O Regulamento da UE contra a lavagem de dinheiro (AMLR) se aplica a partir de 10 de julho de 2027. Verifique pessoas por identificação eletrônica ou por documento, identifique os beneficiários finais, verifique sanções e guarde as evidências, em um único fluxo de trabalho. Uma verificação completa de know your customer (KYC) custa $0.33.
Confiado por mais de 3.000 organizações em todo o mundo.
O que o AMLR exige de você
A partir de 10 de julho de 2027, todas as entidades obrigadas na UE seguirão um único conjunto de regras de due diligence do cliente (CDD). A Didit executa as verificações e devolve as evidências. Você mantém as decisões e a responsabilidade.
Escolha as verificações que sua política de risco exige no construtor no-code: verificação eletrônica de identidade ou documento, prova de vida, correspondência facial, triagem e questionários. Você aprova a política. O fluxo de trabalho a aplica.
19 de junho de 2024
O Regulamento (UE) 2024/1624 aparece no Jornal Oficial da UE.
9 de julho de 2024
O AMLR entra em vigor. Ainda não se aplica às entidades obrigadas.
1º de julho de 2025
A Autoridade Anti-Lavagem de Dinheiro (AMLA), sediada em Frankfurt, inicia suas operações.
1º de outubro de 2026
A AMLA anuncia seus padrões técnicos preliminares finais sobre due diligence de clientes, datados de 30 de setembro de 2026, e os envia à Comissão Europeia. São um rascunho final, não lei.
10 de julho de 2027
As regras vinculam as entidades obrigadas em toda a UE. O limite de EUR 10.000 para pagamentos em dinheiro para pessoas que comercializam bens ou prestam serviços começa no mesmo dia.
2028
A AMLA começa a supervisionar diretamente instituições financeiras de alto risco selecionadas, limitadas a 40 na primeira rodada.
10 de julho de 2029
O AMLR começa a se aplicar a agentes de futebol e clubes de futebol profissionais.
Art. 19
Quando a due diligence se aplica
AMLR pede
Due diligence do cliente em cada novo relacionamento comercial e em transações ocasionais de EUR 10.000 ou mais. Gatilhos menores: EUR 1.000 para transferências de fundos e para provedores de serviços de criptoativos (CASPs), EUR 3.000 em dinheiro (identificar e verificar), EUR 2.000 em jogos de azar.
Didit oferece
Sessões via API ou link hospedado, iniciadas a partir dos seus próprios gatilhos. Regras de monitoramento de transações que sinalizam valores e padrões.
Fica com você
Decidir quando um limite é atingido e quais transações estão vinculadas.
Art. 22
Identificação e verificação
AMLR pede
Um conjunto fixo de dados para cada pessoa (nomes, local e data de nascimento, nacionalidades, endereço) e para cada entidade legal, tudo verificado.
Didit oferece
Captura de documentos para mais de 14.000 tipos de documentos, leitura de chip para e-passaportes e e-IDs, prova de vida passiva e ativa, correspondência facial e busca não documental.
Fica com você
Escolher uma segunda fonte confiável quando um documento não possui um dado, como um endereço.
Art. 22(6)
Rota de identificação eletrônica
AMLR pede
Verificação por meio de um documento de identidade, ou por meio de identificação eletrônica no nível de garantia eIDAS substancial ou alto e serviços de confiança qualificados.
Didit oferece
Cinco carteiras de identidade digital ativas: MitID, Finnish Trust Network, Smart-ID, Mobile-ID e BankID Sweden. EUDI Wallet em breve.
Fica com você
Confirmar que cada esquema atende ao nível de garantia que você precisa e registrar por que você usou a rota do documento quando o fez, o que os padrões finais da AMLA exigiriam.
Arts. 22(7), 24, 51 a 55 e 62
Propriedade beneficiária
AMLR pede
Identificar toda pessoa física que detenha 25% ou mais, direta ou indiretamente, e qualquer pessoa que controle a entidade por outros meios. Consultar o registro central e relatar discrepâncias em até 14 dias corridos (Artigo 24).
