El cumplimiento financiero siempre ha estado en una línea delicada: los reguladores necesitan suficiente visibilidad para mantener alejados a los actores malintencionados, pero los usuarios quieren mantener su vida financiera privada solo para realizar un pago o una operación. En 2025, esa tensión es más aguda que nunca. Tenemos reglas más estrictas contra el lavado de dinero (AML), regímenes de protección de datos más amplios, más actividad transfronteriza y, al mismo tiempo, tecnología de privacidad mejorada que nunca habíamos tenido.
La buena noticia es que ya no tenemos que sacrificar la privacidad para garantizar el cumplimiento. Las pruebas de conocimiento cero (ZKPs) ofrecen una solución a la llamada paradoja de la privacidad: los reguladores necesitan garantías de que se cumplen las reglas, pero exponer identidades completas y detalles de transacciones crea riesgos de seguridad, legales y de protección de datos. Las ZKPs nos permiten cambiar el modelo de “muéstrame los datos” a “muéstrame una prueba,” permitiendo a las empresas demostrar cumplimiento sin revelar información subyacente.
Este enfoque no está diseñado para ocultar la supervisión regulatoria. En cambio, moderniza el conjunto de herramientas de cumplimiento para que las empresas reguladas puedan demostrar que cumplen con sus obligaciones legales (verificación de sanciones, obligaciones KYC, segregación de activos de clientes, controles de capital) sin transferir ni exponer los datos subyacentes. Las ZKPs pueden ser mejores para los usuarios y, a largo plazo, para el cumplimiento regulatorio, porque las pruebas son verificables y evidencian su integridad.
Qué hace realmente la conocimiento cero
Una prueba de conocimiento cero es una forma criptográficamente respaldada de decir: “Puedo demostrarte que seguí la regla X, pero no te mostraré la información sensible normalmente requerida para demostrarlo.” En finanzas, “regla X” puede ser muy concreta: “esta billetera fue revisada contra la lista de sanciones actual”; “este usuario posee una credencial KYC válida de un emisor confiable”; “este intercambio mantiene activos de clientes 1:1 y se reconcilian con pasivos”; “esta transacción está por debajo (o dentro) de un rango permitido,” y así sucesivamente.
Hoy en día, la ley puede requerirnos reportar grandes conjuntos de datos a reguladores específicos. Cumplimos con las leyes de protección de datos aplicables, pero esto también aumenta el riesgo de brechas de ciberseguridad y mal uso. Un enfoque basado en ZK demuestra el resultado, no todos los insumos. Si un regulador necesita profundizar, se puede diseñar un proceso para la divulgación selectiva de datos específicos requeridos (claves de visualización, acceso limitado en el tiempo y registros completos de auditoría, concedidos bajo debido proceso según sea necesario), como un portal o ventana regulatoria con permisos.
Por qué esto importa ahora
Tres tendencias convergen.
En la UE, los supervisores están haciendo controles contra el lavado de dinero (AML) más detallados, mientras que el RGPD y otros regímenes de privacidad enfatizan la minimización de datos y la limitación de propósito. Estas pueden ser complementarias en lugar de opuestas: el cumplimiento debería ofrecer la misma o mejor garantía con menos exposición rutinaria de datos personales. Este objetivo puede lograrse utilizando técnicas de reporte que preserven la privacidad.
En segundo lugar, los marcos de identidad digital (como los previstos en eIDAS 2.0) están cada vez más cerca de la realidad. Se construyen sobre los mismos bloques que las ZK: credenciales verificables, divulgación selectiva y attestaciones criptográficas. Esto hace mucho más factible emitir credenciales portátiles de “Pasé KYC” o “No estoy sancionado” que puedan ser probadas, no recoleccionadas, en múltiples servicios.
En tercer lugar, los supervisores están explorando tecnologías que mejoran la privacidad, incluyendo modelos de verificación de pruebas.
Cómo podría ser una pila de cumplimiento basada en pruebas
Ya tenemos ejemplos en funcionamiento. La prueba de reservas mejorada con ZK es la más conocida: un intercambio demuestra que tiene los activos para cubrir las obligaciones de los clientes sin revelar balances individuales. Esa es una garantía de conocimiento cero.
Lo mismo se puede hacer para la revisión de sanciones. En lugar de enviar la identidad completa cada vez, una billetera presenta una prueba de que fue revisada contra la lista más reciente en un momento específico. El regulador, o un VASP regulado en el otro extremo, ejecuta un nodo verificador para confirmar que la prueba es válida y está actualizada. Es importante señalar que los “nodos verificadores” son una propuesta de política que funciona como infraestructura de supervisión para validar pruebas sin recopilar datos en masa.
