La comisionada de la SEC, Hester Peirce, ha descrito una versión del debido diligenciamiento de clientes cripto en la que una plataforma de inversión podría verificar la identidad de un cliente sin llegar a ver su pasaporte, dirección de domicilio ni registros financieros.

Al hablar en la Conferencia de Activos Digitales de SIFMA, Peirce propuso usar credenciales verificables y pruebas de conocimiento cero para verificaciones de identidad, cumplimiento y elegibilidad de productos. Bajo su escenario, una plataforma que necesite establecer tres datos antes de aceptar a un cliente recibiría esas respuestas sin necesariamente obtener los documentos de respaldo. Este planteamiento apunta a un patrón conocido en la incorporación de clientes cripto: hoy cada plataforma realiza sus propias verificaciones, y los clientes que usan varios servicios normalmente vuelven a enviar los mismos documentos a cada nuevo proveedor.

Sus comentarios representan su posición personal. No son una regla, propuesta ni exención de la SEC, y la SEC no puede por sí sola reescribir el marco más amplio de identificación de clientes establecido por la Ley de Secreto Bancario y administrado por FinCEN y otros reguladores.

Dónde se realizaría la verificación de identidad

Un emisor de confianza, como una agencia gubernamental, una institución regulada o un proveedor de verificación aprobado, examinaría primero los documentos originales del cliente. Luego, el emisor podría emitir una credencial firmada criptográficamente que el cliente almacena en una billetera digital compatible.

Una credencial verificable contiene declaraciones de ese emisor. Una prueba de conocimiento cero puede usar esas declaraciones para confirmar que se cumple una condición específica sin revelar la información utilizada para llegar a esa respuesta.

El modelo cambia dónde se custodian los datos personales en lugar de hacer desaparecer la verificación de identidad. El emisor original sigue necesitando evidencia confiable, mientras que la plataforma cripto puede recibir únicamente los datos relevantes para el servicio solicitado.

Peirce planteó una cuestión relacionada de minimización de datos al discutir si los registros de valores tokenizados siempre necesitan campos convencionales como nombres y direcciones físicas. Coindoo examinó ese debate en su informe sobre las reglas propuestas por la SEC sobre propiedad de acciones tokenizadas.

¿Pueden las empresas financieras usar este enque hoy?

FinCEN ya ha aceptado un uso más limitado de la tecnología. Su guía del 8 de septiembre indica que bancos y cooperativas de crédito pueden usar ciertas credenciales digitales verificables emitidas por el gobierno, incluidas las licencias de conducir móviles, como método de verificación de clientes personas naturales.

La guía no eliminó las obligaciones legales existentes. Las instituciones cubiertas aún deben obtener la información de identificación requerida y conservar los registros prescritos. Las obligaciones de una empresa cripto también dependen de sus actividades y de si opera como negocio de servicios monetarios, intermediario de valores, banco u otra entidad regulada. Para las empresas cripto, en otras palabras, la guía es un punto de referencia y no una plantilla transferible.

Qué no resolvería un KYC privado

El estado de sanciones y la elegibilidad del cliente pueden cambiar, por lo que las credenciales requerirían controles de vencimiento, estado y revocación. Las plataformas también necesitarían saber si el emisor realizó una verificación original confiable, y una billetera robada o una credencial comprometida crearía otra vía para el fraude de identidad.

Recibir menos información personal reduciría la exposición de una plataforma a violaciones de datos solo si deja de conservar los documentos de respaldo. El riesgo no desaparecería; más bien, una mayor parte recaería en la organización que emitió o mantuvo la credencial. Las pruebas selectivas tampoco pueden establecer el origen de los fondos de un cliente ni reemplazar el monitoreo de transacciones y los reportes de actividades sospechosas.

La tecnología va por delante del reglamento

Las instituciones financieras ya pueden verificar credenciales digitales firmadas. La cuestión de política pendiente es cuándo se les permitirá conservar la prueba de que se realizó una verificación en lugar de recopilar los datos personales que hay detrás.

La propuesta de Peirce haría el KYC menos repetitivo, no opcional. Convertirla en una práctica estándar requeriría que reguladores más allá de la SEC decidieran que una respuesta verificada puede a veces satisfacer la ley sin otro expediente completo de identidad. Hasta entonces, el KYC con minimización de datos sigue siendo un conjunto de declaraciones de conferencia y no una opción de cumplimiento, y las obligaciones cotidianas continúan rigiéndose por el reglamento existente.