Didit oferece
Dados do registro da empresa em três níveis (Lite, Acionistas, UBOs), uma verificação de identidade vinculada para cada proprietário ou diretor, e triagem de empresa e pessoa.
Fica com você
Avaliar o controle por outros meios, consultar o registro central e relatar discrepâncias. A disponibilidade dos níveis varia por país.
Art. 25
Propósito e origem dos fundos
AMLR pede
Compreender o propósito e a natureza pretendida do relacionamento e, quando necessário, a origem dos fundos.
Didit oferece
Questionários com modelos para origem dos fundos e propósito do relacionamento.
Fica com você
Decidir quanta informação cada nível de risco precisa.
Art. 26
Monitoramento contínuo e atualizações
AMLR pede
Monitorar o relacionamento e atualizar as informações do cliente pelo menos a cada 1 ano para clientes de maior risco e a cada 5 anos para todos os outros, além de gatilhos de eventos.
Didit oferece
Re-triagem diária com alertas por webhook e um registro de cada execução, por $0.07 por pessoa por ano. Novas sessões quando uma atualização é devida.
Fica com você
Definir a classe de risco e a data de revisão de cada cliente.
Arts. 20(1)(g) e 42 a 46
Pessoas politicamente expostas (PEPs)
AMLR pede
Determinar se o cliente ou um beneficiário final é uma PEP, um membro da família ou um associado próximo. Aplicar aprovação da alta gerência, verificações de origem da riqueza e origem dos fundos e monitoramento aprimorado. As medidas de risco continuam por pelo menos 12 meses após a pessoa deixar o cargo.
Didit oferece
Triagem de PEP que abrange membros da família e associados próximos, questionários, revisão manual e aprovação de quatro olhos.
Fica com você
Aprovação da alta gerência e as medidas aprimoradas que você escolher.
Arts. 20(1)(d) e 26(4)
Triagem de sanções
AMLR pede
Verificar clientes, beneficiários finais e pessoas controladoras contra sanções financeiras direcionadas da UE, e verificar novamente regularmente.
Didit oferece
Triagem contra mais de 1.300 sanções, PEP e listas de observação, atualizadas diariamente, por $0.20 por verificação. Re-triagem diária com monitoramento contínuo.
Fica com você
Revisar cada correspondência e agir em uma confirmada.
Arts. 26(1) e 69
Transações e relatórios
AMLR pede
Monitore transações com base no que você sabe sobre o cliente e reporte suspeitas à unidade de inteligência financeira (UIF).
Didit oferece
Regras em tempo real para fiat e cripto, 11 pacotes de regras, alertas, gerenciamento de casos e preparação de relatórios.
Fica com você
Aprovar os critérios de detecção e registrar o relatório.
Art. 18
Terceirização
AMLR pede
A terceirização é permitida com um acordo por escrito, notificação ao seu supervisor antes do início do provedor e controles regulares. Você permanece totalmente responsável.
Didit oferece
As verificações, as evidências por trás de cada resultado e registros exportáveis para seus controles.
Fica com você
Seis tarefas que nunca podem ser terceirizadas: aprovar a avaliação de risco de toda a empresa, aprovar políticas e controles, decidir o perfil de risco do cliente, decidir sobre a integração, reportar à UIF e aprovar os critérios de detecção.
Art. 77
Registros
AMLR pede
Mantenha os registros de due diligence, sem edições, por 5 anos após o término do relacionamento ou transação. Depois, exclua os dados pessoais.
Didit oferece
Registros de sessão com retenção configurável de 1 mês a 10 anos, exclusão sob demanda e armazenamento na UE por padrão.
Fica com você
A própria obrigação de retenção e qualquer extensão exigida por uma autoridade.
Art. 76(5)
Intervenção humana
AMLR pede
Decisões automatizadas para aceitar ou recusar um cliente, ou para alterar o nível de due diligence, precisam de intervenção humana significativa. O cliente pode pedir uma explicação.
Didit oferece
Filas de revisão manual, aprovação de quatro olhos e as evidências por trás de cada resultado automatizado.
Fica com você
A decisão humana e a explicação para o seu cliente.
