Colombia fue uno de los primeros países de Latinoamérica en regular el juego online. El reglamento de los juegos operados por internet se aprobó con el Acuerdo 4 de 24 de mayo de 2016. Una década después, el mercado ya no tiene nada de experimental.

Según los datos que expuso el senador Gustavo Moreno en una entrevista en Caracol Radio, solo entre enero y marzo de 2025 se apostaron en Colombia 4,6 billones de pesos, repartidos entre más de 8 millones de cuentas activas.

El perfil del jugador es, además, muy joven. El 67% de quienes apuestan son jóvenes entre 18 y 29 años que lo hacen al menos una vez por semana. Entre otros datos relevantes, más de 245.000 personas han pedido autoexcluirse de las plataformas autorizadas.

Estas cifras explican por qué el foco del debate está en saber quién está al otro lado de cada cuenta. A finales de septiembre de 2026 coincidieron en pocos días una propuesta en el Senado para reforzar la identidad digital en las cuentas de apuestas, un proyecto de juego responsable en la Cámara y la noticia de que Coljuegos prepara un sistema antilavado más exigente. Ninguna de estas iniciativas es todavía obligatoria, pero reflejan que el nivel de control actual está en el centro del debate.

Con ese contexto llega la pregunta que más nos hacen los operadores: ¿cómo verificamos la identidad de los jugadores de forma que cumpla hoy y siga cumpliendo mañana? Hoy vamos a abordar qué es ya obligatorio y qué está en discusión, qué métodos de verificación existen y cómo encajarlos con la protección de datos personales.

¿Qué es la verificación de identidad en las apuestas en línea y por qué es obligatoria?

Es el proceso con el que el operador comprueba que el jugador es quien dice ser, que es mayor de edad y que no tiene impedimentos para jugar. En Colombia lo exigen los requerimientos técnicos de Coljuegos.

En el sector se conoce como KYC (Know Your Customer o conoce a tu cliente). Antes de permitir que alguien deposite dinero, apueste o cobre un premio, el operador debe tener la certeza razonable de que esa persona existe, de que es quien afirma ser y de que la ley le permite jugar. Para llegar a esa certeza hay que resolver tres preguntas distintas. La primera es si el documento que presenta el jugador es auténtico y está vigente. La segunda es si quien lo presenta es realmente su titular. La tercera es si, siendo quien dice ser, puede jugar, es decir si es mayor de edad, si no se ha autoexcluido y si no figura en listas restrictivas.

Es necesario distinguir este proceso de dos conceptos cercanos. La verificación de edad solo responde a una parte de la tercera pregunta, esto es confirma que el usuario es adulto, pero no quién es. La autenticación, por su parte, ocurre después del alta y es la comprobación, en cada inicio de sesión o en cada retiro de fondos, de que quien usa la cuenta sigue siendo su titular. Un operador puede tener una verificación de identidad impecable en el registro y, aun así, dejar la puerta abierta si cualquiera puede usar después la cuenta con una contraseña ajena.

En Colombia, los juegos de suerte y azar son administrados Coljuegos, una empresa industrial y comercial del Estado. Los operadores de juegos por internet trabajan mediante contratos de concesión con Coljuegos y deben cumplir sus requerimientos técnicos, que incluyen el registro e identificación del jugador.

¿Qué riesgos evita la verificación de identidad en las casas de apuestas?

Una verificación sólida protege frente a cinco riesgos principales como son el acceso de menores, la suplantación de identidad, las multicuentas, el lavado de capitales y el regreso de jugadores autoexcluidos.

El primero es el de los menores que juegan con documentos de adultos, problema que señala la iniciativa anunciada en el Senado. Un adolescente que usa la cédula de un padre o de un hermano mayor supera cualquier control basado únicamente en la fecha de nacimiento, porque el documento es real y los datos son correctos. Solo una comprobación que vincule el documento con la persona física que está delante de la pantalla puede reducir este riesgo de forma significativa.

El perfil del mercado hace que este riesgo sea importante. Si, como se expuso en Caracol Radio, dos de cada tres players tienen entre 18 y 29 años y juegan cada semana, el grupo más activo está a pocos años de la mayoría de edad. Pongamos un ejemplo: un chico de 16 años que usa la cédula de su hermano de 19 presenta un documento auténtico, de alguien de su entorno y con una edad próxima a la suya. Un control basado solo en los datos del documento no detectaría nada extraño.

Hay, además, una variante más difícil de atajar. El menor que no se registra, sino que juega con la cuenta ya verificada de un adulto, es decir, apuesta a través de terceros. Aquí no sería suficiente verificar bien en el alta, habría que volver a comprobar la identidad en determinados momentos de riesgo, como un retiro de fondos, un cambio de dispositivo o un patrón de juego anómalo.

La suplantación de identidad es el reverso del mismo problema. Alguien abre una cuenta con datos o documentos de otra persona, por ejemplo para mover dinero que no es suyo o cobrar premios a nombre de otro. Las multicuentas consisten en que una misma persona abre varias cuentas, por ejemplo para aprovechar varias veces un bono de bienvenida o para esquivar los límites que se ha impuesto.

