KYC e AML crypto nel 2026: come funzionano davvero le regole

Nel 2025 gli operatori in valuta virtuale iscritti in Italia hanno inviato 5.859 segnalazioni di operazioni sospette all’Unità di Informazione Finanziaria, quasi il doppio dell’anno precedente (+85,1%), su un totale di 162.059 segnalazioni per oltre 100 miliardi di euro movimentati, secondo il Rapporto annuale UIF pubblicato a giugno 2026. Nello stesso periodo il Dipartimento di Giustizia statunitense ha incassato oltre 4,3 miliardi di dollari da un solo exchange, mentre l’Unione Europea ha costruito da zero un’autorità antiriciclaggio con sede a Francoforte. La macchina della conformità non è mai stata così pesante.

Eppure, nello stesso 2026, un documento d’identità falso generato da un’intelligenza artificiale costa circa 15 dollari e in alcuni test ha superato il controllo di piattaforme reali. Con Bitcoin poco sotto i 69.000 euro (CoinGecko) e un mercato degli stablecoin vicino ai 290 miliardi di dollari, il denaro che entra ed esce dai wallet è più che mai reale. Questo articolo spiega come funzionano concretamente KYC e AML nel mondo crypto, che cosa chiede la legge italiana, perché le regole si sono inasprite proprio mentre il controllo dell’identità veniva reso più facile da aggirare, e quali soluzioni stanno emergendo, IT-Wallet in testa.

KYC e AML: due cose diverse che vengono sempre confuse

AML (Anti-Money Laundering, in italiano antiriciclaggio) è l’ombrello: l’insieme di leggi, obblighi e controlli che devono impedire a un’impresa finanziaria di far transitare denaro di provenienza illecita. KYC (Know Your Customer, adeguata verifica della clientela) è una parte di quell’ombrello: la componente che riguarda l’identità del cliente. In pratica il KYC risponde alla domanda «chi sei davvero», mentre l’AML risponde a «i tuoi soldi da dove arrivano e dove vanno». Un exchange può avere un KYC impeccabile e un AML pessimo, se raccoglie i documenti ma poi non monitora i movimenti né segnala nulla.

Qui va corretto un equivoco molto diffuso in Italia: l’antiriciclaggio non è materia della Consob. La Consob è l’autorità di condotta di mercato e tutela dell’investitore, competente ai sensi del MiCA su abusi di mercato e trasparenza, come raccontato nel pezzo sugli abusi di mercato cripto sotto MiCA. L’antiriciclaggio segue un binario separato, disegnato dal decreto legislativo 231/2007: politica e sanzioni al Ministero dell’Economia, analisi finanziaria alla UIF (Unità di Informazione Finanziaria, ospitata presso la Banca d’Italia), indagini a Guardia di Finanza e DIA. Il MiCA disciplina i servizi sulle cripto-attività, non il riciclaggio: l’AML sta altrove, nell’AMLR europeo e nel 231. Confondere i due piani porta a pensare che «se un exchange è autorizzato dalla Consob allora è a posto sull’antiriciclaggio», il che è falso.

Che cosa fa davvero un controllo KYC

Quando ci si registra su un exchange conforme, dietro il modulo di iscrizione girano quattro passaggi distinti, quasi sempre affidati a fornitori specializzati come Sumsub, Onfido, Jumio, Persona o l’europea IDnow. Il primo passaggio è la verifica del documento: si fotografa carta d’identità, passaporto o patente e un software ne controlla ologrammi, font, zone leggibili a macchina e coerenza dei dati. Il secondo è la prova di vita (liveness) e il riconoscimento biometrico: un selfie o un breve video serve a dimostrare che davanti alla fotocamera c’è una persona reale e viva, e che il suo volto corrisponde alla foto del documento.

Il terzo passaggio è lo screening: il nominativo viene confrontato con le liste di sanzioni (OFAC statunitense, elenchi UE e ONU), con i database di persone politicamente esposte (PEP) e con le notizie negative di stampa (adverse media). Il quarto, spesso ignorato dagli utenti ma decisivo, è il monitoraggio continuo delle transazioni: algoritmi che, dopo l’apertura del conto, osservano i movimenti e alzano un allarme quando qualcosa devia dal profilo dichiarato.

Il KYC, insomma, non è un cancello che si attraversa una volta sola: è una telecamera che resta accesa. Vale la pena notare che gran parte di questo lavoro non la fa direttamente l’exchange, ma una filiera di fornitori di tecnologia che vendono verifica del documento, liveness e screening come servizi in abbonamento, con il risultato che pochi motori di verifica proteggono, di fatto, buona parte del mercato. È su ciascuno di questi quattro anelli che si è aperta, nel 2026, una gara serrata tra chi controlla e chi falsifica.