Última revisão: 2 de outubro de 2026. Não é aconselhamento jurídico. Confirme suas obrigações com um advogado. O AMLR se aplica a partir de 10 de julho de 2027, e os padrões técnicos do AMLA são um rascunho final datado de 30 de setembro de 2026, não uma lei.
$ curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: $DIDIT_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "YOUR_AMLR_WORKFLOW_UUID",
"vendor_data": "customer_8412"
}'{ "url": "https://verify.didit.me/session/…" }app.post("/webhooks/didit", async (req, res) => {
const expected = crypto.createHmac("sha256", process.env.DIDIT_WEBHOOK_SECRET)
.update(req.rawBody).digest();
const sig = Buffer.from(req.get("X-Signature") ?? "", "hex");
if (sig.length !== expected.length ||
!crypto.timingSafeEqual(sig, expected)) return res.sendStatus(401);
const { event_id, timestamp, webhook_type, vendor_data, status } = req.body;
const fresh = Math.abs(Date.now() / 1000 - timestamp) <= 300; // signed field
if (!fresh) return res.sendStatus(401);
if (webhook_type === "status.updated" || webhook_type === "data.updated") {
// event_id repeats on retries: store each event once (unique key).
if (await alreadyStored(event_id)) return res.sendStatus(200);
await saveEvidence(event_id, vendor_data, req.body); // your record
if (status === "In Review") queueForReviewer(vendor_data);
// "Approved" and "Declined" are results. You decide to onboard.
}
res.sendStatus(200);
});OK# Integrate Didit for AMLR customer due diligence
Integrate Didit into <my_stack> to run the customer checks that the EU
Anti-Money Laundering Regulation (AMLR, Regulation (EU) 2024/1624) will
require from 10 July 2027. Didit supplies the checks and the evidence. The
obliged entity keeps every decision and stays fully liable (Article 18).
This prompt is not legal advice.
## What stays with the obliged entity (never automate these away)
Article 18(3) lists six tasks that cannot be outsourced:
- proposing and approving the business-wide risk assessment
- approving internal policies, procedures and controls
- deciding the risk profile of a customer
- deciding to enter a business relationship or carry out a transaction
- reporting to the financial intelligence unit (FIU)
- approving the criteria for detecting suspicious transactions
Build the integration so that a named person takes each of these decisions.
Article 76(5) also requires meaningful human intervention on automated
decisions to accept or refuse a customer.
## Published prices used below
- Full KYC (know your customer) check: $0.33
- AML (anti-money laundering) screening: $0.20 per check
- Ongoing AML monitoring: $0.07 per person per year
For every other module, read https://didit.me/pricing. Do not invent a price.
## 1. Create the applications and the workflow
Create an account at https://business.didit.me. Live and sandbox are separate
applications. Sandbox outcomes are simulated. Store the application keys and
workflow UUIDs in server-side configuration. Never expose a key to a browser.
Build the workflow in the Console, or with
POST https://verification.didit.me/v3/workflows/.
Map the checks to the regulation:
- Identification and verification (Article 22): either a digital ID wallet
(the electronic identification route of Article 22(6)(b)) or ID
Verification with chip reading, liveness and face match (the document
route of Article 22(6)(a)). Which route a customer takes is the obliged
entity's policy. Record the route and the reason in your own system.
- Sanctions and PEP (politically exposed person) screening (Article 20):
add AML Screening.
- Purpose and source of funds (Article 25): add a Questionnaire.
- Companies and beneficial owners (Articles 51 to 62): use a KYB (know your
business) workflow and start a linked identity session for each owner.
The AMLR ownership test is 25% or more, with control assessed in parallel.
Registry tiers vary by country, and a register alone is not sufficient
verification.
Publish the draft. Existing sessions keep the workflow version they started
with.
## 2. Create a session for each customer
curl -X POST https://verification.didit.me/v3/session/ \
-H "x-api-key: <application-key>" \
-H "Content-Type: application/json" \
-d '{
"workflow_id": "<workflow-uuid>",
"vendor_data": "<your-customer-id>"
}'
The response contains "url". Redirect the customer to it, or embed the hosted
flow. vendor_data is your own stable reference and is returned on session
events. Within one application only one unfinished session can exist per
(workflow_id, vendor_data) pair.
