KYC en Argentina: qué exige la normativa y qué implica para tu producto

Cuando una empresa argentina se sienta a evaluar proveedores de KYC, la primera pregunta suele ser técnica: qué documentos leen, cuánto tarda, cuánto sale. La pregunta que decide la compra, en cambio, casi siempre es otra: ¿esto me deja tranquilo frente a mi regulador?

El problema es que en Argentina no hay una "ley de KYC". Hay dos cuerpos normativos que corren en paralelo, con lógicas distintas y organismos de control distintos, y un producto serio tiene que cumplir los dos al mismo tiempo:

1. La normativa antilavado, que sale de la Ley 25.246 y se concreta en resoluciones de la Unidad de Información Financiera (UIF). Te dice a quién tenés que identificar, con qué rigor y por cuánto tiempo tenés que guardar la prueba.
2. La Ley 25.326 de Protección de los Datos Personales, con la Agencia de Acceso a la Información Pública (AAIP) como órgano de control. Te dice qué podés hacer con los datos que juntaste en el proceso anterior.

Cumplir una y descuidar la otra es un error caro: la primera te empuja a guardar todo diez años, la segunda te obliga a justificar cada dato que conservás. Vamos por partes.

Quién está obligado a identificar

La obligación de identificar no nace de tu industria sino de tu condición de sujeto obligado. La Ley 25.246 arma esa lista, y las resoluciones de la UIF bajan el detalle sector por sector. Los casos que más nos consultan:

Si tu empresa no es sujeto obligado —un marketplace, una empresa de software, una inmobiliaria que no encuadra— no tenés una obligación legal de identificar derivada del régimen antilavado. Eso no significa que no te convenga hacerlo: verificar identidad es también prevención de fraude, de suplantación y de contracargos. Pero cambia el análisis por completo, porque desaparece el piso mínimo obligatorio y lo que queda es una decisión de riesgo y de producto.

Qué exige la Res. UIF 14/2023 cuando la identificación es a distancia

Acá está el corazón de la cuestión para cualquiera que venda o compre KYC digital. El artículo 25 de la Res. UIF 14/2023, para entidades financieras y cambiarias, describe cómo tiene que ser la identificación no presencial. Cuatro exigencias merecen leerse despacio, porque cada una se traduce en una decisión de arquitectura:

1. Técnicas biométricas "rigurosas, almacenables, auditables y no manipulables"

Cuatro adjetivos, cuatro requisitos distintos:

• Rigurosas: no alcanza con "tenemos reconocimiento facial". Tiene que haber una medida de desempeño detrás.
• Almacenables: el resultado y la evidencia tienen que poder guardarse, no ser un veredicto efímero.
• Auditables: alguien externo tiene que poder reconstruir qué pasó en cada verificación.
• No manipulables: la evidencia no puede ser algo que el propio usuario —o vos— pueda editar después.

En la práctica esto descarta el flujo de "subí una foto de tu DNI y una selfie" que todavía se ve mucho: una foto subida por el usuario es, por definición, manipulable, y no queda registro de cómo se obtuvo.

2. Protección frente a fraudes por ataques físicos y digitales

La norma nombra las dos familias por separado, y no es un detalle de redacción: son dos problemas técnicos distintos que se resuelven con defensas distintas. Un ataque físico es mostrarle a la cámara una foto impresa, una pantalla o una máscara. Un ataque digital es inyectar un video sintético en el stream, sin pasar nunca por la cámara real. Un sistema puede ser excelente contra el primero y ciego frente al segundo. Lo desarrollamos en deepfakes y prueba de vida.

3. El factor biométrico tiene que venir de "un ser humano genuino presente al momento de la identificación"

Esta frase es la que convierte la prueba de vida en obligatoria, no opcional. Una selfie demuestra que existe una imagen de una cara; no demuestra que había una persona viva del otro lado en ese momento. La diferencia entre las dos cosas es todo el campo de la detección de ataques de presentación.

