Japón pone fin al eKYC basado en fotos el 1 de abril de 2027: cómo llevar el alta de clientes al chip IC

Un smartphone en una mano y un vaso de café para llevar en la otra

Desde el 1 de abril de 2027, una empresa sujeta a la Ley de Prevención de la Transferencia de Productos del Delito de Japón (犯罪収益移転防止法, o 犯収法) ya no puede abrir una cuenta en línea basándose en la foto de un documento de identidad y un selfi. La Agencia Nacional de Policía lo dijo en una frase el 23 de julio de 2026: a partir de esa fecha, la comprobación de identidad para la apertura de cuentas y operaciones similares exige leer el chip IC de una tarjeta My Number o de un documento similar (aviso de JAFIC).

El alta en línea tiene que leer el chip de una tarjeta My Number, de un permiso de conducir o de otro documento de identidad con chip, u obtener una firma electrónica JPKI de la tarjeta My Number. La Ley cubre, entre otros, a bancos, aseguradoras, sociedades de valores, plataformas de criptoactivos, prestamistas, operadores de transferencias de fondos y emisores de tarjetas. Los operadores de telefonía móvil afrontan un cambio equivalente, con su propia ley, el mismo día.

Esto va dirigido a los responsables de producto y de cumplimiento que se encargan del alta de clientes en esas empresas, incluidas las empresas extranjeras que operan en Japón.

Qué cambia el reglamento

El cambio es una modificación del reglamento de aplicación de la Ley (犯罪による収益の移転防止に関する法律施行規則), promulgada el 24 de junio de 2025 y en vigor el 1 de abril de 2027. El resultado de la consulta pública explica el razonamiento: cualquier método basado en recibir imágenes de un documento de identidad conlleva un alto riesgo de suplantación con documentos falsificados o alterados. Hubo comentarios que pedían tanto adelantar como retrasar la fecha; las autoridades mantuvieron el 1 de abril de 2027 para dar a las empresas tiempo de adaptar sus sistemas.

Lo que sigue se basa en el texto consolidado tal como quedará el 1 de abril de 2027, publicado en e-Gov. Cubre a los clientes particulares residentes en Japón.

Lo que se acaba

Selfi más foto del documento de identidad. El método que el sector llama ホ方式: el cliente fotografía su cara y su documento de identidad con fotografía a través de tu aplicación. Se suprime sin más.
Foto del documento más un vínculo bancario. Hoy, una foto del documento puede combinarse con una comprobación contra el registro de verificación de otra entidad regulada, o con un ingreso en la cuenta bancaria que ya tiene el cliente. La opción de la foto desaparece; solo sobrevive la versión con chip.
El documento, o una foto de él, más correo certificado. Enviar el documento o su imagen y después mandar la documentación de la cuenta por correo certificado sin reenvío (転送不要郵便) desaparece. Queda una vía en papel: enviar por correo el original de un certificado oficial, como un certificado de empadronamiento (住民票の写し) o un certificado de registro del sello.
Copias de dos documentos más correo certificado. Ahora solo disponible para personas que no figuran en el registro de residentes de Japón: no residentes y personas que se han trasladado al extranjero. Quedan excepciones muy concretas, como ciertas cuentas nómina abiertas a través de un empleador.

Lo que queda para el alta en línea

Firma JPKI. El cliente firma con el certificado de firma de su tarjeta My Number, y tú recibes el certificado y los datos firmados.
Selfi más chip. Tu software captura la cara del cliente y lee el chip de un documento de identidad con fotografía que almacena el nombre, la dirección, la fecha de nacimiento y la foto.
Chip más vínculo bancario. Tu software lee el chip y después, o bien confirmas que otra entidad regulada ya ha verificado al cliente, o bien haces un ingreso en su cuenta bancaria existente y recibes una copia del apunte de la libreta.
Chip más correo certificado. Primero los datos del chip, y después la documentación de la cuenta por correo certificado sin reenvío a la dirección que figura en el chip.
La tarjeta My Number en el smartphone. Los atributos de la tarjeta enviados desde el teléfono del cliente a través de un programa certificado conforme a la Ley My Number.
Certificados electrónicos de prestadores de servicios de certificación acreditados o certificados, con los datos firmados.

También en el mostrador

Otra modificación, promulgada el 6 de marzo de 2026 y también en vigor el 1 de abril de 2027, alinea las comprobaciones presenciales. Se presenta un documento de identidad con fotografía y chip, y su chip se lee con un dispositivo que muestra los datos en pantalla. Un documento sin chip sigue sirviendo, pero solo con correo certificado sin reenvío a continuación.

El folleto para clientes de la Agencia añade dos detalles para tu equipo de soporte: leer el chip de un permiso de conducir requiere dos PIN, y algunas entidades financieras pueden hacer el cambio antes del 1 de abril de 2027.

Quién tiene el trabajo

Si usas el alta alojada o el SDK de un proveedor, buena parte de la lectura del chip y de la gestión de JPKI es cosa suya. Pregunta cuándo se ponen en marcha sus flujos con chip, qué métodos de los que quedan admite y qué te devuelve para tus registros. Tu trabajo es el cambio, las alternativas y los datos.

