Normas de monitorización de cuentas bancarias y la oportunidad RegTech en EAU

El debate británico gira en torno a un departamento gubernamental que quiere comprobar cuentas bancarias para detectar fraude y errores en las prestaciones sociales. Es una potestad del Estado, fijada por la legislación del Reino Unido y ejercida frente a un grupo concreto de solicitantes. Nada equivalente otorga a una empresa privada de los Emiratos Árabes Unidos el derecho a examinar la cuenta de nadie.

El caso del Reino Unido plantea al fundador una cuestión de diseño: ¿qué parte de la cadena de supervisión sería propiedad de mi empresa? Los bancos realizan la supervisión de transacciones porque están obligados a ello. Una empresa de software puede desarrollar herramientas que lo hagan más barato y más preciso. Lo que no puede es tomar prestada la autoridad del banco para ver los datos.

Esa línea determina la vía regulatoria. Conforme a la Open Finance Regulation del CBUAE (C 03/2025), una sociedad que obtiene datos de cuentas de clientes a través de las interfaces de los bancos necesita una Open Finance Licence, mientras que un proveedor que trabaja en virtud de un contrato con un banco es un caso distinto. Las presentaciones a inversores suelen fallar al describir un producto de proveedor con el lenguaje de una función regulada.

Gestión del consentimiento y de los permisos. El producto registra lo que un cliente ha aceptado, le permite retirarlo y conserva la pista de auditoría. Gestiona registros de consentimiento, no necesariamente los datos de cuenta subyacentes. Es lo más cercano a las normas de protección de datos, porque la obligación central es demostrar un consentimiento válido.

Software de monitorización vendido a entidades. En la práctica, el banco es el responsable del tratamiento y el proveedor trabaja conforme a su contrato. Las cuestiones de acceso, conservación, entrenamiento de modelos con datos de clientes y notificación de incidentes se resuelven en el contrato de servicios. Que el proveedor necesite o no alguna autorización depende exactamente de lo que haga, y es un punto que debe confirmarse con el regulador competente, no darse por supuesto.

Analítica de open finance. Aquí la empresa lee datos de cuentas de clientes a través de interfaces bancarias con el permiso del cliente. Es donde importa el marco de finanzas abiertas del CBUAE, y es el modelo con más probabilidades de necesitar su propia autorización. La guía independiente sobre la vía del proveedor de finanzas abiertas trata ese perímetro.

Herramientas de gestión de expedientes y de reporte regulatorio. Ayudan a los equipos de cumplimiento a documentar decisiones. El detalle que importa es si la herramienta solo registra decisiones humanas o empieza a tomarlas.

Un grupo puede operar varias de ellas bajo una misma marca, pero los contratos son distintos.

La ley federal de protección de datos personales se aplica al tratamiento realizado dentro o fuera de los Emiratos Árabes Unidos, total o parcialmente por medios electrónicos, y establece requisitos para la transferencia transfronteriza. El UAE Data Office, vinculado al Consejo de Ministros de los Emiratos Árabes Unidos, elabora las directrices y tramita las reclamaciones. Los titulares de los datos pueden solicitar su rectificación y pueden limitar o detener el tratamiento.

Para un producto de supervisión o de datos se derivan tres puntos prácticos. El consentimiento debe ser lo bastante específico para cubrir lo que el software hace realmente con los datos. La retirada del consentimiento debe funcionar en el producto, y no solo en las condiciones. Y un flujo de datos que salga de los EAU, hacia una región de nube o una matriz offshore, necesita una base documentada. Un proveedor de open finance con licencia se enfrenta a condiciones más estrictas. La Open Finance Regulation del CBUAE exige un consentimiento separado para cada finalidad, y la retirada debe ser tan sencilla como otorgarlo. También exige que los datos se almacenen en los EAU, salvo que el CBUAE haya aprobado el almacenamiento en el extranjero y el cliente lo haya aceptado por escrito después de ser informado de dónde se alojarán y por qué.

La ubicación añade una capa más. La página del Gobierno de los EAU sobre protección de datos cita la DIFC Data Protection Law (DIFC Law No. 5 of 2020) y la Dubai Data Law (Law No. 26 of 2015) junto con la ley federal. Una sociedad radicada en una free zone financiera puede, por tanto, responder ante un régimen de datos distinto del de una sociedad de la mainland, y una sociedad que atienda a clientes en ambas puede verse sujeta a los dos. La página federal no explica cómo interactúan, por lo que la posición de su propia estructura debe confirmarse con la autoridad de la zona y con el regulador pertinente antes de comprometerse con una ubicación.

Una empresa mainland resulta adecuada para un negocio que vende principalmente a bancos y grandes empresas de los UAE y que no desea límite territorial respecto de con quién contrata. Una empresa free-zone puede funcionar bien para un negocio tecnológico con una base de clientes regional, siempre que la actividad de la licencia de la zona corresponda a servicios de software y de datos y que los contratos se celebren con la entidad adecuada.

Para un proveedor de RegTech, las pruebas prácticas son distintas de las de una empresa comercial. ¿Puede la licencia describir con exactitud el desarrollo de software y el tratamiento de datos? ¿Aceptará el equipo de compras de un banco a la entidad como proveedor? ¿Dónde trabajará el personal y qué visados de residencia para el equipo fundador admite esa ubicación? ¿Dónde se alojarán físicamente los datos?

Un precio de constitución bajo importa poco si la actividad de la licencia debe modificarse más adelante porque el producto resultó afectar a datos regulados. Fije primero el perímetro del producto y compare después las ubicaciones, que es el orden descrito en cómo funciona Velarozone.

Los fundadores suelen considerar la banca como una tarea posterior a la constitución. En este sector es también el proceso de venta. Un banco que compra software de monitorización, o un banco que abre su propia cuenta corporativa, querrá ver un panorama coherente.

Cabe esperar preguntas sobre quién es el propietario de la sociedad y quién controla el código, dónde se almacenan los datos de los clientes y quién puede acceder a ellos, cómo se prueba el modelo y cómo se gestionan los falsos positivos, y qué ocurre tras una brecha de seguridad. En cuanto a la titularidad, la guía del CBUAE espera que el banco identifique y verifique a toda persona física que posea o controle el 25 % o más de una sociedad cliente. Cuando nadie alcanza el 25 %, identifica en su lugar al alto directivo. Los bancos preguntarán también si su equipo cuenta con experiencia en cumplimiento normativo, porque el producto solo es tan creíble como el equipo que lo respalda.

Las alertas automatizadas plantean una preocupación específica. Si un modelo señala una cuenta y un analista se limita a aceptar la señal, la decisión es, en la práctica, automatizada. Los clientes regulados prefieren herramientas que permitan un juicio humano documentado. Incorporarlo al flujo de trabajo desde el principio es más barato que adaptarlo después de que un banco lo exija.

La vía de la plataforma RegTech de KYC y AML coincide en gran medida con la supervisión. Sus compradores son los mismos equipos de cumplimiento, por lo que se aplica la misma diligencia debida sobre el proveedor.