KYC y compliance inmobiliario en Europa: lo que debes saber en 2026
AMLD6, AMLR y SEPBLAC: qué exige la normativa a inmobiliarias y plataformas, los errores que acaban en sanción y cómo automatizar la verificación.
En 2024 se abrieron más de 40 expedientes sancionadores contra promotoras y agencias inmobiliarias españolas por deficiencias en sus controles de prevención de blanqueo, con multas que sumaron más de 32 millones de euros, un récord histórico. La supervisión corre a cargo del SEPBLAC (el Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales, la autoridad supervisora española en esta materia), y las sanciones las impone la Comisión de la que depende. En la mayoría de los casos, el problema no era que las empresas no recogiesen documentación de sus clientes: la recogían sin verificarla de forma efectiva.
El sector inmobiliario lleva años en el punto de mira del regulador europeo. Las sucesivas directivas contra el blanqueo de capitales, desde la cuarta (AMLD4) hasta el paquete de 2024, han ido ampliando las obligaciones de los operadores. Ya no basta con ser "intermediario": si gestionas cobros, administras propiedades o captas inversores, eres sujeto obligado (una entidad legalmente obligada a aplicar medidas de prevención del blanqueo: identificar clientes, verificar titulares reales y comunicar operaciones sospechosas).
Este artículo explica qué exige la normativa en 2026, qué cambia con el paquete europeo de 2024, qué errores cuestan más caro, y cómo automatizar el proceso sin perder el control.
1. Por qué el sector inmobiliario está en el punto de mira
El inmobiliario no es un sector más en la normativa contra el blanqueo. Es un sector de alto riesgo expresamente señalado en las evaluaciones del GAFI (el Grupo de Acción Financiera Internacional, el organismo que fija los estándares globales de prevención y cuyas recomendaciones determinan las regulaciones de la UE) y en los informes nacionales de riesgo de España, Francia, Alemania y Países Bajos.
Las razones son estructurales. Las transacciones inmobiliarias mueven cantidades elevadas: un solo alquiler comercial puede superar los 500.000 euros anuales, y una compraventa alcanza fácilmente los millones. Los fondos pueden proceder de múltiples jurisdicciones, a menudo a través de estructuras societarias complejas con beneficiarios efectivos difíciles de rastrear (el beneficiario efectivo o UBO, Ultimate Beneficial Owner, es la persona física que realmente posee o controla la sociedad). Y, históricamente, el sector ha operado con procesos de verificación más laxos que la banca.
El SEPBLAC ha señalado reiteradamente que la verificación insuficiente del origen de los fondos es la debilidad más común en el sector inmobiliario español. No es una recomendación: es el hallazgo más frecuente en las inspecciones que terminan en sanción.
2. El paquete AML de 2024: qué exige la normativa europea
Hasta ahora, cada estado miembro transponía las directivas antiblanqueo a su manera, con diferencias que las estructuras opacas explotaban. El paquete aprobado en 2024 cambia el modelo: parte de las reglas pasan a un reglamento de aplicación directa, idéntico en toda la UE.
Las piezas y sus fechas:
| Norma | Qué es | Fecha clave | Qué significa para ti |
|---|---|---|---|
| AMLR (Reglamento (UE) 2024/1624) | Reglamento único de obligaciones AML, directamente aplicable sin transposición | Aplicación general desde julio de 2027 | Reglas idénticas de KYC, UBO y diligencia debida en toda la UE; las plataformas de financiación participativa entran como sujetos obligados |
| AMLD6 (Directiva (UE) 2024/1640) | Directiva sobre mecanismos nacionales: supervisores, registros, unidades de inteligencia financiera | Transposición prevista para 2027 | Registros de titularidad real más exigentes y supervisión más intrusiva |
| Reglamento AMLA | Crea la Autoridad Europea de Lucha contra el Blanqueo, con sede en Fráncfort | Operativa desde 2025, supervisión directa de entidades de riesgo desde 2028 | Un supervisor europeo que armoniza criterios y eleva el listón de las inspecciones nacionales |
Sobre este calendario, tres pilares de obligaciones que ya existen hoy bajo AMLD5 (en vigor desde 2018) y que el paquete endurece:
Identificación y verificación del cliente (KYC). Toda empresa sujeta debe identificar formalmente a sus clientes (inquilinos de alto valor, inversores, compradores) y verificar su identidad mediante documentos fiables. "Fiable" significa documentos oficiales con elementos de seguridad verificables, no una fotocopia del pasaporte enviada por email.