## 3. Receive authenticated results
Register a webhook destination for status.updated and data.updated and store
its secret_shared_key on the server.
Verify before reading a result or changing a customer's data:
- X-Signature-V2: HMAC-SHA256 over recursively sorted, compact JSON with
Unicode preserved. This header does not sign raw bytes.
- X-Signature: HMAC-SHA256 over the exact raw request bytes, captured before
any JSON middleware.
- Check the signature format and length before a constant-time comparison.
- Validate X-Timestamp and reject a difference greater than 300 seconds.
Require it to match the timestamp in the authenticated payload. The header
is not signed, so a header checked alone can be replaced on a replay.
- Make processing idempotent before any side effect: a retry reuses the same
event_id, so key on event_id and skip an event you have already stored.
Durably queue the work before acknowledging.
Session statuses: Approved, Declined, In Review, In Progress, Not Started,
Abandoned, Expired, Kyc Expired, Resubmitted, Awaiting User.
- "Approved" and "Declined" are verification results, not onboarding
decisions. Store the result, then let the obliged entity's own process
decide.
- "In Review" goes to a human reviewer.
For reconciliation read
GET https://verification.didit.me/v3/session/{sessionId}/decision/.
## 4. Keep watching (Article 26)
Enable ongoing AML monitoring for approved customers. Didit re-screens daily
and re-screens fire the usual status.updated and data.updated events.
Store a risk class and a next review date for each customer in your own
system. Article 26(2) caps the interval between updates of customer
information at 1 year for higher-risk customers and 5 years for all others,
with event triggers on top. When a review is due, create a new session.
## 5. Keep the record (Article 77)
Records are kept for 5 years from the end of the business relationship, the
occasional transaction or the refusal, and personal data is then deleted
unless another law or an authority requires otherwise.
- Set retention in Business Console -> App Settings -> Data (1 month to 10
years). The clock that matters starts when the relationship ends, so either
size the window for that or export the evidence into the obliged entity's
own archive.
- Delete a session on demand with
DELETE https://verification.didit.me/v3/session/{session_id}/delete/.
Store the session id, the status, the workflow version, the route used and
the name of the person who took the onboarding decision.
## 6. Verify the integration
1. In the sandbox application, run one customer through the wallet route and
one through the document route. Confirm both write the same record shape.
2. Send a webhook with a wrong signature and confirm it is rejected with 401.
3. Confirm an "In Review" result reaches a reviewer and that no code path
onboards a customer without a recorded human decision.
4. Confirm sandbox and live traffic use separate applications.
Docs: https://docs.didit.me/getting-started/amlr-compliance
Para construir, testar e para seus primeiros usuários.
Mais de 25 módulos, preços públicos. Descontos automáticos por volume.
Para grandes volumes e programas regulamentados.
Descontos por volume são aplicados automaticamente conforme o uso aumenta — sem negociação, sem ligação de vendas.
A Didit é a infraestrutura para identidade e fraude, a plataforma que gostaríamos que existisse quando estávamos construindo nossos próprios produtos: aberta, flexível e amigável para desenvolvedores, para que funcione como uma parte real da sua stack, e não como uma caixa preta que você integra por fora.
Uma única API cobre a verificação de pessoas (KYC, know your customer), verificação de empresas (KYB, know your business), triagem de carteiras de criptomoedas (KYT, know your transaction) e monitoramento de transações em tempo real, em uma stack construída para ser:
A base por trás: mais de 14.000 tipos de documentos em mais de 48 idiomas, mais de 1.000 fontes de dados e mais de 200 sinais de fraude em cada sessão. A infraestrutura da Didit aprende dinamicamente com cada sessão e melhora a cada dia.
AMLR é o Regulamento (UE) 2024/1624, o Regulamento Anti-Lavagem de Dinheiro da UE: um conjunto de regras diretamente aplicáveis sobre due diligence de clientes, propriedade beneficiária, relatórios e manutenção de registros para toda entidade obrigada na UE.
