La nueva Ley Antilavado en México: qué cambia de verdad con la reforma a la LFPIORPI

¿México tiene una ley antilavado nueva?

No. La primera precisión importante, y la que se pierde en casi toda la cobertura, es que no se expidió una ley nueva. Lo que ocurrió fue una reforma a la Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI), la ley que en la práctica todos llaman “Ley Antilavado”.

Esa reforma se completó en tres movimientos: la ley (julio de 2025), el Reglamento (marzo de 2026) y las Reglas de Carácter General, que son las que aterrizan el cómo (agosto de 2026). Hasta que salieron las reglas, media docena de obligaciones estaban escritas pero no eran operables.

La conclusión después de leer la ley, sus transitorios, las nuevas reglas y los criterios del SAT es que esto es mucho más grande que agregar avisos o mover umbrales. El régimen de Actividades Vulnerables está pasando de ser un sistema de identificación, expedientes y avisos a ser un programa de compliance basado en riesgos, mucho más parecido al que ya tenían bancos y otras entidades financieras.

¿Cuál es la cronología real?

Hoy estamos en un periodo raro: parte de la reforma ya es exigible, las reglas ya se publicaron, pero el grueso del régimen operativo todavía está en implementación. Es exactamente la ventana en la que conviene construir, no esperar.

¿Qué significa “enfoque basado en riesgo” en la práctica?

Este es el cambio más trascendente. Antes, buena parte del cumplimiento LFPIORPI se podía administrar como un flujo mecánico:

El nuevo artículo 18 y las Reglas de Carácter General obligan a desarrollar una metodología propia de evaluación de riesgos de lavado de dinero y financiamiento al terrorismo. Esa metodología tiene que considerar, como mínimo, los tipos de actos u operaciones del negocio, sus clientes o usuarios, zonas geográficas, productos y servicios, canales, transacciones y los riesgos identificados en la Evaluación Nacional de Riesgos. Debe usar información de al menos los últimos 12 meses y revisarse cuando cambien los riesgos o, como máximo, cada 12 meses.

La consecuencia es fuerte: dos empresas que realizan exactamente la misma Actividad Vulnerable no necesariamente deberían tener los mismos controles. Una desarrolladora que vende veinte viviendas al año a compradores nacionales tiene un riesgo distinto de una que hace cientos de operaciones con clientes extranjeros, estructuras fiduciarias y pagos transfronterizos. La primera puede justificar controles ligeros; la segunda no.

¿Hay que asignar un riesgo a cada cliente?

Sí, y esa es la segunda mitad del cambio. A partir del 1 de marzo de 2027 los clientes deben clasificarse, como mínimo, en riesgo bajo, medio o alto. La clasificación se reconsidera al menos cada seis meses, y más seguido cuando el cliente representa mayor riesgo.

Para hacerlo hay que construir un perfil transaccional esperado: montos, frecuencia, tipo de operaciones, origen y destino de recursos, actividad económica y zonas geográficas. Después el sistema compara el comportamiento real contra ese perfil y genera alertas cuando hay desviaciones.

Aquí es donde el régimen deja de ser un trámite de papeles. La lógica nueva es:

¿Qué exige ahora el Beneficiario Controlador?

Esta obligación ya está vigente desde el 17 de julio de 2025, y el SAT aclaró expresamente que no estaba condicionada a que salieran las nuevas reglas. Quien realiza una Actividad Vulnerable tiene que solicitar y conservar documentación que permita identificar al Beneficiario Controlador.

La reforma también fortaleció la definición de control. Cuenta la posibilidad de ejercer derechos de voto sobre más del 25% del capital, pero el análisis no termina ahí: también importa quién puede imponer decisiones estratégicas o ejercer el control efectivo.

Las reglas de 2026 establecen una cascada para llegar al Beneficiario Controlador:

1. Buscar a la persona física que tenga, directa o indirectamente, 25% o más del capital.
2. Si no se identifica así, analizar quién ejerce control por otros medios.
3. Como última instancia, identificar a la persona física del nivel administrativo o directivo más alto.

Y el método utilizado debe quedar documentado. Eso mata el enfoque de preguntar “¿quién es tu beneficiario final?” y archivar una declaración firmada. La expectativa regulatoria pasa a ser determinarlo y demostrar cómo llegaste a esa conclusión, lo que en la práctica significa poder leer la cadena societaria: acta constitutiva, asambleas, transmisiones de acciones. Es el tipo de trabajo que se apoya en extracción estructurada de documentos corporativos y en el historial crediticio de la empresa para cruzar la estructura declarada contra la que aparece en registros externos.

