Las empresas de activos virtuales de los EAU están sujetas a todo el régimen federal contra el blanqueo de capitales, y VARA y la CMA van más allá

La ley federal de 2025 trata a las empresas de activos virtuales como instituciones financieras

Todo proveedor de servicios de activos virtuales (VASP) que opere desde los EAU debe evaluar sus riesgos de blanqueo de capitales, identificar a los clientes y a los titulares reales, comunicar las sospechas a la Unidad de Inteligencia Financiera (UIF), aplicar de inmediato las sanciones financieras dirigidas y conservar registros (artículos 18 y 19 del Decreto-Ley Federal n.º 10 de 2025). El Decreto-Ley, promulgado el 30 de septiembre de 2025, derogó la ley AML de 2018 (artículo 41); su reglamento de ejecución, la Resolución del Consejo de Ministros n.º 134 de 2025, sustituyó al reglamento de 2019 (artículo 70) y entró en vigor el 14 de diciembre de 2025, según el portal de legislación de los EAU.

Un proveedor de servicios de activos virtuales es quien, como actividad comercial, realiza actividades con activos virtuales para otra persona o por cuenta de ella (artículo 1). El artículo 4 del reglamento las enumera: el intercambio entre activos virtuales y moneda fiduciaria o entre activos virtuales, la transferencia, la custodia o administración, y los servicios relacionados con la oferta o venta por un emisor. El artículo 20 del Decreto-Ley prohíbe la actividad sin licencia, registro o inscripción.

Quién supervisa: VARA en Dubái, la CMA a nivel federal

En Dubái, fuera del Centro Financiero Internacional de Dubái (DIFC), VARA es una Autoridad Supervisora designada para todos los proveedores de activos virtuales conforme a las leyes federales AML (disposición VI.A.3 del Reglamento de Activos Virtuales y Actividades Conexas de VARA) y ejerce allí las facultades de licencia y supervisión del regulador federal, incluidas las actuaciones sobre operaciones sospechosas, en virtud de la delegación de la Resolución del Consejo de Ministros n.º 112 de 2022 (artículos 2 y 4). Sus titulares de licencia siguen las leyes federales y las normas de VARA (disposición VI.B.1), principalmente la parte III del Código Normativo de Cumplimiento y Gestión de Riesgos.

A nivel federal, la Autoridad del Mercado de Capitales (CMA) supervisa la actividad con activos virtuales en todo el Estado y en sus zonas francas no financieras conforme al Decreto-Ley Federal n.º 33 de 2025, en vigor desde el 1 de enero de 2026 (artículo 39(3)). Las Resoluciones del Consejo de Ministros n.º 111 y 112 de 2022 siguen en vigor en lo que sean compatibles con las leyes de 2025 (artículo 27(3) del Decreto-Ley Federal n.º 32 de 2025); la Resolución 111 obliga a todo proveedor a cumplir la legislación AML (artículo 8) y permite al regulador federal supervisar a los proveedores con licencia local (artículo 9(2)). La Decisión del Presidente de la CMA n.º 04 de 2026, en vigor desde el 28 de febrero de 2026, aplica a sus titulares de licencia la sección AML del código normativo de la CMA (Módulo de Regulación de la Actividad, artículo 4).

Ni la supervisión de la CMA ni la Resolución 111 (artículo 3(2)(a)) alcanzan a las zonas francas financieras, y el ámbito de VARA termina en el DIFC; nuestro artículo complementario describe los reguladores de esas zonas.

Diligencia debida: en toda relación de negocios y en las operaciones ocasionales desde 3.500 AED

La diligencia debida es obligatoria al iniciarse una relación, cuando hay sospechas y cuando se duda de los datos de identificación obtenidos anteriormente (artículo 7(1) del reglamento). En las operaciones ocasionales, una empresa de activos virtuales la aplica a partir de 3.500 AED, sumando las operaciones vinculadas (artículo 7(3)); VARA utiliza la misma cifra y añade cualquier operación de un cliente de alto riesgo (regla III.E.4).

Si el cliente es una persona jurídica, la empresa identifica a cada persona física que posea el 25 % o más, después a quien la controle por otros medios y, en defecto de ambos, a sus altos directivos (artículo 10). Para los clientes de alto riesgo y los titulares reales que sean personas expuestas políticamente, un titular de licencia de VARA verifica el origen de los fondos y el origen del patrimonio, obtiene la aprobación de la alta dirección y exige que la primera operación proceda de una cuenta a nombre del cliente en una entidad regulada (regla III.E.10).

Si la diligencia debida no puede completarse, no puede seguir adelante ni la relación ni la operación (artículo 14; regla III.E.8). Se permite recurrir a un tercero regulado, pero la responsabilidad sigue siendo de la empresa (artículo 20; regla III.E.9).

