Fraude de identidad sintética: cómo la IA fabrica documentos KYC

El fraude de identidad sintética consiste en construir un perfil ficticio combinando datos personales reales —número de documento, fecha de nacimiento, dirección verificable— con información inventada para crear una identidad que no corresponde a ninguna persona real. Los modelos de inteligencia artificial generativa han reducido el tiempo necesario para fabricar un perfil sintético convincente de varias semanas a pocas horas. Las pérdidas anuales globales derivadas del fraude de identidad sintética se estiman en más de 20.000 millones de dólares, siendo el sector financiero el principal afectado, según el informe conjunto de Europol e Interpol de 2024 (Europol, IOCTA 2024).

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias normativas corresponden al estado del derecho a 13 de mayo de 2026.

En el sector bancario, el 5,1 % de los expedientes KYC procesados por nuestra plataforma presentan indicadores de fraude de identidad — una tasa que ha crecido casi dos puntos porcentuales en dieciocho meses impulsada por la disponibilidad de herramientas generativas accesibles sin conocimientos técnicos especializados. Comprender los mecanismos de fabricación, las señales de alerta y el marco normativo aplicable es hoy una condición operativa ineludible para las entidades sujetas a las obligaciones de prevención del blanqueo.

Qué es el fraude de identidad sintética

El fraude de identidad sintética se distingue claramente del robo de identidad tradicional. En el robo clásico, el defraudador suplanta a una persona real que sufre un perjuicio directo. En el fraude sintético, crea una entidad nueva que puede acumular un historial financiero durante meses antes de ser detectada, precisamente porque no existe ninguna víctima directa que denuncie la anomalía.

Las tipologías más comunes son:

Identidad puramente sintética: todos los datos son inventados — DNI ficticio, nombre, apellidos, dirección, fecha de nacimiento. Estos perfiles son los más vulnerables a la validación cruzada contra registros oficiales, pero pueden sobrevivir durante meses en sistemas con controles insuficientes.

Identidad híbrida: el defraudador toma un número de documento real —perteneciente a un menor, un fallecido o un extranjero no residente— y lo asocia a un nombre ficticio y documentación de soporte generada por IA. El número supera los controles de formato; la identidad no corresponde al titular real. Es la variante más común en el fraude de incorporación financiera.

Identidad manipulada: un documento real es alterado mediante herramientas de inpainting o edición de imágenes IA para cambiar el nombre, la fotografía o la fecha de nacimiento, conservando los elementos auténticos —holograma, microimpresión, número de documento.

El Grupo de Acción Financiera Internacional (GAFI/FATF) identifica el fraude de identidad sintética como tipología prioritaria en su guía 2024-2025 sobre identidad digital, señalando su papel central en esquemas de blanqueo de capitales a través de cuentas abiertas de forma remota (FATF, Digital Identity Guidance 2024).

Cómo la IA fabrica documentos KYC convincentes

La accesibilidad de modelos generativos de alta calidad ha elevado sustancialmente la sofisticación del fraude documental.

Documentos de identidad generados por GAN y modelos de difusión

Las redes generativas adversariales (GAN) y los modelos de difusión latente producen imágenes de DNI, pasaportes y permisos de conducir que reproducen con alta fidelidad visual los formatos oficiales españoles: composición, tipografía, zonas de seguridad, fotografía de rostro sintético. La Agencia de la Unión Europea para la Ciberseguridad (ENISA) catalogó más de 40 variantes de herramientas de generación de documentos de identidad falsos accesibles en mercados de la dark web durante 2024 (ENISA Threat Landscape 2024).

La fotografía de rostro se genera mediante modelos especializados —StyleGAN3, DALL-E 3, Stable Diffusion— produciendo un rostro fotorrealista que no pertenece a ninguna persona real. Los algoritmos de checksum utilizados en el DNI español (letra del NIF, dígito de control del NIE) son calculados correctamente por las herramientas de fabricación, superando las validaciones de formato básicas.

Documentación financiera generada por modelos de lenguaje

Los modelos de lenguaje de gran escala (LLM) generan nóminas, extractos bancarios, declaraciones de la renta e informes de vida laboral sintácticamente correctos y coherentes con los formatos oficiales españoles. Un servicio LLM disponible en foros criminales por menos de 200 euros al mes produce una nómina con los códigos de cotización correctos, las bases reguladoras adecuadas y un número de empresa TGSS plausible en menos de tres minutos.

