Ley Antilavado en México

Ley Antilavado: qué es una Actividad Vulnerable y cómo saber si tu empresa debe actuar

Si eres dueño, director, contador, responsable administrativo, abogado corporativo o encargado de sistemas, esta guía te ayudará a entender cuándo la Ley Antilavado puede relacionarse con tu empresa. El punto de partida es sencillo: no todas las empresas tienen las mismas obligaciones. La aplicación depende de las actividades que realizan y de las disposiciones vigentes.

Jurisdicción: México, legislación federal. · Fecha de corte: 13 de agosto de 2026

La respuesta corta

La Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, conocida como Ley Antilavado, establece medidas administrativas para identificar operaciones que podrían involucrar recursos de origen ilícito.

Tu empresa puede quedar sujeta a obligaciones específicas si realiza una de las actividades que el artículo 17 identifica como Actividad Vulnerable, conforme a las condiciones previstas en la legislación y sus reglas de aplicación.

Ser una Actividad Vulnerable no significa realizar algo ilegal ni convierte automáticamente a la empresa en sospechosa. Significa que, por la naturaleza de esa actividad, pueden existir riesgos de ocultar, mover o introducir recursos ilícitos en la economía formal. Por eso se exigen controles de identificación, conservación de información y, cuando corresponde, presentación de avisos.

¿Qué hace la Ley Antilavado?

La ley busca aumentar la trazabilidad de las operaciones. Trazabilidad significa que una transacción pueda reconstruirse posteriormente: quién participó, cuándo ocurrió, qué importe tuvo, cuál fue su propósito y qué medio de pago se utilizó.

Su funcionamiento puede entenderse en tres etapas:

Identificación: conocer a la persona o empresa con la que se establece una relación comercial.

Registro: conservar documentos y datos que permitan comprobar cómo se realizó la operación.

Aviso: informar a la autoridad las operaciones que deban reportarse conforme a la ley, las Reglas de Carácter General y los formatos oficiales.

La ley no sustituye las obligaciones fiscales, contables, mercantiles ni de protección de datos. Tampoco significa que toda operación deba reportarse o que toda Actividad Vulnerable implique un delito. Su finalidad es facilitar que las autoridades financieras y fiscales detecten flujos de recursos que requieran revisión.

¿Qué significa “Actividad Vulnerable”?

El Servicio de Administración Tributaria utiliza este concepto para referirse a actividades económicas lícitas que, por sus características, pueden ser utilizadas para introducir u ocultar recursos de procedencia ilícita.

Entre las características que pueden elevar el riesgo están el uso intensivo de efectivo, los importes elevados por operación, la posibilidad de que el verdadero participante permanezca oculto o la facilidad para convertir determinados bienes en dinero. Estos factores ayudan a entender el propósito de la regulación, pero por sí solos no permiten concluir que una actividad esté obligada.

La pregunta correcta no es “¿mi empresa parece sospechosa?”, sino:

¿La actividad real que realizamos aparece dentro de la lista legal vigente y se cumplen las condiciones previstas para que existan obligaciones?

Para responderla hay que comparar las operaciones efectivas de la empresa con el artículo 17 de la Ley Antilavado y revisar las reglas aplicables.

El giro comercial registrado, por sí solo, puede no describir todo lo que la empresa hace en la práctica.

¿Qué son las Reglas de Carácter General?

Las Reglas de Carácter General son disposiciones que desarrollan y detallan cómo deben cumplirse determinadas obligaciones establecidas en la Ley Antilavado.

Pueden precisar aspectos como la información que debe recabarse, los procedimientos de identificación, los plazos, los montos, los formatos y los canales para presentar avisos.

Durante 2025 y 2026 hubo cambios y precisiones regulatorias que ampliaron o detallaron determinadas obligaciones. Por eso no es recomendable operar con una guía antigua ni asumir que un umbral, plazo o formato continúa vigente sin revisarlo.

La lista exacta de actividades, los montos aplicables, los plazos de conservación, los formatos de avisos y las consecuencias por incumplimiento deben confirmarse en las disposiciones oficiales vigentes.