Transferencias, control y sanciones en tiempo real

Según el artículo 36(2), la empresa ordenante obtiene el nombre del ordenante, su número de cuenta o dirección de monedero y su domicilio particular o profesional, así como el nombre del beneficiario y su cuenta o monedero, y los envía de inmediato y de forma segura al proveedor del beneficiario, que también los conserva. VARA aplica el mismo mínimo a las transferencias de valor superior a 3.500 AED y exige diligencia debida sobre los proveedores de contraparte y una decisión sobre los monederos no custodiados, los llamados unhosted wallets (reglas III.G.2 a III.G.7).

El artículo 36(2) aplica también a las empresas de activos virtuales los artículos 26 a 33, entre ellos las normas sobre transferencias electrónicas, de forma proporcionada y según indique el supervisor, y el artículo 1 considera transferencia electrónica la que realiza un proveedor de activos virtuales a otro proveedor o a un monedero. Así, los datos acompañan a toda transferencia internacional y los datos del ordenante se verifican a partir de 3.500 AED (artículo 28(1) y (3)). La sección AML de la CMA exige igualmente datos básicos en toda transferencia y datos más completos del ordenante a partir de 3.500 AED (capítulo quinto, artículos 1 y 4(1)). La regla de VARA, redactada antes del reglamento de 2025, empieza por encima de 3.500 AED, pero es un mínimo que la legislación federal puede complementar (regla III.G.1), y el artículo 35(1) permite al supervisor fijar el alcance y los límites de las transferencias.

El artículo 36(3) atribuye a las empresas de activos virtuales todas las obligaciones de las instituciones financieras en materia de sanciones, incluidos el registro ante la Oficina Ejecutiva y el cotejo de clientes, propietarios y operaciones con las listas de las Naciones Unidas y las locales (artículo 21 de la Decisión del Consejo de Ministros n.º 74 de 2020). El artículo 15 de esa Decisión exige congelar los fondos en un plazo de 24 horas desde la inclusión en la lista y notificarlo a la Oficina Ejecutiva en un plazo de cinco días hábiles. VARA añade el control automatizado y en tiempo real de las operaciones frente a las sanciones y reglas de riesgo que examinan a clientes, propietarios y direcciones de monedero (reglas III.B.3 y III.H.1 a III.H.5).

Comunicación de sospechas, responsables y registros

Las operaciones sospechosas se comunican a la UIF sin demora, cualquiera que sea su importe (artículo 18 del Decreto-Ley); VARA designa goAML como canal (regla III.F.4) y concede al responsable de comunicación de operaciones de blanqueo de capitales (MLRO) 48 horas para responder a las solicitudes de la UIF o de VARA (regla III.F.3). Está prohibido alertar al interesado, el llamado tipping off (artículo 19 del reglamento). Según el Decreto-Ley, esa conducta se castiga con prisión y multa de al menos 50.000 AED, o con una de ambas penas (artículo 29(1)), y no comunicar, de forma deliberada o por negligencia grave, con prisión y multa de 100.000 AED a 1 millón de AED, o con una de ambas penas (artículo 28).

El reglamento exige un responsable de cumplimiento independiente con rango directivo (artículo 22), cuyo nombramiento aprueba previamente el supervisor (artículo 49(18)). VARA exige un responsable de cumplimiento (Compliance Officer) con cinco años de experiencia en cumplimiento normativo, residencia en los EAU o pasaporte de los EAU, empleo a tiempo completo y línea directa con el consejo (regla I.C.1), y un MLRO con dos años de experiencia en AML que informe trimestralmente al consejo (reglas III.A.1 y III.A.2); la función de MLRO puede externalizarse (Código Normativo Societario, regla IV.A.3). La CMA exige que ambos responsables residan en el Estado (Módulo del Marco General, artículo 54(2)) y un informe semestral sobre el control interno (sección AML, capítulo séptimo).

Los registros deben conservarse al menos cinco años a nivel federal, contados desde el final de la operación o de la relación y, en el caso de los expedientes de diligencia debida, desde cualquier inspección, investigación o sentencia firme posterior (artículo 25 del reglamento); ocho años según VARA, e indefinidamente cuando puedan estar relacionados con la seguridad nacional (reglas I.F.2 y III.I.2), y diez años según la sección AML de la CMA (capítulo duodécimo, artículo 1). VARA exige además evaluaciones de riesgo de la actividad y de los clientes al menos cada tres meses (reglas III.D.3 y III.D.8) y políticas AML certificadas por un tercero competente, que deben volver a presentarse en un plazo de 21 días naturales tras cualquier cambio (regla III.B.4).

Las sanciones alcanzan a la sociedad y a quienes la dirigen

Un supervisor puede apercibir, imponer multas de 10.000 AED a 5 millones de AED por infracción, suspender a los administradores o la actividad, revocar la licencia y publicar el resultado (artículo 17 del Decreto-Ley). Una sociedad cuyos representantes o administradores cometan en su nombre delitos como no comunicar, incumplir sanciones u operar sin licencia se enfrenta a una multa de 200.000 AED a 10 millones de AED (artículo 27(2)). Operar con activos virtuales diseñados para el anonimato total es delito (artículo 30(2)); VARA prohíbe en Dubái las criptomonedas de anonimato reforzado y la actividad relacionada con ellas (disposición II.C.1 del Reglamento).