Adeguata verifica: semplificata, ordinaria, rafforzata

Il decreto 231/2007 non impone a tutti lo stesso livello di controllo: adotta un approccio basato sul rischio e prevede tre gradi di adeguata verifica. Quella semplificata si applica quando il rischio di riciclaggio è basso e riduce l’ampiezza e la frequenza degli obblighi, pur richiedendo comunque l’identificazione del cliente. Quella ordinaria è il caso più frequente e comprende identificazione, verifica dell’identità, individuazione del titolare effettivo e valutazione dello scopo del rapporto. Quella rafforzata, disciplinata dagli articoli 24 e 25, scatta nei casi ad alto rischio (clienti politicamente esposti, Paesi terzi ad alto rischio, operazioni complesse o insolite) e può richiedere più documenti, la verifica della provenienza dei fondi e un monitoraggio più stretto.

Per un prestatore di servizi sulle cripto-attività questi obblighi scattano all’apertura del rapporto, per ogni operazione occasionale pari o superiore a 15.000 euro (anche frazionata) e, grazie al regolamento europeo sui trasferimenti di fondi (TFR), per ogni trasferimento di cripto senza soglia minima. In caso di sospetto di riciclaggio la verifica va comunque effettuata a prescindere dall’importo. La tabella seguente riassume i tre livelli.

La UIF, le SOS e il sistema antiriciclaggio italiano

Il cuore operativo dell’antiriciclaggio italiano è la segnalazione di operazione sospetta (SOS). Quando un soggetto obbligato (una banca, un professionista, un exchange) ha il sospetto o motivi ragionevoli per sospettare che sia in corso un riciclaggio, deve inviare una SOS alla UIF, l’unità di informazione finanziaria istituita presso la Banca d’Italia. La UIF analizza il flusso, lo arricchisce con i propri dati e, se conferma il sospetto, lo trasmette al Nucleo Speciale di Polizia Valutaria della Guardia di Finanza e alla DIA. Due regole sono ferree: non esiste una soglia in euro per far scattare la SOS, che dipende solo dal sospetto; ed è vietato avvisare il cliente della segnalazione (il divieto di comunicazione, l’equivalente del divieto di tipping-off anglosassone).

Accanto alla segnalazione, i soggetti obbligati devono rispettare gli altri presidi previsti dal 231: adeguata verifica, conservazione dei dati, controlli interni, formazione del personale e obbligo di astensione dalle operazioni che non riescono a verificare. Il Rapporto UIF sul 2025 fotografa bene la pressione crescente sul comparto crypto: le SOS degli operatori in valuta virtuale sono passate da 3.165 a 5.859 in un anno, spinte soprattutto da truffe e frodi informatiche.

La stessa UIF avverte che criptoattività, IBAN virtuali, carte virtuali e ATM non bancari rendono più complessa la ricostruzione del percorso del denaro, aumentando l’opacità dei flussi. È un punto importante: il boom delle segnalazioni non misura per forza più criminalità, ma spesso più occhi puntati e più operatori (in particolare banche telematiche di recente iscrizione) che iniziano a segnalare. Il sistema vede sempre di più; la domanda, come vedremo, è se ciò che vede sia anche ciò che conta.

L’ondata di sanzioni: Binance, OKX, KuCoin

La ragione per cui gli exchange oggi prendono il KYC molto sul serio ha un nome e un prezzo. A novembre 2023 Binance ha patteggiato con le autorità statunitensi una risoluzione superiore a 4,3 miliardi di dollari, il fondatore Changpeng Zhao si è dichiarato colpevole di violazione del Bank Secrecy Act, ha pagato 50 milioni di multa personale e ha lasciato la guida della società, che secondo l’accusa non aveva mai inviato una singola segnalazione di operazione sospetta (Department of Justice). Il procuratore generale Merrick Garland lo sintetizzò così: «Using new technology to break the law does not make you a disruptor. It makes you a criminal».

Non è stato un caso isolato. A febbraio 2025 OKX si è dichiarata colpevole di trasmissione di denaro senza licenza per oltre 504 milioni di dollari, avendo movimentato oltre mille miliardi di dollari in transazioni statunitensi senza registrazione e senza KYC per la clientela retail fino a fine 2022. Poche settimane prima, a gennaio, KuCoin aveva patteggiato quasi 297 milioni di dollari e l’uscita dal mercato statunitense per due anni.