Identificación del beneficiario efectivo (UBO). Cuando el cliente es una sociedad, un fondo o un vehículo fiduciario, hay que identificar a las personas físicas que poseen o controlan más del 25% (umbral general en la UE, que el AMLR mantiene con reglas de cómputo más estrictas). Los registros de titularidad real están operativos en la mayoría de estados miembros, pero la empresa no puede depender exclusivamente de ellos: debe verificar la información de forma independiente. Hemos publicado una guía de verificación KYB de empresas en el sector inmobiliario que desarrolla este proceso paso a paso.
Supervisión continua. La verificación no es un acto puntual. La normativa exige mantener actualizados los datos de los clientes y monitorizar las transacciones en busca de patrones sospechosos. Un inquilino que firma un alquiler de 2.000 euros mensuales y empieza a realizar pagos adicionales significativos fuera de contrato es el ejemplo clásico de actividad que debe activar una revisión.
Dos fechas más para tu calendario de compliance: los registros de titularidad real inmobiliaria (que permitirán a las autoridades rastrear la propiedad efectiva de inmuebles, no solo de sociedades) deben estar operativos en 2029. Y no esperes a 2027 para actuar: el SEPBLAC inspecciona y sanciona con la normativa vigente, no con la futura.
3. El cambio que afecta a las plataformas: sujetos obligados en 2027
Si operas una plataforma de financiación participativa, un club deal o un vehículo de inversión fraccionada, el paquete de 2024 te cambia la categoría regulatoria. El AMLR incluye expresamente a los proveedores de servicios de financiación participativa entre los sujetos obligados. A partir de julio de 2027, tu plataforma tendrá las mismas obligaciones de KYC, verificación de UBO y comunicación de operaciones sospechosas que hoy aplican a bancos y gestoras.
Las implicaciones son profundas. Una plataforma que capta 400 aportaciones de 5.000 euros por proyecto necesita verificar la identidad y el origen de fondos de 400 personas por proyecto, con expediente auditable de cada una. Hacerlo a mano no escala, y hacerlo mal deja de ser un riesgo reputacional para convertirse en una infracción tipificada. Analizamos el detalle en nuestro artículo sobre las PFPs como sujetos obligados y en la guía práctica del AMLR 2027 para crowdfunding.
El error estratégico sería tratarlo como un problema de 2027. Los procesos de verificación, los proveedores de datos y los flujos de onboarding no se montan en un trimestre. Las plataformas que lleguen a julio de 2027 con el sistema rodado tendrán una ventaja operativa y comercial sobre las que improvisen.
4. KYC para inquilinos vs. inversores: dos procesos diferentes
No todos los clientes requieren el mismo nivel de verificación. La normativa sigue un enfoque basado en riesgo (risk-based approach): la profundidad del KYC debe ser proporcional al riesgo de cada relación comercial.
| Dimensión | Inquilino residencial (riesgo estándar) | Inversor o comprador (riesgo elevado) |
|---|---|---|
| Nivel de diligencia | Simplificada (SDD): verificación básica para relaciones de bajo riesgo | Reforzada (EDD): investigación profunda cuando el riesgo es mayor |
| Identidad | DNI o pasaporte con verificación documental | Identidad completa más estructura societaria si aplica |
| Origen de fondos | Verificación básica de solvencia | Acreditación documental del origen del dinero |
| UBO | Solo si actúa mediante sociedad | Identificación completa del beneficiario efectivo |
| Screening | Listas de sanciones y PEP en el alta | Sanciones, PEP y medios adversos, con revisión periódica |
| Umbral de alerta | Alquileres desde 10.000 euros mensuales o 120.000 anuales (umbral de sujeto obligado en intermediación de arrendamientos) u operativa societaria | Jurisdicciones de alto riesgo GAFI, estructuras en cascada, pagos de terceros |
PEP significa Persona Expuesta Políticamente: cargos públicos y su entorno cercano, sujetos a un escrutinio reforzado por su mayor exposición a la corrupción.
