Cumplimiento KYC y AML para Fintech en Argentina (UIF y CNV)

La reforma de 2024 cambió las reglas del juego

Argentina reformó su régimen antilavado en marzo de 2024 por primera vez en más de una década. La Ley 27.739, sancionada el 13 de marzo y publicada el 15 de marzo de 2024, modificó la histórica Ley 25.246 para alinear el país con los estándares del GAFI antes de su evaluación mutua. Si su fintech todavía opera con el manual de cumplimiento anterior a esa fecha, está desactualizada.

La reforma no fue cosmética. Incorporó nuevos sujetos obligados, definió legalmente el enfoque basado en riesgo y rediseñó el régimen de personas expuestas políticamente. Para cualquier empresa de tecnología financiera que opere en el mercado argentino, entender qué cambió es la diferencia entre un programa de cumplimiento defendible y una sanción de la UIF.

Qué introdujo la Ley 27.739

La 27.739 fue la primera reforma sustancial al sistema de Prevención de Lavado de Activos y Financiamiento del Terrorismo (PLA/FT) en cerca de 13 años. Sus cambios más relevantes para fintech:

• Nuevos sujetos obligados. Incorpora a los Proveedores de Servicios de Activos Virtuales (PSAV), a los proveedores no financieros de crédito, a los depositarios centrales de valores y a determinados profesionales. Si su producto toca criptoactivos, lea nuestra guía específica de KYC para criptoactivos en Argentina.
• Enfoque basado en riesgo (EBR) por ley. Antes era una práctica recomendada; ahora es una obligación con definiciones legales de "activos virtuales", "beneficiario final" y "operaciones inusuales". Cada sujeto obligado debe autoevaluar su riesgo de LA/FT por cliente, producto, canal y zona geográfica.
• Régimen PEP recalibrado. La condición de Persona Expuesta Políticamente ya no es perpetua: cesa a los dos años de que la persona deja el cargo, y a partir de ahí se evalúa bajo EBR en lugar de aplicar debida diligencia reforzada automática.
• Beneficiario final con definición legal. La reforma define el control directo o indirecto sobre una persona jurídica y refuerza la obligación de identificar a quién pertenece realmente cada estructura.

Los reguladores que debe conocer

Tres organismos definen el cumplimiento fintech en Argentina, y se solapan.

La Unidad de Información Financiera (UIF) es la unidad de inteligencia financiera del país. Recibe los reportes de operaciones sospechosas, dicta las resoluciones de KYC y debida diligencia, y supervisa a los sujetos obligados. Es quien sustancia los sumarios y aplica multas.

La Comisión Nacional de Valores (CNV) regula el mercado de capitales y, desde 2024, lleva el Registro de Proveedores de Servicios de Activos Virtuales. Toda fintech que opere con tokens de valores, plataformas de inversión o criptoactivos cae bajo su órbita.

El Banco Central de la República Argentina (BCRA) supervisa a los Proveedores de Servicios de Pago (PSP) a través de sus Comunicaciones "A". Si su producto incluye una billetera digital o cuentas de pago, el BCRA fija las reglas operativas.

La Ley 25.246 y los sujetos obligados

La Ley 25.246 de Encubrimiento y Lavado de Activos de Origen Delictivo sigue siendo el pilar del régimen, ahora con el cuerpo de la 27.739 incorporado. Establece:

• La creación y las funciones de la UIF.
• La lista de sujetos obligados, hoy ampliada a fintech y PSAV.
• Las obligaciones de identificación de clientes, conservación de registros y reporte de operaciones sospechosas.
• El régimen sancionatorio que aplica la UIF por la vía sumarial.

Las resoluciones de la UIF detallan cómo cumplir. Para fintech y proveedores de pago, las más relevantes incluyen la Resolución UIF 76/2019 (proveedores de servicios de pago) y la base de debida diligencia para entidades financieras y cambiarias, complementadas por la Resolución UIF 49/2024, que fijó las obligaciones específicas de los PSAV. Para entender quién entra en cada categoría, consulte nuestro recurso sobre entidades obligadas en KYC.

