1 de octubre, junto con dos conjuntos adicionales de normas que no habían pasado por el mismo proceso de consulta pública.

Lo que AMLA finalizó ese día:

• RTS sobre relaciones de negocio y transacciones vinculadas — en virtud del artículo 19(9) del AMLR
• RTS sobre diligencia debida con el cliente — en virtud del artículo 28(1) del AMLR
• RTS sobre políticas y controles a escala de grupo — en virtud de los artículos 16(4) y 17(3) del AMLR

Tres instrumentos jurídicos distintos presentados en un mismo paquete. Cada uno aborda una laguna que el actual mosaico de transposiciones nacionales de la normativa antilavado ha gestionado de forma desigual entre los estados miembros.

RTS 1: Relaciones de Negocio frente a Transacciones Ocasionales

La pregunta parece administrativa. En la práctica, la clasificación determina qué régimen de diligencia debida se aplica a un cliente determinado.

Según el AMLR, las relaciones de negocio activan obligaciones de CDD continuas: revisión periódica, reescalado de riesgo, monitoreo permanente. Las transacciones ocasionales por debajo del umbral aplicable (10.000 euros en efectivo) no lo hacen. Si un contacto con un cliente se clasifica como relación de negocio o como transacción ocasional determina si la entidad obligada debe mantener un perfil de riesgo continuo para ese cliente.

La norma del artículo 19(9) establece:

• Los criterios para determinar cuándo una serie de transacciones constituye una relación de negocio
• Cómo se deben identificar las transacciones vinculadas — en concreto, cómo conectar transacciones que están separadas estructuralmente pero funcionalmente unificadas con fines de elusión de umbrales

El segundo elemento es el cambio sustancial. El fraccionamiento — dividir una transacción de alto valor en varias de menor importe — es una técnica clásica de blanqueo de capitales. La nueva norma exige que las entidades obligadas construyan una lógica de detección capaz de identificar transacciones vinculadas en ventanas de tiempo y entre distintas contrapartes. Esto implica detección de elusión de umbrales integrada en la propia capa CDD, no solo en el monitoreo de transacciones posterior.

RTS 2: Diligencia Debida con el Cliente — Los Detalles de Verificación de Identidad

La consulta CDD de AMLA de mayo de 2026 estableció el marco general. La finalización del 1 de octubre concreta requisitos específicos que afectan directamente al funcionamiento de la verificación de identidad.

Verificación No Presencial

La RTS finalizada enumera los métodos aceptables de verificación de identidad no presencial. No todos los controles de identidad digital son equivalentes según la norma finalizada. Los sistemas de identificación electrónica que cumplan los niveles notificados de eIDAS — sustancial o elevado — y los sistemas equivalentes de supervisores de terceros países en la lista de reconocimiento de AMLA constituyen la vía principal.

La verificación por vídeo sin firma electrónica cualificada cae en una categoría que requiere controles compensatorios documentados. La detección de vida, la verificación de la autenticidad del documento y el enlace del dispositivo se citan como elementos que compensan la ausencia de estatus notificado en eIDAS. La carga de documentar esos controles compensatorios recae sobre la entidad obligada, no sobre el proveedor de verificación.

Para los proveedores de verificación de identidad, esto crea un mundo de dos niveles. Los proveedores cualificados por eIDAS y los que tienen equivalencia reconocida en terceros países ocupan el nivel superior. Los que no encajan en ese marco pueden seguir utilizándose, pero la entidad obligada debe documentar por qué los controles compensatorios son suficientes y mantener evidencia de su eficacia continuada.

Diligencia Debida Simplificada

La norma finalizada establece condiciones específicas para aplicar la CDD simplificada. La categorización de bajo riesgo basada únicamente en el tipo de cliente — por ejemplo, "entidad financiera regulada" — no es por sí sola suficiente. Los factores de riesgo especificados en el Anexo I del AMLR deben evaluarse en cada caso, y la decisión de CDD simplificada debe documentarse y revisarse periódicamente.

Disposiciones Transitorias para Clientes Existentes

La remediación de los clientes existentes sigue un calendario de dos vías establecido en el texto finalizado:

• Clientes de mayor riesgo: en el plazo de un año desde la entrada en vigor
• Resto de clientes: en el plazo de cinco años desde la entrada en vigor

El plazo de cinco años puede parecer cómodo. Para entidades con grandes bases de clientes existentes, completar la remediación en cinco años mientras se gestiona la incorporación continua es una cuestión de capacidad de sistemas, no solo de cumplimiento de plazos.