Il messaggio agli operatori è stato chiaro: l’antiriciclaggio, non più la qualificazione dei token come titoli, è diventato il primo rischio regolatorio del settore. Il quadro non è a senso unico: nel 2025 la nuova amministrazione statunitense ha impresso una svolta più morbida, con la SEC che ha lasciato cadere diverse cause civili contro gli exchange e l’OFAC che ha rimosso Tornado Cash dalla lista delle sanzioni, segno che la direzione politica può cambiare in fretta. Ma sul principio di fondo, cioè che un exchange deve sapere chi sono i suoi clienti e segnalare i movimenti sospetti, non c’è arretramento.

Il problema da 15 euro: documenti falsi generati dall’AI

Mentre le sanzioni salivano, il primo anello del KYC (la verifica del documento) diventava sorprendentemente facile da spezzare. Un’inchiesta di 404 Media ha svelato un servizio clandestino, OnlyFake, capace di generare in pochi minuti immagini fotorealistiche di documenti d’identità falsi per circa 15 dollari l’uno, fino a migliaia al giorno, sfruttando reti neurali per rendere realistici sfondo, ombre e persino la mano che regge il documento. In un test, un’immagine così prodotta è riuscita a superare la verifica di un exchange di primo piano.

Il punto non è che i documenti falsi siano una novità: è che il loro costo è crollato e la loro qualità è schizzata. Un tempo servivano attrezzatura, competenze e tempo; oggi bastano un modello generativo e una carta di credito. Questo ribalta l’economia della frode: se ingannare un controllo costa pochi euro e può essere ripetuto in serie, l’attaccante non ha bisogno di un colpo perfetto, gli basta la scala. Ed è esattamente ciò che rende il 2026 diverso dagli anni precedenti: le regole sull’identità non sono mai state così rigide, ma la prova su cui si reggono, un’immagine, è diventata banale da fabbricare.

Deepfake contro liveness: la nuova prima linea

Se il documento falso attacca il primo anello, il deepfake attacca il secondo: la prova di vita. Qui la distinzione tecnica conta. Un attacco di presentazione mostra alla fotocamera qualcosa di finto (una foto, una maschera, un video su uno schermo). Un attacco di iniezione, molto più insidioso, salta del tutto la fotocamera e inietta un flusso video sintetico direttamente nell’app tramite una camera virtuale o un software manipolato. Secondo il rapporto sulle minacce 2026 di iProov, gli attacchi di iniezione sono cresciuti del 741% su base annua, con un picco del 1.151% su iOS nel secondo semestre. Il chief scientific officer Andrew Newell l’ha riassunta così: «Identity is becoming the new battleground in cybersecurity».

I numeri di fondo confermano la tendenza. Il rapporto sulle frodi 2025-2026 di Sumsub registra i deepfake nell’11% dei casi di frode di prima parte e i documenti sintetici nel 21%, mentre il settore crypto mostra un tasso di frode intorno al 2,2%. La difesa non è ferma: le tecniche di liveness passivo, l’analisi dei metadati, il rilevamento delle camere virtuali e la biometria comportamentale alzano continuamente l’asticella. Ma è una corsa agli armamenti, non una vittoria. La tabella seguente mette a confronto ciascun anello del controllo con l’attacco basato su AI che lo prende di mira.

La trappola dei dati: quando il KYC diventa un bersaglio

C’è un secondo problema, speculare al primo. Per verificare l’identità, un exchange deve raccogliere e conservare i dati più sensibili che una persona possiede: nome, indirizzo, foto del documento, a volte il selfie biometrico. Ogni piattaforma conforme diventa così un enorme deposito di identità, e un deposito è sempre un bersaglio. La conservazione obbligatoria dei dati, pensata per aiutare le indagini, crea il rischio che un solo furto esponga milioni di persone.

Il caso più emblematico è la violazione dichiarata da Coinbase a maggio 2025: alcuni addetti al supporto clienti all’estero, corrotti, avevano copiato i dati di circa 69.461 utenti, tra cui nomi, indirizzi, parte del codice fiscale e foto di documenti. Gli aggressori hanno chiesto un riscatto di 20 milioni di dollari; l’amministratore delegato Brian Armstrong ha rifiutato e ha offerto invece una taglia di pari importo per chi li identificasse, con costi di rimedio stimati tra 180 e 400 milioni di dollari (CoinDesk). È il paradosso di fondo dell’attuale modello: più dati raccogliamo per sapere chi è il cliente, più diventa appetibile rubarli, e più la stessa infrastruttura pensata per proteggere il sistema finanziario mette a rischio le persone che dovrebbe tutelare.

