La Autoridad de Conducta Financiera del Reino Unido abrió el 21 de octubre de 2026 una consulta sobre las directrices relativas a DeFi, cuyas respuestas deben presentarse antes del 18 de noviembre. La cuestión inmediata es la rendición de cuentas: cuando una empresa financiera utiliza un protocolo descentralizado, ¿qué responsabilidades siguen correspondiendo a la empresa?
La consulta GC26/7 aborda la resiliencia operativa y la delincuencia financiera en el marco de los requisitos existentes aplicables. Se trata de una guía propuesta, no de una nueva licencia para DeFi ni de una aprobación de protocolos individuales. Esta distinción es importante para las empresas que eligen su infraestructura y para los clientes que deciden en quién pueden confiar.
Dos consultas responden a preguntas diferentes
La GC26/7 se refiere a cómo gestionan los riesgos las empresas. La CP26/36 que la acompaña se refiere al perímetro regulatorio, incluidas las exclusiones para determinados servicios técnicos. Ninguna de las dos denominaciones debe utilizarse como atajo para la otra evaluación.
En pocas palabras, una empresa debe determinar primero qué actividad realiza realmente, si dicha actividad se lleva a cabo como actividad empresarial en el Reino Unido y si es relevante alguna exclusión o exención. Si se aplican obligaciones, la siguiente pregunta es cómo las cumple la empresa mientras depende de DeFi. Operar un sitio web, escribir software, seleccionar estrategias y ejecutar transacciones de clientes son funciones diferentes; la respuesta jurídica depende de la estructura.
La guía preliminar sobre el perímetro de la CP26/36 hace hincapié en la sustancia y en la evaluación por separado de los participantes relevantes. La gobernanza descentralizada o una infraestructura en el extranjero no resuelven la cuestión. Del mismo modo, sería erróneo inferir que todo desarrollador o titular de tokens de gobernanza requiere automáticamente autorización.
Hay que seguir el servicio que realmente recibe el cliente
Consideremos una aplicación hipotética que selecciona un fondo de préstamos, dirige el depósito de un cliente y muestra un botón de retiro. Los contratos del fondo pueden ser de acceso público. Sin embargo, la aplicación sigue tomando decisiones sobre el producto que presenta. Un cliente que no puede retirar sus fondos necesita algo más que una explicación de que la cadena de bloques sigue funcionando.
La investigación útil sigue el servicio desde la pantalla hasta la liquidación. ¿Quién seleccionó el fondo? ¿Quién controla la interfaz? ¿Qué fuente de datos valora las garantías? ¿Puede alguien cambiar los parámetros del contrato? ¿Qué parte recibe alertas cuando fallan los retiros? Estas son preguntas prácticas para evaluar una estructura, no una prueba jurídica universal ni una asignación predeterminada de responsabilidad.
| Función observada | Pregunta que debe investigarse | Lo que la etiqueta por sí sola no puede establecer |
|---|---|---|
| Acceso mediante frontend o billetera | ¿Es solo acceso técnico o forma parte de otro servicio? | Que toda interfaz está excluida |
| Selección del protocolo o de la estrategia | ¿Quién elige las exposiciones y puede modificarlas? | Que una votación de una DAO elimina las decisiones empresariales |
| Controles de actualización o de emergencia | ¿Quién tiene las facultades y bajo qué restricciones? | Que tener una clave determina todas las obligaciones jurídicas |
| Servicio financiero dirigido al cliente | ¿Qué permisos y obligaciones continuas se aplican? | Que utilizar contratos abiertos transfiere esas obligaciones a otra parte |
Este enfoque también mantiene separados los distintos riesgos. Una parte podría controlar un frontend sin tener la custodia de los activos. Un gestor de estrategias podría elegir protocolos sin controlar su código. Los clientes necesitan entender tanto las decisiones que toma un proveedor como los límites de sus facultades de intervención.
Una auditoría es evidencia sobre el código, no un plan de recuperación
Las observaciones establecidas de la FCA sobre resiliencia operativa exigen cartografiar las dependencias y probar las interrupciones. Conforme a SYSC 15A, las empresas comprendidas en el ámbito de aplicación establecen tolerancias de impacto para servicios empresariales importantes, teniendo en cuenta los posibles perjuicios para los clientes. La preocupación va más allá de si un servidor está funcionando.
Por ejemplo, imaginemos que una billetera depende de un único proveedor de RPC para enviar transacciones. Si esa conexión falla, la cadena puede seguir funcionando mientras los clientes de la billetera pierden el acceso. Un segundo proveedor de RPC puede ayudar a resolver ese fallo, pero no puede reparar una vulnerabilidad en un puente ni eliminar la cola de retiros de un protocolo. Las pruebas deben corresponderse con el fallo real.
