O que o AMLR exige em resumo
Fluxo de ponta a ponta
Seu backend cria uma sessão, o usuário conclui o fluxo, a Didit notifica você e você recupera a decisão completa. A decisão de onboarding fica com a sua equipe. O monitoramento continua após o onboarding.Quando a due diligence se aplica
O Artigo 19 define quando você deve aplicar a due diligence do cliente: ao estabelecer um relacionamento de negócios; em uma transação ocasional de pelo menos EUR 10,000, em uma única operação ou em transações vinculadas; quando houver suspeita de lavagem de dinheiro ou financiamento do terrorismo, independentemente do valor; e quando você tiver dúvidas sobre dados de identificação que já possui. Limiares mais baixos se aplicam em alguns setores: EUR 1,000 para transferências ocasionais de fundos e para CASPs, EUR 3,000 para transações ocasionais em espécie (no mínimo, a identificação e a verificação) e EUR 2,000 em jogos de azar. Um CASP deve, no mínimo, identificar e verificar o cliente em uma transação ocasional abaixo de EUR 1,000. A Didit não decide se um gatilho se aplica. Você faz o roteamento por tipo e valor da transação no seu próprio código e, depois, inicia o fluxo correspondente.Identificar e verificar pessoas
O Artigo 22(1) lista os dados que você deve manter sobre uma pessoa física: todos os nomes e sobrenomes, local e data de nascimento completa, nacionalidades, o número de identificação nacional, quando aplicável, o local de residência habitual e, quando disponível, o número de identificação fiscal. Em seguida, o Artigo 22(6) indica dois meios de verificar a identidade: um documento de identidade, passaporte ou equivalente, ou uma identificação eletrônica (eID) que atenda aos níveis de garantia “substancial” ou “elevado” do eIDAS, em conjunto com os serviços de confiança qualificados pertinentes.Os dados exigidos na decisão
A decisão retornada porGET /v3/session/{sessionId}/decision/ traz uma entrada por verificação de identidade em id_verifications[].
Os dois caminhos
O que as normas técnicas preliminares dizem sobre a verificação remota
As normas técnicas de regulamentação (RTS) sobre due diligence do cliente previstas no Artigo 28(1) são elaboradas pela Autoridade Antilavagem de Dinheiro (AMLA). O relatório final da AMLA tem data de 30 de setembro de 2026 e foi anunciado em 1º de outubro de 2026. Trata-se de um projeto final submetido à Comissão Europeia. Ele não foi adotado e não tem força de lei. A Comissão ainda pode alterá-lo, e o projeto propõe que ele passe a ser aplicado seis meses após a entrada em vigor. Esse projeto trata os dois meios do Artigo 22(6) como o padrão. A verificação remota com documento é uma solução alternativa para quando não se pode razoavelmente esperar que a pessoa apresente o documento presencialmente e ela não tem acesso a uma eID elegível (Artigo 7(1) do projeto). Se você usar a alternativa, o projeto exige que você consiga justificar o motivo e demonstrar à sua autoridade supervisora que a solução conta com salvaguardas (Artigos 7(2) e 7(3) do projeto). O projeto é tecnologicamente neutro: não menciona nenhuma técnica. Como as salvaguardas do projeto se relacionam com o que uma sessão da Didit registra:metadata ao criá-la.
Verificar empresas e beneficiários finais
Para uma pessoa jurídica, o Artigo 22(1)(b) exige a forma jurídica e a denominação, o endereço da sede social, os representantes legais e, quando disponíveis, o número de registro, o número de identificação fiscal e o Legal Entity Identifier. Você também deve identificar os beneficiários finais e adotar medidas razoáveis para verificá-los, de modo a compreender a estrutura de propriedade e de controle (Artigo 20(1)(b)). Um beneficiário final é uma pessoa física com propriedade direta ou indireta de “25 % ou mais” das ações, dos direitos de voto ou de outra participação societária (Artigo 52(1)), ou que controla a entidade por meio de propriedade ou de outros meios (Artigos 51 e 53). O controle é avaliado em paralelo à propriedade.- Quem define o limiar é você. O valor da AMLR é “25 % ou mais”, e não “mais de 25 %”. O limiar de UBO no fluxo é configurável, portanto ajuste-o para corresponder a esse valor e revise-o se a sua política for mais rigorosa.
- Um registro, por si só, não basta. O Artigo 22(7) exige que você consulte os registros centrais além de verificar os beneficiários finais. Comunicar uma divergência ao registro em até 14 dias corridos (Artigo 24) é sua responsabilidade.
- Um resultado vazio no registro não prova que uma empresa não tem proprietários. Um registro pode não ter nenhum dado de propriedade para uma empresa ou para um país. Se você não identificar nenhum beneficiário final, o Artigo 22(2) exige que você registre esse fato e, em vez disso, identifique e verifique os dirigentes de nível hierárquico superior.