Ma il KYC funziona davvero?

La domanda scomoda è se tutto questo apparato serva. I dati di settore raccontano una storia sfumata. Secondo il Crypto Crime Report 2026 di Chainalysis, gli indirizzi illeciti hanno ricevuto almeno 154 miliardi di dollari nel 2025 (+162% sull’anno prima, trainati dai flussi legati alle sanzioni), ma questo resta meno dell’1% del volume totale on-chain; e gli stablecoin ormai rappresentano circa l’84% del valore delle transazioni illecite, superando Bitcoin. Il crimine, insomma, si è spostato sui binari a valore stabile, il che spiega perché la regolamentazione degli stablecoin sia diventata centrale, come nel caso dei depositi tokenizzati con cui le banche rispondono agli stablecoin.

C’è chi sostiene che il rapporto costi-benefici sia squilibrato. In un rapporto del 2025 per il Coin Center, il direttore della ricerca Peter Van Valkenburgh e Ian Miers scrivono che «the existing AML/KYC regime does remarkably little to prevent illicit finance», stimando i costi di conformità statunitensi in oltre 26 miliardi di dollari l’anno a fronte di benefici, nel bloccare i reati, che definiscono trascurabili (Coin Center). Va aggiunto un limite tecnico spesso dimenticato: i punteggi di rischio prodotti dalle società di analisi on-chain (Chainalysis, Elliptic, TRM Labs) sono probabilistici, non prove; le monete della privacy come Monero rompono le tecniche di clustering, e un indirizzo etichettato ad alto rischio non è un colpevole accertato. Il KYC vede molto, ma ciò che vede va interpretato, non preso come verdetto.

La linea dura europea: AMLR, AMLA e la TFR

Mentre gli Stati Uniti procedono per sanzioni ed enforcement, l’Europa ha scelto la strada del testo unico. Il regolamento antiriciclaggio (AMLR, Reg. 2024/1624) avrà piena efficacia dal 10 luglio 2027 e introduce misure severe: divieto di conti anonimi in cripto e di servizi che garantiscano l’anonimato (di fatto le monete della privacy) presso i soggetti obbligati, tetto ai pagamenti in contanti di 10.000 euro a livello UE e controlli rafforzati sui trasferimenti tra wallet auto-ospitati e piattaforme custodite oltre determinati importi. La TFR (Reg. 2023/1113), in vigore dal 30 dicembre 2024, è la Travel Rule europea: impone che ogni trasferimento di cripto viaggi con i dati di ordinante e beneficiario, senza soglia minima.

La vera novità istituzionale è l’AMLA, l’Autorità europea antiriciclaggio con sede a Francoforte, che dal 2028 vigilerà direttamente sui soggetti a più alto rischio, inclusi i maggiori prestatori di servizi crypto attivi in più Stati. A guidarla c’è un volto italiano: Bruna Szego, prima a capo dell’unità di vigilanza e regolamentazione antiriciclaggio della Banca d’Italia, è stata nominata prima presidente dell’AMLA e ha avvertito i comitati del Parlamento europeo dei rischi crescenti legati a frodi potenziate dall’AI, criptoattività e aggiramento delle sanzioni (AMLA). Vale la pena ribadirlo: nessuna di queste norme è il MiCA. Il MiCA regola i servizi, l’AMLR regola il riciclaggio; il confronto tra i due modelli, statunitense ed europeo, è al centro dell’analisi su Regulation Crypto Assets e lo specchio MiCA.

L’Italia dopo l’OAM: da VASP a CASP

Per anni gli operatori crypto in Italia dovevano iscriversi al registro dei cambiavalute tenuto dall’OAM (Organismo Agenti e Mediatori). Con l’entrata in vigore del MiCA e del decreto legislativo 5 settembre 2024, n. 129, quel regime è stato superato: il registro VASP è stato mandato in soffitta e chi voleva continuare a operare doveva presentare istanza di autorizzazione come CASP (prestatore di servizi per le cripto-attività) entro il 30 dicembre 2025, con termine ultimo del periodo transitorio al 30 giugno 2026. La Consob, di concerto con la Banca d’Italia, ha iniziato a rilasciare le autorizzazioni: RIV Digital ha ottenuto il via libera con delibera del 10 giugno 2026 per servizi di scambio e collocamento di cripto-attività (Consob).