4. Conservación con constancia de fecha y hora, y análisis de riesgo revisado periódicamente

La verificación no termina cuando devolvés "aprobado": termina cuando queda registrada, fechada y lista para ser mostrada. Y el procedimiento en sí —qué validadores usás, con qué umbrales— es un objeto vivo que tenés que revisar y documentar cada tanto.

El permiso condicionado a la verificación automatizada

Hay un punto que muchas veces se pasa por alto: la resolución permite la verificación automatizada, pero sujeta a que exista evidencia de que su desempeño es igual o superior al que efectuaría un agente humano.

Eso te obliga, como comprador, a pedirle a tu proveedor algo concreto: un dossier de desempeño con números. Tasas de falso match y falso no-match del motor facial, resultados de evaluaciones independientes, la carta de certificación de la prueba de vida con su fecha. Si el proveedor te contesta con un caso de éxito y ningún número, no tenés con qué sostener el artículo 25.

Diez años de conservación, pero ¿de quién es la obligación?

El artículo 17 de la misma resolución exige conservar la documentación por diez años, en soportes digitales protegidos y con copia de respaldo. Es una obligación larga y es una obligación tuya, del sujeto obligado, no del proveedor tecnológico.

Esto tiene una consecuencia práctica que conviene negociar antes de firmar: el proveedor tiene que poder entregarte el paquete de evidencia —imágenes, veredicto, motivos, timestamps— para que viva en tu legajo. Un proveedor que solo te muestra los resultados en su dashboard te deja atado a su permanencia en el mercado durante una década.

Qué exige la Ley 25.326 sobre esos mismos datos

Del otro lado del mostrador está la protección de datos. La Ley 25.326 y su Decreto reglamentario 1558/2001 siguen vigentes y sin reformas sancionadas; hay varios proyectos con estado parlamentario —todos ellos incorporan los datos biométricos como sensibles, la figura del delegado de protección de datos y la notificación de brechas— pero mientras no haya ley nueva, se aplica la de 2000.

Los datos biométricos, el punto más incómodo

El artículo 2 de la Ley 25.326 enumera los datos sensibles y no menciona los biométricos: la ley es de 2000. La AAIP los definió después por vía reglamentaria y los considera sensibles cuando identifican unívocamente a una persona y pueden revelar información potencialmente discriminatoria.

En la práctica, la postura defendible —y la que adoptamos— es tratarlos como sensibles siempre. Eso implica consentimiento expreso e informado antes de capturar nada, y una finalidad única y declarada. Si tu proveedor no te muestra dónde y cómo se pide ese consentimiento, ahí tenés un problema que no se arregla con una cláusula en los términos y condiciones.

La prohibición que define la arquitectura

El artículo 7, inciso 3, prohíbe formar archivos o bancos de datos que revelen datos sensibles. Es la razón por la que no construimos una base central 1:N de plantillas faciales: comparamos la selfie contra la foto del documento de esa misma persona (1:1), y no armamos un índice para buscar una cara contra todas las demás.

Vale la pena preguntarle a cualquier proveedor si mantiene una base 1:N y con qué base legal. La funcionalidad de "detectar si esta cara ya se registró antes con otro nombre" es comercialmente atractiva y jurídicamente delicada.

El proveedor es un encargado de tratamiento, y eso tiene reglas

El artículo 25 rige la relación con el encargado: contrato obligatorio, actuación solo por instrucción del responsable, prohibición de usar los datos para otra finalidad y de cederlos —ni siquiera para su conservación— y destrucción al terminar la prestación.

Notá la tensión con el artículo 17 de la UIF: una norma te obliga a guardar diez años, la otra obliga al encargado a destruir cuando termina el servicio. La lectura coherente es que el legajo de diez años vive en el sujeto obligado, y el encargado purga su copia salvo autorización expresa. Es exactamente el motivo por el que la retención tiene que ser configurable y explícita, no un default del proveedor.