As datas importantes:
Até 10 de julho de 2027, as leis nacionais que transponham as diretivas anteriores ainda se aplicam. Como o AMLR é um regulamento, não precisa de transposição nacional, embora os Estados-Membros mantenham algumas opções, como limites de caixa mais baixos.
A Didit te ajuda a cumprir as verificações de clientes. Uma verificação completa de know your customer (KYC) custa $0.33, e a triagem de sanções e pessoas politicamente expostas (PEP) custa $0.20 por verificação.
Última revisão: 2 de outubro de 2026. Isso não é aconselhamento jurídico. Confirme com um advogado.
São três partes do mesmo pacote de 2024:
Uma armadilha: a Diretiva (UE) 2018/1673, sobre o combate à lavagem de dinheiro por meio do direito penal, é um ato diferente. Mencione o número quando for relevante.
A AMLA não certifica ou aprova fornecedores, e o AMLR não cria licença de fornecedor. A Didit fornece as verificações e as evidências, por exemplo, verificação de identidade em mais de 14.000 tipos de documentos e triagem contra mais de 1.300 listas. Seu próprio programa é o que um supervisor avalia.
O Artigo 3 os lista. Os principais grupos:
Os Estados-Membros podem isentar alguns serviços de jogos de azar e alguns clubes de futebol onde o risco comprovadamente é baixo.
Qualquer que seja a categoria, as verificações de clientes têm o mesmo formato, e a Didit as executa em um único fluxo de trabalho: verificações de identidade em mais de 220 países e territórios, e verificação de negócios com uma verificação de identidade para cada proprietário.
Se você não tem certeza se está no escopo, consulte um advogado. Isso não é aconselhamento jurídico.
Sim, conforme os textos atuais, mas não é a primeira opção.
O que o regulamento diz. O Artigo 22(6) nomeia duas formas de verificar a identidade: um documento de identidade, ou identificação eletrônica no nível de garantia eIDAS substancial ou alta, com serviços de confiança qualificados. O AMLR não nomeia nenhuma técnica. As palavras “selfie”, “prova de vida” e “biométrico” não aparecem nela.
O que os rascunhos de padrões dizem. Os rascunhos finais dos padrões técnicos da AMLA, datados de 30 de setembro de 2026, tratam a ID eletrônica como a rota remota padrão. A verificação remota baseada em documentos é uma alternativa para clientes que não podem razoavelmente apresentar o documento pessoalmente e não têm acesso a uma ID eletrônica qualificada. Você deve ser capaz de justificar o uso e mostrar salvaguardas. A AMLA também diz que as empresas podem continuar usando ferramentas de onboarding remoto existentes que atendam a esses requisitos. Este é um rascunho final enviado à Comissão Europeia. Não é lei.
Onde a Didit se encaixa. A Didit executa ambas as rotas: cinco carteiras de ID digital em produção, e verificação de documentos com leitura de chip, prova de vida e correspondência facial.
Ainda não. A AMLA finalizou seus rascunhos finais de padrões técnicos regulatórios (RTS) sobre due diligence de clientes em 30 de setembro de 2026 e os anunciou em 1º de outubro de 2026. Eles foram enviados à Comissão Europeia.
Três coisas se seguem:
A própria AMLR é fixa: aplica-se a partir de 10 de julho de 2027.
O que fazer agora: construir de acordo com o regulamento e manter o fluxo de trabalho fácil de mudar. No construtor no-code da Didit, você pode adicionar ou remover uma verificação, ou mover clientes da rota de documentos para uma carteira de ID digital, sem uma nova implantação. Cada sessão registra a versão do fluxo de trabalho em que foi executada, para que você possa mostrar quais regras foram aplicadas.
O AMLR não diz isso. O dever de aceitação está no Regulamento eIDAS, não no AMLR.
Uma carteira também não finaliza a due diligence. Propriedade beneficiária, propósito, triagem de sanções e PEP, e monitoramento permanecem.
