Travel Rule GAFI para VASPs cripto en México: cumplimiento KYC 2026

México regula los activos virtuales a través de la Ley Fintech (Ley para Regular las Instituciones de Tecnología Financiera, publicada en el DOF el 9 de marzo de 2018) y la LFPIORPI (Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita). Las plataformas de activos virtuales — denominadas Instituciones de Tecnología Financiera (ITF) en la legislación mexicana — deben obtener autorización de la CNBV (Comisión Nacional Bancaria y de Valores) y cumplir con las obligaciones PLD-FT supervisadas por la UIF (Unidad de Inteligencia Financiera). El marco mexicano difiere significativamente del europeo (Reglamento (UE) 2023/1113): no existe una Travel Rule explícita con umbral cero, sino obligaciones de reporte y transmisión de información basadas en umbrales y tipos de actividad. Esta guía detalla el marco aplicable en 2026.

Este artículo se proporciona únicamente con fines informativos y no constituye asesoramiento jurídico, financiero ni regulatorio. Las referencias normativas son exactas en la fecha de publicación. Consulte a un profesional cualificado para obtener orientación específica para su situación.

El marco regulatorio cripto en México: Ley Fintech y LFPIORPI

México fue uno de los primeros países de América Latina en regular las fintech y los activos virtuales a nivel legislativo. La Ley Fintech de 2018 creó la categoría de Institución de Fondos de Pago Electrónico (IFPE) e Institución de Financiamiento Colectivo (IFC), e incorporó expresamente los activos virtuales como instrumentos que pueden operar en plataformas ITF autorizadas.

El Artículo 58 de la Ley Fintech establece que las ITF que operen con activos virtuales deben obtener autorización del Banco de México (Banxico) para hacerlo. Banxico emitió en 2019 las circulares que definen los activos virtuales autorizados para uso en sistemas de pagos, estableciendo también los requisitos de control e información.

La LFPIORPI y las actividades vulnerables

La LFPIORPI clasifica ciertas transacciones con activos virtuales como "actividades vulnerables" cuando superan determinados umbrales en UMAs (Unidades de Medida y Actualización). Las personas físicas y morales que realicen estas actividades deben:

1. Identificar y verificar la identidad de sus clientes
2. Conservar la información durante 5 años
3. Reportar operaciones relevantes (superiores a 16.000 UMAs, aprox. MXN 1,5 millones) y operaciones inusuales a la UIF

Datos requeridos para la Travel Rule en México

La principal diferencia documental respecto a España o Portugal: en México se utilizan el INE (credencial para votar) como documento de identidad primario y el RFC (Registro Federal de Contribuyentes) o la CURP (Clave Única de Registro de Población) como identificadores únicos fiscales — en lugar del DNI/NIE español o el NIF/NIC portugués.

Marco regulatorio: UIF, CNBV y SAT

UIF — Unidad de Inteligencia Financiera

La UIF, dependiente de la Secretaría de Hacienda y Crédito Público (SHCP), es la unidad de inteligencia financiera de México — equivalente al Tracfin francés, al COAF brasileño o al CTIF belga. Las ITF y cualquier persona obligada bajo la LFPIORPI deben reportar a la UIF las operaciones relevantes, inusuales y preocupantes. La UIF administra el Sistema Automatizado para la Detección de Operaciones Inusuales y Preocupantes (SADIOP), plataforma de reporte electrónico obligatoria.

La UIF publicó en 2024 tipologías específicas de riesgo en criptoactivos, incluyendo el uso de mixers y tumbleadoras, fragmentación de operaciones para eludir umbrales de reporte, y conversión acelerada entre múltiples activos virtuales para dificultar la trazabilidad.

CNBV — Comisión Nacional Bancaria y de Valores

La CNBV es el regulador financiero que autoriza y supervisa a las ITF. Para operar como plataforma de activos virtuales en México, las empresas deben obtener autorización de la CNBV como IFPE o IFC, según el modelo de negocio. La CNBV puede revocar la autorización en caso de incumplimientos graves de las disposiciones PLD-FT.

SAT — Servicio de Administración Tributaria

El SAT requiere que los exchanges y plataformas de activos virtuales reporten las operaciones de sus clientes. Las personas físicas que obtengan ganancias por activos virtuales deben declararlas en su DIOT (Declaración Informativa de Operaciones con Terceros). El SAT ha intensificado desde 2024 las fiscalizaciones a contribuyentes con actividad cripto no declarada.

