Guía
Plataforma RegTech, KYC y AML en los EAU: normas de externalización
La respuesta corta
Una plataforma de RegTech, KYC o AML no suele estar licenciada como tal por sí misma. La sociedad se registra por la vía ordinaria, a través del Dubai Department of Economy and Tourism (DET), de una free zone o de una autoridad de financial free zone. El cliente cambia el panorama. Cuando una entidad financiera licenciada se apoya en la plataforma para sus comprobaciones de AML/CFT, el regulador de esa entidad trata la disposición como una externalización y hace responsable de ella a la entidad, no al proveedor. Ese regulador puede ser el Central Bank of the UAE (CBUAE), la Dubai Financial Services Authority (DFSA, DIFC), la Financial Services Regulatory Authority (FSRA, ADGM), la Capital Market Authority (CMA, antes Securities and Commodities Authority) o la Virtual Assets Regulatory Authority (VARA, Dubái). La cuestión que determina la vía es si la plataforma se limita a suministrar software o si además toma la decisión: cerrar una alerta, resolver un expediente, presentar un informe.
Quién decide, y de qué depende el perímetro
Ningún regulador único de los UAE emite una "licencia de RegTech". La actividad comercial depende del DET o de una free zone. El peso regulatorio recae en la autoridad que supervisa al comprador: un banco o una casa de cambio responde ante el CBUAE, una firma del DIFC ante la DFSA, una firma de ADGM ante la FSRA, una firma del mercado de capitales ante la CMA, un proveedor de servicios de activos virtuales ante VARA. Cada una espera que su entidad licenciada realice una diligencia debida sobre cualquier función externalizada y conserve derechos de auditoría sobre el proveedor. La plataforma rara vez es la parte regulada; el contrato que hace responsable de ella al cliente es lo que estos reguladores acabarán pidiendo ver.
Por separado, y con independencia de qué regulador financiero se aplique, la Personal Data Protection Law federal cubre el tratamiento de datos personales «ya sea en su totalidad o en parte mediante sistemas electrónicos, dentro o fuera del país». Prohíbe el tratamiento sin el consentimiento del titular, con excepciones limitadas, y otorga a las personas el derecho a corregir o restringir el tratamiento de sus datos. Una plataforma que maneja pasaportes, selfies o historiales de transacciones está tratando datos personales en virtud de esta ley, sea cual sea su licencia.
Qué comprueba realmente el equipo de cumplimiento de un comprador
La diligencia de compra, no la constitución, es donde se estancan las ventas de RegTech. Un comprador regulado quiere ver:
- De dónde proceden los datos subyacentes y si la plataforma tiene derechos duraderos para usarlos
- Si una persona revisa los casos disputados, o si el modelo decide en solitario
- Dónde se alojan los datos y dónde está ubicado el personal de soporte
- Cómo se miden y se registran los falsos positivos y los cambios del modelo
- Qué ocurre con un expediente de caso cuando el propio regulador del comprador lo solicita
El UAE Cyber Security Council gestiona una National Cybersecurity Strategy a cinco años, aprobada en 2025, y un National Cyber Security Accreditation Program, una vía de certificación para estandarizar la práctica de ciberseguridad. Ninguno de los dos es un filtro obligatorio para todos los proveedores, pero en la revisión de seguridad de un comprador cada vez se pregunta más dónde se sitúa una plataforma respecto a ese programa, en particular para cualquier cosa que afecte a datos biométricos.
Cómo se mueven el dinero y la responsabilidad a través del producto
La cuenta bancaria propia de una sociedad de RegTech suele ser la primera cuestión bancaria y la más sencilla: el negocio necesita una cuenta operativa como cualquier empresa de software, y la documentación que pide un banco es similar (titularidad, origen de los fondos de los fundadores y una descripción clara de lo que el producto hace con los datos de los clientes). Trabajar pronto en la preparación de la cuenta bancaria evita que la cuenta sea lo último que se resuelve antes del lanzamiento.
Eso cambia en el momento en que el producto deja de ser puro software. Las mismas preguntas que determinan quién recibe o controla el dinero en una fintech se aplican aquí: una herramienta que custodia fondos de clientes, inicia un pago o concede crédito es una actividad regulada distinta, y ninguna preparación de la cuenta bancaria convierte una licencia comercial en permiso para hacerlo. Mantenga separadas las dos cuestiones: si esta sociedad puede operar con un banco, y si ella, y no su cliente, llega a tocar dinero del cliente. La segunda, cuando se plantea, necesita su propia autorización o un patrocinador.
Propiedad, sustancia y los puestos que comprueba un comprador
La estructura de grupo puede situar la tecnología, la propiedad intelectual y cualquier función con licencia en entidades separadas, siempre que cada una tenga un papel real. El equipo legal de un comprador preguntará quién es propietario del modelo y del flujo de datos, quién figura en el contrato, y quién es responsable si un resultado de cribado es erróneo. Cuando la propiedad se reparte entre más de una jurisdicción, trabájelo como propiedad regulada y compleja antes de que un equipo de diligencia lo someta a prueba. El caso por escrito pertenece al plan de negocio de apoyo, y no debe reunirse después de que se plantee la pregunta.
Qué suele salir mal
- Extraer o comprar datos sin un derecho duradero a usarlos para el cribado
- Describir la herramienta como algo que hace que un cliente sea «conforme», en lugar de algo que apoya una decisión que sigue siendo del cliente
- Usar datos biométricos sin haber trabajado antes los requisitos de consentimiento y finalidad de la ley de protección de datos
- Mantener a un equipo de revisión offshore o a un subencargado fuera del contrato y fuera del expediente de diligencia del comprador
Comparar las tarifas de constitución es el error temprano más habitual. El coste que importa es la vía completa: la entidad, cualquier licencia de datos y garantía de seguridad que exija un comprador, y lo que cuesta añadir más adelante una capa de revisión gestionada si el modelo solo-software resulta no ser suficiente. Velarozone tarifica ese conjunto completo en lugar de una cifra de constitución, y expone sus propios honorarios tal y como describe cómo trabaja Velarozone.
