Conformità AMLR: API per il regolamento UE 2024/1624

Il regolamento antiriciclaggio dell’UE (AMLR), Regolamento (UE) 2024/1624, unifica le norme sull’adeguata verifica della clientela (CDD) in un unico testo direttamente applicabile. Vincola gli enti creditizi e finanziari, compresi i prestatori di servizi per le cripto-attività (CASP), i prestatori di servizi di gioco d’azzardo e gli altri soggetti obbligati elencati nell’Articolo 3. È entrato in vigore il 9 luglio 2024 e si applicherà a decorrere dal 10 luglio 2027. Fino ad allora continuano ad applicarsi le leggi nazionali di recepimento dell’attuale direttiva. Questa pagina è rivolta agli sviluppatori e agli ingegneri della compliance incaricati dell’implementazione. Ciascuna sezione illustra quanto richiesto dal regolamento, cita l’articolo corrispondente e mostra il passaggio del workflow, l’endpoint API o il webhook di Didit utilizzabile a tale scopo. Per una panoramica aziendale, consulta la pagina della soluzione AMLR. Ultima revisione: 2 ottobre 2026.

Didit fornisce i controlli e le prove. Tu rimani il soggetto obbligato. Spetta a te definire il profilo di rischio del cliente, decidere se procedere con l’onboarding e rispondere pienamente di qualsiasi attività esternalizzata (Articolo 18). L’utilizzo di Didit non rende di per sé la tua azienda conforme all’AMLR. Questa pagina non costituisce consulenza legale: verifica insieme ai tuoi legali e alla tua autorità di vigilanza l’applicazione di ciascuna regola alla tua attività.

Cosa richiede l’AMLR in sintesi

Obbligo	Articolo	Dove si trova in Didit
Sapere quando scatta l’adeguata verifica	Art. 19	La tua logica di instradamento, poi una sessione per trigger. Vedi Quando si applica l’adeguata verifica
Identificare il cliente e verificarne l’identità	Art. 20(1)(a), Art. 22	Verifica dell’identità con wallet di identità digitale o acquisizione documenti. Vedi Identificare e verificare le persone fisiche
Identificare i titolari effettivi e comprendere l’assetto proprietario	Art. 20(1)(b), Artt. da 51 a 53	Workflow di Verifica aziendale (KYB). Vedi Verificare le aziende e i titolari effettivi
Controllare sanzioni e persone politicamente esposte	Art. 20(1)(d) e (g), Art. 42	Screening AML. Vedi Screening per sanzioni e PEP
Monitorare la relazione e mantenere aggiornati i dati dei clienti	Art. 26	Monitoraggio AML continuo e scadenza dei documenti. Vedi Monitorare su base continuativa e aggiornare
Comprendere lo scopo della relazione e, ove necessario, l’origine dei fondi	Art. 25	Questionari. Vedi Scopo e origine dei fondi
Monitorare le transazioni e segnalare i sospetti	Art. 26(1), Art. 69	Monitoraggio delle transazioni e gestione dei casi. Vedi Monitorare le transazioni e segnalare
Conservare i dati per 5 anni, poi cancellare i dati personali	Art. 77	Impostazione di conservazione, esportazioni e cancellazione su richiesta. Vedi Conservare i dati, poi cancellarli
Prevedere l’intervento umano nelle decisioni automatizzate	Art. 76(5)	Revisione manuale e aggiornamenti di stato. Vedi Revisione umana delle decisioni automatizzate
Regolamentare le attività esternalizzate	Art. 18	Il tuo registro delle esternalizzazioni. Vedi Esternalizzazione

Flusso end-to-end

Il tuo backend crea una sessione, l’utente completa il workflow, Didit ti invia una notifica e tu recuperi la decisione completa. La decisione di onboarding rimane di competenza del tuo team. Il monitoraggio prosegue dopo l’onboarding.

Quando si applica l’adeguata verifica

L’Articolo 19 stabilisce quando è obbligatorio applicare l’adeguata verifica della clientela: all’instaurazione di una relazione d’affari; per un’operazione occasionale di importo pari o superiore a 10.000 EUR, eseguita con un’unica operazione o con operazioni collegate; in presenza di un sospetto di riciclaggio o di finanziamento del terrorismo, indipendentemente dall’importo; e in caso di dubbi sui dati di identificazione già in possesso. In alcuni settori si applicano soglie inferiori: 1.000 EUR per i trasferimenti occasionali di fondi e per i CASP, 3.000 EUR per le operazioni occasionali in contanti (almeno identificazione e verifica) e 2.000 EUR nel gioco d’azzardo. Un CASP deve almeno identificare e verificare il cliente per un’operazione occasionale inferiore a 1.000 EUR. Didit non stabilisce se scatta un trigger. L’instradamento per tipo e importo dell’operazione avviene nel tuo codice, avviando poi il workflow corrispondente.

Requisito	Funzionalità di Didit	Endpoint o impostazione
Avviare l’adeguata verifica per una nuova relazione d’affari (Art. 19(1)(a))	Sessione di verifica sul tuo workflow di onboarding	`POST /v3/session/`
Avviare l’adeguata verifica quando un’operazione occasionale supera la tua soglia (Art. 19(1)(b), da 19(2) a 19(5))	Sessione di verifica sul workflow scelto per quel trigger	`POST /v3/session/` con il `workflow_id` corrispondente
Rilevare operazioni collegate che insieme superano una soglia	Regole di frequenza in Monitoraggio delle transazioni	`POST /v3/transactions/`, regole
Richiedere la verifica al cliente prima del regolamento di una transazione segnalata	Un’azione della regola sposta la transazione su `AWAITING_USER` e viene creata una sessione di verifica collegata	Stati delle transazioni