Una explicación general no sustituye esa revisión.

Obligaciones básicas que pueden afectar la operación

1. Identificar y verificar al cliente

El proceso de conozca a su cliente (KYC, por sus siglas en inglés) consiste en saber con quién se está contratando y comprobar razonablemente su identidad.

Según el caso, puede ser necesario reunir datos como:

• nombre completo o razón social;
• Registro Federal de Contribuyentes (RFC) u otro identificador fiscal;
• domicilio;
• identificación oficial y constancia de verificación;
• actividad económica declarada;
• fecha y responsable de la revisión;
• información del beneficiario controlador, es decir, la persona física que controla o se beneficia realmente de una empresa, cuando corresponda.

La información debe ser suficiente para cumplir la obligación aplicable, pero no debe recopilarse sin propósito ni conservarse sin controles.

2. Conservar información de las operaciones

La empresa debe poder reconstruir las operaciones sujetas a la regulación. Esto normalmente implica conservar documentos y registros sobre las partes, la fecha, el importe, el motivo y los medios de pago.

El plazo exacto de conservación depende de las disposiciones vigentes y debe verificarse antes de establecer una política definitiva. El archivo debe tener controles de acceso, respaldos, autenticación robusta, registros de consulta y medidas de seguridad para evitar alteraciones o accesos no autorizados.

3. Presentar avisos cuando corresponda

Un aviso es la comunicación formal que se presenta a la autoridad cuando una operación cumple las condiciones previstas para ser reportada.

No basta con enviar cualquier documento ni con informar por un canal informal.

Deben utilizarse los formatos, medios y plazos oficiales aplicables a la actividad. Presentar información incompleta, incorrecta o fuera de plazo puede generar revisiones y consecuencias administrativas.

4. Crear controles internos

La empresa debe definir quién revisa la información, cómo se escalan las alertas, quién conserva los expedientes y quién autoriza o presenta los avisos. También conviene capacitar al personal que cobra, vende, atiende clientes o registra operaciones.

Un manual de prevención, un responsable claramente designado y una bitácora de decisiones ayudan a evitar que el cumplimiento dependa de una sola persona o de instrucciones verbales.

5. Proteger los datos personales

El KYC implica tratar datos personales. La empresa debe definir la base jurídica aplicable, informar la finalidad del tratamiento, limitar el acceso, establecer políticas de conservación y eliminación, y aplicar medidas de seguridad.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares debe coordinarse con las obligaciones antilavado. Cuando el volumen o la sensibilidad de la información lo justifique, conviene involucrar al responsable de protección de datos para evaluar riesgos y medidas de mitigación.

Qué hacer ahora

Un diagnóstico inicial puede seguir este orden:

1. Mapea las actividades reales. Registra qué vende o presta la empresa, quiénes son sus contrapartes, cómo recibe pagos, qué volumen maneja y si utiliza efectivo o intermediarios.
2. Compara el resultado con la lista legal. Revisa el artículo 17 y las Reglas de Carácter General vigentes. No tomes una decisión definitiva basándote únicamente en el nombre comercial del negocio.
3. Designa a un responsable. Puede ser una persona de administración, finanzas, legal o cumplimiento, siempre que tenga autoridad, tiempo y acceso a la información necesaria.
4. Implementa un KYC básico. Define un formulario, verifica documentos y registra la fecha y la persona que realizó la revisión.
5. Protege el expediente. Usa almacenamiento con permisos diferenciados, respaldos y registros de acceso. No envíes identificaciones por canales personales o sin protección.
6. Capacita y documenta. El personal debe saber qué señales escalar, a quién avisar y cómo dejar evidencia de las decisiones tomadas.
7. Actualiza el procedimiento. Cuando se confirme una modificación regulatoria, ajusta los campos, plazos, responsables y controles afectados.

Ejemplo e indicadores útiles

Supón que una empresa tiene 100 clientes activos y 80 cuentan con un expediente KYC completo.

La cobertura se calcula así:

Porcentaje de KYC completo = (clientes con KYC completo ÷ clientes activos) × 100

(80 ÷ 100) × 100 = 80%

El resultado indica que ocho de cada diez expedientes cumplen el estándar interno definido. No demuestra por sí solo el cumplimiento legal, pero permite identificar una brecha concreta: faltan 20 expedientes por revisar.