RTS 3: Controles a Escala de Grupo — La Complejidad Transfronteriza

La tercera norma introduce requisitos sin equivalente en los marcos nacionales actuales de lucha contra el blanqueo. Es el ámbito que probablemente generará el trabajo de cumplimiento estructural más significativo para los grupos financieros.

En virtud de los artículos 16(4) y 17(3), los grupos deben implementar:

Marcos de gobernanza unificados aplicables en todas las entidades del grupo en la UE, que requieran definiciones coherentes de apetito por el riesgo, procedimientos de escalado y estructuras de responsabilidad de la alta dirección. Un grupo no puede tener normas de CDD materialmente distintas en su filial alemana y en su filial española.

Acuerdos seguros de intercambio de información dentro del grupo. La información relevante para la lucha contra el blanqueo — perfiles de riesgo de clientes, indicadores de actividad sospechosa, hallazgos de medios adversos — debe poder compartirse entre entidades del grupo cumpliendo simultáneamente el RGPD. La norma establece salvaguardas técnicas y organizativas para este intercambio intragrupo.

Normas para sucursales y filiales en terceros países. Cuando una filial o sucursal del grupo opera en una jurisdicción con estándares de lucha contra el blanqueo más débiles que el AMLR, el grupo debe aplicar los estándares del AMLR independientemente de la legislación local. Si la legislación local impide el cumplimiento conforme al AMLR, la filial puede verse obligada a abandonar ese mercado.

Requisito	Ámbito	Implicación operativa
Gobernanza unificada	Todas las entidades del grupo en la UE	Marco único de política AML
Intercambio de información	Datos AML intragrupo	Infraestructura técnica y controles RGPD
Paridad en terceros países	Sucursales en jurisdicciones más débiles	Posible reestructuración jurídica o salida
Remediación: mayor riesgo	En 1 año	Planificación de capacidad comienza ya
Remediación: otros clientes	En 5 años	Automatización de flujos a escala

La disposición sobre terceros países tiene implicaciones operativas significativas para grupos con sucursales en el Sudeste Asiático, el Golfo Pérsico o partes de América Latina, donde la legislación local restringe frecuentemente el intercambio de datos transfronterizo.

El Calendario que Realmente Importa

La presentación del 1 de octubre es el primer paso de un proceso de cuatro pasos antes de que estas normas tengan efecto jurídico:

1. Presentación por AMLA — completada el 1 de octubre de 2026
2. Revisión y adopción por la Comisión Europea — sin fecha fija; normalmente entre 3 y 6 meses
3. Publicación en el Diario Oficial — activa el período de entrada en vigor
4. Entrada en vigor — seis meses después de la publicación, según lo propuesto por AMLA

Tras la entrada en vigor, la fecha de aplicación del AMLR del 10 de julio de 2027 también sigue vigente. Las RTS específicas no anulan la fecha de aplicación principal del AMLR. Lo que hacen es añadir requisitos operativos precisos sobre las obligaciones existentes del AMLR.

Supuesto de planificación realista: si la Comisión adopta las normas antes del primer trimestre de 2027, la entrada en vigor caería hacia mediados de 2027. Pero el AMLR entra en vigor el 10 de julio. Las entidades que esperen a que las RTS adquieran efecto jurídico formal antes de comenzar la implementación no estarán preparadas.

El proceso de supervisión directa de AMLA ya nombró a la primera cohorte de empresas supervisadas directamente en septiembre de 2026. Esas entidades son examinadas frente a estas mismas normas. El periodo de gracia propuesto no les aplica.

Qué Requieren los Sistemas de Verificación de Identidad

El paquete de octubre se traduce en requisitos concretos de sistema. Los equipos de cumplimiento deben evaluar si su infraestructura actual de verificación de identidad puede proporcionar:

Detección de transacciones vinculadas. La RTS sobre relaciones de negocio exige identificar transacciones vinculadas en el tiempo y entre contrapartes. Si el sistema KYC y el sistema de monitoreo de transacciones están separados, se trata de un problema de arquitectura de datos que ahora tiene un plazo regulatorio.

Documentación de alineación con eIDAS. La RTS CDD sitúa la carga de documentación en las entidades obligadas que usan métodos de verificación no cualificados por eIDAS. El enfoque técnico del proveedor KYC — metodología de detección de vida, lógica de verificación de documentos, resistencia a ataques de inyección — necesita evaluación documentada frente a la norma de controles compensatorios.

Arquitectura de datos de grupo. El intercambio de información a escala de grupo bajo un único marco de gobernanza requiere una solución técnica que satisfaga simultáneamente los requisitos de AML y RGPD. Las bases de datos de identidad fragmentadas por jurisdicción no cumplirán el requisito de controles a escala de grupo.