¿Cómo se tratan las Personas Políticamente Expuestas?

La figura ahora está expresamente incorporada en la LFPIORPI, y las reglas desarrollan un régimen mucho más completo que antes. Lo importante es que el análisis no se limita a buscar si el nombre del cliente aparece en una lista.

El régimen se extiende, entre otros, a relaciones familiares y patrimoniales relevantes: cónyuge o pareja, determinados familiares hasta segundo grado y personas con vínculos patrimoniales relevantes. Las reglas también contemplan el tratamiento de quienes dejaron un cargo así, durante un periodo posterior a la salida. Ciertos de estos clientes, y los de alto riesgo, requieren debida diligencia reforzada y, en algunos casos, aprobación de un nivel jerárquico superior para iniciar o continuar la relación.

Hacienda además debe operar infraestructura para consultarlas. La versión prevista en los transitorios, llamada Consulta 2.0, tiene un calendario posterior a la entrada general de las reglas.

En términos operativos, esto convierte la revisión contra listas en un proceso continuo y no en una casilla que se palomea al dar de alta al cliente: la revisión contra listas de sanciones, personas expuestas y notas de prensa negativas tiene que correr, dejar rastro de cada decisión y volver a correr cuando el cliente o las listas cambian. Para el perímetro mexicano, la lista negra del SAT del artículo 69-B es un cruce distinto y complementario, no sustituto: las listas internacionales no la cubren.

¿Qué debe contener el Manual de Políticas Internas?

Ya no basta con procedimientos dispersos. Las nuevas reglas exigen un Manual de Políticas Internas que cubra al menos 14 áreas de compliance, entre ellas:

• Identificación y conocimiento del cliente
• Clasificación de riesgo
• Debida diligencia reforzada y tratamiento de personas políticamente expuestas
• Desviaciones del perfil transaccional
• Presentación de avisos
• Conservación documental y acumulación de operaciones
• Listas oficiales e internacionales
• Funciones del representante de cumplimiento
• Capacitación, controles y auditoría
• Confidencialidad y actualización del propio manual

Para quienes ya están registrados, la fecha crucial es el 1 de marzo de 2027. Para nuevos sujetos registrados bajo el nuevo régimen hay plazos específicos ligados a su alta.

Esto pega particularmente a quien hoy usa un “manual antilavado” genérico comprado a un despacho. El nuevo régimen exige que las políticas estén conectadas con la metodología de riesgos y con los procesos reales de la empresa. Un manual que no describe lo que de verdad pasa en tu operación es un hallazgo de auditoría, no un entregable de cumplimiento.

¿Hay que comprar un software antilavado para el monitoreo automatizado?

Desde el 1 de junio de 2027 los sujetos obligados deben tener mecanismos automatizados proporcionales a su volumen, naturaleza, complejidad y nivel de riesgo. Las funciones son amplias: mantener registros, consolidar operaciones, ejecutar componentes de la metodología de riesgos, preservar el historial de cambios de perfil y riesgo, generar alertas, detectar clientes de alto riesgo y personas políticamente expuestas, identificar coincidencias con listas, vigilar jurisdicciones de riesgo y controlar ciertas operaciones con efectivo o metales.

Aquí hay una distinción tecnológica que vale la pena leer con cuidado: la regulación no obliga necesariamente a comprar un software especializado. Las propias reglas permiten que los mecanismos automatizados se implementen mediante sistemas especializados o mediante procesos automatizados apoyados en herramientas como bases de datos u hojas de cálculo, siempre que satisfagan las funciones regulatorias y puedan verificarse.

En la práctica eso significa dos cosas distintas según el tamaño:

• Para una empresa pequeña, un stack bien diseñado de base de datos, reglas, alertas y trazabilidad puede ser suficiente.
• Para una operación con miles o millones de transacciones, sería muy difícil sostener que una hoja de cálculo satisface razonablemente el criterio de proporcionalidad y control.

¿Qué pide la capacitación y qué la auditoría?

A partir del ciclo de 2027 la capacitación antilavado es anual y obligatoria. Debe cubrir a órganos de administración, directivos, representante de cumplimiento y personal involucrado en clientes, identificación, avisos, controles o auditoría. Las reglas incluso establecen requisitos de experiencia para quien la imparte y obligan a conservar la evidencia por 10 años. Mandar una presentación y recolectar una firma dejó de ser suficiente: hay que poder demostrarla ante una visita.