Para medir la rapidez del proceso, si tres verificaciones tardaron 2, 3 y 4 días, el tiempo promedio es:

(2 + 3 + 4) ÷ 3 = 3 días

Este indicador ayuda a detectar retrasos y a decidir si hacen falta más personal, mejores instrucciones o integración con otros procesos administrativos.

Riesgos y errores frecuentes

Un error común es pensar que “Actividad Vulnerable” equivale a “actividad ilegal”. Esa interpretación puede provocar decisiones injustificadas contra clientes o proveedores.

También es riesgoso:

• usar formularios antiguos;
• establecer montos o plazos internos sin verificar la norma;
• conservar identificaciones sin controles de seguridad;
• separar el KYC de ventas, facturación, tesorería y contabilidad;
• presentar avisos incompletos o tardíos;
• suponer que contratar un sistema automatizado elimina la responsabilidad de la empresa.

El incumplimiento puede producir multas y otras consecuencias administrativas. La cuantía, el procedimiento y las medidas aplicables deben revisarse en el texto oficial vigente. Del mismo modo, una mala gestión de datos puede generar riesgos conforme a la legislación de privacidad.

Glosario

Actividad Vulnerable:

actividad lícita incluida en la clasificación legal por sus posibles riesgos de uso para ocultar o introducir recursos ilícitos.

Relacionado: Ley Antilavado ; No debe confundirse con: actividad ilegal; Fuente de referencia: Artículo 17 y orientación oficial sobre Actividades Vulnerables

Aviso:

comunicación formal a la autoridad cuando una operación cumple las condiciones establecidas para reportarse.

Relacionado: presentación de avisos ; No debe confundirse con: comunicación informal; Fuente de referencia: Ley Antilavado y reglas aplicables

Beneficiario controlador:

persona física que controla o se beneficia realmente de una empresa o entidad.

Relacionado: identificación y verificación del cliente ; No debe confundirse con: representante legal; Fuente de referencia: Obligaciones de identificación previstas en la regulación aplicable

KYC:

proceso para identificar y verificar al cliente.

Relacionado: conservación de información ; No debe confundirse con: pedir una identificación sin verificarla; Fuente de referencia: Explicación de las obligaciones de identificación

Trazabilidad:

capacidad de reconstruir una operación mediante datos, documentos y registros confiables.

Relacionado: registro de operaciones ; No debe confundirse con: vigilancia permanente; Fuente de referencia: Finalidad explicada de la Ley Antilavado

Conceptos que conviene distinguir en una revisión inicial

Este cuadro es una síntesis educativa. La aplicación concreta depende de la actividad real, las condiciones legales y las disposiciones oficiales vigentes.

---

Preguntas frecuentes

Fuentes consultadas

Fuentes oficiales de consulta. Para validar la aplicación concreta deben revisarse:

Jurisdicción: México, ámbito federal. Fecha de corte editorial: 13 de agosto de 2026. Las leyes, reglas, montos, plazos y formatos oficiales deben volver a verificarse al tomar una decisión concreta.

• la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita, en su versión vigente publicada en el Diario Oficial de la Federación; (enlace externo)
• las Reglas de Carácter General aplicables a esa ley; (enlace externo)
• Información oficial del Servicio de Administración Tributaria sobre Actividades Vulnerables. (enlace externo)
• el Sistema del Portal en Internet de Prevención de Lavado de Dinero del Servicio de Administración Tributaria. (enlace externo)
• los comunicados, guías o circulares oficiales de la Unidad de Inteligencia Financiera (UIF) y del Servicio de Administración Tributaria (SAT); (enlace externo)
• la Ley Federal de Protección de Datos Personales en Posesión de los Particulares y las guías correspondientes del Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales. (enlace externo)

La decisión más prudente es confirmar primero si la actividad real de la empresa está comprendida en la regulación y, después, convertir esa conclusión en procesos documentados de identificación, conservación, aviso y protección de información.