- O monitoramento de registros chegará em breve. O monitoramento contínuo de alterações nos registros ainda não está disponível. Até lá, execute novamente a Verificação de empresas de acordo com o seu calendário de atualização.
Triagem de sanções e PEPs
Você deve verificar se o cliente ou seus beneficiários finais estão sujeitos a sanções financeiras específicas e se pessoas sancionadas controlam um cliente pessoa jurídica ou detêm mais de 50 % dele (Artigo 20(1)(d)). Na AMLR, sanções financeiras específicas são as sanções da UE. Você também deve determinar se o cliente ou um beneficiário final é uma pessoa politicamente exposta (PEP), um familiar ou um associado próximo (Artigo 20(1)(g)). Para PEPs, o Artigo 42 acrescenta a aprovação da alta direção, medidas para estabelecer a origem do patrimônio e a origem dos recursos, e um monitoramento contínuo reforçado.Confirmed Match ou False Positive dispara um webhook data.updated e, por si só, não altera a decisão da sessão. A aprovação da alta direção para uma relação com um PEP é um processo seu: encaminhe a sessão para revisão e registre quem a aprovou.
Monitorar continuamente e atualizar
O Artigo 26 exige o monitoramento contínuo da relação de negócios e informações atualizadas do cliente. O intervalo entre as atualizações não pode exceder 1 ano para clientes de risco mais alto e 5 anos para todos os demais clientes (Artigo 26(2)). Você também precisa atualizar as informações quando as circunstâncias do cliente mudam ou quando toma conhecimento de um fato relevante (Artigo 26(3)). As verificações de sanções precisam ser repetidas regularmente e, no caso de instituições de crédito e financeiras, a cada nova designação (Artigo 26(4)).status.updated e data.updated.
Agende atualizações anuais e a cada 5 anos no seu próprio sistema
O prazo de atualização depende da classe de risco que você atribui, e essa decisão não pode ser terceirizada. A Didit não armazena a sua classe de risco nem agenda a atualização periódica por você.Armazene a classe de risco e a data da última atualização
vendor_data que você envia para a Didit.Execute uma tarefa agendada
Crie uma nova sessão
POST /v3/session/ com o mesmo vendor_data e seu fluxo de atualização e, em seguida, envie a url ao cliente.Reaja também a eventos
"Kyc Expired", um webhook de monitoramento que move uma sessão para "In Review" e uma mudança informada pelo cliente como gatilhos para uma atualização antecipada.Finalidade e origem dos recursos
Antes de iniciar uma relação de negócios ou realizar uma transação ocasional, o Artigo 25 exige que você entenda a finalidade e a natureza pretendida. Quando necessário, você obtém informações sobre a finalidade e a justificativa econômica, o volume estimado de atividade, a origem dos recursos, o destino dos recursos e a atividade empresarial ou ocupação do cliente. “Quando necessário” significa que a abrangência é definida com base no risco. A diligência reforçada pode incluir a origem do patrimônio (Artigo 34(4)).Monitorar transações e reportar
O monitoramento contínuo abrange as transações realizadas durante a relação de negócios, para que permaneçam coerentes com o que você sabe sobre o cliente (Artigo 26(1)). Quando você sabe, suspeita ou tem motivos razoáveis para suspeitar que os recursos são produto de atividade criminosa ou estão relacionados ao financiamento do terrorismo, você deve reportar à sua Unidade de Inteligência Financeira (UIF), nos termos do Artigo 69.- Você aprova os critérios de detecção. A aprovação dos critérios para detectar transações suspeitas ou incomuns não pode ser terceirizada (Artigo 18(3)(f)). Revise cada regra que você instala e registre essa aprovação nas suas próprias políticas.
- Você envia o relatório. A Didit prepara os arquivos do relatório a partir do caso. Ela não envia nada a nenhuma UIF. O envio é feito pelo seu responsável por conformidade, por meio do canal da sua UIF.