La debilidad principal de los dossiers sintéticos actuales es la coherencia entre documentos: mantener una consistencia perfecta entre nómina, extracto bancario y declaración de la renta del mismo perfil ficticio supera las capacidades de los generadores no especializados.

Indicadores de detección por tipo de documento KYC

Detección de identidades sintéticas: métodos y umbrales

Identificar una identidad sintética exige controles técnicos, semánticos y conductuales en capas. Ningún método aislado es suficiente.

Análisis forense de documentos

La plataforma CheckFile analiza cada documento en cinco niveles: metadatos técnicos (software de creación, cadena de compresión), artefactos visuales (patrones GAN, firmas de ruido de difusión), integridad de zonas de seguridad (checksums MRZ, validación de formato), autenticidad de la fotografía, y cruce con registros oficiales. La plataforma CheckFile detecta el 94,8 % de los documentos fraudulentos, con una tasa de falsos positivos del 3,2 %. Para entidades financieras con alto volumen de incorporaciones, esta precisión reduce sustancialmente el coste operativo de las revisiones manuales.

El análisis semántico entre documentos constituye el segundo filtro de seguridad: una nómina con una empresa no inscrita en el Registro Mercantil, combinada con un extracto de un banco extranjero y un domicilio no localizable en el Callejero Digital, debe activar la diligencia reforzada independientemente de la calidad visual de los documentos individuales.

Controles conductuales y de coherencia de perfil

Las identidades sintéticas presentan patrones de uso característicos: ausencia de historial crediticio previo, comportamiento de acumulación progresiva de crédito, números de teléfono sin historial asociado, domicilios que no aparecen en bases de datos postales. La Guía de Prevención del Blanqueo del Banco de España señala la coherencia del perfil como componente clave de la diligencia debida en incorporaciones digitales.

Los profesionales de cumplimiento plantean frecuentemente en foros especializados cómo distinguir un error de transcripción de una señal de fraude. La respuesta es acumulativa: una señal débil — una empresa sin resultados en el BORME — justifica una aclaración. Tres señales convergentes — empleador inexistente, domicilio no verificable, NIF sin historial tributario — deben activar la diligencia reforzada y, en su caso, una comunicación de operación sospechosa al SEPBLAC.

Para una visión completa de las técnicas de detección, consulte nuestro artículo sobre detección de fraude documental con IA.

Marco normativo: obligaciones en España

Ley 10/2010 y la diligencia debida reforzada

La Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, establece en su artículo 3 la obligación de identificar y verificar la identidad de los clientes antes del establecimiento de cualquier relación de negocio. El artículo 11 impone medidas de diligencia debida reforzada en situaciones de mayor riesgo, incluyendo expresamente los casos en que la identidad no pueda ser verificada de forma presencial y cuando existan indicios de incoherencia en los datos aportados.

El SEPBLAC (Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias) ha publicado guías actualizadas en 2024 que abordan específicamente los riesgos de fraude de identidad en los canales de incorporación digital, señalando la necesidad de controles adaptativos ante la evolución de las técnicas de fabricación documental (SEPBLAC, Guías Temáticas 2024).

AMLD6 y el nuevo marco europeo

La Directiva (UE) 2024/1640 (AMLD6), adoptada en mayo de 2024 y con plazo de transposición en julio de 2027, eleva los estándares de verificación de identidad para las entidades obligadas europeas. El artículo 22 requiere diligencia debida reforzada en situaciones de mayor riesgo, incluyendo los casos en que los datos de identidad presentan inconsistencias. El nuevo Reglamento AMLA (Reglamento (UE) 2024/1620) establecerá a partir de 2025 una supervisión directa de las entidades financieras transfronterizas de alto riesgo (Reglamento (UE) 2024/1620, Art. 1).

Comunicaciones de operaciones sospechosas al SEPBLAC

Cuando una entidad obligada identifica indicadores de fraude de identidad durante la incorporación o una revisión periódica, debe presentar una comunicación de operación sospechosa al SEPBLAC si los indicios generan sospecha de blanqueo o financiación del terrorismo. El fraude de identidad sintética utilizado para abrir cuentas y realizar transferencias fraudulentas constituye un esquema de blanqueo típico conforme a las tipologías publicadas por el SEPBLAC.