La auditoría de cumplimiento entra formalmente con el ejercicio 2028, y el informe se entrega a más tardar el último día hábil de marzo del año siguiente, o sea el primer reporte en marzo de 2029. Para riesgos bajos o medios las reglas permiten modalidades internas o externas; para sujetos calificados de alto riesgo, la ley exige auditoría externa independiente.

Lo relevante es el círculo que se cierra: metodología → controles → ejecución → evidencia → auditoría. No basta con tener políticas bien escritas si no puedes mostrar que se ejecutaron.

¿Qué Actividades Vulnerables se agregaron?

El cambio más comentado es el tratamiento del desarrollo inmobiliario: se añadió expresamente la recepción de recursos destinados a llevar a cabo un desarrollo inmobiliario cuya finalidad sea su venta o arrendamiento, con umbral de aviso de 8,025 UMA. Con la UMA diaria de 2026, alrededor de $117.31, eso equivale hoy a aproximadamente $941,413 MXN. El monto en pesos cambia cada año conforme cambia la UMA; el número que hay que memorizar es el de UMA, no el de pesos.

También se amplió o precisó el alcance para otros sectores, incluyendo mecanismos alternativos de solución de controversias en determinadas operaciones y proveedores de activos virtuales.

¿Qué pasa con crypto y activos virtuales?

El artículo 17, fracción XVI, quedó especialmente interesante. La ley no se limita a proveedores establecidos físicamente en México: puede alcanzar servicios de activos virtuales prestados desde otra jurisdicción cuando exista la conexión prevista con clientes mexicanos. Además, la reforma incorpora requisitos de información sobre ordenante y beneficiario de ciertas transferencias, algo muy cercano al concepto internacional de Travel Rule.

Los umbrales son notablemente bajos. El aviso puede activarse con operaciones del cliente de 210 UMA o, bajo determinadas condiciones, por la contraprestación cobrada por el servicio desde 4 UMA.

Con umbrales así, prácticamente toda la operación entra al perímetro de reporte. Por eso los proveedores de servicios de activos virtuales son uno de los sectores donde el nuevo esquema puede tener el mayor impacto tecnológico.

¿Qué es el aviso de 24 horas?

La reforma incorporó una obligación nueva y exigente: cuando existan hechos o indicios que pudieran relacionarse con operaciones con recursos de procedencia ilícita, el sujeto obligado debe presentar el aviso correspondiente dentro de las 24 horas, incluso cuando la operación finalmente no se lleve a cabo en determinados supuestos.

Conceptualmente esto es muy distinto de los avisos tradicionales basados en umbrales. Ya no se pregunta solo “¿superó X UMA?”, también se pregunta “¿este comportamiento es sospechoso aunque no supere X UMA?”. La mecánica específica de los formatos tiene un periodo de implementación adicional previsto en los transitorios de las reglas, así que es una de las áreas donde hay que seguir publicaciones posteriores.

¿Cuánto tiempo hay que conservar la información?

La reforma extendió la conservación de información y documentación a 10 años, y el SAT aclaró que para actos u operaciones realizados a partir del 17 de julio de 2025 ya aplica ese periodo.

Y no hablamos solo de identificaciones. Las nuevas obligaciones hacen necesario conservar evidencia sobre riesgo, perfil transaccional, alertas, revisiones, Beneficiario Controlador, análisis realizados, avisos y decisiones de compliance. La arquitectura de datos se convierte en parte del cumplimiento regulatorio: un expediente centralizado y trazable, donde cada consulta y cada acción queda registrada con su fuente, es la diferencia entre poder reconstruir una decisión de hace seis años y no poder hacerlo.

¿Qué queda del régimen de efectivo?

El artículo 32 mantiene y amplía las restricciones para liquidar ciertas operaciones con efectivo, billetes o metales preciosos. Para ciertas transmisiones inmobiliarias el límite legal se relaciona con 8,025 UMA, y hay límites específicos para vehículos, joyería, arte, acciones o partes sociales, arrendamientos y otras operaciones.

Un detalle que se malinterpreta seguido: no basta con depositar el efectivo en un banco para convertir el pago en una transferencia lícita a efectos de estas restricciones. La ley atiende a la forma de liquidación de la operación, no al recorrido posterior del dinero.

¿Qué tan grandes son las multas?

La reforma actualizó el sistema de sanciones. Tomando la UMA 2026 como referencia, las bandas principales se verían aproximadamente así:

Para algunas infracciones graves la sanción puede ser de 10,000 a 65,000 UMA o del 10% al 100% del valor de la operación, lo que resulte mayor. Ese “lo que resulte mayor” es la parte que importa: el techo teórico de ~$7.6 millones no es el máximo real. En una operación de $100 millones, el porcentaje sobre la operación domina por completo el cálculo.

