La economía digital tiene un problema estructural que ninguna plataforma, por grande que sea, ha resuelto completamente: no puede ver a sus usuarios. En un comercio físico, la persona que entra, compra y paga está presente de forma tangible, y aunque esa presencia no elimina el fraude, sí establece un punto de partida de identificación que el entorno digital no tiene de forma natural. En internet, una cuenta puede ser una persona real, un conjunto de personas compartiendo credenciales, un algoritmo automatizado o una identidad construida deliberadamente para cometer fraude.
Esa ambigüedad es el punto de partida de toda la regulación sobre verificación de identidad y prevención del fraude online, y es la razón por la que los legisladores de la Unión Europea y de España han construido en los últimos años un conjunto de obligaciones que afectan a los operadores digitales regulados con una exigencia creciente. Lo que la ley pide a las empresas que operan en entornos digitales regulados no es solo que no cometan fraude, sino que demuestren de forma activa y documentada que han tomado todas las medidas razonables para impedirlo, y que puedan acreditar esa diligencia ante los supervisores cuando sea necesario. Esa diferencia entre una obligación pasiva y una obligación activa de cumplimiento es la que define la arquitectura regulatoria actual y la que explica por qué los departamentos de compliance de las empresas digitales se han convertido en una de las funciones corporativas de mayor crecimiento de la última década.
El marco regulatorio europeo sobre verificación de identidad y prevención del fraude online tiene varias capas que funcionan de forma complementaria. La directiva sobre prevención del blanqueo de capitales, en su quinta y sexta versión, establece las obligaciones de identificación de clientes que aplican a las entidades financieras, los operadores de juego y otras empresas consideradas de alto riesgo desde el punto de vista del lavado de dinero. El Reglamento General de Protección de Datos establece los límites dentro de los cuales esa identificación puede realizarse y los datos que pueden recopilarse y conservarse. La directiva de servicios de pago establece los requisitos de autenticación reforzada para las transacciones digitales. Y los marcos sectoriales específicos, como la regulación del juego online en España o la normativa bancaria europea, añaden capas adicionales de requisitos que van más allá del mínimo general. El resultado es un entorno normativo donde las empresas digitales reguladas tienen que gestionar simultáneamente obligaciones de identificación, obligaciones de protección de datos y obligaciones sectoriales que en algunos casos pueden generar tensiones entre sí.
KYC: qué es, qué requiere y cómo se implementa en la práctica
El concepto de KYC, siglas de la expresión inglesa Know Your Customer, es la denominación estándar del conjunto de procesos mediante los cuales una empresa verifica la identidad de sus clientes antes de establecer una relación comercial con ellos. El KYC no es una invención de la era digital: tiene sus raíces en la regulación bancaria de los años noventa, cuando los legisladores estadounidenses y europeos comenzaron a exigir a las entidades financieras que identificaran a sus clientes como parte de la lucha contra el blanqueo de capitales derivado del narcotráfico y otras actividades criminales. Lo que ha cambiado en los últimos años es la sofisticación técnica con la que el KYC puede realizarse y la velocidad con la que los sistemas de verificación pueden procesar identidades en entornos digitales de alto volumen. Un banco o un operador de servicios financieros que en los años noventa verificaba la identidad de sus clientes mediante la presentación física de documentos en una sucursal puede hoy realizar ese mismo proceso en segundos a través de una aplicación móvil, con tecnología de reconocimiento facial, verificación documental automatizada y consulta en tiempo real de bases de datos de personas políticamente expuestas y listas de sanciones internacionales. La velocidad de los procesos de KYC modernos ha eliminado la fricción que históricamente hacía que los usuarios abandonaran los procesos de registro antes de completarlos, pero ha creado nuevos retos en términos de seguridad porque los atacantes también tienen acceso a tecnologías sofisticadas para superar los sistemas de verificación automatizada.
En España, los operadores de juego online están sujetos a obligaciones de verificación de identidad (KYC) definidas por la Ley de Regulación del Juego y su desarrollo reglamentario. Entre ellas figuran verificar la identidad de los usuarios, comprobar que no están inscritos en el Registro General de Interdicciones de Acceso al Juego y conservar registros de las transacciones de cada cliente durante el período mínimo que establece la normativa. Esos requisitos obligan a los operadores a invertir en infraestructuras de verificación, y en la práctica los procesos manuales han ido dejando paso a procedimientos digitales que no requieren enviar documentos por correo ni acudir a una oficina. Este marco se aplica a todos los operadores autorizados por la DGOJ, incluidos los que ofrecen casino en línea, que deben cumplir estos procedimientos como condición de su licencia. La regulación del juego online en España es, en este sentido, un ejemplo de cómo se aplican las exigencias de KYC en un sector digital supervisado y un punto de comparación para otras industrias que empiezan a enfrentarse a requisitos similares.