La escala de multas de VARA deja que las multas en materia de AML y de conocimiento del cliente se fijen conforme a la legislación local y federal (Reglamento, Apéndice 3, n.º 1). Otras infracciones en materia de cumplimiento y gestión de riesgos conllevan multas indicativas para la sociedad de hasta 50 millones de AED, el 15 % de los ingresos anuales o el 300 % del beneficio obtenido o la pérdida evitada, la cifra que sea mayor (n.º 2), y VARA puede actuar directamente contra los administradores, las Personas Responsables (Responsible Individuals) y el MLRO (regla III.J.2; disposición IX.C.3 del Reglamento).

La Resolución del Consejo de Ministros n.º 71 de 2024 no alcanza a las empresas de activos virtuales: sus multas de 50.000 AED a 1 millón de AED por infracción, que el Ministerio puede duplicar en caso de reiteración, se aplican a las empresas no financieras designadas supervisadas por los Ministerios de Justicia y de Economía (artículos 2 y 5), entre las que puede figurar el proveedor de servicios societarios de una empresa.

Dónde se solapan los textos o no se han puesto al día

Los textos de VARA siguen citando la ley derogada de 2018 y el reglamento de 2019 (disposición VI.A.1 del Reglamento; Apéndice 4), y su Código Normativo Societario toma la definición de persona expuesta políticamente del reglamento de 2019, derogado por el artículo 70 de la Resolución del Consejo de Ministros n.º 134 de 2025. Como el Apéndice 4 abarca también la legislación federal AML vigente en cada momento, entendemos que las referencias de VARA remiten a los textos de 2025, incluida la definición de persona expuesta políticamente del artículo 1 del reglamento.

La sección AML de la CMA se aplica a las empresas de activos virtuales con licencia «de la Autoridad o de entidades locales» (capítulo primero, artículo 3), y su carta de abril de 2026 incluye el código normativo de VARA entre los textos que las empresas deben cumplir. La Resolución del Consejo de Ministros n.º 112 de 2022 exige a VARA trabajar con el regulador federal en un mecanismo unificado para supervisar a sus titulares de licencia (artículo 3(1)), pero no hemos encontrado ningún texto publicado que lo desarrolle o que diga cómo se aplica a ellos la sección AML de la CMA. La sección de la CMA también sigue remitiendo a las sanciones de la ley derogada de 2018 (capítulo duodécimo, artículo 4).

En cuanto a los responsables, VARA permite que una misma persona sea responsable de cumplimiento y MLRO (regla III.A.4), mientras que la sección AML de la CMA mantiene al responsable de cumplimiento al margen de otras funciones operativas (capítulo séptimo, artículo 1(2)), aunque su regulación de 2026 permite acumular cargos (artículo 54(4)).

Lo que comprueban una empresa de activos virtuales y sus proveedores de servicios

La carta de la CMA de abril de 2026 dirigida a las empresas de valores y a los VASP apunta a comprobaciones concretas: un análisis de brechas documentado frente a los textos de 2025; un MLRO adjunto designado u otro suplente autorizado que cubra las ausencias, debiendo el adjunto, en su caso, trabajar a tiempo completo y ser independiente y residente en los EAU; un control de sanciones que abarque las direcciones de monedero cuando sea factible, y herramientas de análisis de blockchain calibradas y validadas, en lugar de aceptadas sin más de un proveedor externo. Las normas anteriores añaden el acceso a goAML y un calendario de conservación ajustado al plazo aplicable más largo.

En el plano societario, la sociedad lleva su registro de socios, actualiza su información básica y sobre titulares reales en un plazo de 15 días hábiles desde cualquier cambio, y los titulares nominales revelan la identidad de quien los designó (artículos 38 y 39 del reglamento). Un titular de licencia de VARA necesita la aprobación por escrito de VARA antes de cualquier cambio significativo en sus propietarios o titulares reales (Código Normativo Societario, regla I.A.5). Un proveedor de servicios societarios que constituye la sociedad, le facilita su domicilio o actúa como secretario o titular nominal es a su vez una empresa no financiera designada (artículo 3(5) del reglamento) y aplica su propia diligencia debida a la empresa.

Para una nueva empresa, el marco AML forma parte del expediente de licencia: VARA espera políticas certificadas y un plan para la regla de viaje durante el proceso de licencia (reglas III.B.4 y III.G.8).

Este artículo describe la legislación de los EAU y las normas de los reguladores a 2 de noviembre de 2026. Es información general, no asesoramiento jurídico ni de inversión. Polaris no es un despacho de abogados y no tiene licencia de VARA, de la CMA, del Banco Central, de la DFSA ni de la FSRA.