Hay contrapeso: existe un régimen de autocorrección mejorado. Cuando el incumplimiento se corrige espontáneamente antes de la verificación y se satisfacen los requisitos legales, Hacienda puede abstenerse de sancionar en una primera ocasión; usos posteriores permiten beneficios menores.

¿Esto aplica igual a un banco o a una SOFOM?

No, y esta distinción se pierde en casi todas las notas sobre la reforma.

Un negocio que otorga préstamos por su cuenta sin ser entidad financiera puede caer dentro de Actividades Vulnerables. En cambio una SOFOM, un banco, una unión de crédito, una entidad fintech regulada o una casa de bolsa tienen un régimen especializado de prevención de lavado derivado de su ley sectorial y de las disposiciones que emiten las autoridades financieras.

Por eso sería incorrecto decir “toda SOFOM ahora tiene que implementar el artículo 18 de la LFPIORPI exactamente igual que una inmobiliaria”. No funciona así.

Lo que sí puede pasar es que una misma organización o grupo tenga dos perímetros regulatorios distintos, si además de la actividad financiera regulada realiza alguna Actividad Vulnerable no financiera. Determinar en qué perímetro estás es el paso cero, antes de diseñar cualquier sistema de cumplimiento.

¿Qué infraestructura exige el régimen 2027?

Aquí está, creo, la consecuencia menos comentada de la reforma. Un sistema serio de cumplimiento LFPIORPI en 2027 tiene que poder modelar al menos esta cadena:

Un módulo de “subir INE y comprobar domicilio” deja de ser suficiente. Y hay un requisito que cambia el diseño de la base de datos: el versionado histórico. Si hoy un cliente es riesgo bajo y en ocho meses pasa a alto, el sistema tiene que poder demostrar no solo su riesgo actual, sino qué riesgo tenía antes, qué cambió, por qué cambió y quién tomó la decisión. Las reglas exigen conservar el historial relevante precisamente para poder reconstruir ese proceso.

Desde un punto de vista de producto, la reforma empuja a que el conocimiento del cliente, la revisión contra listas, el monitoreo de operaciones y el seguimiento de casos dejen de ser herramientas aisladas. En la cadena de arriba hay una división de trabajo bastante clara: las capas de datos y evidencia (identidad, validación fiscal, listas, cadena societaria, expediente trazable) se resuelven con integraciones y se pueden orquestar desde una API única o desde formularios que capturan y disparan consultas; el motor de riesgo y las alertas dependen de tu metodología y de tu negocio, y ahí la regulación te está pidiendo criterio propio, no un producto de estante.

¿A qué sectores les pega más?

Un detalle contraintuitivo: la carga relativa puede ser mayor para empresas medianas que para corporativos grandes. El corporativo grande probablemente ya tiene función de compliance, sistemas y personal; la empresa mediana que hasta ahora solo presentaba avisos mensuales tiene que construir una función antilavado desde cero. Si estás en arrendamiento u otro sector alcanzado por umbral, ese salto es el proyecto, no el trámite.

¿Cuáles son los deadlines que hay que poner en rojo?

El 30 de noviembre de 2026 es la entrada general de las reglas, pero noviembre no es fecha para empezar el proyecto. Es fecha para ya tenerlo caminando.

¿Qué revisaría hoy en tu operación?

Si estuviera haciendo un diagnóstico de preparación, las preguntas no serían “¿presentas tus avisos?”. Serían estas:

1. ¿Puedes reconstruir quién es cada cliente y quién es su Beneficiario Controlador, con el método documentado?
2. ¿Existe información estructurada sobre actividad económica y origen y destino de recursos, o vive en PDFs y correos?
3. ¿Puedes revisar a tus clientes contra listas de riesgo y personas expuestas, y repetirlo cuando esas listas cambian?
4. ¿Cada cliente puede recibir una calificación de riesgo explicable?
5. ¿Existe un perfil transaccional esperado contra el cual comparar?
6. ¿Todas las operaciones pueden agregarse por cliente?
7. ¿Pueden generarse alertas automáticas?
8. ¿Hay un proceso para revisar y documentar cada alerta?
9. ¿Los datos y las decisiones pueden conservarse diez años?
10. ¿Un auditor podría reproducir una decisión tomada hace años?

Una empresa que no puede contestar eso puede estar cumpliendo buena parte del régimen viejo y no estar preparada para el de 2027.