También se puede hacer para la segregación: un custodio demuestra que los activos de los clientes no se mezclan con fondos propios mediante una prueba de rango o suma, sin publicar todo el libro mayor. Incluso se puede integrar esto en contratos inteligentes: las transacciones no se ejecutan a menos que la prueba pase. Eso es “cumplimiento programable”: reglas que se aplican en el momento de la transacción en “tiempo real,” en lugar de después.
Para los reguladores, el cambio clave es de recopilar datos en bruto a verificar evidencia criptográfica. Siguen obteniendo garantías, auditabilidad y trazabilidad cuando hay una base legal para desenmascarar. Pero no tienen que poseer ni procesar grandes cantidades de datos personales por defecto, reduciendo tanto el riesgo operativo como legal.
Responder a las preguntas clave
Los reguladores ya están comenzando a adoptar pilotos de ZK dirigidos, que van desde la prueba verificable de reservas hasta el cumplimiento de la Travel Rule que valida atributos del usuario sin exponer conjuntos de datos completos. A medida que estas primitivas maduren, se escalarán naturalmente en controles de integridad del mercado, permitiendo a las empresas demostrar que están dentro de límites de concentración y exposición mediante pruebas de rango y suma sin revelar posiciones subyacentes.
Lo crucial es que ZK no es sinónimo de opacidad; los sistemas bien diseñados utilizan divulgación selectiva mediante claves de visualización o de múltiples partes. Esto asegura que el acceso de las fuerzas del orden sea limitado, verificable y sujeto a debido proceso, en lugar de ser universal y silencioso.
Qué podrían exigir los reguladores
Para funcionar a nivel internacional, necesitamos estándares: tipos de prueba estándar (por ejemplo, “no en la lista de sanciones X a partir de la fecha Y”), formatos de credenciales estándar y lógica de verificación estándar que puedan ser inspeccionados. Así se evita que cada intercambio, billetera o banco cree su propia versión y se genere una complejidad supervisora innecesaria.
Concretamente, los reguladores podrían beneficiarse de seis cosas:
- Resultados en lugar de datos (dime qué probaste, no todo lo que posees);
- Pruebas de mínima información (demuestra solo lo necesario para esta obligación);
- Verificaciones programables (aplicadas en el momento de la transacción cuando sea apropiado);
- Mecanismos sólidos de disponibilidad de datos y salida (los usuarios siempre pueden confirmar sus saldos y retirar);
- Lógica verificable del verificador (inspecciones, vectores de prueba, registros de auditoría);
- Sin puertas traseras generalizadas (divulgación solo bajo procesos legales, limitados y registrados).
Binance es un intercambio global que ya usa ZKPs para demostrar reservas. Nuestro sistema de prueba de reservas (POR) usa un árbol de Merkle — una estructura criptográfica que condensa muchas entradas de cuentas en una “huella digital” — junto con pruebas de conocimiento cero para demostrar que los activos de los clientes están completamente respaldados sin revelar balances individuales. Con cada actualización de POR, los usuarios pueden confirmar que su saldo está incluido en el árbol, mientras que las ZKPs aseguran que los totales generales sean correctos y que no se incluyan saldos negativos o falsos. El resultado es una verificación independiente y que respeta la privacidad de las reservas que genera confianza sin comprometer datos personales.
Pero esto es más grande que una sola empresa. Si logramos hacerlo bien, podemos hacer que el cumplimiento financiero sea más preciso, más respetuoso con la ley de privacidad y más fácil de supervisar.
Esto requerirá colaboración. Los reguladores deberán desarrollar estándares de prueba que acepten; la industria deberá alinearse e incorporar estos estándares, y los organismos de establecimiento de estándares garantizarán que los estándares de prueba sean interoperables a nivel internacional.
Qué significa el éxito
El éxito es cuando un usuario puede demostrar legitimidad sin compartir en exceso; un banco, VASP o intercambio puede cumplir con las obligaciones de AML y Travel Rule con menos divulgación de datos; un regulador puede ejecutar un nodo verificador y obtener garantías en tiempo real; y los actores malintencionados pueden ser desenmascarados bajo condiciones claras, limitadas y legales.
En resumen, garantías con menos divulgación. A medida que aumenta el riesgo cibernético, evolucionan las leyes de privacidad y crece la finanza digital transfronteriza, pasar de la recopilación rutinaria de datos en masa a pruebas verificables es una mejora pragmática en la práctica de supervisión.