Un ejercicio realista preguntaría si los clientes pueden ver saldos exactos, si las transacciones pueden enviarse por una ruta alternativa y qué puede comunicar la empresa cuando se desconoce el plazo de recuperación. Informar de que «no se han robado activos» ofrecería pocas garantías a un prestatario que se aproxima a la liquidación porque no puede mover un depósito.
Las revisiones de código tienen un propósito más limitado. Pueden identificar vulnerabilidades dentro de su alcance; no pueden prometer un acceso ininterrumpido ni un comprador para un token representativo. La explicación de KTX sobre el staking líquido muestra por qué el rescate de un protocolo y la venta de un token representativo transferible son salidas diferentes.
Los registros públicos de transacciones siguen necesitando interpretación
Los controles contra la delincuencia financiera requieren algo más que la visibilidad de las direcciones. La Guía sobre delincuencia financiera de la FCA aborda la comprensión de los análisis de cadenas de bloques, la investigación de alertas y el mantenimiento de controles adecuados sobre las sanciones. Una puntuación de riesgo es un dato para tomar una decisión; no es una descripción completa de la persona o de la transacción.
Tomemos como ejemplo un depósito hipotético que llega después de varios intercambios y de una transferencia a través de un puente. Un analista debe comprender la alerta, sus pruebas y sus límites. La ejecución automática hace que el momento sea importante: revisar una alerta después de que la empresa haya completado una transferencia irreversible es diferente de revisarla antes. Este ejemplo no implica que toda transferencia a través de un puente sea sospechosa.
La orientación política más amplia también se refleja en el informe de DeFi de julio de 2026 del GAFI, que favorece un análisis funcional y basado en el riesgo, incluida la identificación del control. Las recomendaciones del GAFI y las obligaciones jurídicas del Reino Unido no deben presentarse como normas intercambiables.
El efecto comercial depende de cómo se prestan los servicios
Nuestra evaluación es que unos límites más claros podrían favorecer a los proveedores capaces de explicar su cadena de dependencias y sus decisiones ante incidentes. Esto podría significar mejores registros, menos integraciones no respaldadas o un acceso más selectivo a los productos. También podría aumentar los costes operativos. La consulta en sí no establece qué empresas cambiarán sus ofertas.
Para los usuarios, la comparación útil es más concreta que «centralizado frente a descentralizado». Pregunte quién ofrece el servicio, qué promete el servicio, dónde pueden quedar inaccesibles los activos y qué opciones de recuperación existen realmente. La guía de KTX sobre la generación automatizada de rendimientos ofrece otro ejemplo de automatización superpuesta a las exposiciones de los protocolos subyacentes. Ni un artículo educativo ni la marca de un proveedor establecen la autorización de la FCA.
Hay que seguir el calendario y la redacción final
La página web de la consulta prevé enero de 2027 para la guía final GC26/7, mientras que su PDF indica el primer trimestre de 2027. La CP26/36 prevé la primavera de 2027. El nuevo régimen general para los criptoactivos está previsto para el 25 de octubre de 2027. Estos son hitos diferentes; el cierre de la consulta no supone el inicio del régimen.
La siguiente evidencia útil será el tratamiento final del acceso técnico, la explicación de la responsabilidad entre los participantes distribuidos y cualquier cambio tras los comentarios recibidos. Hasta entonces, las interpretaciones propuestas deben seguir identificándose claramente como propuestas.
Preguntas frecuentes
¿Una auditoría de un contrato inteligente demuestra el cumplimiento normativo?
No. Una auditoría aborda un alcance técnico definido. No establece que la empresa tenga los permisos o controles necesarios para sus actividades.
¿El hecho de no tener custodia significa automáticamente que no está regulado?
No. La custodia es una característica de una estructura. Los demás servicios y las exclusiones aplicables también deben evaluarse.
¿Todos los participantes de DeFi deben realizar comprobaciones de identidad idénticas?
La consulta no justifica esa conclusión. Las obligaciones dependen de las actividades del participante y de los requisitos aplicables, no de una única etiqueta para todo el ecosistema.
¿La consulta garantiza una compensación después de una pérdida?
No. Una consulta no es una promesa de compensación. Cualquier derecho o protección depende del servicio pertinente, de las estructuras jurídicas y de las condiciones de elegibilidad.
¿El 18 de noviembre es la fecha límite para que los usuarios retiren sus activos?
No. Es la fecha límite para responder a la consulta, no una instrucción general de retiro.
Solo con fines informativos; no constituye asesoramiento jurídico ni de inversión. La guía propuesta puede cambiar. DeFi puede implicar pérdidas derivadas de contratos, interrupciones del acceso y una recuperación limitada.