Flujos de trabajo automatizados de remediación. Remediar a los clientes existentes a escala dentro de los plazos transitorios no es factible de forma manual para ninguna organización de tamaño significativo. Un sistema capaz de identificar los clientes que requieren remediación, clasificarlos por nivel de riesgo y ejecutar flujos de trabajo de re-verificación de forma automática es lo que implica el requisito operativo.

La plataforma de agentes de IA autónomos de Joinble está diseñada para este modelo operativo: mantenimiento continuo de identidad, reescalado automático de riesgo, generación de registros de auditoría y arquitectura de datos compatible con grupos, construida para el entorno AMLR.

Prepararse Antes de Que las RTS Entren en Vigor

La extensión del AMLR a entidades obligadas no financieras y las directrices de monitoreo continuo publicadas en junio de 2026 fueron bloques preparatorios. El paquete de octubre es la estructura portante del marco de cumplimiento europeo post-2027.

Pasos prácticos para los equipos de cumplimiento ahora:

• Mapear los métodos CDD actuales frente a la enumeración de verificación no presencial en la RTS finalizada. Identificar dónde necesitarán documentación formal los controles compensatorios.
• Auditar la detección de transacciones vinculadas en los sistemas actuales. ¿Abarca la lógica de monitoreo una ventana de 30 días para la detección de fraccionamiento? ¿Cruza líneas de producto?
• Inventariar las entidades del grupo por jurisdicción y evaluar el riesgo de la norma sobre terceros países. Identificar filiales o sucursales donde la legislación local pueda entrar en conflicto con los requisitos del AMLR a escala de grupo.
• Dimensionar la tarea de remediación. Extraer una muestra de la base de clientes existente, segmentar por nivel de riesgo y estimar el volumen que requiere remediación en un año frente a cinco años.

El 10 de julio de 2027 ya era visible desde lejos. El 1 de octubre de 2026 lo convirtió en obligación específica.

---

Preguntas Frecuentes

¿Cuáles son las tres RTS de AMLA presentadas el 1 de octubre de 2026? AMLA presentó tres proyectos finales de normas técnicas de regulación a la Comisión Europea: una sobre clasificación e identificación de relaciones de negocio y transacciones vinculadas; una sobre diligencia debida con el cliente, incluyendo verificación no presencial e identificación electrónica; y una sobre políticas AML a escala de grupo y controles internos.

¿Cuándo serán jurídicamente vinculantes las RTS de AMLA de octubre de 2026? Todavía no son ley. Tras la adopción por la Comisión Europea y la publicación en el Diario Oficial, entran en vigor. AMLA ha propuesto que la aplicación comience seis meses después de la entrada en vigor. El AMLR subyacente se aplica a partir del 10 de julio de 2027 independientemente de este plazo.

¿Cambia la RTS CDD el funcionamiento práctico de la verificación de identidad digital? Sí. El texto finalizado enumera los métodos aceptables de verificación no presencial. La identificación electrónica notificada por eIDAS y los equivalentes reconocidos son la vía principal. Otros métodos exigen que la entidad obligada documente controles compensatorios específicos — detección de vida, análisis forense de documentos, enlace de dispositivo — y mantenga evidencia de su eficacia continuada.

¿Qué es la RTS de controles a escala de grupo y a quién afecta? Se aplica a grupos regulados con múltiples entidades en la UE. Exige gobernanza AML unificada, intercambio seguro de información intragrupo y — de forma crítica — la aplicación de los estándares del AMLR a filiales y sucursales en terceros países con normas AML más débiles. Los grupos con presencia global se enfrentan al trabajo de cumplimiento estructural más significativo.

¿De cuánto tiempo disponen las empresas para remediar a los clientes existentes bajo las nuevas RTS CDD? Las disposiciones transitorias son de dos niveles: clientes de mayor riesgo en el plazo de un año desde la entrada en vigor, y todos los demás clientes en el plazo de cinco años. El plazo de cinco años requiere flujos de trabajo de remediación automatizados para cualquier organización con una gran base de clientes existente.

¿Cómo pueden los agentes de IA apoyar el cumplimiento de las RTS de AMLA? La detección de transacciones vinculadas, el monitoreo continuo, la remediación automatizada y los requisitos de arquitectura de datos a escala de grupo del paquete de octubre de 2026 son operativamente intensivos a cualquier escala significativa. Las plataformas de agentes de IA diseñadas para la gestión continua de identidad — sustituyendo ciclos de revisión periódica por un estado de riesgo en tiempo real y generando automáticamente registros listos para auditoría — representan la arquitectura operativa que exige el entorno del AMLR.