Mantenha registros e depois exclua
O Artigo 77 estabelece o seu dever de manutenção de registros. Você mantém por 5 anos os documentos e as informações obtidos na diligência do cliente, os registros das suas avaliações de suspeita e os registros de transações. O prazo começa quando a relação de negócios termina, quando a transação ocasional é realizada ou quando você se recusa a iniciar a relação (Artigo 77(3)). Quando os 5 anos expiram, você exclui os dados pessoais, a menos que outra lei se aplique ou que uma autoridade peça que você mantenha registros específicos por mais tempo. A contagem começa a partir de um evento no seu sistema: o fim da relação. A Didit não conhece essa data, portanto a retenção que você configura e as exclusões que você solicita são decisões suas.Escolha um período de retenção que não possa terminar antes da hora
Registre o fim da relação
Exclua quando o prazo expirar
DELETE /v3/session/{sessionId}/delete/ para cada sessão desse cliente. A exclusão é irreversível e as URLs de mídia deixam de funcionar.Revisão humana de decisões automatizadas
O Artigo 76(5) permite que você adote decisões resultantes de processos automatizados, incluindo perfilamento e sistemas de IA, sob três condições. Os dados se limitam aos dados de devida diligência. Qualquer decisão de iniciar, recusar ou manter uma relação de negócios, de realizar ou recusar uma transação ocasional, ou de alterar a escopo da devida diligência está sujeita a uma intervenção humana significativa. E o cliente pode obter uma explicação da decisão e contestá-la."Approved" ou "Declined" é o resultado das verificações que você configurou. Ele subsidia sua decisão de realizar o onboarding, que, nos termos do Artigo 18(3), continua sendo sua responsabilidade. Decida com a sua assessoria jurídica em que momentos uma pessoa precisa intervir e, em seguida, incorpore essa etapa ao fluxo e ao seu próprio back office.
Terceirização
O Artigo 18 permite que você terceirize tarefas decorrentes do AMLR para um prestador de serviços. Ele estabelece condições: você notifica sua autoridade supervisora antes de o prestador começar (Artigo 18(1)), você continua integralmente responsável pelas tarefas terceirizadas (Artigo 18(2)) e você define as condições em um contrato escrito e realiza controles regulares sobre o prestador (Artigo 18(4)). O regulamento também afirma que usar software de terceiros, ou acessar bancos de dados ou serviços de triagem, quando você mesmo cumpre o requisito, não constitui terceirização (considerando 47). O fato de seu uso da Didit constituir terceirização ou não depende de como você a utiliza. As diretrizes da AMLA sobre terceirização devem ser publicadas até 10 de julho de 2027. Seis tarefas não podem ser terceirizadas em nenhuma circunstância (Artigo 18(3)). Elas permanecem com você:- A proposta e a aprovação da sua avaliação de risco de toda a empresa.
- A aprovação das suas políticas, procedimentos e controles internos.
- A decisão sobre o perfil de risco a atribuir ao cliente.
- A decisão de iniciar uma relação de negócios ou realizar uma transação ocasional.
- A comunicação de atividades suspeitas e os relatórios baseados em limiares à UIF.
- A aprovação dos critérios para detectar transações e atividades suspeitas ou incomuns.
Fluxo de referência
Um ponto de partida para um fluxo de onboarding de pessoas físicas. Adapte-o à sua avaliação de risco.Crie o fluxo
Escolha os métodos de identidade por país
Vincule o documento à pessoa
Verifique o endereço
Faça a triagem e o monitoramento
Pergunte sobre a finalidade e a origem dos recursos
Inscreva-se nos webhooks
status.updated e data.updated. Consulte Webhooks.Publique e copie o ID do fluxo
workflow_id dele ao criar sessões.201 Created):
url. Quando a sessão recebe uma decisão, a Didit envia um webhook status.updated. Um trecho:
event_id como chave de idempotência e compare status como uma string exata, diferenciando maiúsculas de minúsculas. Os valores estão listados em Status de verificação. Em seguida, leia a decisão completa com GET /v3/session/{sessionId}/decision/ e encaminhe-a à pessoa ou ao processo que toma a sua decisão de onboarding.
Cronograma
Perguntas frequentes
Quando o AMLR passa a ser aplicável?
Quando o AMLR passa a ser aplicável?
Qual é a diferença entre AMLR, AMLD6 e AMLA?
Qual é a diferença entre AMLR, AMLD6 e AMLA?
A verificação remota com documento de identidade ainda é permitida?
A verificação remota com documento de identidade ainda é permitida?
As normas técnicas são definitivas?
As normas técnicas são definitivas?
Sou obrigado a aceitar a EUDI Wallet, e a Didit oferece suporte a ela?
Sou obrigado a aceitar a EUDI Wallet, e a Didit oferece suporte a ela?
O limiar de beneficiário final é de 25% ou de 15%?
O limiar de beneficiário final é de 25% ou de 15%?
Como implementar a atualização de 1 ano e de 5 anos?
Como implementar a atualização de 1 ano e de 5 anos?
POST /v3/session/ e o mesmo vendor_data. Adicione gatilhos por evento: um status "Kyc Expired", um webhook de monitoramento ou uma alteração informada pelo cliente. Os prazos de 1 ano e de 5 anos do Artigo 26(2) são períodos máximos.O que posso terceirizar?
O que posso terceirizar?
Como configurar a retenção para a regra dos 5 anos?
Como configurar a retenção para a regra dos 5 anos?
DELETE /v3/session/{sessionId}/delete/ quando o seu prazo expirar. Exporte os registros de auditoria e o histórico de triagem se a sua política de registros depender deles.Usar a Didit me deixa em conformidade com o AMLR?
Usar a Didit me deixa em conformidade com o AMLR?