Uno schema di instradamento minimale per il tuo backend. Non include ogni singolo trigger dell’Articolo 19 (ad esempio, la partecipazione alla costituzione di una persona giuridica), e le norme settoriali applicabili alla tua attività potrebbero variare:

# Illustrative only. The figures are the Article 19 thresholds in EUR.
def due_diligence_for(event) -> str:
    """Return "full_cdd", "identify_and_verify" or "none"."""
    if event.new_business_relationship or event.suspicion or event.doubts_about_identity_data:
        return "full_cdd"

    amount = event.linked_total_eur  # one operation, or linked transactions added together

    if event.sector == "casp":
        return "full_cdd" if amount >= 1_000 else "identify_and_verify"
    if event.is_transfer_of_funds and amount >= 1_000:
        return "full_cdd"
    if event.sector == "gambling" and amount >= 2_000:
        return "full_cdd"
    if amount >= 10_000:
        return "full_cdd"
    if event.is_cash and amount >= 3_000:
        return "identify_and_verify"
    return "none"


WORKFLOWS = {
    "full_cdd": "YOUR_FULL_CDD_WORKFLOW_ID",
    "identify_and_verify": "YOUR_ID_ONLY_WORKFLOW_ID",
}

Identificare e verificare le persone

L’articolo 22(1) elenca i dati che devi conservare su una persona fisica: tutti i nomi e cognomi, il luogo e la data di nascita completa, le nazionalità, il numero di identificazione nazionale ove applicabile, il luogo di residenza abituale e, ove disponibile, l’identificativo fiscale. L’articolo 22(6) indica quindi due modalità per verificare l’identità: un documento d’identità, passaporto o equivalente, oppure un’identificazione elettronica (eID) conforme ai livelli di garanzia eIDAS “sostanziale” o “elevato”, unitamente ai relativi servizi fiduciari qualificati.

Punti dati rispetto alla decisione

La decisione restituita da GET /v3/session/{sessionId}/decision/ riporta una voce per ogni controllo dell’identità in id_verifications[].

Punto dati dell’Articolo 22(1)(a)	Campo in `id_verifications[]`	Note
Tutti i nomi e cognomi	`first_name`, `last_name`, `full_name`	Come appaiono sul documento o come restituiti dal wallet
Luogo e data di nascita completa	`place_of_birth`, `date_of_birth`	Il luogo di nascita è presente se riportato sul documento
Nazionalità	`nationality`	Registra nel tuo sistema le ulteriori nazionalità dichiarate dal cliente
Numero di identificazione nazionale, ove applicabile	`personal_number`	Il contenuto di questo campo dipende dal documento. Consulta il report di verifica dell’identità
Luogo di residenza abituale	`address`, `formatted_address`, `parsed_address`	I passaporti riportano raramente l’indirizzo. Aggiungi la Prova di residenza o una validazione su database quando il documento non lo include
Identificativo fiscale, ove disponibile	`extra_fields.tax_number`	Solo quando riportato sul documento. Altrimenti raccoglilo tramite un questionario

I due percorsi

Requisito	Funzionalità Didit	Endpoint o impostazione
Verificare con identificazione elettronica (Art. 22(6)(b))	Wallet di ID digitale. Disponibili in produzione: MitID (Danimarca), BankID Svezia, Finnish Trust Network (Finlandia), Smart-ID (Estonia, Lettonia, Lituania, Belgio) e Mobile-ID (Estonia, Lituania). Portafoglio europeo di identità digitale (EUDI): Prossimamente	Configura i metodi per paese nel passaggio di verifica dell’identità. Il risultato riporta `verification_method` e `wallet_provider`
Verificare con un documento d’identità (Art. 22(6)(a))	Acquisizione documento con controlli di autenticità e lettura chip NFC per passaporti elettronici e carte d’identità elettroniche. Per l’uso da remoto, consulta le bozze degli standard di seguito	Passaggi di verifica dell’identità e NFC nel workflow
Verificare che la persona che presenta il documento ne sia il titolare	Rilevamento della vitalità e Confronto facciale rispetto alla foto del documento	Passaggi di rilevamento della vitalità e Confronto facciale. Risultati in `liveness_checks[]` e `face_matches[]`
Conservare prove consultabili in seguito	Registro della sessione con immagini, dati estratti e marcature temporali	`GET /v3/session/{sessionId}/generate-pdf/`, esportazioni

Il livello di garanzia riportato da ciascun wallet è elencato nella pagina Wallet di ID digitale. Spetta a te valutare se un determinato schema soddisfa l’articolo 22(6)(b) per il tuo caso d’uso. Didit è l’integrazione che consente al tuo cliente di utilizzare il wallet; non è di per sé un prestatore di servizi fiduciari qualificato né uno schema eID.

Cosa indicano le bozze di norme tecniche sulla verifica da remoto

I progetti di norme tecniche di regolamentazione (RTS) sull’adeguata verifica della clientela ai sensi dell’articolo 28(1) sono redatti dall’Autorità antiriciclaggio (AMLA). Il report finale di AMLA è datato 30 settembre 2026 ed è stato annunciato il 1° ottobre 2026. Si tratta di una bozza finale presentata alla Commissione europea. Non è stata adottata e non costituisce legge. La Commissione può ancora modificarla, e la bozza propone che si applichi sei mesi dopo l’entrata in vigore. Tale bozza considera le due modalità dell’articolo 22(6) come opzioni predefinite. La verifica da remoto con documento è una soluzione alternativa per i casi in cui non sia ragionevolmente esigibile che la persona presenti il documento di persona e non abbia accesso a un eID idoneo (bozza articolo 7(1)). Se utilizzi l’alternativa, la bozza richiede di essere in grado di giustificarne l’uso e di dimostrare all’autorità di vigilanza che la soluzione dispone di tutele adeguate (bozza articolo 7(2) e 7(3)). La bozza è neutrale rispetto alla tecnologia: non menziona alcuna tecnica specifica. Come le tutele previste dalla bozza si allineano a quanto registrato da una sessione Didit:

