Sí —crear un exchange en España implica obligaciones claras de prevención de blanqueo y conocer al cliente (AML/KYC). Lo que determina si cumples son: si ofreces custodia o intercambio, cómo tratas los datos y la procedencia de fondos, y si te registras ante la autoridad competente. Primer paso: identificar el modelo de negocio y documentarlo por escrito para saber qué obligaciones te aplican.
Compara abogados especializados y elige con calma. Análisis de tu caso gratuito.
Ver abogados Sin compromiso · Gratis
Cuando planteas montar un exchange, lo determinante no es tanto el nombre como las funciones que ofreces. Hay tres factores que definen si te obligan las reglas AML/KYC: 1) custodias o controlas claves privadas de usuarios; 2) facilitas operaciones de intercambio entre criptoactivos y monedas fiat o entre criptoactivos distintos; 3) prestas servicios de intercambio profesionalizado. Si cumples alguna de estas funciones, la normativa de prevención de blanqueo y financiación del terrorismo te vincula: exige identificar clientes, supervisar transacciones y adoptar medidas organizativas. El segundo factor es la naturaleza del cliente: personas físicas, profesionales o entidades vigiladas generan obligaciones adicionales. Y el tercero es el riesgo ligado a los activos y jurisdicciones de origen de fondos: operaciones con países de alto riesgo requieren controles reforzados.
Si tú no haces custodia y solo ofreces software peer-to-peer sin intervención en claves ni en flujos de fondos, podrías tener un perfil regulatorio distinto. Pero esa arquitectura técnica debe quedar acreditada por escrito: una promesa verbal no basta ante un requerimiento de la autoridad.
1) Definir y documentar el modelo de negocio. Haz un diagrama de flujo que muestre quién controla claves, quién procesa órdenes, y cómo entran y salen las monedas fiat. Guarda las pruebas: contratos con proveedores de custodia, pasarelas de pago y documentación técnica. Esto lo puedes preparar internamente, pero si el proyecto espera volumen o inversores, lo revisa un especialista.
2) Registrar la actividad ante el órgano supervisor correspondiente si procede. Identifica si tu entidad encaja en las definiciones de proveedor de servicios sobre activos virtuales (PSAV) y, en caso afirmativo, prepara la solicitud y la documentación exigida por la autoridad. Reúne estatutos, identificación de los apoderados, manuales de procedimientos y políticas AML.
3) Implantar políticas y procedimientos AML/KYC. Redacta un manual con la política de aceptación de clientes, procedimientos de debida diligencia simplificada y reforzada, verificación de identidad (documentos oficiales, prueba de domicilio), medidas de monitorización de transacciones y anclaje de la tipología de alertas. Incluye protocolos de conservación de registros y gestión de incidencias.
4) Designar un responsable de cumplimiento (compliance) y establecer órganos internos. Nombrar a quien responda del cumplimiento y crear comités de prevención. En empresas de cierto tamaño es imprescindible un oficial de cumplimiento con perfil técnico y legal.
5) Implantar soluciones técnicas. Selecciona herramientas de verificación de identidad (KYC), listas de sanciones y filtrado de PEPs, y sistemas de monitorización de transacciones cripto (blockchain analytics). Exige exportación y almacenamiento seguro de los logs y comunicaciones. Exporta los chats y comprobantes, no confíes en capturas.
6) Contratar servicios auxiliares. Proveedores de custodia, procesadores de fiat y asesores fiscales y legales deben firmar acuerdos que delimiten responsabilidades. Revisa cláusulas de subcontratación y asegura que el proveedor cumple las mismas obligaciones AML.
7) Formación y auditoría. Forma al personal con sesiones prácticas y registra las asistencias. Programa auditorías internas periódicas para verificar la efectividad de los controles y corregir desviaciones.
Qué puedes hacer tú hoy: redacta el diagrama de flujo de tu servicio, reúne los contratos con proveedores y copia de los procedimientos técnicos. Qué hará un profesional: validar el encaje regulatorio, preparar la solicitud de registro y redactar la política AML/KYC.
1) Se arregla con una carta o ajuste operativo. A menudo la falta es documental: la autoridad pide que complementes registros o que concretes la responsabilidad sobre custodia. Un ajuste operativo y la presentación de documentación pueden evitar sanciones mayores.
2) Acuerdo con la autoridad o con tu proveedor. Si detectan incumplimientos parciales, puedes negociar medidas correctoras, multas reducidas y programas de supervisión. Aceptar corregir procesos y financiar auditorías externas puede ser mejor que una disputa prolongada.
3) Procedimiento sancionador o cierre. En incumplimientos graves puede iniciarse un procedimiento sancionador que conlleve sanciones económicas y medidas cautelares (por ejemplo, prohibición temporal de actividad). Si un proveedor externo incumple y tú has delegado funciones sin control, la responsabilidad puede recaer sobre la entidad que figura como operador del mercado.
Y si ganas, ¿cobras? En materia administrativa, «ganar» suele significar que la sanción se reduce o se anula, pero la autoridad puede imponer medidas de cumplimiento que suponen costes. En vía civil o penal, que exista sentencia a tu favor no garantiza recuperar gastos operativos ni reputación dañada; la recuperación económica depende de la solvencia de la parte contraria.
La primera política AML y el diagrama de responsabilidades puedes redactarlos internamente, y en muchos casos eso bastará para iniciar la actividad. Necesitarás un abogado cuando haya dudas sobre el encaje regulatorio, para preparar la solicitud de registro ante la autoridad o si te requieran información en un procedimiento sancionador. Si te ofrecen un acuerdo con la autoridad o con un proveedor, consulta: es el momento en que un abogado suele pagarse solo. Si cumples los requisitos de acceso a la justicia gratuita, también puedes solicitar asesoramiento por ese canal.
Otros problemas frecuentes en abogados especializados en blockchain y criptoactivos
No siempre. No custodiar claves reduce obligaciones, pero la normativa mira la función real: si controlas flujos, ofreces matching de órdenes o procesas pagos, podrías seguir entrando en el ámbito de proveedores de servicios de activos virtuales. Documenta y demuestra la arquitectura técnica.
Sí, siempre que la verificación sea robusta: comprobación de documento oficial con tecnología de reconocimiento, cotejo con bases de datos y pruebas añadidas cuando el riesgo lo exige. Guarda los datos verificados y el justificante de la verificación.
Depende del riesgo. Las operaciones rutinarias pueden monitorizarse por patrones; las transferencias desde direcciones vinculadas a actividades ilícitas requieren diligencia reforzada. Usa herramientas de análisis de blockchain para identificar orígenes sospechosos.
Sí, pero debes verificar que el proveedor cumple requisitos equivalentes y que te permite auditar y conservar registros conforme a la normativa española. La responsabilidad final ante la autoridad sigue siendo tuya.
Debes filtrar clientes contra listas oficiales de sanciones y PEPs; el procedimiento ha de estar documentado y actualizado. Si aparece una coincidencia, activa la diligencia reforzada y, si procede, rechaza o bloquea la operación.
Te conectamos con los mejores abogados especializados. Consulta gratuita y sin compromiso.