Si construiste tú la captura de fotos, o envolviste la API de imágenes de un proveedor en tus propias pantallas, el cambio cae sobre tu equipo: las pantallas de captura, la cola de revisión construida en torno a las imágenes de documentos y el formato del registro.

La verificación JPKI en sí no es algo que construyas tú. La página de JPKI de la Agencia Digital describe dos vías. Una empresa puede obtener la certificación ministerial y comprobar ella misma la validez de los certificados con J-LIS, lo que lleva «6か月から1年程度» (entre seis meses y un año) desde que recibe las especificaciones técnicas hasta la certificación. O puede actuar como proveedor de servicios y delegar la comprobación en un operador de plataforma certificado, cuyas tarifas varían. Empezando en octubre de 2026, solo la segunda vía encaja con el plazo.

La misma página recoge los datos de contacto de 25 operadores de plataforma (solo los que aceptaron figurar; no todos prestan servicio a otras empresas) y contabiliza 1.411 empresas privadas que usaban JPKI a 31 de agosto de 2026.

Los comerciantes de artículos de segunda mano están sujetos a la Ley como comerciantes de metales y piedras preciosos. La comprobación habitual para la compra de artículos de segunda mano está en el reglamento de la Ley de Comercio de Antigüedades (古物営業法施行規則), para el que e-Gov no mostraba ninguna modificación prevista para el 1 de abril de 2027 cuando lo comprobamos en octubre de 2026.

Qué cambia en la aplicación

Leer el chip por NFC

En iOS, Core NFC lee estas tarjetas como etiquetas ISO 7816 a través de un NFCTagReaderSession. La aplicación necesita el entitlement de lectura de etiquetas NFC y tiene que enumerar en Info.plist los identificadores de aplicación que va a seleccionar; la sesión envía un SELECT para cada uno, en orden. En Android, la clase IsoDep te da un canal transceive en bruto y deja en tus manos el protocolo de encima.

La mayoría de los equipos tomarán esa capa APDU del SDK de un proveedor en lugar de escribirla. Las pantallas son tuyas en cualquier caso: dónde poner la tarjeta, durante cuánto tiempo y qué pasa cuando la lectura se corta a mitad. Prueba en teléfonos reales con tarjetas reales; la posición de la antena varía de un modelo a otro.

PIN y contraseñas

Las lecturas de JPKI y del permiso de conducir dependen de que el cliente recuerde un PIN o una contraseña, y aquí es donde se ganan o se pierden las tasas de finalización. Según J-LIS, el PIN del certificado de usuario de la tarjeta My Number tiene cuatro dígitos y se bloquea tras tres intentos fallidos. La contraseña del certificado de firma tiene entre 6 y 16 caracteres alfanuméricos y se bloquea tras cinco. Un permiso de conducir necesita dos PIN.

Muestra los intentos que quedan antes del último, y enlaza a las vías de restablecimiento que describe J-LIS (una aplicación para smartphone más un terminal de una tienda de conveniencia, o la oficina municipal). Nunca registres ni guardes lo que teclean.

El flujo JPKI

La aplicación lee el certificado de firma, el cliente introduce la contraseña y la tarjeta firma los datos de tu solicitud. Tu back end pasa el certificado y la firma al operador de plataforma, que comprueba la validez contra los datos de revocación de J-LIS. El certificado de firma contiene el nombre, la dirección, la fecha de nacimiento y el sexo, así que puedes rellenar el formulario a partir de él. La Agencia Digital señala que JPKI no usa el propio número My Number de 12 dígitos.

Los certificados también están en los teléfonos: en Android desde mayo de 2023, y en iPhone desde el 24 de junio de 2025 para un iPhone XS o posterior con iOS 18.5 o superior, según la Agencia Digital. La agencia dice que el soporte varía según el servicio y pide a los usuarios que conserven la tarjeta física. También prevé sustituir el servicio de Android hacia el otoño de 2026, así que prueba contra lo que esté en funcionamiento en febrero.

Selfi más chip, donde se mantiene la comparación facial

Si mantienes una comprobación facial, cambia su referencia. El selfi tiene que hacerse a través de tu propio software (una imagen subida desde la galería no vale) y se compara con la foto almacenada en el chip, no con una imagen de una tarjeta impresa. La prueba de vida y la comparación facial pueden sobrevivir; la captura de la imagen del documento, la detección de reflejos y la comprobación del grosor de la tarjeta, no.

Alternativas

Planifica para el cliente sin teléfono con NFC, con un documento sin chip o con una contraseña bloqueada. Sin NFC, puede enviar por correo un certificado de empadronamiento original y recibir correo certificado, o acudir a un mostrador. Una contraseña bloqueada va a la vía de restablecimiento o a otro método que ofrezcas. Los no residentes conservan los métodos de imagen y de copia, lo que importa a las empresas extranjeras con clientes en el extranjero. Encamina cada caso a algún sitio en lugar de terminar la sesión.