Tutela nella bozza (Articolo 7(2))	Cosa puoi utilizzare in Didit
Controlli che la persona che presenta il documento ne sia il titolare	Risultati del rilevamento della vitalità e del Confronto facciale nella sessione
Immagini, video e dati di qualità sufficiente a identificare la persona	Controlli di qualità dell’acquisizione durante il flusso, con avvisi nel report
Interruzione in caso di dubbi sull’identità o sull’integrità del processo	Avvisi e uno stato della sessione pari a `"Declined"` o `"In Review"`
Copie conservate, con marcatura temporale e disponibili per verifiche successive	Registro della sessione, report PDF e la tua impostazione di conservazione

La motivazione per cui un cliente ha seguito la procedura tramite documento anziché eID deve essere registrata da te. Salvala nel tuo sistema o allegala alla sessione tramite metadata al momento della sua creazione.

Verifica delle aziende e dei titolari effettivi

Per un’entità giuridica, l’articolo 22(1)(b) richiede la forma giuridica e la denominazione, l’indirizzo della sede legale, i rappresentanti legali e, ove disponibili, il numero di registrazione, l’identificativo fiscale e il Legal Entity Identifier. Devi inoltre identificare i titolari effettivi e adottare misure ragionevoli per verificarli, in modo da comprendere l’assetto proprietario e di controllo (articolo 20(1)(b)). Un titolare effettivo è una persona fisica che detiene, direttamente o indirettamente, una quota pari al “25% o più” delle azioni, dei diritti di voto o di un’altra partecipazione proprietaria (articolo 52(1)), oppure che controlla l’entità tramite partecipazioni o altri mezzi (articoli 51 e 53). Il controllo viene valutato parallelamente all’assetto proprietario.

Requisito	Funzionalità Didit	Endpoint o impostazione
Identificare l’entità giuridica e verificarla tramite un registro	Verifica aziendale (KYB) con consultazione del registro delle imprese ai livelli Lite, Shareholders o UBOs. La disponibilità dei livelli varia in base al paese	`POST /v3/session/` con un `workflow_id` KYB. Consulta i paesi supportati
Identificare i titolari effettivi (UBO) al 25% o più	Assetto proprietario dal registro ove disponibile, confermato e integrato dal rappresentante dell’azienda	Soglia UBO in Workflow, nel workflow KYB. Risultati in `key_people_checks[]`
Verificare l’identità di proprietari, amministratori e rappresentanti	Controlli di identità collegati: ciascuna persona chiave riceve una sessione di verifica figlia sul workflow scelto per ruolo	Impostazioni per ruolo in Persone Chiave nel workflow KYB
Confrontare i dati del registro con quanto dichiarato dal cliente (Art. 22(7), Art. 24)	Dati del registro e soggetti dichiarati dal cliente mostrati a confronto	`key_people_checks[].registry` e `key_people_checks[].submitted` nella decisione
Effettuare lo screening dell’azienda, dei proprietari e dei soggetti di controllo	Screening AML per aziende e persone fisiche	Passaggio AML nel workflow KYB

Quattro punti su cui progettare il flusso:

La soglia è configurabile. Il valore dell’AMLR è “25% o più”, non “più del 25%”. La soglia UBO nel workflow è configurabile, quindi impostala in modo coerente e rivedila se la tua policy interna è più restrittiva.
Un registro da solo non è sufficiente. L’articolo 22(7) richiede di consultare i registri centrali in aggiunta alla verifica dei titolari effettivi. Segnalare una discrepanza al registro entro 14 giorni di calendario (articolo 24) è un passaggio a tuo carico.
Un risultato vuoto dal registro non prova l’assenza di proprietari. Un registro potrebbe non contenere record di titolarità per un’azienda o un paese specifico. Se non identifichi alcun titolare effettivo, l’articolo 22(2) richiede di registrare tale assenza e di identificare e verificare invece i dirigenti apicali.
Il monitoraggio dei registri è in arrivo. Il monitoraggio continuo delle variazioni nei registri non è ancora disponibile. Fino a quel momento, riesegui la Verifica aziendale secondo il tuo programma di aggiornamento periodico.

Screening per sanzioni e PEP

Devi verificare se il cliente o i suoi titolari effettivi sono soggetti a sanzioni finanziarie mirate, e se persone sanzionate controllano un cliente persona giuridica o ne detengono più del 50% (articolo 20(1)(d)). Nell’AMLR, per sanzioni finanziarie mirate si intendono le sanzioni UE. Devi inoltre determinare se il cliente o un titolare effettivo è una persona politicamente esposta (PEP), un suo familiare o una persona con cui intrattiene stretti legami (articolo 20(1)(g)). Per i PEP, l’articolo 42 aggiunge l’approvazione dell’alta dirigenza, misure per stabilire l’origine del patrimonio e dei fondi, e un monitoraggio continuo rafforzato.

Requisito	Funzionalità Didit	Endpoint o impostazione
Screening all’onboarding	Passaggio di Screening AML nel workflow, rispetto a sanzioni, PEP e watchlist	Passaggio AML e relative soglie nel workflow. Risultati in `aml_screenings[]`
Screening senza un flusso ospitato	Screening autonomo di una persona fisica o di un’azienda	`POST /v3/aml/`
Sapere quali liste sono coperte	Database delle watchlist, che include l’elenco consolidato delle sanzioni finanziarie dell’UE	Pagina di riferimento
Registrare una decisione su ciascuna corrispondenza	Revisione delle corrispondenze con uno `review_status` per corrispondenza	`PATCH /v3/session/{sessionId}/update-aml-hit-status/`
Inviare le corrispondenze PEP e sanzioni a una persona	Soglie che spostano la sessione su `"In Review"`	Soglie AML nel workflow, seguite da revisione manuale

curl -X POST 'https://verification.didit.me/v3/aml/' \
  -H "x-api-key: $DIDIT_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "full_name": "Javier Ejemplo Modelo",
    "entity_type": "person",
    "date_of_birth": "1974-01-01",
    "nationality": "ES",
    "vendor_data": "user-1234"
  }'

La registrazione di una corrispondenza come Confirmed Match o False Positive attiva un webhook data.updated e non modifica di per sé la decisione della sessione. L’approvazione dell’alta dirigenza per un rapporto con un PEP fa parte del tuo processo interno: instrada la sessione a revisione e registra chi l’ha approvata.

