Ley Antilavado

Qué cambió en 2026 en las Reglas de Carácter General de la Ley Antilavado

El Acuerdo publicado en el Diario Oficial de la Federación (DOF) el 7 de agosto de 2026 modifica distintas Reglas de Carácter General vinculadas con la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, conocida como Ley Antilavado.

Estas reglas son disposiciones que desarrollan y detallan cómo deben cumplirse ciertas obligaciones establecidas en la ley. Por eso, el cambio no consiste en crear desde cero la prevención de operaciones ilícitas, sino en hacer más estructurada la forma en que determinadas empresas conocen a sus clientes, analizan sus operaciones, utilizan tecnología y documentan sus controles.

La idea central es sencilla: la Ley Antilavado ya existía; en 2026 cambiaron reglas y procedimientos que hacen más organizado, trazable y basado en riesgos el cumplimiento de quienes realizan Actividades Vulnerables.

La respuesta breve: ¿cuáles son los principales cambios?

Los cambios se concentran en siete áreas:

1. 1. Un enfoque basado en riesgos.
2. 2. Un conocimiento más completo del cliente.
3. 3. La construcción de un perfil transaccional.
4. 4. La identificación del beneficiario controlador.
5. 5. El uso documentado de mecanismos automatizados.
6. 6. La capacitación registrada del personal.
7. 7. Auditorías y controles internos más estructurados.

No todas las empresas enfrentarán exactamente las mismas medidas. La intensidad de los controles debe guardar relación con el tamaño, la operación, los clientes, los productos, los canales y la exposición al riesgo de cada negocio.

Principales cambios en clientes y operaciones

1. El cumplimiento debe basarse en riesgos

El enfoque basado en riesgos significa que la empresa no debe tratar todas las relaciones comerciales y operaciones como si fueran iguales. Debe valorar la posibilidad de que exista un riesgo relacionado con recursos de procedencia ilícita o con el financiamiento al terrorismo, así como el impacto legal, económico o reputacional que tendría para la organización.

En la práctica, una relación con mayor complejidad, operaciones inusuales o estructuras difíciles de entender puede requerir revisiones más estrictas que una relación de bajo riesgo. Lo importante es que la empresa pueda explicar por qué aplicó determinadas medidas y que conserve evidencia de esas decisiones.

Este enfoque cambia la pregunta. Ya no basta con preguntar si existe un expediente; también importa si la información reunida es suficiente para entender el riesgo real de la relación.

2. Se espera un conocimiento más completo del cliente

El conocimiento del cliente, conocido como know your customer (KYC), reúne la información y las verificaciones necesarias para identificar a una persona o empresa, conocer su actividad y valorar el riesgo de la relación.

El cambio apunta a expedientes más completos y trazables. Además de los datos de identificación, puede ser necesario entender la actividad económica, el origen de los recursos y la información fiscal o corporativa relacionada con el cliente, según corresponda al caso.

La información debe poder consultarse y actualizarse de manera ordenada. Los registros digitales, el control de versiones, los accesos restringidos y la detección de documentos vencidos o inconsistentes se vuelven elementos importantes de la gestión.

También existe una relación directa con la protección de datos personales. Las empresas deben coordinar sus controles de prevención con sus políticas de tratamiento, conservación y acceso a la información, así como con los derechos de acceso, rectificación, cancelación y oposición cuando sean aplicables conforme a la legislación correspondiente.

3. El perfil transaccional permite detectar cambios de comportamiento

El perfil transaccional es una referencia del comportamiento económico esperado de un cliente. Puede incluir los productos o servicios que utiliza, los montos habituales, la frecuencia de sus operaciones y los destinos o contrapartes más comunes.

Su utilidad está en comparar la operación real con la actividad esperada. Una cantidad determinada no necesariamente es inusual por sí misma; puede serlo cuando se aparta de manera relevante del patrón histórico o del comportamiento razonable de ese cliente.

Por ello, las empresas deberán prestar mayor atención a la existencia de una línea base, al registro de alertas y a la documentación de las investigaciones. Cada alerta debería tener un resultado identificable: cierre con justificación, solicitud de información adicional o escalamiento para una revisión más profunda.