Documentos KYC requeridos en México

Documentos para personas físicas

Para clientes mexicanos personas físicas, las ITF deben recopilar y verificar:

• INE (Credencial para Votar — Instituto Nacional Electoral) — principal documento de identidad oficial en México
• CURP (Clave Única de Registro de Población) — identificador biométrico único de 18 caracteres
• RFC (Registro Federal de Contribuyentes) — necesario para clientes con actividad fiscal
• Comprobante de domicilio con menos de 3 meses (recibo de luz, agua, teléfono o estado de cuenta bancario)
• Para clientes de alto riesgo: documentación de origen de recursos

Documentos para personas morales

Para clientes empresariales:

• Acta constitutiva inscrita en el Registro Público de Comercio (RPC) del estado correspondiente
• RFC de la empresa — identificador fiscal único de personas morales
• Constancia de Situación Fiscal emitida por el SAT
• Poder notarial del representante legal y su INE
• CURP o INE de todos los accionistas con participación ≥ 25 %

CheckFile cubre más de 3.200 tipos de documentos en 32 jurisdicciones con soporte OCR para 24 idiomas, incluyendo documentos mexicanos como el INE, el RFC y la CURP. Consulte las soluciones KYC de CheckFile.

Particularidades del mercado cripto mexicano

Estructura federal y estatal

México tiene una estructura federal, pero la regulación de activos virtuales es predominantemente federal (Ley Fintech, LFPIORPI). A diferencia de Estados Unidos, no existen licencias estatales de transmisores de dinero para activos virtuales — la autorización federal de la CNBV cubre el territorio nacional.

Limitaciones a los pagos con activos virtuales

La Ley Fintech prohíbe el uso de activos virtuales para pagos al público en general — su uso está restringido a transacciones entre entidades del sistema financiero que cuenten con la autorización correspondiente de Banxico. Esto diferencia el marco mexicano del europeo, donde MiCA permite el uso de stablecoins como medio de pago en toda la UE.

Lista de verificación de cumplimiento para VASPs en México

• Obtener autorización de la CNBV como ITF (IFPE o IFC)
• Obtener autorización de Banxico para operar con activos virtuales (Art. 58 Ley Fintech)
• Implementar sistema de KYC con INE/CURP/RFC como identificadores principales
• Registrarse ante la UIF y configurar reportes en el sistema SADIOP
• Implementar transmisión de datos Travel Rule para transferencias entre plataformas
• Reportar operaciones relevantes (>16.000 UMAs) e inusuales a la UIF
• Cumplir las obligaciones de reporte al SAT (DIOT y reportes de operaciones cripto)
• Conservar todos los registros durante 5 años

Para un contexto adicional sobre cumplimiento AML en criptoactivos, consulte nuestros artículos sobre tipologías de lavado de dinero y monitoreo de transacciones AML.

Preguntas frecuentes

¿Existe en México un umbral específico para la Travel Rule cripto equivalente al de la UE (€0)?

No. México no ha adoptado un umbral cero al estilo europeo. Las obligaciones de identificación de clientes y transmisión de datos se activan en función del tipo de actividad (Ley Fintech), los umbrales de la LFPIORPI (en UMAs) y las disposiciones específicas de cada regulador sectorial (CNBV, Banxico). Las ITF deben consultar las reglas específicas publicadas en el DOF para determinar sus umbrales precisos.

¿El INE es suficiente como documento KYC para la Travel Rule?

El INE (credencial para votar del INE) es el documento de identidad oficial primario en México y es aceptado como documento principal de identificación para KYC. Sin embargo, para operaciones de mayor riesgo o clientes con actividad internacional, las ITF deben solicitar documentación adicional (comprobante de domicilio, RFC, documentación de origen de recursos).

¿Qué le sucede a una plataforma cripto que opera en México sin autorización de la CNBV?

Operar como ITF sin autorización de la CNBV constituye una infracción grave a la Ley Fintech y puede dar lugar a clausura, multas administrativas y responsabilidad penal de los administradores. La CNBV ha intensificado desde 2024 los procedimientos contra plataformas que operan sin autorización.

¿Las carteras no custodiadas (non-custodial wallets) están reguladas en México?

La Ley Fintech y la LFPIORPI se enfocan en las entidades que prestan servicios de activos virtuales (ITF y sujetos obligados), no en los usuarios finales que usan carteras no custodiadas. Sin embargo, las ITF deben implementar controles para las transferencias hacia o desde carteras no custodiadas de sus clientes, especialmente cuando superan los umbrales de reporte.

¿Los exchanges extranjeros que atienden a clientes mexicanos deben cumplir la Ley Fintech?

Si un exchange extranjero opera activamente en México (captación de clientes, publicidad, servicios en español orientados al mercado mexicano), existe riesgo de que la CNBV lo considere sujeto a la Ley Fintech. Se recomienda consultar a un abogado especializado en regulación financiera mexicana antes de ofrecer servicios a clientes en México sin autorización local.