Monitorare continuamente e aggiornare

L’articolo 26 richiede il monitoraggio continuo della relazione d’affari e le informazioni aggiornate sui clienti. Il periodo tra gli aggiornamenti non deve superare 1 anno per i clienti a rischio più elevato e 5 anni per tutti gli altri clienti (articolo 26(2)), ed è necessario effettuare l’aggiornamento anche quando le circostanze del cliente cambiano o si viene a conoscenza di un fatto rilevante (articolo 26(3)). I controlli sulle sanzioni devono essere ripetuti regolarmente, e per gli enti creditizi e finanziari a ogni nuova designazione (articolo 26(4)).

Requisito	Funzionalità Didit	Endpoint o impostazione
Ricontrollare i clienti rispetto alle liste di sanzioni e PEP	Monitoraggio AML continuo con nuovo screening giornaliero	Abilitalo nel passaggio AML, o per profilo con `POST /v3/users/aml-monitoring/`
Ricontrollare le aziende	Monitoraggio AML continuo per i profili aziendali	`POST /v3/businesses/aml-monitoring/`
Ricevere una notifica quando un nuovo screening modifica il risultato	Webhook sulla sessione	`status.updated` quando lo stato cambia, ad esempio in `"In Review"`, e `data.updated`. Il payload contiene `trigger: "ongoing_monitoring"`
Dimostrare che il monitoraggio è stato eseguito quando nulla è cambiato	Data dell’ultimo screening e cronologia degli screening	`last_ongoing_screening_at` nel report AML e l’esportazione della cronologia degli screening
Rilevare i documenti d’identità scaduti	Monitoraggio dei documenti	La sessione passa da `"Approved"` a `"Kyc Expired"` e viene attivato un webhook `status.updated`

curl -X POST https://verification.didit.me/v3/users/aml-monitoring/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{"is_enabled": true, "vendor_data_list": ["user-123", "user-456"]}'

L’attivazione o la disattivazione del monitoraggio non genera un webhook dedicato. Una volta attivato il monitoraggio, i nuovi screening attivano i consueti eventi status.updated e data.updated.

Pianificare l’aggiornamento a 1 anno e 5 anni nel proprio sistema

I tempi di aggiornamento dipendono dalla classe di rischio assegnata, e questa decisione non può essere esternalizzata. Didit non memorizza la tua classe di rischio e non pianifica l’aggiornamento periodico al posto tuo.

Memorizzare la classe di rischio e la data dell'ultimo aggiornamento

Conservali nel record del cliente, accanto al vendor_data inviato a Didit.

Eseguire un job programmato

Seleziona i clienti il cui ultimo aggiornamento risale a più tempo fa rispetto al tuo intervallo: al massimo 1 anno per il rischio più elevato, al massimo 5 anni per il resto. Si tratta di periodi massimi, quindi un intervallo più breve è a tua discrezione.

Creare una nuova sessione

Chiama POST /v3/session/ con lo stesso vendor_data e il tuo workflow di aggiornamento, quindi invia l’url al cliente.

Reagire anche agli eventi

Considera "Kyc Expired", un webhook di monitoraggio che sposta una sessione in "In Review" e una modifica segnalata dal cliente come trigger per un aggiornamento anticipato.

Scopo e origine dei fondi

Prima di avviare una relazione d’affari o eseguire una transazione occasionale, l’articolo 25 richiede di comprenderne lo scopo e la natura prevista. Se necessario, si acquisiscono informazioni sullo scopo e sulla logica economica, sull’importo stimato dell’attività, sull’origine dei fondi, sulla destinazione dei fondi e sull’attività economica o occupazione del cliente. “Se necessario” significa che la portata dipende dal rischio. L’adeguata verifica rafforzata può includere l’origine del patrimonio (articolo 34(4)).

Requisito	Funzionalità Didit	Endpoint o impostazione
Raccogliere scopo e attività prevista	Questionari con il modello Scopo del conto	Passaggio del questionario nel workflow
Raccogliere l’origine dei fondi con documenti giustificativi	Modello Origine dei fondi con caricamento file	Passaggio del questionario nel workflow
Raccogliere professione e datore di lavoro	Modello Dettagli sull’impiego	Passaggio del questionario nel workflow
Far leggere ogni risposta a una persona	Questionario impostato per restituire sempre `"In Review"`	Impostazione di revisione manuale sul questionario

I modelli sono un punto di partenza. Modifica le domande per adattarle alla tua valutazione del rischio e conserva le risposte insieme alla sessione, in modo che siano archiviate nello stesso record della verifica dell’identità.

Monitorare le transazioni e segnalare

Il monitoraggio continuo copre le transazioni effettuate nel corso della relazione, affinché rimangano coerenti con quanto noto sul cliente (articolo 26(1)). Quando sai, sospetti o hai ragionevoli motivi per sospettare che i fondi siano provento di attività criminose o collegati al finanziamento del terrorismo, invii una segnalazione alla tua Unità di informazione finanziaria (UIF) ai sensi dell’articolo 69.