Attenzione però a non confondere i piani, di nuovo. L’autorizzazione CASP riguarda il diritto di offrire servizi sul mercato; gli obblighi antiriciclaggio restano quelli del 231/2007, che qualifica i CASP come soggetti obbligati a tutti gli effetti: adeguata verifica, conservazione, monitoraggio e segnalazione delle SOS alla UIF. Un CASP autorizzato dalla Consob che non rispetta il 231 è comunque fuori legge. Questa doppia veste, di mercato e antiriciclaggio, è la ragione per cui anche gli intermediari tradizionali che entrano nelle crypto costruiscono presidi pesanti, come si vede nel portafoglio crypto da 235 milioni di Intesa Sanpaolo.

La cura numero uno: identità riutilizzabile e IT-Wallet

Se il modello attuale ha due difetti (un documento falso lo inganna, un archivio rubato lo tradisce), la soluzione più promettente è capovolgerlo: verificare l’identità una volta sola, presso un ente affidabile, ed emettere una credenziale digitale riutilizzabile che l’utente conserva sul proprio dispositivo e mostra a chi la richiede, senza consegnare ogni volta le foto del documento. È l’architettura del regolamento eIDAS 2.0 (Reg. 2024/1183), che impone a ogni Stato membro di offrire un portafoglio europeo di identità digitale (EUDI Wallet) entro fine 2026, basato su credenziali verificabili secondo gli standard W3C e sul triangolo emittente, titolare, verificatore.

Qui l’Italia parte avvantaggiata. Dal dicembre 2024 l’IT-Wallet nell’app IO permette ai cittadini di custodire in formato digitale patente, tessera sanitaria e altri documenti; il catalogo si è ampliato nel 2025 e, con il decreto PNRR convertito in legge ad aprile 2026, punta a superare i 200 tipi di documento, con il rilascio esteso a tutta la popolazione previsto entro febbraio 2027. A questa infrastruttura si sommano oltre 40 milioni di identità SPID attive e più di 60 milioni di carte d’identità elettroniche già in circolazione.

Il potenziale per il KYC crypto è enorme: un exchange potrebbe ricevere dall’IT-Wallet la sola prova «questo utente è maggiorenne e ha un’identità verificata dallo Stato», senza mai vedere né conservare la foto del documento. Così il primo problema (il documento falsificabile) e il secondo (l’archivio rubabile) si riducono insieme, perché la verifica la fa una volta l’ente pubblico e l’exchange riceve soltanto un attestato firmato crittograficamente. Il collo di bottiglia non è più tecnologico ma di adozione: servono exchange pronti ad accettare la credenziale come parti facenti affidamento, e regole chiare su quali attributi possano legittimamente chiedere.

La cura numero due: prove a conoscenza zero e proof-of-personhood

La seconda direzione punta a dimostrare un fatto senza rivelare i dati che lo fondano. Con una prova a conoscenza zero (zero-knowledge) un utente può provare di avere più di 18 anni, o di non figurare in una lista di sanzioni, senza mostrare data di nascita o nome: la stessa logica crittografica che, in un altro dominio, permette di dimostrare che un modello di AI ha calcolato correttamente. Abbinata a un meccanismo di prova di unicità della persona (proof-of-personhood), consentirebbe di garantire «una persona, un conto» contro le reti di prestanome, senza costruire l’ennesimo archivio di volti.

Il progetto più noto in questo campo, World (ex Worldcoin), sostiene di aver registrato circa 18 milioni di persone in oltre 160 Paesi tramite la scansione dell’iride (World). Ma proprio qui si vede la tensione con la privacy europea, e l’Italia è stata tra i primi a segnalarla: già ad aprile 2024 il Garante per la protezione dei dati personali ha ammonito Worldcoin, osservando che un consenso al trattamento di dati biometrici prestato in cambio di token gratuiti, e senza informazioni adeguate né verifica dell’età, difficilmente può considerarsi libero e valido secondo il GDPR.

La lezione è che la biometria di massa non è una scorciatoia neutra: risolve il problema dei muli ma ne apre uno di sorveglianza. Le soluzioni più solide combinano prove a conoscenza zero, così che nessun dato grezzo lasci il dispositivo, con un registro di controllo accessibile solo a fronte di garanzie (il cosiddetto meccanismo break-glass), che permette alle autorità di risalire a un’identità soltanto con un provvedimento e non a piacimento. È un equilibrio difficile, ma è l’unico che tenga insieme l’accertamento dei reati e i diritti fondamentali.

