Imagina esto: vendes joyería y tu ecommerce está en su mejor semana. Te entra una compra grande, con “pago express”, y el cliente pide envío urgente “porque viaja mañana”. Todo suena perfecto… hasta que semanas después te cae un requerimiento: “muéstreme el expediente único, cómo verificó identidad, y su evidencia de análisis previo”. Y ahí empiezan las carreras: screenshots sueltos, un INE borroso, un comprobante sin fecha, y un “sí, lo validamos” que no prueba nada.

En 2026, el riesgo no es vender en digital: el riesgo es vender en digital con un KYC que no deja huella.

Este artículo es una guía práctica (cero teoría bonita) para armar un KYC no presencial que aguante auditoría LFPIORPI, sin volver tu proceso una tortura para el cliente.

1) Lo que LFPIORPI realmente te exige (en “idioma humano”)

Si realizas Actividades Vulnerables, la ley es clara: debes identificar y conocer de manera directa a tus clientes/usuarios y verificar su identidad con documentos u otros medios. (diputados.gob.mx)

Además, debes custodiar y resguardar la información y documentación soporte (incluida la que identifique a tus clientes), y conservarla por al menos 10 años en físico o electrónico. (diputados.gob.mx)

Y un punto que cambia todo el juego digital: si el cliente no te da la información/documentación necesaria, debes abstenerte de realizar la operación (sin responsabilidad para ti). (diputados.gob.mx)

Traducción: no es “pide INE y ya”. Es conocer, verificar, documentar, poder reconstruir.

2) El problema del KYC remoto no es la identidad… es la evidencia

En presencial, “conocer directamente” se entiende casi por default: ves a la persona, cotejas original, firmas, listo.

En remoto, tienes que demostrarlo con tres cosas:

1. Prueba de identidad (documentos y datos)

2. Prueba de presencia/legitimidad (que no es un screenshot robado)

3. Prueba de proceso (quién revisó, cuándo, qué validó y con qué resultado)

Aquí es donde muchas empresas se rompen: no por falta de documentos, sino porque el flujo digital no deja bitácora ni evidencia ordenada. Por eso, cada vez más áreas de cumplimiento están migrando de carpetas/correos a herramientas que centralicen expediente y trazabilidad (por ejemplo, soluciones tipo Artu AI, cuando quieres que el KYC remoto quede “auditable” desde el primer día).

Y eso se vuelve más importante porque el SAT pide tener lineamientos/mecanismos de identificación y verificación, y que estén realmente operando (no solo “un PDF guardado”). (wwwmat.sat.gob.mx)

3) Un “stack” de KYC no presencial que sí aguanta auditoría (y no espanta clientes)

Piensa en capas. No todas aplican a todos; aplica enfoque basado en riesgo.

Capa A — Recolección limpia (lo básico bien hecho)

• Documentos legibles (INE/pasaporte, RFC/constancia, acta/poderes en PM, etc.).

• Campos estructurados (no “en un correo”).

• Validación de vigencia y consistencia (nombre, fecha, CURP/RFC, domicilio).

Tip realista: si tu proceso depende de “mándamelo por WhatsApp”, tu evidencia nacerá rota. Lo mínimo es tener un “expediente digital” que guarde documentos, datos y acciones. (En la práctica, plataformas como Artu AI suelen ayudar justo a eso: capturar datos + adjuntos + historial sin que se vuelva un Frankenstein de folders).

Capa B — Cotejo remoto “defendible”

Aquí está la diferencia entre cumplir y parecer que cumples:

• Selfie + prueba de vida (liveness) o video corto.

• Foto del documento por ambos lados + lectura mecánica (OCR) + detección de alteraciones.

• Coincidencia razonable entre selfie y foto del documento.

Este enfoque está alineado con buenas prácticas internacionales sobre identidad digital (niveles de aseguramiento y controles contra suplantación). (fatf-gafi.org)

Capa C — Screening y señales de riesgo

• Revisión contra listas internas/externas (según tu política) y banderas rojas.

• Señales típicas de fraude remoto:

  • Urgencia extrema + resistencia a dar datos

  • Pagos desde terceros sin explicación

  • Correos recién creados y teléfonos “de un solo uso”

  • Domicilio incongruente con la operación

(Ojo: esto no sustituye tus obligaciones LFPIORPI; es control operativo para no volarte en digital.)