Requisito	Funzionalità Didit	Endpoint o impostazione
Inviare ciascuna transazione per la valutazione	Monitoraggio delle transazioni per fiat e crypto	`POST /v3/transactions/`
Applicare i criteri di rilevamento approvati	Pacchetti di regole preimpostati e regole personalizzate, ciascuna con una modalità sotto il tuo controllo	Regole nella console o tramite l’API delle regole
Ricevere l’esito	Webhook	`transaction.created` e `transaction.status.updated`
Investigare	Alert e casi con una cronologia di ogni azione	Gestione dei casi nella console
Preparare il report	Preparazione dei report UIF dai dati del caso	Scheda Report UIF su un caso

curl -X POST https://verification.didit.me/v3/transactions/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "transaction_id": "finance0001",
    "transaction_category": "finance",
    "transaction_details": {
      "direction": "outbound",
      "amount": "1200.00",
      "currency": "EUR"
    },
    "subject": { "entity_type": "person", "vendor_data": "user-123", "full_name": "John Doe" },
    "counterparty": { "entity_type": "person", "full_name": "Jane Doe" }
  }'

Due limiti da tenere a mente:

Sei tu ad approvare i criteri di rilevamento. L’approvazione dei criteri per rilevare transazioni sospette o insolite non può essere esternalizzata (articolo 18(3)(f)). Esamina ogni regola installata e registra tale approvazione nelle tue policy interne.
Sei tu a presentare il report. Didit prepara i file del report a partire dal caso. Non invia nulla a una UIF. L’invio viene eseguito dal tuo responsabile della compliance tramite il canale della tua UIF.

Conserva i registri, poi eliminali

L’articolo 77 definisce il tuo obbligo di conservazione dei documenti. Devi conservare i documenti e le informazioni ottenuti per l’adeguata verifica della clientela, le registrazioni delle tue valutazioni dei sospetti e le registrazioni delle transazioni per 5 anni. Il periodo decorre da quando cessa il rapporto d’affari, da quando viene eseguita la transazione occasionale o da quando rifiuti di instaurare il rapporto (articolo 77, paragrafo 3). Alla scadenza dei 5 anni, devi eliminare i dati personali, a meno che non si applichi un’altra disposizione di legge o un’autorità non richieda di conservare registrazioni specifiche più a lungo. Il conteggio inizia a partire da un evento nel tuo sistema: la cessazione del rapporto. Didit non conosce tale data, pertanto il periodo di conservazione che configuri e le eliminazioni che richiedi sono decisioni che spettano a te.

Requisito	Funzionalità di Didit	Endpoint o impostazione
Conservare le registrazioni delle sessioni per l’intera durata del tuo obbligo	Impostazione di conservazione: un intervallo compreso tra 1 mese e 10 anni, oppure illimitato	Business Console → App Settings → Data retention
Eliminare allo scadere del periodo di 5 anni	Eliminazione su richiesta di una sessione	`DELETE /v3/session/{sessionId}/delete/`
Consegnare un fascicolo a un’autorità di vigilanza o a un revisore	Report in PDF per sessione e per utente, esportazione massiva in CSV	`GET /v3/session/{sessionId}/generate-pdf/`, esportazioni
Conservare le prove dello screening	Esportazione della cronologia di screening per sessione	Prove del monitoraggio continuo

Scegli un intervallo di conservazione che non scada anticipatamente

Una sessione raggiunge il termine dell’intervallo e viene eliminata. Scegli un intervallo che copra la durata dei rapporti con i tuoi clienti più 5 anni, oppure mantienilo illimitato ed elimina su richiesta.

Registra la cessazione del rapporto

Memorizza la data di cessazione, di transazione o di rifiuto nel tuo sistema. Da tale data decorrono i tuoi 5 anni.

Elimina alla scadenza del periodo

Chiama DELETE /v3/session/{sessionId}/delete/ per ciascuna sessione di quel cliente. L’eliminazione è irreversibile e gli URL dei file multimediali non sono più accessibili.

I registri di audit e la cronologia di screening non coprono da soli l’obbligo dei 5 anni. I registri di audit sono disponibili da 30 giorni a 3 anni a seconda del tuo piano, mentre le esecuzioni dello screening nella cronologia sono disponibili per due anni per impostazione predefinita. Se la tua politica di conservazione della documentazione si basa su di essi, esportali nei tuoi archivi prima del termine di tali periodi. Le registrazioni delle sessioni soggette alla tua impostazione di conservazione sono quelle corrispondenti all’articolo 77.

Revisione umana delle decisioni automatizzate

L’articolo 76, paragrafo 5, consente di adottare decisioni risultanti da processi automatizzati, inclusi la profilazione e i sistemi di IA, a tre condizioni. I dati devono essere limitati a quelli dell’adeguata verifica. Qualsiasi decisione di instaurare, rifiutare o mantenere un rapporto d’affari, di eseguire o rifiutare una transazione occasionale o di modificare la portata dell’adeguata verifica deve essere soggetta a un intervento umano significativo. Inoltre, il cliente deve poter ottenere una spiegazione della decisione e contestarla.

Requisito	Funzionalità di Didit	Endpoint o impostazione
Inviare i casi a una persona	Soglie e rami del workflow che terminano in `"In Review"`	Workflow
Esaminare le prove e decidere	Revisione manuale con un motivo di rifiuto e note di revisione	Console, oppure `PATCH /v3/session/{sessionId}/update-status/`
Richiedere un secondo revisore	Revisione a quattro occhi su un modello di caso: un funzionario diverso approva o rifiuta la risoluzione	Gestione dei casi nella console
Spiegare l’esito	Risultati per singolo controllo, avvisi e commenti del revisore sulla sessione	`GET /v3/session/{sessionId}/decision/`

curl -X PATCH https://verification.didit.me/v3/session/4c5c7f3a-.../update-status/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "new_status": "Approved",
    "comment": "Cleared after manual review by compliance team"
  }'

Lo stato di una sessione pari a "Approved" o "Declined" è il risultato dei controlli che hai configurato. Costituisce un elemento di input per la tua decisione di onboarding, la cui titolarità spetta a te ai sensi dell’articolo 18, paragrafo 3. Stabilisci insieme al tuo team legale i passaggi in cui è necessario l’intervento umano, quindi integra questo passaggio nel workflow e nel tuo back office.