Back end y registros

La obligación de registro se mantiene: el artículo 6 de la Ley exige conservar el registro de verificación (確認記録) durante siete años. Lo que entra en él cambia según el método. Según los artículos 19 y 20 del reglamento modificado:

Selfi más chip: adjunta el selfi y los datos del chip (nombre, dirección, fecha de nacimiento, foto), y anota la fecha en que recibiste cada uno.
Chip más vínculo bancario: adjunta los datos del chip, y anota cuándo los recibiste y cuándo hiciste la comprobación bancaria o el ingreso.
Chip más correo certificado: adjunta los datos del chip o el certificado enviado por correo; anota cuándo lo recibiste y cuándo enviaste la documentación.
JPKI y otros certificados: adjunta un registro electrónico que muestre que la comprobación se hizo por esta vía. Guarda juntos el certificado, los datos firmados y la respuesta de validez del operador.
Tarjeta en el smartphone: adjunta el registro electrónico recibido desde el teléfono.

Cada registro indica el método utilizado: guárdalo como un campo, no lo deduzcas de los adjuntos. Cuando cambian los datos del cliente, añades al registro y no borras lo que había.

Si el chip muestra una dirección que ya no es la actual, puedes confirmar la nueva con un documento complementario, como un recibo de suministros de los últimos seis meses. Para los residentes, eso significa el original, no una foto.

Después, el corte. El reglamento modificador de junio de 2025 tiene una disposición complementaria de una línea que fija la fecha de entrada en vigor, sin ninguna norma transitoria para las solicitudes en curso. Pon las vías basadas en fotos detrás de un interruptor que puedas apagar a las 00:00, hora de Japón, del 1 de abril de 2027, y pregunta a cumplimiento cómo tratar las sesiones que queden a caballo.

Los operadores móviles van en paralelo

Los operadores de telefonía móvil verifican a sus abonados con arreglo a una ley distinta sobre los contratos de voz móvil y a su reglamento del Ministerio del Interior y Comunicaciones. Según e-Gov, el método de selfi más foto del documento ya había salido de ese reglamento el 1 de abril de 2026.

El siguiente paso es el Reglamento n.º 94 de 2026 (令和8年総務省令第94号), promulgado el 27 de julio de 2026 y en vigor el 1 de abril de 2027. Afecta al mostrador de las tiendas: se presenta un documento de identidad con fotografía y chip, y se lee su chip. Con un documento sin chip, la SIM, el terminal o la documentación del contrato se envían por correo certificado sin reenvío. En línea, las vías principales son un selfi más la lectura del chip, o la lectura del chip más una entrega certificada.

Para los operadores y los OMV, el trabajo de abril de 2027 está sobre todo en el mostrador: lectura de chips en todas las tiendas, y personal que sepa guiar a un cliente con un PIN. La Agencia Digital publica una aplicación de comprobación presencial para la tarjeta My Number (マイナンバーカード対面確認アプリ); pregunta a cumplimiento si encaja en tu flujo antes de construir la tuya.

Un plan de seis meses

Contando hacia atrás desde el 1 de abril de 2027:

Octubre de 2026: inventario. Haz una lista de todas las vías por las que se verifica a un cliente (aplicación, web, tienda, socio, correo) y asigna cada una a uno de los métodos que quedan. Todo lo que dependa de una imagen del documento va a la lista de cortes.
De octubre a noviembre: elegir métodos y socio. JPKI, selfi más chip, o ambos. Elige un operador de plataforma o confirma las fechas de tu proveedor, y consigue pronto acceso al entorno de pruebas, porque la contratación puede llevar más tiempo que el desarrollo.
Noviembre: diseño. Pantallas NFC, gestión de PIN y textos de bloqueo, alternativas, el esquema del registro y el interruptor.
De diciembre a enero: desarrollo. Los flujos NFC en iOS y Android, la integración del back end con el operador, el almacenamiento de los registros y las vistas para el equipo de cumplimiento.
Febrero: pruebas. Tarjetas reales en teléfonos reales de todo tu parque de dispositivos, tarjetas en smartphone en ambas plataformas, las vías de bloqueo y restablecimiento, y la alternativa por correo de principio a fin. Cumplimiento da el visto bueno al contenido de los registros.
Marzo: lanzamiento y corte. Haz que los métodos con chip sean los predeterminados a principios de mes y vigila las tasas de finalización. Prepara al soporte sobre los PIN y los restablecimientos. Apaga las vías con fotos el 1 de abril.

Si tus bancos asociados se adelantan, como dice el folleto de la Agencia que pueden hacer algunos, el plan se adelanta también.

Dónde conseguir ayuda

Europa va en la misma dirección, de las imágenes de documentos a la identidad criptográfica; nuestra guía de la Cartera Europea de Identidad Digital cubre esa parte.

Construimos las piezas de tu lado de la línea: la lectura del chip por NFC en aplicaciones iOS y Android, el flujo de alta y sus alternativas, la integración con el operador de plataforma que elijas y los registros que tu equipo de cumplimiento tiene que conservar. La verificación JPKI en sí sigue en manos de un operador de plataforma japonés certificado. Si necesitas ingenieros para los próximos seis meses, consulta nuestro servicio de ampliación de equipos, o escribe a office@c9group.dev.