Las reglas de comparación pueden variar según el producto, el canal, el segmento de clientes y la información histórica disponible. Los umbrales concretos y cualquier métrica obligatoria deben confirmarse directamente en el Acuerdo y sus disposiciones transitorias; no conviene asumir que una cifra genérica sirve para todos los negocios.

Control, tecnología y capacitación

4. El beneficiario controlador adquiere mayor relevancia

El beneficiario controlador es la persona física que, en última instancia, ejerce control sobre una entidad o recibe el beneficio económico de ella. Identificarlo permite ir más allá de la sociedad o del intermediario que aparece formalmente en un contrato.

Este punto es especialmente importante cuando existen varias empresas relacionadas, cadenas de propiedad, representantes o estructuras corporativas complejas. El objetivo es conocer quién controla realmente la operación y no detener el análisis en la primera persona moral que aparece en el expediente.

La información puede requerir la revisión de documentos corporativos, registros mercantiles, declaraciones del cliente y otros elementos que permitan reconstruir la cadena de control. Si la identificación no es sencilla, la empresa debe conservar la explicación de las diligencias realizadas y de la conclusión alcanzada.

Los criterios legales exactos para determinar el control, incluidos los umbrales o definiciones aplicables, deben revisarse en el texto del Acuerdo. No es correcto sustituir esa revisión por un porcentaje asumido de manera general.

5. La tecnología debe ser explicable y supervisada

Las modificaciones también ponen atención en los mecanismos automatizados utilizados para monitorear operaciones. Estos pueden consistir en reglas, sistemas de puntuación de riesgo, modelos estadísticos o herramientas de aprendizaje automático, es decir, programas que identifican patrones a partir de datos.

La automatización ayuda a revisar grandes volúmenes de información con mayor rapidez, pero no elimina la responsabilidad de la empresa. Un sistema puede generar falsas alarmas, dejar pasar operaciones relevantes, reproducir errores en los datos o producir resultados difíciles de explicar.

Por eso, las reglas y modelos deben contar con documentación técnica: lógica utilizada, fuentes de datos, parámetros, versiones, responsables y resultados de las pruebas. También se requiere intervención humana para revisar alertas, tomar decisiones y dejar constancia de los cambios importantes.

Cuando una empresa sustituye reglas manuales por procesos automatizados, es prudente realizar pruebas piloto y validar el funcionamiento antes de utilizar el sistema en producción. La revisión debe considerar, entre otros aspectos, los falsos positivos, los falsos negativos, la calibración y la trazabilidad de las versiones.

6. La capacitación debe ser formal y comprobable

La capacitación deja de ser una actividad informal o limitada a una explicación ocasional. Los programas deben dirigirse de acuerdo con las funciones de cada persona: atención a clientes, responsables de cumplimiento, áreas administrativas, tecnología y dirección, entre otras.

Además del contenido, importa la evidencia. La empresa debe poder demostrar quién recibió capacitación, qué temas se abordaron, quién impartió el curso y, cuando corresponda, cómo se evaluó el aprendizaje.

La formación debe actualizarse cuando cambien las reglas, los procedimientos internos o los riesgos del negocio. Un empleado que recibe alertas, integra expedientes o configura sistemas necesita conocer las señales y responsabilidades relacionadas con su función, no sólo una explicación general de la Ley Antilavado.

Auditoría y efecto en la empresa

7. La auditoría debe revisar el funcionamiento real

La auditoría y el control interno adquieren una función más estructurada. No se trata únicamente de verificar que existan políticas escritas, sino de comprobar si los controles funcionan en la práctica.

Una revisión útil debe tener un alcance definido, una metodología y criterios para seleccionar expedientes, operaciones o sistemas. También debe generar hallazgos claros, responsables de atenderlos, fechas de corrección y evidencia de cierre.

Los sistemas automatizados requieren, además, una revisión con capacidades técnicas suficientes. Un auditor debe poder evaluar si las reglas están documentadas, si los datos son adecuados y si los resultados se comportan como se esperaba.