Esternalizzazione

L’articolo 18 ti consente di esternalizzare a un fornitore di servizi le attività derivanti dall’AMLR. Stabilisce delle condizioni: notifichi la tua autorità di vigilanza prima che il fornitore inizi (articolo 18(1)), rimani pienamente responsabile per le attività esternalizzate (articolo 18(2)), e definisci le condizioni in un accordo scritto ed esegui controlli regolari sul fornitore (articolo 18(4)). Il regolamento specifica inoltre che l’uso di software di terze parti o l’accesso a database o servizi di screening, in cui esegui direttamente l’adempimento richiesto, non costituisce esternalizzazione (considerando 47). Da che parte ricada il tuo utilizzo di Didit dipende da come lo usi. Gli orientamenti dell’AMLA sull’esternalizzazione sono previsti entro il 10 luglio 2027. Sei attività non possono essere esternalizzate in nessun caso (articolo 18(3)). Rimangono di tua competenza:

La proposta e l’approvazione della valutazione del rischio a livello aziendale.
L’approvazione delle tue politiche, procedure e controlli interni.
La decisione sul profilo di rischio da attribuire al cliente.
La decisione di instaurare un rapporto d’affari o eseguire una transazione occasionale.
La segnalazione di attività sospette e le comunicazioni basate su soglie alla FIU.
L’approvazione dei criteri per rilevare transazioni e attività sospette o insolite.

Le attività collegate possono essere delegate: raccolta dei dati di identità, esecuzione della verifica del documento o dell’eID, raccolta dei dati sulla titolarità effettiva e consultazioni dei registri, screening rispetto alle liste delle sanzioni e PEP, esecuzione del monitoraggio delle transazioni in base ai criteri da te approvati, e preparazione di alert e prove. Cosa inserire nel tuo registro delle esternalizzazioni riguardo a Didit:

Elemento	Cosa registrare	Dove trovarlo
Accordo scritto (Art. 18(4))	Il tuo contratto con Didit e l’accordo sul trattamento dei dati (DPA)	Chiedi al tuo referente Didit il DPA e le misure tecniche e organizzative
Attività delegate	I controlli in ciascun workflow che esegui, per versione del workflow	Workflow. Le sessioni e i webhook riportano `workflow_id` e `workflow_version`
Attività che mantieni	Le sei attività sopra indicate, con il responsabile nella tua organizzazione	Le tue politiche interne
Qualificazione del fornitore (Art. 18(4))	Certificazioni e attestazioni	Certificazioni
Posizione dei dati	I dati vengono elaborati e conservati nell’UE per impostazione predefinita. L’elaborazione nel paese è disponibile su Enterprise	Conservazione dei dati
Controlli regolari (Art. 18(4))	Il tuo campionamento di sessioni, esportazioni e tracce di revisione, con una frequenza commisurata alla criticità dell’attività	Esportazioni, registri di audit
Notifica all’autorità di vigilanza (Art. 18(1))	La data in cui hai notificato la tua autorità di vigilanza, prima dell’avvio della produzione	Passaggio a tuo carico. La notifica non implica che l’autorità di vigilanza accetti l’accordo

Workflow di riferimento

Un punto di partenza per un workflow di onboarding per persone fisiche. Adattalo alla tua valutazione del rischio.

Crea il workflow

Nella Business Console, apri Workflow e crea un workflow Know Your Customer (KYC). Usa il generatore visuale se hai bisogno di rami per paese o per risultato.

Scegli i metodi di identità per paese

Nel passaggio Verifica dell’identità, abilita i wallet di identità digitale disponibili per i paesi che servi, e l’acquisizione del documento come percorso per tutti gli altri. Consulta Metodi di Verifica dell’identità.

Associa il documento alla persona

Per il percorso tramite documento, aggiungi Rilevamento della vitalità e Confronto facciale, e NFC nei casi in cui il documento presenti un chip.

Verifica l'indirizzo

Aggiungi Prova di residenza per i clienti il cui documento non riporta un indirizzo.

Esegui screening e monitoraggio

Aggiungi Screening AML, imposta le soglie che inviano una corrispondenza alla revisione e attiva il monitoraggio continuo.

Richiedi lo scopo e l'origine dei fondi

Aggiungi un Questionario dai modelli Scopo del conto e Origine dei fondi.

Iscriviti ai webhook

Crea una destinazione webhook configurata per ricevere status.updated e data.updated. Consulta Webhook.

Pubblica e copia l'ID del workflow

Pubblica il workflow e usa il suo workflow_id quando crei le sessioni.