A Didit hoje: cinco carteiras de ID digital estão em produção: MitID (Dinamarca), Finnish Trust Network, Smart-ID (Estônia, Letônia, Lituânia, Bélgica), Mobile-ID (Estônia, Lituânia) e BankID Suécia. A Carteira EUDI estará disponível em breve. A verificação de documentos cobre clientes que não possuem carteira.
25% ou mais. O Artigo 52(1) estabelece o teste de propriedade em 25% ou mais das ações, direitos de voto ou outro interesse de propriedade, detidos direta ou indiretamente. A redação é 25% ou mais, não mais de 25%.
Três pontos que são frequentemente esquecidos:
Se nenhum proprietário beneficiário for encontrado, você registra isso e verifica os altos funcionários de gestão. O registro central deve ser consultado, mas não é suficiente por si só, e as discrepâncias são relatadas em até 14 dias corridos.
A Verificação de Negócios da Didit retorna dados do registro da empresa em três níveis (Lite, Acionistas, UBOs) e vincula uma verificação de identidade a cada proprietário ou oficial. A disponibilidade do nível varia por país.
O Artigo 26(2) estabelece intervalos máximos entre as atualizações das informações do cliente:
Esses são tetos, não metas. O Artigo 26(3) adiciona gatilhos de eventos: uma mudança nas circunstâncias do cliente, um dever legal de contatar o cliente durante o ano, ou um fato relevante do qual você toma conhecimento. A AMLA disse que esses períodos não podem ser estendidos por meio de padrões técnicos.
As sanções são separadas. O Artigo 26(4) pede que você verifique regularmente se clientes e proprietários beneficiários estão sujeitos a sanções financeiras direcionadas. Instituições de crédito e financeiras também devem verificar qualquer nova designação.
Como a Didit ajuda:
Você decide a classe de risco e a data de revisão de cada cliente. A Didit não toma essa decisão por você.
O Artigo 18 permite que entidades obrigadas terceirizem tarefas para provedores de serviços sob condições que incluem um acordo por escrito, notificação ao seu supervisor antes do início do provedor e controles regulares. Você permanece totalmente responsável pelas tarefas terceirizadas.
Seis tarefas nunca podem ser terceirizadas (Artigo 18(3)):
O que a Didit pode executar para você: verificações de identidade e documentos, verificação de carteira de ID digital, consultas de registro e verificações de proprietários, triagem de sanções e PEP, reavaliação diária, monitoramento de transações contra regras que você aprovou e preparação de relatórios.
O Recital 47 acrescenta que o uso de software de terceiros ou serviços de triagem, onde sua própria equipe executa o requisito, não é terceirização. De que lado dessa linha sua configuração se encaixa é uma questão para um advogado. As diretrizes de terceirização da AMLA devem ser divulgadas até 10 de julho de 2027.
Cinco anos. O Artigo 77 exigirá que você mantenha registros de due diligence de clientes, registros de transações e avaliações de suspeita por 5 anos a partir do fim do relacionamento comercial, da transação ocasional ou da recusa de onboarding. Os registros não devem ser editados. Quando os 5 anos terminam, os dados pessoais devem ser excluídos, a menos que outra lei se aplique ou uma autoridade solicite até mais 5 anos em um caso específico.
O dever é seu. Um provedor pode armazenar os registros, mas a obrigação não se transfere.
Como a Didit lida com isso:
Uma ressalva: os 5 anos começam quando o relacionamento termina, não quando a verificação foi executada. Defina a janela de retenção com isso em mente, ou exporte os registros para seu próprio arquivo.
Você paga por verificação, com preços publicados:
A verificação de negócios, carteiras de ID digital e monitoramento de transações também são precificados por uso. Veja preços para cada módulo.
Entrar no ar é um caminho curto:
A integração é uma chamada de API e um webhook. O tempo que a implementação leva depende de suas próprias políticas e aprovações, que permanecem com você sob o Artigo 18.
Comece grátis em business.didit.me, ou fale conosco através da página de contato.
Uma API para KYC, KYB, Monitoramento de Transações e Análise de Carteiras. Integre em 5 minutos.