GAFILAT, el GAFI y el seguimiento intensificado

Aquí conviene corregir un malentendido frecuente: Argentina no está en la lista gris del GAFI. Estuvo en riesgo durante la evaluación de 2024, pero no fue incluida.

El GAFILAT (Grupo de Acción Financiera de Latinoamérica) es el organismo regional que aplica los estándares del GAFI en la región. Junto con el GAFI evaluó a Argentina en la cuarta ronda: visita in situ en marzo de 2024, informe adoptado en el plenario de octubre de 2024 y publicado en diciembre de 2024. Era la primera evaluación desde 2010.

El resultado: Argentina evitó la lista gris y quedó en seguimiento intensificado (enhanced follow-up), una categoría normal posterior a la evaluación que obliga a reportar avances de forma periódica. No es un castigo; es la consecuencia esperable de un sistema que mejoró su marco legal pero todavía debe demostrar efectividad.

El informe destacó fortalezas en la cooperación entre organismos y en la cooperación internacional. Las deficiencias señaladas apuntan justo donde opera el sector fintech: bajo nivel de reporte de operaciones sospechosas en sectores de alto riesgo —valores, inmobiliario y PSAV—, escaso uso de la inteligencia sobre movimiento transfronterizo de efectivo y resultados de efectividad bajos. Traducido a su día a día: los reguladores van a mirar con lupa la calidad de sus reportes, no solo su existencia.

Obligaciones KYC para fintech argentinas

Identificación de personas humanas

• Nombre y apellido completos.
• Tipo y número de documento (DNI, pasaporte).
• CUIT, CUIL o CDI.
• Fecha y lugar de nacimiento, nacionalidad y estado civil.
• Domicilio real, con respaldo documental.
• Actividad económica y declaración jurada de origen lícito de los fondos.
• Condición de PEP.

Identificación de personas jurídicas

• Razón social, CUIT y datos de inscripción registral (IGJ o registro provincial equivalente).
• Estatuto social y sus modificaciones.
• Identificación de socios, accionistas controlantes y beneficiarios finales.
• Estados contables certificados.
• Acto societario que autoriza la relación.

Debida diligencia bajo enfoque basado en riesgo

La 27.739 convirtió el EBR en obligación legal. La debida diligencia reforzada se aplica a PEPs (durante el cargo y los dos años posteriores), a clientes no residentes, a operaciones con jurisdicciones de alto riesgo identificadas por el GAFI y a estructuras societarias con titularidad opaca.

Joinble automatiza estos controles para las fintech argentinas: validación del DNI, biometría facial contra RENAPER y screening en tiempo real de listas PEP y sanciones. Si recién empieza con estos conceptos, vea nuestra guía sobre qué es KYC.

El rol del BCRA: PSP y billeteras digitales

El BCRA regula a los Proveedores de Servicios de Pago mediante sus Comunicaciones "A". Las obligaciones incluyen registro ante el BCRA, programas de prevención de lavado, requisitos de capital y seguridad de la información, y límites transaccionales escalonados según el nivel de verificación del cliente.

La iniciativa Transferencias 3.0 impuso interoperabilidad entre todos los proveedores de pago digital, lo que exige estándares de identificación de clientes consistentes en el onboarding. Una billetera con verificación débil ya no compite: queda fuera del esquema interoperable.

La CNV y los activos digitales

La CNV supervisa los activos digitales que califiquen como valores negociables y, desde 2024, administra el registro de PSAV. Esto impacta a las fintech que ofrezcan plataformas de tokens de valores, participen en la tokenización de activos o administren fondos con criptoactivos.

El registro de PSAV es a efectos del control de la UIF y tiene reglas propias de solvencia y conducta. Lo detallamos en la guía de cumplimiento cripto en Argentina.