Crea una sessione:

curl -X POST https://verification.didit.me/v3/session/ \
  -H "x-api-key: YOUR_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "workflow_id": "YOUR_KYC_WORKFLOW_ID",
    "vendor_data": "user-42",
    "callback": "https://yourapp.com/callback"
  }'

Risposta (201 Created):

{
  "session_id": "4c5c7f3a-1f82-4f3b-8d8e-1a8d2d2f9b7a",
  "session_kind": "user",
  "session_number": 1024,
  "session_token": "...",
  "url": "https://verify.didit.me/session/...",
  "status": "Not Started",
  "workflow_id": "YOUR_KYC_WORKFLOW_ID",
  "vendor_data": "user-42"
}

Reindirizza il cliente a url. Quando la sessione raggiunge una decisione, Didit invia un webhook status.updated. Un estratto:

{
  "event_id": "9c0c8b8a-1111-4222-9333-444444444444",
  "webhook_type": "status.updated",
  "timestamp": 1774970000,
  "created_at": 1774969994,
  "application_id": "11111111-2222-3333-4444-555555555555",
  "environment": "live",
  "session_id": "aaaaaaaa-bbbb-cccc-dddd-eeeeeeeeeeee",
  "status": "In Review",
  "workflow_id": "66666666-7777-8888-9999-000000000000",
  "workflow_version": 4,
  "vendor_data": "user_42",
  "decision": { "...": "see /sessions-api/retrieve-session" }
}

Verifica la firma, imposta la chiave di idempotenza su event_id e confronta status come stringa esatta, distinguendo tra maiuscole e minuscole. I valori sono elencati in Stati della verifica. Quindi leggi la decisione completa con GET /v3/session/{sessionId}/decision/ e trasmettila alla persona o al processo che prende la decisione sull’onboarding.

Cronologia

Data	Cosa succede
19 giugno 2024	L’AMLR, Regolamento (UE) 2024/1624, viene pubblicato nella Gazzetta Ufficiale
9 luglio 2024	L’AMLR entra in vigore
30 settembre 2026	L’AMLA data la sua relazione finale sui progetti di standard sull’adeguata verifica della clientela (annunciata il 1° ottobre 2026). Presentata alla Commissione, non adottata
10 luglio 2027	L’AMLR diventa applicabile. Termine per gli Stati membri per recepire la sesta direttiva antiriciclaggio, Direttiva (UE) 2024/1640. Sono attesi gli orientamenti dell’AMLA sull’esternalizzazione
2028	L’AMLA avvia la vigilanza diretta su entità finanziarie selezionate. Il primo ciclo è limitato a 40
10 luglio 2029	L’AMLR si applica agli agenti sportivi e alle società calcistiche professionistiche

FAQ

Quando si applica l'AMLR?

L’AMLR è entrato in vigore il 9 luglio 2024 e si applicherà a partire dal 10 luglio 2027. Per gli agenti di calcio e le società calcistiche professionistiche si applicherà a partire dal 10 luglio 2029. Fino al 10 luglio 2027 si applicano le leggi nazionali che recepiscono la direttiva attuale.

Qual è la differenza tra AMLR, AMLD6 e AMLA?

L’AMLR è il Regolamento (UE) 2024/1624. Contiene le norme per i soggetti obbligati e si applica direttamente, senza recepimento nazionale. L’AMLD6 è la Direttiva (UE) 2024/1640. È rivolta agli Stati membri e disciplina le autorità di vigilanza, i registri e le sanzioni, con recepimento previsto entro il 10 luglio 2027. L’AMLA è l’Autorità antiriciclaggio, istituita dal Regolamento (UE) 2024/1620 e con sede a Francoforte. Redige gli standard tecnici e le linee guida e supervisionerà direttamente un gruppo selezionato di entità finanziarie a partire dal 2028.

La verifica a distanza con un documento d'identità è ancora consentita?

Sì, a determinate condizioni. L’articolo 22, paragrafo 6, indica due strumenti: un documento d’identità oppure un’eID con livello di garanzia sostanziale o elevato. La bozza finale degli standard dell’AMLA del 30 settembre 2026 mantiene la verifica a distanza con un documento come alternativa per i casi in cui non si possa ragionevolmente pretendere che la persona presenti il documento di persona e non abbia accesso a un’eID idonea. Devi essere in grado di giustificarne l’uso e mostrare le misure di sicurezza adottate. La bozza non specifica alcuna tecnica e non è ancora legge.

Gli standard tecnici sono definitivi?

No. L’AMLA ha finalizzato la propria bozza il 30 settembre 2026 e l’ha trasmessa alla Commissione europea. Diventerà vincolante solo quando la Commissione la adotterà e sarà pubblicata nella Gazzetta ufficiale, e la Commissione potrebbe modificarla. La bozza propone l’applicazione sei mesi dopo l’entrata in vigore, pertanto non esiste ancora una data precisa.

Devo accettare l'EUDI Wallet, e Didit lo supporta?

L’AMLR stesso elenca l’eID come uno dei due strumenti di verifica. Non impone a tutti i soggetti obbligati di accettare l’EUDI Wallet. L’obbligo di accettazione risiede nel regolamento eIDAS: i soggetti privati facenti affidamento su tali mezzi di identificazione e che devono utilizzare un’autenticazione forte dell’utente per l’identificazione online accettano il wallet su richiesta dell’utente, entro e non oltre 36 mesi dall’entrata in vigore degli atti di esecuzione, con esenzione per le micro e piccole imprese. Se ciò riguardi o meno il tuo onboarding è una questione di competenza dei tuoi consulenti legali. In Didit, l’EUDI Wallet è Prossimamente. I wallet disponibili in produzione oggi sono MitID, BankID Sweden, Finnish Trust Network, Smart-ID e Mobile-ID.

La soglia per la titolarità effettiva è del 25% o del 15%?

È del “25% o più” delle quote, dei diritti di voto o di un’altra partecipazione nell’assetto proprietario (articolo 52, paragrafo 1), con il controllo valutato in parallelo. L’articolo 52, paragrafo 2, consente alla Commissione di stabilire una soglia inferiore, fino a un massimo del 15%, per categorie di entità a rischio più elevato tramite atto delegato. Non esiste alcun atto del genere. In Didit, la soglia UBO è un’impostazione del tuo workflow KYB.

Come implemento l'aggiornamento a 1 anno e a 5 anni?