La clave transversal es documentar el proceso. No basta con hacer las comprobaciones: hay que demostrar que se han hecho, cuándo, con qué fuente y con qué resultado. En una inspección, un control no documentado es un control que no existe.
5. Los errores más comunes (y más caros)
Los expedientes sancionadores del SEPBLAC y de sus equivalentes europeos revelan un patrón recurrente:
Recoger documentos sin verificarlos. Tener una copia del pasaporte en el expediente no es KYC, es archivo. KYC implica que alguien (o un sistema automatizado) ha comprobado que el documento es auténtico, que los datos coinciden y que la persona es quien dice ser.
No actualizar la información del UBO. Una sociedad que invirtió hace tres años puede haber cambiado de estructura accionarial. Si no has actualizado los datos del beneficiario efectivo, estás incumpliendo la obligación de supervisión continua.
Ignorar el screening periódico de PEP. Las bases de datos de PEP cambian constantemente. Un inversor que no era PEP cuando firmó puede serlo ahora. El screening debe ser periódico, no puntual.
No monitorizar transacciones. Cobrar alquileres no exime de supervisar patrones. Pagos irregulares, cambios frecuentes en las cuentas de origen o importes que no cuadran con el perfil del cliente son señales que la normativa obliga a investigar.
Procesos manuales que no escalan. Una gestora con 50 inmuebles puede sostener el cumplimiento con hojas de cálculo. Con 500, los errores se multiplican, los plazos se incumplen y la exposición a sanciones crece en proporción. Lo mismo aplica a una plataforma que pasa de 50 a 500 inversores por proyecto.
6. Cómo automatizar el KYC sin perder el control
Automatizar el KYC no significa delegar el criterio. Significa eliminar las tareas repetitivas (comprobación de documentos, screening de listas, generación de informes) para que el equipo de compliance se concentre en las decisiones que requieren juicio humano.
Verificación de identidad por API. Servicios que integran OCR (reconocimiento óptico de caracteres) para leer documentos de identidad, comprobación biométrica con prueba de vida (liveness detection, la verificación de que quien presenta el documento es una persona real y su titular) y validación cruzada contra bases de datos oficiales. El proceso tarda segundos y genera un expediente auditable automáticamente.
Screening automatizado de PEP y sanciones. Conexión a bases de datos actualizadas en tiempo real que verifican a cada cliente contra listas de sanciones internacionales, listas de PEP y medios adversos. El resultado es una puntuación de riesgo que alimenta tu política de aceptación.
Informes listos para auditoría. Cada verificación genera un registro con fecha, resultado, fuente de datos y decisión tomada. Cuando el SEPBLAC o tu auditor externo piden evidencia, el informe existe sin reconstrucción manual.
Integración con el flujo de cobro. El KYC aislado del pago genera fricción doble: el cliente se verifica en un sitio y paga en otro, y tú concilias a mano. Cuando la verificación y el cobro comparten infraestructura, el alta del inversor, su screening y su primera aportación forman un solo flujo con una sola pista de auditoría. Nuestra guía de cobros inmobiliarios en España explica cómo encajan las piezas.
UrbanPay integra estas capacidades en una sola plataforma: API de verificación de identidad con KYC y KYB, screening de sanciones y PEP en tiempo real, e informes listos para auditoría. El resultado: de una verificación manual de 30 minutos por cliente a un proceso automatizado en segundos, sin sacrificar el control ni la trazabilidad que exige la normativa.
7. Framework de decisión: cómo evaluar un proveedor de KYC
Antes de contratar, somete a cualquier proveedor a estas seis preguntas. Menos de cinco síes indican una herramienta de captura de documentos, no un sistema de cumplimiento.
- ¿Verifica o solo recoge? ¿El sistema valida la autenticidad del documento y la correspondencia biométrica, o solo almacena archivos subidos?
- ¿Cubre KYB y UBO? ¿Puede desplegar la estructura societaria de un inversor persona jurídica hasta las personas físicas, con fuentes registrales verificables?
- ¿El screening es continuo? ¿Revisa sanciones y PEP de forma periódica sobre toda la cartera, o solo en el alta?
- ¿Genera expediente auditable? ¿Cada verificación queda registrada con fecha, fuente y resultado, exportable para una inspección?
