La Autoridad Europea de Lucha contra el Blanqueo de Capitales cierra este mes la lista provisional de entidades que podrían acabar bajo su supervisión directa desde 2028. No es todavía la selección definitiva, pero sí el primer filtro real del proceso. Quien no figure en ese censo quedará fuera del perímetro de Fráncfort durante al menos tres años.
Una lista que se cierra este mes
El 12 de mayo de 2026, AMLA publicó el paquete de reporte con el que los supervisores nacionales debían identificar a las entidades que cumplen los criterios de elegibilidad: una plantilla estandarizada y una nota interpretativa referidas al artículo 153 del Reglamento (UE) 2024/1620, la norma que creó la propia autoridad.
El calendario ha sido inusualmente apretado para un proceso de esta escala. AMLA celebró un seminario web explicativo el 10 de junio, fijó el 15 de agosto como fecha límite para que los supervisores nacionales remitieran los datos y abrió después una fase de corrección de errores coordinada con los supervisores de origen. El resultado —la lista provisional de entidades elegibles— debe quedar cerrado a finales de septiembre.
Conviene precisar qué significa aquí «elegible». No es una lista de entidades sospechosas ni un anticipo de expedientes sancionadores: es el censo de partida sobre el que AMLA aplicará después su modelo de riesgo. Aparecer en él no es un problema reputacional, pero obliga a preparar una capa de reporte que hasta ahora no existía.
Seis Estados miembros y riesgo residual
El criterio de entrada es geográfico y llamativamente simple: pueden ser elegibles las entidades o grupos financieros que operen en al menos seis Estados miembros. Nada más. Ni volumen de balance, ni número de clientes, ni tipología de negocio.
La complejidad llega después. Sobre ese universo, AMLA aplica una metodología publicada en diciembre de 2025 que evalúa el perfil de riesgo inherente y, sobre todo, el riesgo residual de cada entidad: el que permanece una vez descontada la eficacia de los controles existentes. Los criterios proceden del proyecto de normas técnicas de regulación previsto en el artículo 12(7) del Reglamento AMLA, afinados con la metodología supervisora de la autoridad.
Ese matiz —residual, no inherente— es el más relevante desde el punto de vista de cumplimiento. Un banco con exposición estructural a jurisdicciones de riesgo elevado pero con controles sólidos y documentados puede puntuar mejor que una entidad de perfil aparentemente más benigno cuyos sistemas de monitorización no resistan un examen. La calidad demostrable del control pasa a ser un factor de selección, no solo un requisito de cumplimiento.
De ese universo, AMLA seleccionará hasta 40 entidades o grupos en la primera ronda, prevista para 2027. El proceso se repetirá cada tres años.
El calendario que conviene tener en la pared
La secuencia deja poco margen a la improvisación. Entre junio y diciembre de 2026, AMLA prueba y calibra sus modelos, con una fase de validación al cierre del año. Entre enero y marzo de 2027, los supervisores nacionales recogerán los datos definitivos de las entidades elegibles. La selección se ejecuta entre julio y diciembre de 2027, y la lista final se comunicará antes de que termine ese año. En 2028, AMLA asume la supervisión directa.
En paralelo corre el otro reloj, el normativo. El Reglamento (UE) 2024/1624 —el AMLR, el cuerpo sustantivo del paquete— será aplicable desde el 10 de julio de 2027, sin necesidad de transposición nacional. La Directiva (UE) 2024/1640 (AMLD6) marca la misma fecha para la adaptación de los ordenamientos internos.
La consecuencia práctica es que 2027 concentra dos exigencias simultáneas: entrada en vigor del régimen sustantivo y cierre del proceso de selección. Las entidades que aborden ambas cosas como proyectos separados llegarán tarde a una de las dos.
España: Sepblac, pasaporte y el efecto cripto
En España, la recogida de información corresponde al Sepblac, que actúa como supervisor y unidad de inteligencia financiera. El universo de entidades españolas potencialmente elegibles es estrecho por definición —exige presencia en seis o más Estados miembros—, y se concentra en los grandes grupos bancarios con red europea y en entidades de pago y de dinero electrónico que operan mediante pasaporte comunitario.
Ese segundo grupo es el más interesante y el menos preparado. El paquete de reporte de AMLA contempla expresamente a las entidades que operan en régimen de libre prestación de servicios, con umbrales de materialidad que, según los criterios difundidos, sitúan el listón en torno a los 20.000 clientes residentes o los 50 millones de euros de flujo anual agregado en el Estado de acogida. Una fintech española que haya crecido pasaportando servicios por media Europa puede encontrarse en el censo sin tener estructura de cumplimiento dimensionada para un supervisor europeo.
A esto se suma el efecto cripto. El AMLR incorpora a los proveedores de servicios de criptoactivos como sujetos obligados de pleno derecho, con un umbral de identificación de 1.000 euros para operaciones ocasionales —muy por debajo de los 10.000 euros del límite armonizado de pagos en efectivo—. Para el mercado español, esto llega justo después del cierre del régimen transitorio de MiCA el 1 de julio de 2026: los proveedores que acaban de completar su autorización afrontan ahora una segunda capa de obligaciones, esta vez antiblanqueo.
Qué cambia en la práctica para cumplimiento
Tres implicaciones concretas para las áreas afectadas.
La primera es de datos. La selección se decide sobre información remitida por los supervisores nacionales a partir de plantillas estandarizadas. La calidad del dato deja de ser un asunto interno y pasa a ser un input de una decisión supervisora europea. El propio AMLA tuvo que publicar una versión revisada de su plantilla porque ciertas versiones de Excel marcaban erróneamente como completos los datos de entidades en libre prestación de servicios.
La segunda es de gobernanza. Ser supervisado desde Fráncfort implica un interlocutor distinto, un idioma de trabajo distinto y un régimen sancionador con multas de hasta el 10 % del volumen de negocio anual para las entidades bajo supervisión directa.
La tercera es de horizonte. Al repetirse cada tres años, la selección no es un examen puntual sino un ciclo permanente. Quedar fuera en 2027 no garantiza nada para 2030.
Implicaciones
La supervisión antiblanqueo europea deja de ser un proyecto normativo para convertirse en un proceso con fechas, plantillas y responsables identificados. Lo que se cierra en septiembre no es una sanción ni un veredicto: es el perímetro. Y es ahora, mientras el modelo de riesgo se calibra y aún no se ha aplicado, cuando invertir en controles tiene mayor capacidad de alterar el resultado.
Para el sector fintech español la lectura es más incómoda que para la banca. Los grandes grupos llevan años operando con supervisión consolidada. Las entidades de pago y los proveedores de criptoactivos que han crecido rápido vía pasaporte, no. Para ellos, la pregunta no es si serán seleccionados en 2027 —estadísticamente, la mayoría no lo será—, sino si el ejercicio de este otoño dejará al descubierto una función de cumplimiento construida para un supervisor nacional y no para uno europeo.