Memorizza la classe di rischio del cliente e la data dell’ultimo aggiornamento nel tuo sistema, esegui un processo pianificato che selezioni i clienti che hanno superato l’intervallo previsto e crea una nuova sessione con POST /v3/session/ e lo stesso vendor_data. Aggiungi trigger basati su eventi: uno stato "Kyc Expired", un webhook di monitoraggio o una modifica comunicata dal cliente. I valori di 1 anno e 5 anni indicati nell’articolo 26, paragrafo 2, sono periodi massimi.

Che cosa posso esternalizzare?

Attività come la raccolta dei dati di identità, l’esecuzione della verifica, le consultazioni dei registri, lo screening e l’esecuzione del monitoraggio delle transazioni in base a criteri da te approvati. Sei attività non possono essere esternalizzate: l’approvazione della valutazione del rischio a livello aziendale, l’approvazione delle politiche interne, la determinazione del profilo di rischio del cliente, la decisione di procedere con l’onboarding, la segnalazione alla FIU e l’approvazione dei criteri di rilevamento. Rimani pienamente responsabile di quanto esternalizzi (articolo 18, paragrafo 2).

Come imposto la conservazione per la regola dei 5 anni?

I 5 anni decorrono dalla conclusione della relazione, non da quando il cliente è stato verificato. In Business Console → App Settings → Data retention, scegli un intervallo sufficientemente lungo da coprire la durata della relazione più 5 anni, oppure lascialo illimitato. Monitora la data di cessazione nel tuo sistema e chiama DELETE /v3/session/{sessionId}/delete/ quando il periodo giunge al termine. Esporta i registri di audit e lo storico dello screening se la tua politica di conservazione della documentazione si basa su di essi.

L'utilizzo di Didit mi rende conforme all'AMLR?

No. La conformità è una caratteristica del tuo programma: la tua valutazione del rischio, le tue politiche, le tue decisioni e i tuoi controlli. Didit ti fornisce le verifiche, il monitoraggio e le prove del funzionamento di tali componenti del programma. Non esiste alcuna certificazione o approvazione AMLR per fornitori o strumenti.

Risorse correlate

Panoramica della soluzione AMLR

La visione aziendale: chi è vincolato dall’AMLR e dove si inserisce Didit.

Metodi di Verifica dell'identità

Acquisizione documenti, consultazione senza documenti e wallet di identità digitale.

Wallet di identità digitale

Disponibilità e livello di garanzia per wallet.

Verifica aziendale

Consultazioni dei registri, assetto proprietario e persone chiave.

Screening AML

Screening di sanzioni, PEP e watchlist con monitoraggio continuo.

Monitoraggio delle transazioni

Regole, alert, casi e preparazione dei report per la FIU.

Questionari

Modelli per lo scopo del rapporto e l’origine dei fondi.

Conservazione dei dati

Finestre di conservazione ed eliminazione su richiesta.

Webhook

Tipi di evento, payload e verifica della firma.

Prezzi

Paga per verifica. Consulta il prezzo attuale di ciascuna funzionalità.

Panoramica

Prezzi

Workflow e verifica

Revisione e operazioni

Entità (utenti e aziende)

Impostazioni e personalizzazione

Sicurezza e compliance

Didit Academy

Risorse

Conformità AMLR: API per il regolamento UE 2024/1624

Cosa richiede l’AMLR in sintesi

Flusso end-to-end

Quando si applica l’adeguata verifica

Identificare e verificare le persone

Punti dati rispetto alla decisione

I due percorsi

Cosa indicano le bozze di norme tecniche sulla verifica da remoto

Verifica delle aziende e dei titolari effettivi

Screening per sanzioni e PEP

Monitorare continuamente e aggiornare

Pianificare l’aggiornamento a 1 anno e 5 anni nel proprio sistema

Scopo e origine dei fondi

Monitorare le transazioni e segnalare

Conserva i registri, poi eliminali

Revisione umana delle decisioni automatizzate

Esternalizzazione

Workflow di riferimento

Cronologia

FAQ

Risorse correlate

Panoramica della soluzione AMLR

Metodi di Verifica dell'identità

Wallet di identità digitale

Verifica aziendale

Screening AML

Monitoraggio delle transazioni

Questionari

Conservazione dei dati

Webhook

Prezzi

​Cosa richiede l’AMLR in sintesi

​Flusso end-to-end

​Quando si applica l’adeguata verifica

​Identificare e verificare le persone

​Punti dati rispetto alla decisione

​I due percorsi

​Cosa indicano le bozze di norme tecniche sulla verifica da remoto

​Verifica delle aziende e dei titolari effettivi

​Screening per sanzioni e PEP

​Monitorare continuamente e aggiornare

​Pianificare l’aggiornamento a 1 anno e 5 anni nel proprio sistema

​Scopo e origine dei fondi

​Monitorare le transazioni e segnalare

​Conserva i registri, poi eliminali

​Revisione umana delle decisioni automatizzate

​Esternalizzazione

​Workflow di riferimento

​Cronologia

​FAQ

​Risorse correlate

Panoramica della soluzione AMLR

Metodi di Verifica dell'identità

Wallet di identità digitale

Verifica aziendale

Screening AML

Monitoraggio delle transazioni

Questionari

Conservazione dei dati

Webhook

Prezzi

Cosa richiede l’AMLR in sintesi

Flusso end-to-end

Quando si applica l’adeguata verifica

Identificare e verificare le persone

Punti dati rispetto alla decisione

I due percorsi

Cosa indicano le bozze di norme tecniche sulla verifica da remoto

Verifica delle aziende e dei titolari effettivi

Screening per sanzioni e PEP

Monitorare continuamente e aggiornare

Pianificare l’aggiornamento a 1 anno e 5 anni nel proprio sistema

Scopo e origine dei fondi

Monitorare le transazioni e segnalare

Conserva i registri, poi eliminali

Revisione umana delle decisioni automatizzate

Esternalizzazione

Workflow di riferimento

Cronologia

FAQ

Risorse correlate