La omisión de comunicación, cuando los indicios eran suficientes, expone a la entidad a sanciones administrativas graves conforme al artículo 51 de la Ley 10/2010, que puede alcanzar hasta el 10 % del volumen de negocios anual en los casos más graves.

AI Act de la UE y sistemas KYC de alto riesgo

El Reglamento (UE) 2024/1689 (AI Act), en aplicación progresiva desde agosto de 2024, clasifica los sistemas de verificación de identidad utilizados en la incorporación financiera como sistemas de IA de alto riesgo (Anexo III, punto 1.b). Los proveedores y usuarios de dichas soluciones —incluyendo las soluciones de verificación documental— deben mantener documentación técnica, realizar evaluaciones de conformidad y garantizar la supervisión humana.

Construir una respuesta organizativa eficaz

Actualizar los procedimientos KYC ante la IA generativa

Un procedimiento KYC robusto ante la identidad sintética debe incorporar cuatro elementos ausentes habitualmente en los procesos heredados: validación de datos estructurados (checksums de MRZ, validación de letra NIF, formato IBAN), cruce contra registros oficiales (Registro Mercantil, padrón municipal, BORME), controles de coherencia semántica entre documentos, y revisión periódica de ficheros existentes.

La revisión periódica es especialmente crítica: las identidades sintéticas se detectan a menudo no en la incorporación, sino en una revisión anual en la que la coherencia entre los documentos originales y la información declarada posteriormente presenta divergencias.

Formación de equipos ante las señales de documentos IA

Los equipos de cumplimiento señalan en foros profesionales que carecen de criterios concretos para distinguir un documento mal escaneado de uno generado por IA. Las herramientas forenses técnicas lo resuelven automáticamente, pero el personal que realiza revisiones manuales se beneficia de comprender las señales de segundo orden: bordes de imagen excesivamente suaves, iluminación de fondo uniformemente perfecta, tipografías que coinciden demasiado exactamente con plantillas oficiales.

La prevención del fraude de identidad requiere tanto personal formado como herramientas automatizadas capaces de procesar los volúmenes de incorporación actuales. La solución CheckFile integra análisis forense de documentos, cruce con registros y puntuación conductual en una sola integración API con un tiempo medio de verificación de 4,2 segundos.

Para conocer los precios y el ROI de la verificación automatizada frente a las pérdidas por fraude no detectado, contacte con nuestro equipo para un análisis personalizado.

Preguntas frecuentes

¿Qué es exactamente el fraude de identidad sintética?

El fraude de identidad sintética consiste en crear un perfil ficticio combinando datos reales —como un DNI o número de la Seguridad Social perteneciente a una persona real— con información inventada. A diferencia del robo de identidad clásico, no hay víctima directa inmediata, lo que dificulta la detección y reduce la probabilidad de denuncia durante meses.

¿Cómo hace la IA más peligroso este fraude?

Los modelos generativos de IA producen fotografías faciales fotorrealistas de personas inexistentes, generan nóminas y extractos bancarios con formato correcto y valores numéricos plausibles, y calculan checksums documentales válidos. Lo que antes requería habilidades especializadas de falsificación ahora requiere únicamente acceso a un servicio darknet por menos de 200 euros al mes.

¿Qué obligaciones legales aplican a las entidades en España?

Las entidades obligadas bajo la Ley 10/2010 deben verificar la identidad del cliente antes de establecer cualquier relación de negocio, aplicar diligencia debida reforzada en situaciones de mayor riesgo incluidas las incoherencias de identidad, y comunicar operaciones sospechosas al SEPBLAC. Los sistemas de IA utilizados en estos procesos deben cumplir con los requisitos aplicables del AI Act europeo.

¿Cómo se puede detectar una identidad sintética durante el KYC?

La detección eficaz combina análisis forense de documentos (artefactos GAN, anomalías de metadatos, validación de checksums), cruce con registros oficiales (Registro Mercantil, padrón), controles de coherencia semántica entre documentos, y análisis conductual. Ninguna capa es suficiente sola; su combinación eleva significativamente la tasa de detección.

¿Cuáles son las consecuencias para una entidad que no detecta este fraude?

Más allá de las pérdidas financieras directas, la entidad se expone a sanciones administrativas graves por parte del SEPBLAC y del supervisor sectorial (CNMV o Banco de España según el caso) por incumplimiento de las obligaciones de diligencia debida, así como a responsabilidad penal si el fraude ha servido para financiar actividades criminales.