eIDAS 2 y la cartera de identidad digital UE para KYC

eIDAS 2 convierte un móvil en un DNI legal, y tu KYC tiene que aceptarlo

Antes de que acabe 2026, cada Estado miembro de la UE debe ofrecer a sus ciudadanos y residentes al menos una cartera de identidad digital europea certificada (la EUDI Wallet). Los países del EEE —Islandia, Liechtenstein, Noruega— tienen un año más. Ese plazo sale del Reglamento (UE) 2024/1183, conocido como eIDAS 2, que entró en vigor el 20 de mayo de 2024 y reescribió el marco original de eIDAS de 2014.

Si gestionas el onboarding de clientes en Europa, esto no es un ejercicio normativo lejano. Una identidad presentada desde la cartera con nivel de garantía «alto» equivale, por ley, a tener al cliente delante. Si verificas identidades para ganarte la vida, se espera que la aceptes.

Aquí está la parte que los proveedores pasan por alto: aceptar la cartera es necesario, no suficiente. La mayoría de las personas a las que des de alta en 2027 todavía no tendrá una cartera usable. Esta guía cubre las dos mitades: lo que la cartera te obliga a hacer y lo que aún no puede resolver por ti.

Por qué eIDAS 2 aterriza directamente sobre el KYC

eIDAS 1 (2014) le dio a la UE firmas cualificadas y servicios de confianza. Apenas tocó el alta de clientes. eIDAS 2 sí lo hace, por un puente escrito en otra ley.

El Reglamento antiblanqueo de la UE —AMLR, Reglamento (UE) 2024/1624— reconoce de forma explícita la EUDI Wallet como medio válido para identificar y verificar a un cliente durante la diligencia debida. Así que la cartera no es una «alternativa simpática» a tu flujo de KYC. Es un método de identificación bendecido por el regulador para hacer el propio paso de identificación. Cuando la nueva autoridad europea antiblanqueo, AMLA, empiece su supervisión directa desde Fráncfort más adelante en la década, la identificación basada en cartera será una expectativa de base, no un caso límite.

Si das de alta clientes en verticales regulados de la UE —pagos, cripto bajo MiCA, préstamos, juego online—, eIDAS 2 y AMLR son ya una obligación conectada. Tratarlos por separado es como los equipos acaban reconstruyendo el onboarding dos veces.

Qué te permite verificar la EUDI Wallet

La cartera lleva dos cosas que puedes solicitar como empresa:

• Datos de identificación de la persona (PID): el conjunto de identidad básico (nombre, fecha de nacimiento, nacionalidad, un identificador único) emitido y garantizado por el propio Estado miembro. Es la columna vertebral de alta garantía.
• Atestaciones electrónicas de atributos (EAA / QEAA): declaraciones verificables emitidas por partes de confianza: un título universitario, una cuenta bancaria, una licencia profesional, un justificante de domicilio, un indicador de «mayor de 18».

Tres propiedades importan al diseñar la verificación:

• Nivel de garantía «alto». La cartera cumple el nivel de garantía más estricto de eIDAS. Para la mayoría de fines de KYC, una presentación válida del PID elimina la captura de documento y la prueba de vida para ese usuario.
• Divulgación selectiva. Un cliente puede demostrar un único atributo —«mayor de 18», «residente en España»— sin entregar el documento completo. Es justo lo que exigen ahora los regímenes de verificación de edad, y reduce los datos personales que almacenas.
• Transfronteriza por defecto. Una cartera emitida en Portugal debe ser aceptada por una empresa en Alemania. Una sola integración cubre los 27 Estados miembro, la misma lógica de pasaporte que hace atractivo a MiCA.

¿Te falta base sobre los conceptos? Nuestra guía sobre qué es el KYC cubre los pasos de identificación y verificación que la cartera está diseñada para satisfacer.

Tienes que registrarte como parte usuaria, y no puedes pedir de más

Aceptar credenciales de la cartera no es barra libre. Para solicitar datos a una cartera, una empresa debe registrarse como parte usuaria ante el organismo supervisor de su Estado miembro y declarar, por adelantado, qué atributos pretende pedir y para qué.

Dos consecuencias:

• La minimización de datos se impone en el protocolo, no se deja a tu conciencia. Si te registras para comprobar «mayor de 18», no puedes extraer en silencio la fecha de nacimiento completa. La sobrerrecogida es un incumplimiento del registro, no una zona gris.
• El usuario puede negarse y aun así operar. El marco da al titular el control de cada divulgación. Tu flujo tiene que manejar con elegancia una presentación parcial o rechazada, lo que hace que un camino alternativo sea obligatorio, no opcional.

El baño de realidad: la cartera no sustituirá tu stack de KYC en 2027

Esta es la parte que va a contracorriente, y la que protege tu hoja de ruta.