Registro de bases y derechos de las personas

Dos obligaciones concretas más:

• Inscribir la base en el Registro Nacional de Bases de Datos Personales de la AAIP (artículo 21). Es un trámite declarativo, y además suele ser requisito documental para otros convenios del ecosistema.
• Poder responder los derechos ARCO en plazo: 10 días corridos para el acceso (artículo 14) y 5 días hábiles para rectificación, actualización o supresión (artículo 16). Si la evidencia de una verificación vive en un sistema del que no podés exportar ni borrar por persona, no vas a poder cumplir esos plazos.

Dónde se procesan los datos

Si tu proveedor corre en infraestructura fuera de Argentina —casi todos lo hacen— hay que resolver la transferencia internacional. La AAIP mantiene una lista de países considerados adecuados; ni Estados Unidos ni Brasil están en ella, así que la ubicación de la nube no resuelve el tema por sí sola. Las vías disponibles son las cláusulas contractuales modelo (Disp. DNPDP 60-E/2016, o las de la Res. AAIP 198/2023), el consentimiento expreso e informado del titular, o normas corporativas vinculantes.

Es una pregunta legítima para hacerle a cualquier proveedor: ¿bajo qué instrumento transferís los datos, y me lo mostrás?

Qué pasa si incumplís

El régimen sancionatorio se actualizó con la Res. AAIP 126/2024. Pero la multa no suele ser el riesgo material: lo grave es la clausura de la base, un habeas data, la pérdida de un convenio con un organismo, y el daño reputacional de aparecer en un incidente con datos biométricos de terceros.

De la norma al producto: qué tiene que existir sí o sí

Traducido a requisitos verificables, esto es lo que la normativa argentina termina exigiéndole a un flujo de verificación no presencial:

Diez preguntas para hacerle a un proveedor de KYC

Si estás evaluando proveedores, estas son las preguntas que separan a los que pensaron el problema de los que armaron una demo linda:

1. ¿La prueba de vida está certificada contra la norma ISO/IEC 30107-3? ¿Me mostrás la carta del laboratorio, con fecha?
2. ¿Esa certificación cubre ataques de presentación, de inyección, o ambos?
3. ¿Qué tasas de falso match y falso no-match manejan, y contra qué conjunto de datos se midieron?
4. ¿Cómo me entregan el paquete de evidencia para mi legajo de diez años?
5. ¿Qué pasa con un caso en zona gris? ¿Lo aprueban, lo rechazan o lo mandan a revisión humana?
6. ¿El resultado viene con motivos legibles o solo con "aprobado / rechazado"?
7. ¿Mantienen alguna base 1:N con plantillas faciales? ¿Con qué base legal?
8. ¿Dónde se procesan los datos y bajo qué instrumento de transferencia internacional?
9. ¿Qué retención puedo configurar, y qué pasa con mis datos si termino el contrato?
10. ¿Puedo ejercer un pedido de acceso o de supresión por persona, y en cuánto tiempo?

Ninguna de estas preguntas es hostil. Son, literalmente, lo que te va a preguntar a vos tu auditor.

Fuentes

Todo lo citado es normativa pública, identificada para que puedas ir al texto original:

• Ley 25.246 y modificatorias — régimen antilavado, lista de sujetos obligados.
• Res. UIF 14/2023 — entidades financieras y cambiarias; arts. 17 y 25.
• Res. UIF 49/2024 — proveedores de servicios de activos virtuales.
• BCRA, Comunicación "A" 7724 — autenticación con factores de inherencia y gestión de riesgos de terceras partes.
• CNV, RG 994/2024 y siguientes — registro de PSAV.
• Ley 25.326 y Decreto 1558/2001 — protección de los datos personales; arts. 7, 14, 16, 21 y 25.
• Disp. DNPDP 60-E/2016 y Res. AAIP 198/2023 — transferencia internacional de datos.
• Res. AAIP 126/2024 — régimen sancionatorio.

Si querés ver cómo se traduce todo esto en un flujo concreto, mirá cómo se valida un DNI argentino o escribinos: te contamos qué hace la plataforma y, sobre todo, qué no hace.