- ¿Se integra por API con tu operativa? ¿El resultado del KYC puede condicionar automáticamente el siguiente paso (firma, cobro, liberación de fondos)?
- ¿El coste escala con tu volumen? ¿El precio por verificación baja con el volumen, o pagarás lo mismo por la verificación 10.000 que por la primera?
8. El coste de no hacer nada
El coste real de un expediente sancionador por deficiencias en KYC no es la multa. Es que tu banco cierre tu cuenta. Es que los inversores institucionales dejen de confiar en tu gestora. Es que tu póliza de responsabilidad civil te deje sin cobertura cuando más la necesitas.
Las multas son la parte visible. El régimen español (artículos 56 a 58 de la Ley 10/2010) clasifica las sanciones en tres niveles: infracciones leves (multa de hasta 60.000 euros), graves (desde 60.001 euros hasta la mayor de estas cifras: el 1% del patrimonio neto, el contenido económico de la operación más un 50%, o 150.000 euros) y muy graves (desde 150.000 euros hasta la mayor de: el 10% del volumen de negocios anual, el duplo del contenido económico de la operación o 10.000.000 de euros, con multas personales a directivos de hasta 10.000.000 de euros). Pero los daños colaterales superan cualquier multa:
Pérdida de la relación bancaria. Los bancos españoles están cerrando cuentas de empresas inmobiliarias que no pueden demostrar procedimientos de KYC adecuados. Abrir una nueva cuenta con un expediente sancionador es exponencialmente más difícil.
Cobertura de seguro. Las pólizas de responsabilidad profesional excluyen cada vez más los eventos relacionados con deficiencias en la prevención del blanqueo. Un siniestro que coincida con un incumplimiento de KYC puede quedar sin cobertura.
Coste reputacional. Los expedientes sancionadores del SEPBLAC son públicos. Un inversor institucional que descubre que tu empresa ha sido sancionada tiene una razón objetiva para buscar otro gestor.
Pongamos números. Para una gestora que administra 200 viviendas con una facturación anual de 2 millones de euros, una sanción grave (de 60.001 a 150.000 euros en su tramo fijo) representa entre el 3% y el 7,5% de sus ingresos anuales, y el suelo de una sanción muy grave (150.000 euros) ya supone el 7,5%, sin contar las multas personales a los directivos. Frente a ese riesgo, un sistema de KYC automatizado (entre 5.000 y 25.000 euros anuales según volumen) es una fracción insignificante. Y en el caso de una plataforma de inversión, la aritmética es aún más contundente: verificar manualmente 400 inversores por proyecto a 30 minutos por expediente son 200 horas por captación; automatizado, el mismo trabajo cuesta unos 1.000 euros en verificaciones y cero horas de tu equipo.
Preguntas frecuentes
¿Mi inmobiliaria ya es sujeto obligado o eso llega en 2027?
Los promotores y agentes inmobiliarios son sujetos obligados desde hace años bajo la normativa vigente (en España, la Ley 10/2010 y sus desarrollos). Lo que llega en 2027 con el AMLR es la ampliación del perímetro (incluyendo plataformas de financiación participativa) y la armonización de las reglas en toda la UE.
¿Qué diferencia hay entre KYC y KYB?
KYC (Know Your Customer) verifica a personas físicas: identidad, documento, screening. KYB (Know Your Business) verifica a personas jurídicas: existencia de la sociedad, poderes de representación y, sobre todo, la cadena de titularidad hasta el beneficiario efectivo.
¿Puedo apoyarme solo en el registro de titularidad real para el UBO?
No. La normativa exige que el sujeto obligado no dependa exclusivamente del registro: debes contrastar la información con fuentes independientes y documentar la verificación.
¿Cada cuánto tengo que actualizar el KYC de un cliente existente?
Según el riesgo: como referencia práctica, anual para clientes de riesgo alto y cada dos o tres años para riesgo estándar, además de cualquier evento que altere el perfil (cambio societario, operación inusual, aparición en listas).
¿La verificación automatizada es válida ante el SEPBLAC?
Sí, siempre que el proceso cumpla los requisitos de identificación no presencial de la normativa española (verificación documental con garantías, prueba de vida) y genere un expediente auditable. Lo que el supervisor evalúa es la eficacia y la trazabilidad del control, no si lo ejecuta una persona o un sistema.