Los proveedores que venden «KYC listo para la cartera» insinúan que puedes jubilar la verificación documental y biométrica. No puedes, no durante años. Mira cómo está llegando el despliegue de verdad:

• Los Estados miembro arrancan con funcionalidad limitada. Varias carteras saldrán en la fecha límite solo con el PID, o con PID más un permiso de conducir móvil, y las atestaciones del sector privado llegarán después. El ecosistema completo de atributos no se enciende de golpe.
• La adopción ciudadana arranca cerca de cero. Tener derecho legal a una cartera no es lo mismo que una población que la lleva y la usa. A los esquemas de eID por tarjeta les costó una década llegar al uso mayoritario en los países que iban por delante.
• Los clientes de fuera de la UE no tienen cartera. Cada viajero, cada solicitante expatriado y cada cliente fuera de la UE sigue necesitando verificación con documento y selfie. Para la mayoría de negocios transfronterizos, eso es una parte enorme de las altas.

Por eso la arquitectura correcta en 2027 es híbrida: acepta la EUDI Wallet cuando un cliente la presente, y recurre a verificación de documento y biometría con IA para el resto, sin obligar al usuario a notar por qué camino va. Los equipos que lo apuesten todo a la cartera no podrán dar de alta a la mayoría que aún no la tiene.

Cómo encaja Joinble

La plataforma de identidad con IA de Joinble está hecha justo para esta división. Actúa como capa de verificación y orquestación delante de tu onboarding:

• Acepta y valida las presentaciones de la EUDI Wallet como parte usuaria registrada, pidiendo solo los atributos que declaraste.
• Recurre automáticamente al reconocimiento de documentos, prueba de vida certificada y comparación biométrica cuando no hay cartera o se rechaza una presentación.
• Ejecuta cribado de sanciones y PEP sobre la identidad verificada resultante, venga del camino que venga.

La decisión de enrutamiento —cartera o documento, qué pedir, cuándo escalar— la gestionan los agentes de identidad de Joinble en lugar de quedar fijada a fuego en tu aplicación. A medida que la adopción de la cartera sube en fintech y otros verticales regulados, la misma integración mueve más tráfico al camino de la cartera sin que tengas que reconstruir nada.

Cómo prepararte antes del plazo

• Identifica qué pasos de tu onboarding sustituiría una presentación de PID de alta garantía, y cuáles (cribado, monitorización continua) no sustituirá nunca.
• Decide el conjunto mínimo de atributos que realmente necesitas y regístrate como parte usuaria solo para ese conjunto, nada más.
• Construye primero el camino alternativo. Carga con la mayor parte de tu volumen en 2027 y es la parte que eIDAS 2 no resuelve.
• Alinea el trabajo de la cartera con tus obligaciones de diligencia debida del AMLR para implementar la identificación una sola vez, no dos.

FAQ

¿eIDAS 2 obliga a mi empresa a aceptar la cartera de identidad digital de la UE?

eIDAS 2 obliga a los Estados miembro a ofrecer carteras y exige a las plataformas muy grandes y a varios sectores regulados que las acepten. Aunque la aceptación no sea estrictamente obligatoria para tu sector, el Reglamento antiblanqueo reconoce la cartera como método válido de diligencia debida, así que rechazarla te deja en desventaja competitiva y supervisora.

¿Cuándo estarán disponibles las carteras de identidad digital de la UE?

Cada Estado miembro debe poner a disposición de ciudadanos y residentes al menos una EUDI Wallet certificada antes de que acabe 2026. Los países del EEE —Islandia, Liechtenstein y Noruega— tienen hasta finales de 2027. La funcionalidad se ampliará tras el lanzamiento en vez de llegar completa.

¿Puede la EUDI Wallet sustituir la verificación documental y biométrica?

Para usuarios de la UE que tengan cartera y presenten un PID de alta garantía, puede sustituir la captura de documento y la prueba de vida en ese paso de identificación. No cubre a clientes de fuera de la UE, usuarios sin cartera ni presentaciones rechazadas, por lo que un respaldo documental y biométrico sigue siendo necesario mucho más allá de 2027.

¿Qué es una parte usuaria bajo eIDAS 2?

Una parte usuaria es cualquier empresa que solicita y se apoya en datos de la cartera de un usuario. Debes registrarte ante el organismo supervisor de tu Estado miembro y declarar por adelantado qué atributos vas a pedir. El marco impone la minimización de datos, así que no puedes recoger atributos más allá de tu finalidad registrada.

¿Cómo se relaciona eIDAS 2 con el Reglamento antiblanqueo de la UE?

El Reglamento antiblanqueo (Reglamento (UE) 2024/1624) nombra la EUDI Wallet como medio válido para identificar y verificar clientes durante la diligencia debida. eIDAS 2 crea la cartera; el AMLR convierte la identificación basada en cartera en una vía reconocida para cumplir tu obligación de KYC. Planifica ambos juntos.