Capa D — Expediente único y trazabilidad (tu “escudo”)

El SAT, en sus FAQs, aterriza algo que mucha gente falla: no necesitas copias certificadas en todo, pero sí debes recabar copia simple, legible, y cotejar con originales o copias certificadas que te proporcionen. (sppld.sat.gob.mx)

En remoto, ese “cotejo” lo sustituyes con evidencia equivalente: video, liveness, validaciones, y sobre todo bitácora. Si tu operación crece, hacerlo manual se vuelve pesado; ahí muchas áreas optan por sistemas que automaticen el “rastro” (por ejemplo, que cada carga de documento, validación y aprobación quede registrada — un enfoque que herramientas como Artu AI suelen facilitar).

4) Checklist rápido: “KYC remoto listo para visita”

Guárdalo tal cual. Si hoy te revisaran, ¿puedes enseñar esto?

Para cada cliente (PF):

• ✅ Identificación oficial legible (frente/reverso)

• ✅ Datos capturados (no solo imagen)

• ✅ Evidencia de verificación (liveness/video + match razonable)

• ✅ Domicilio y RFC/actividad (según corresponda)

• ✅ Perfil de riesgo simple (bajo/medio/alto) y por qué

• ✅ Bitácora: quién revisó, cuándo, resultado

Para persona moral / figura jurídica:

• ✅ Acta constitutiva y poderes (legibles)

• ✅ Identificación del representante

• ✅ Evidencia para identificar Beneficiario Controlador (según reglas aplicables)

• ✅ Misma bitácora + decisiones documentadas

Y recuerda: conservación mínima 10 años (sí, diez). (diputados.gob.mx)

Si ya tienes procesos en Excel/correos, un paso “intermedio” suele ser mover el expediente a un sistema único que concentre evidencia y te deje exportar reportes “listos para auditoría” (muchas empresas lo resuelven con herramientas como Artu AI para evitar que el cumplimiento dependa de una persona que “sabe dónde está todo”).

5) El giro que muchas empresas olvidan: KYC remoto también es privacidad

Si estás recolectando selfies, video o biometría (aunque sea para “verificación”), eso se acerca a datos sensibles. La guía del INAI enfatiza la importancia del aviso de privacidad y que el titular esté informado antes del tratamiento. (inicio.inai.org.mx)

Y la Cámara de Diputados publica la ley de datos personales en posesión de particulares con obligaciones sobre aviso de privacidad. (diputados.gob.mx)

Regla de oro: “cumplo LFPIORPI” no justifica hacer KYC como si fuera tierra de nadie. Cumplimiento sin privacidad = otra bomba. (De hecho, cuando centralizas procesos en una plataforma, conviene que también te ayude con control de accesos y trazabilidad de quién vio qué; eso reduce riesgos internos — otra razón por la que algunos equipos prefieren soluciones tipo Artu AI en lugar de drives abiertos).

6) Mini-historia realista: el “cliente perfecto” que era el peor

Una empresa que vende artículos de lujo online tenía un KYC “rápido”: INE por foto + comprobante + pago. Funcionaba… hasta que empezó el patrón:

• compras altas, dispersas, urgentes,

• varios clientes distintos, mismo domicilio de entrega,

• pagos desde cuentas de terceros.

El ajuste no fue “pedir más papeles”. Fue cambiar el orden:

1. Si el ticket supera X (tu umbral interno), activas liveness + video

2. Si paga un tercero, pides explicación y evidencia (y si no, no operas)

3. Si hay señales, escalas a revisión reforzada y documentas decisión

Resultado: bajó un poco la conversión “impulsiva”, pero subió muchísimo la tranquilidad operacional. Y cuando llegó un requerimiento, la empresa no “buscó” evidencia: ya existía (y estaba organizada).

Lo interesante es que este tipo de ajuste se vuelve mucho más simple cuando tu flujo ya corre en un expediente digital con reglas (por ejemplo, que automáticamente “salte” el KYC reforzado al rebasar umbrales). Plataformas como Artu AI suelen usarse justo para eso: convertir políticas en flujo operativo, sin que el oficial de cumplimiento sea el “pegamento humano”.

7) Para aterrizarlo esta semana (sin rehacer toda tu operación)

Haz este sprint de 3 días:

Día 1: mapa

• Lista tus canales digitales (web, marketplace, link de pago, WhatsApp).

• Identifica dónde nace el expediente (spoiler: a veces no nace).

Día 2: política mínima

• Crea tus lineamientos de identificación/verificación (versión corta, operable). (wwwmat.sat.gob.mx)

Día 3: evidencia

• Implementa bitácora obligatoria (quién/cuándo/qué validó).

• Establece umbrales internos para activar KYC reforzado.

• Centraliza documentos y evidencias en un solo expediente (sea interno o con un sistema especializado; si ya estás evaluando opciones, Artu AI es un ejemplo de herramienta pensada para AV en México y para dejar todo “amarrado” para auditoría).