Cosa aspettarsi tra il 2026 e il 2027

I prossimi diciotto mesi decideranno quale delle due forze prevale. Sul fronte delle regole il calendario è fitto: piena efficacia dell’AMLR dal 10 luglio 2027, avvio della vigilanza diretta dell’AMLA verso il 2028, rilascio esteso dell’IT-Wallet e degli EUDI Wallet europei tra fine 2026 e inizio 2027. Sul fronte della minaccia, i modelli generativi continueranno ad abbassare il costo di documenti falsi e deepfake, spostando il baricentro dei controlli dal documento all’origine crittografica dell’identità. Chi scommette che il KYC del futuro somigli a quello di oggi, con la foto della carta d’identità caricata su un sito, probabilmente sbaglia.

Il quadro più realistico è ibrido: credenziali verificabili emesse dallo Stato per la stragrande maggioranza degli utenti onesti, prove a conoscenza zero per ridurre i dati esposti, analisi on-chain e monitoraggio comportamentale per intercettare i flussi anomali a valle. Nessuno di questi tasselli, da solo, chiude la partita, e la stessa Europa ammette che restano lacune da colmare tra DeFi, staking e lending. Per l’utente italiano la conseguenza pratica è semplice: il tempo del wallet aperto in trenta secondi con una sola mail è finito, e l’identità, verificata bene o male, sarà la vera chiave d’ingresso alle crypto.

Domande frequenti

Che differenza c’è tra KYC e AML?

AML (antiriciclaggio) è l’insieme complessivo di leggi e controlli che impediscono il transito di denaro illecito; KYC (adeguata verifica della clientela) è la sua componente relativa all’identità del cliente. Il KYC serve a sapere chi è la persona; l’AML comprende anche il monitoraggio delle transazioni, lo screening delle sanzioni e la segnalazione delle operazioni sospette. In Italia l’antiriciclaggio è disciplinato dal decreto legislativo 231/2007 e fa capo a UIF, Ministero dell’Economia e Guardia di Finanza, non alla Consob.

Posso comprare crypto senza KYC in Italia nel 2026?

Su un exchange autorizzato no: i CASP sono soggetti obbligati ai sensi del 231/2007 e devono identificare la clientela. Restano canali peer-to-peer e wallet auto-ospitati che non richiedono verifica, ma il regolamento europeo TFR impone i dati di ordinante e beneficiario su ogni trasferimento verso piattaforme custodite, e dal 2027 l’AMLR vieterà i conti anonimi in cripto presso i soggetti obbligati. Comprare senza KYC diventerà quindi sempre più marginale e a rischio.

Che cos’è una segnalazione di operazione sospetta e chi la riceve?

È la comunicazione che un soggetto obbligato (banca, professionista, exchange) invia quando sospetta un riciclaggio. In Italia la riceve la UIF, l’Unità di Informazione Finanziaria presso la Banca d’Italia, che la analizza e la trasmette a Guardia di Finanza e DIA. Non esiste una soglia in euro: conta il sospetto. Ed è vietato avvisare il cliente della segnalazione. Nel 2025 gli operatori crypto italiani ne hanno inviate 5.859, in crescita di circa l’85%.

Cosa cambia con AMLR e AMLA dal 2027?

L’AMLR, pienamente efficace dal 10 luglio 2027, armonizza le regole antiriciclaggio in tutta l’UE: vieta conti anonimi in cripto e servizi che garantiscano l’anonimato, fissa un tetto di 10.000 euro ai pagamenti in contanti e rafforza i controlli sui wallet auto-ospitati. L’AMLA, con sede a Francoforte, dal 2028 vigilerà direttamente sui soggetti a più alto rischio, inclusi i maggiori CASP transfrontalieri. È un salto da regole nazionali diverse a un supervisore unico europeo.

L’IT-Wallet può sostituire il KYC degli exchange?

Può trasformarlo radicalmente. Con l’IT-Wallet e i futuri EUDI Wallet, un utente potrebbe presentare a un exchange una credenziale verificabile emessa dallo Stato (per esempio la prova di essere maggiorenne e identificato) senza consegnare e far conservare la foto del documento. Questo riduce sia il rischio di documenti falsi sia quello dei furti di dati. L’ostacolo non è più tecnologico ma di adozione: gli exchange devono attrezzarsi ad accettare le credenziali come parti facenti affidamento.

di Anneke de Vries, redazione regolamentazione di HOGE Wire