Lo que de verdad cambia

Ese salto es el verdadero significado de la reforma, y explica por qué la parte más disruptiva de la “nueva Ley Antilavado” no son las multas ni los umbrales: es la obligación de construir una infraestructura permanente de compliance basada en riesgo. Sale de las nuevas fracciones VII a XI del artículo 18 y de cómo las reglas de 2026 aterrizan metodología, clasificación, monitoreo, capacitación y auditoría.

Preguntas frecuentes

¿Ya tengo obligaciones nuevas hoy, o todo empieza en 2027?

Ya tienes obligaciones vigentes. Desde el 17 de julio de 2025 aplican, entre otras, la identificación y conservación de documentación del Beneficiario Controlador, la conservación por 10 años y el aviso de 24 horas ante hechos o indicios de operaciones con recursos de procedencia ilícita. El SAT aclaró expresamente que la obligación de Beneficiario Controlador no estaba condicionada a la publicación de las nuevas reglas. Lo que empieza en 2027 es el bloque de metodología de riesgo, clasificación de clientes, manual, personas expuestas, capacitación y monitoreo automatizado.

¿Tengo que comprar un software antilavado?

No necesariamente. Las reglas permiten que los mecanismos automatizados se implementen con sistemas especializados o con procesos automatizados apoyados en herramientas como bases de datos u hojas de cálculo, siempre que cumplan las funciones regulatorias y puedan verificarse. El criterio es de proporcionalidad: para volúmenes bajos, un stack propio bien diseñado con trazabilidad puede sostenerse; para miles o millones de transacciones, una hoja de cálculo no.

Soy SOFOM, ¿me aplica el artículo 18 de la LFPIORPI igual que a una inmobiliaria?

No de la misma forma. Las entidades financieras reguladas, incluidas las SOFOM, siguen sujetas principalmente a su régimen sectorial de prevención de lavado y financiamiento al terrorismo, y a las disposiciones de las autoridades financieras. Lo que sí conviene revisar es si tu grupo, además de la actividad financiera regulada, realiza alguna Actividad Vulnerable no financiera: en ese caso puedes tener dos perímetros regulatorios distintos al mismo tiempo, y hay que determinarlo antes de diseñar el sistema de cumplimiento.

¿Basta con que el cliente firme una declaración de beneficiario final?

No. La cascada de las reglas de 2026 pide buscar primero a la persona física con 25% o más del capital, directa o indirectamente; si no se identifica así, analizar quién ejerce control por otros medios; y como última instancia identificar a la persona física del nivel administrativo o directivo más alto. El método utilizado debe quedar documentado. La expectativa es que determines al Beneficiario Controlador y puedas demostrar cómo llegaste ahí, no que archives una declaración.

¿Cuándo llega la primera auditoría antilavado?

El primer ejercicio completo sujeto al esquema es 2028, y el informe correspondiente se presenta a más tardar el último día hábil de marzo del año siguiente, es decir en marzo de 2029. Para riesgos bajos o medios las reglas permiten modalidades internas o externas; para sujetos calificados de alto riesgo, la ley exige auditoría externa independiente.

¿Cuánto puede costar un incumplimiento?

Las bandas principales van de 200 a 65,000 UMA según la infracción, lo que con la UMA de 2026 va de alrededor de $23 mil a alrededor de $7.63 millones. Pero para algunas infracciones graves la sanción puede ser de 10,000 a 65,000 UMA o del 10% al 100% del valor de la operación, lo que resulte mayor, así que en operaciones grandes el porcentaje domina el cálculo. Existe además un régimen de autocorrección: si corriges espontáneamente antes de la verificación y cumples los requisitos, Hacienda puede abstenerse de sancionar en una primera ocasión.

Fuentes primarias

Para leer los textos completos, estos son los documentos que conviene tomar como fuente de verdad, por encima de cualquier resumen:

• Decreto de reforma a la LFPIORPI, DOF, 16 de julio de 2025
• Texto vigente de la LFPIORPI, Cámara de Diputados
• Reforma al Reglamento de la LFPIORPI, DOF, 27 de marzo de 2026
• Acuerdo 115/2026, nuevas Reglas de Carácter General, DOF, 7 de agosto de 2026

Si estás armando la capa de datos de este régimen, el trabajo concreto es poder identificar, verificar, screenear y dejar evidencia de cada cliente sin que tu equipo lo haga a mano. Eso es lo que resuelven las consultas de la plataforma y los expedientes trazables. Si además necesitas revisar la situación legal y corporativa de una contraparte antes de operar con ella, el dictamen legal se compra por unidad, sin suscripción. Hablemos y te decimos qué parte de la cadena cubrimos y qué parte queda de tu lado.