La frecuencia, el alcance mínimo y la posible participación de auditores externos dependen de lo que establezcan el Acuerdo y las disposiciones aplicables. La publicación del Acuerdo no significa, por sí sola, que todas las obligaciones tengan la misma fecha de inicio; deben revisarse también los artículos transitorios.

¿Qué cambia para una empresa?

El efecto más importante es organizacional. La prevención deja de depender únicamente de una persona que reúne documentos o revisa alertas de manera aislada. Ahora exige coordinación entre cumplimiento, administración, áreas legales, tecnología, protección de datos, auditoría y dirección.

Un diagnóstico inicial puede hacerse con estas preguntas:

• ¿La empresa puede explicar cómo identifica y clasifica sus riesgos?
• ¿Los expedientes permiten conocer la actividad y el comportamiento esperado del cliente?
• ¿Se identifica a la persona física que controla realmente a una entidad?
• ¿Las alertas tienen reglas documentadas y una resolución trazable?
• ¿Los sistemas automatizados pueden ser explicados y auditados?
• ¿La capacitación tiene registros y está adaptada a cada función?
• ¿Los hallazgos de auditoría se corrigen y se verifica su cierre?

Las respuestas ayudan a identificar brechas sin asumir que todas las empresas necesitan el mismo nivel de controles.

Alcance y límites del cambio

Qué no significa el cambio

Las nuevas reglas no significan que todas las empresas deban aplicar exactamente las mismas medidas, ni que la automatización sustituya el juicio humano. Tampoco permiten asumir umbrales, plazos, frecuencias de auditoría o definiciones que no estén confirmados en el texto oficial.

El Acuerdo debe leerse junto con sus artículos transitorios para determinar cuándo aplica cada disposición. Las obligaciones específicas, los plazos de conservación, los campos mínimos de los expedientes y cualquier criterio numérico deben verificarse antes de convertirlos en una política interna.

Este artículo es informativo y no sustituye una revisión jurídica especializada del Acuerdo publicado en el DOF ni el análisis de las características particulares de cada empresa.

El contenido jurídico de esta página es informativo y se encuentra limitado a las fuentes, jurisdicciones y fecha de corte indicadas. No sustituye el análisis de hechos particulares ni la asesoría de un profesional autorizado.

Conclusión práctica

La conclusión práctica es que 2026 introduce una forma más estructurada de administrar el cumplimiento: conocer mejor al cliente, entender su comportamiento, identificar a quien controla realmente una entidad, documentar la tecnología, capacitar al personal y comprobar mediante auditorías que los controles funcionan.

Glosario breve

Actividad Vulnerable:

actividad que, por sus características, está sujeta a obligaciones de identificación, información y prevención conforme a la Ley Antilavado.

Beneficiario controlador:

persona física que controla en última instancia una entidad o recibe el beneficio económico de una operación.

Perfil transaccional:

referencia del comportamiento económico esperado de un cliente.

Enfoque basado en riesgos:

método que ajusta la intensidad de los controles según la probabilidad y el impacto del riesgo.

Reglas de Carácter General:

disposiciones que desarrollan y detallan la forma de cumplir determinadas obligaciones previstas en la Ley Antilavado.

Las siete áreas principales de cambio

Las filas resumen áreas de cambio; no sustituyen la lectura del Acuerdo ni de sus disposiciones transitorias.

---

Preguntas frecuentes

Fuentes de consulta

Fuentes de consulta oficiales relacionadas con el tema.

Fecha de corte de esta explicación: 13 de agosto de 2026.

• Acuerdo publicado en el Diario Oficial de la Federación el 7 de agosto de 2026. (enlace externo)
• Diario Oficial de la Federación. (enlace externo)
• Unidad de Inteligencia Financiera (UIF). (enlace externo)
• Comisión Nacional Bancaria y de Valores (CNBV). (enlace externo)
• Secretaría de Hacienda y Crédito Público (SHCP). (enlace externo)
• Ley Federal de Protección de Datos Personales en Posesión de los Particulares. (enlace externo)