Onboarding digital: DNI digital y RENAPER

Argentina tiene infraestructura de identidad digital madura:

• El DNI digital, disponible en la app Mi Argentina, tiene plena validez identificatoria para actos públicos y privados según el Decreto 744/2019 (con la excepción del voto y los viajes internacionales).
• RENAPER (Registro Nacional de las Personas) mantiene la base biométrica y ofrece servicios de validación de identidad.
• La UIF admite el onboarding remoto con métodos de identificación electrónica validados.

Joinble se integra con esta infraestructura para ofrecer verificación documental, biometría facial y screening de cumplimiento en un único flujo. Para comparar enfoques, vea KYC digital frente a tradicional.

Reporte de operaciones sospechosas

Las fintech consideradas sujetos obligados deben reportar a la UIF:

• Reportes de Operaciones Sospechosas (ROS): cuando hay sospecha razonable de lavado o financiamiento del terrorismo. El plazo estándar es de 30 días corridos desde la detección; para sospechas de financiamiento del terrorismo, 48 horas.
• Reportes sistemáticos: información periódica sobre operaciones que superen los umbrales definidos, presentada por el sistema electrónico de la UIF.
• Prohibición de revelar (tipping-off): no se puede informar al cliente que se presentó o se presentará un reporte.

La conservación de registros es de un mínimo de diez años.

Sanciones y régimen sumarial

El incumplimiento se sustancia por la vía del régimen sumarial de la UIF y puede derivar en:

• Multas administrativas de 1 a 10 veces el valor de los bienes u operación involucrada.
• Suspensión de actividades o cancelación de la inscripción.
• Responsabilidad penal bajo la Ley 25.246, con penas de prisión por lavado de activos, agravadas cuando el autor es funcionario de una entidad financiera.
• Responsabilidad personal de oficiales de cumplimiento, directores y alta gerencia.

A esto se suma el marco de la Ley 27.401 de responsabilidad penal de personas jurídicas (2017), que permite atenuar o eximir la responsabilidad de la empresa si cuenta con un Programa de Integridad efectivo. Un buen programa de cumplimiento PLA/FT no solo evita la multa de la UIF: también es su defensa frente a la responsabilidad penal corporativa.

Preguntas Frecuentes

¿Está Argentina en la lista gris del GAFI?

No. Argentina estuvo en riesgo durante la evaluación mutua de 2024, pero el GAFI no la incluyó en la lista gris. Quedó en seguimiento intensificado tras la evaluación conjunta del GAFI y GAFILAT, una categoría que obliga a reportar avances de forma periódica.

¿Qué cambió la Ley 27.739 para las fintech?

Incorporó a los PSAV como sujetos obligados, convirtió el enfoque basado en riesgo en obligación legal con definiciones de activos virtuales y beneficiario final, y recalibró el régimen PEP para que la condición cese a los dos años de dejar el cargo. Fue la primera reforma sustancial al régimen antilavado en cerca de 13 años.

¿Qué documentos exige el KYC en una fintech argentina?

Para personas humanas: DNI (físico o digital), CUIT/CUIL, comprobante de domicilio, declaración de origen de fondos y condición de PEP. Para personas jurídicas: estatuto, CUIT, inscripción registral, beneficiarios finales y estados contables certificados.

¿Puedo usar el DNI digital para verificar clientes?

Sí. El DNI digital de la app Mi Argentina tiene plena validez según el Decreto 744/2019, salvo para votar y viajar al exterior. La UIF admite el onboarding remoto con métodos de identificación electrónica validados.

¿Cuáles son los plazos para reportar operaciones sospechosas?

El reporte estándar se presenta dentro de los 30 días corridos desde la detección. Las sospechas de financiamiento del terrorismo deben reportarse en 48 horas. Todo se presenta de forma electrónica ante la UIF.

¿Las fintech que operan con cripto tienen obligaciones adicionales?

Sí. Si actúan como Proveedores de Servicios de Activos Virtuales deben registrarse ante la CNV y cumplir la Resolución UIF 49/2024, con obligaciones específicas de identificación, regla de viaje y reporte. Lo desarrollamos en la guía de KYC para criptoactivos en Argentina.