Autenticación reforzada y prevención del fraude en transacciones digitales
La verificación de identidad en el momento del registro es solo el primer paso de un sistema de prevención del fraude que tiene que operar de forma continua durante toda la vida del cliente en la plataforma. La regulación europea sobre servicios de pago, específicamente la directiva PSD2 y sus normas de desarrollo técnico, introdujo el concepto de autenticación reforzada del cliente para las transacciones digitales por encima de ciertos umbrales. La autenticación reforzada exige que el usuario demuestre su identidad mediante al menos dos de tres factores: algo que sabe (una contraseña o un PIN), algo que tiene (un teléfono móvil o un token físico) y algo que es (una característica biométrica como la huella dactilar o el reconocimiento facial). Esa combinación de factores reduce significativamente el riesgo de que una transacción sea realizada por alguien que ha obtenido fraudulentamente las credenciales de otro usuario, porque obtener simultáneamente todos los factores de autenticación es mucho más difícil que obtener solo uno.
Más allá de la autenticación en el momento de la transacción, las plataformas digitales reguladas utilizan sistemas de monitorización continua del comportamiento de los usuarios para detectar patrones que puedan indicar fraude aunque la autenticación haya sido exitosa. Esos sistemas, conocidos como sistemas de detección de anomalías o de monitorización del comportamiento, analizan variables como la velocidad de las transacciones, los importes inusuales respecto al historial del cliente, el uso de la cuenta desde dispositivos o ubicaciones geográficas nuevas, y los patrones de navegación dentro de la plataforma. Cuando esos sistemas detectan comportamientos que se desvían del patrón habitual del usuario, generan alertas que pueden traducirse en solicitudes de verificación adicional, en bloqueos temporales de la cuenta o en revisiones manuales por parte del equipo de cumplimiento. La tecnología de detección de fraude basada en aprendizaje automático ha mejorado sustancialmente la capacidad de las plataformas para identificar comportamientos fraudulentos sin generar un número excesivo de falsos positivos que perjudiquen a los usuarios legítimos, aunque el equilibrio entre sensibilidad del sistema y experiencia del usuario sigue siendo uno de los retos técnicos más complejos del sector.
El reto de la identidad digital en Europa: hacia un estándar común
La Unión Europea ha reconocido que la fragmentación de los sistemas de identificación digital entre los estados miembros es un obstáculo para el mercado único digital, y ha trabajado en los últimos años para construir un marco común de identidad digital que permita a los ciudadanos europeos identificarse en servicios digitales de cualquier país de la UE con las mismas credenciales. El reglamento eIDAS, y su revisión conocida como eIDAS 2.0, establece los principios de ese sistema y prevé la creación de carteras de identidad digital europeas que los estados miembros deben poner a disposición de sus ciudadanos. España ha avanzado en la implementación del Cl@ve, su sistema de identidad digital, que ya permite a los ciudadanos acceder a servicios de la administración pública y a algunos servicios privados con credenciales verificadas. La extensión de ese sistema al sector privado en general, y a los operadores digitales regulados en particular, es un proceso que está en curso y que cuando esté completado simplificará significativamente los procesos de KYC para los usuarios que ya tengan su identidad verificada en el sistema estatal. El futuro de la verificación de identidad digital en España pasa por la integración de los sistemas de identificación públicos con los procesos de KYC de las empresas privadas reguladas, lo que reduciría la fricción para el usuario, aumentaría la seguridad para el operador y simplificaría la supervisión para el regulador. Ese triángulo de beneficios es el argumento principal que los promotores de la identidad digital unificada llevan años utilizando para convencer a los escépticos de que el coste de construcción de esos sistemas merece la inversión.
La verificación de identidad y la prevención del fraude online no son solo obligaciones regulatorias: son condiciones de posibilidad del comercio digital en su forma actual. Sin sistemas de identificación fiables y sin mecanismos robustos para detectar y prevenir el fraude, la confianza de los usuarios en las plataformas digitales se erosionaría de forma que ninguna cantidad de marketing podría compensar. La regulación en este ámbito no es una carga para las empresas que operan bien, sino una barrera de entrada que protege a los operadores serios de la competencia de quienes estarían dispuestos a operar sin las garantías que los usuarios y la sociedad tienen derecho a exigir. Esa es la lógica que subyace a toda la arquitectura normativa sobre identidad digital y fraude, y es la razón por la que las empresas con más experiencia en entornos regulados ven el cumplimiento normativo no como un coste sino como un activo competitivo.