El lavado de activos explica por qué la identificación del jugador forma parte del sistema antilavado (SARLAFT) que Coljuegos exige al sector. Una cuenta de juego puede servir para dar apariencia legal a dinero de origen ilícito, depositándolo y retirándolo como si fuera un premio. El operador no puede detectar ni reportar esas operaciones si no se ha identificado correctamente al titular.

Por último, la verificación es lo que da sentido a la autoexclusión. Según Coljuegos, 245.199 personas pidieron autoexcluirse de las plataformas autorizadas entre 2024 y 2025 y el bloqueo se aplica a partir de su número de identificación. Si el jugador puede volver a registrarse con otra identidad o jugar con la cuenta de un tercero, la herramienta deja de funcionar.

¿Qué normativa regula la verificación de identidad en el juego online en Colombia?

El marco vigente parte de la Ley 643 de 2001, modificada por el artículo 93 de la Ley 1753 de 2015 y se concreta en los requerimientos técnicos de Coljuegos, su resolución de juego responsable y la Ley 1581 de 2012 de protección de datos.

¿Qué son los juegos novedosos operados por internet?

Según Coljuegos, los juegos novedosos son cualquier modalidad de juego de suerte y azar distinta de las loterías tradicionales, las apuestas permanentes y los demás juegos regulados en la Ley 643. Tras la reforma de la Ley 1753 de 2015, incluyen todos los juegos operados por internet, o por cualquier otra modalidad de tecnologías de la información que no requiera la presencia del apostador.

En estos juegos, todo pasa por la cuenta del jugador, que se abre previo registro y en ella se reflejan los depósitos, las apuestas, los bonos, los premios y los retiros. Por eso, si la identidad del titular no está bien verificada desde el principio, todo lo que ocurre después en esa cuenta queda en entredicho, desde la legalidad de un premio hasta la eficacia de un límite de depósito.

¿Qué datos y documentos se exigen en el registro?

Los requerimientos técnicos aprobados por la Resolución 20224000026034 de 2022 obligan al operador a recoger el tipo y número de documento, su fecha y lugar de expedición, nombre y apellidos completos, la fecha de nacimiento del jugador, entre otros. A ello se suman el departamento y el municipio de residencia, identificados con los códigos del DANE, la dirección, el correo electrónico y el teléfono. El operador debe validar y actualizar estos datos, como mínimo, cada año.

En cuanto a los documentos, la misma resolución admite la cédula de ciudadanía, la cédula de extranjería vigente y, para los ciudadanos venezolanos, el Permiso Especial de Permanencia (PEP) o el Permiso por Protección Temporal (PPT). El pasaporte no figura entre los documentos admitidos.

¿Cómo se verifica la mayoría de edad?

Los requerimientos técnicos obligan al operador a establecer mecanismos para verificar la edad del jugador y a impedir la creación de cuentas de quien no acredite ser mayor de edad, pero no dicen qué mecanismos. La elección del método queda, por tanto, en manos del operador.

En nuestra lectura, la obligación no se cumple con un control meramente formal. Comprobar que la fecha de nacimiento de un documento auténtico corresponde a un adulto sirve de poco si nadie verifica que ese documento pertenece a quien se está registrando. Por eso, la biometría facial con prueba de vida, que comprueba el rostro del jugador con la foto del documento y confirma que hay una persona real frente a la cámara, puede ser una opción especialmente adecuada. Esa vinculación entre documento y persona es, precisamente, el problema que señalan las iniciativas en debate.

¿Qué obligaciones hay sobre autoexclusión y límites de juego?

La Resolución de 2024 obliga a los operadores online a ofrecer un mecanismo de autoexclusión visible y fácil de usar, que permita al jugador elegir periodos de exclusión en días, semanas o meses. Si después quiere revocar esa decisión, la revocación surte efecto 72 horas después de pedirla. El operador debe mantener actualizado el registro de autoexcluidos y permitir que cada jugador defina sus propios límites de juego. Todo este sistema depende de que la identidad del jugador esté bien verificada.

¿Quién supervisa el cumplimiento?

La supervisión es doble. Coljuegos vigila las obligaciones de registro, identificación y juego responsable que derivan de la concesión. La Superintendencia de Industria y Comercio (SIC), como autoridad de protección de datos, vigila cómo se tratan los datos personales, y la propia resolución de juego responsable recuerda a los operadores que deben cumplir la Ley 1581 y el Decreto 1377. En la práctica, un operador puede cumplir con Coljuegos y, aun así, exponerse a una sanción de la SIC si trata la biometría sin las garantías adecuadas.

¿Qué cambios normativos se están discutiendo?

Hay cuatro frentes abiertos. Un SARLAFT más exigente, la identidad digital frente al acceso de menores, la reforma de la ley de protección de datos y la verificación de edad en entornos digitales. A 5 de octubre de 2026, ninguno está aprobado.

De el alta a toda la vida del jugador (SARLAFT más exigente)

A finales de septiembre, MundoVideo informó de que Coljuegos prepara un SARLAFT integral (Sistema de Administración del Riesgo de Lavado de Activos, Financiación del Terrorismo y Proliferación de Armas) para juegos localizados, novedosos y promocionales, con un enfoque basado en el riesgo. El texto todavía no se ha publicado como resolución definitiva en el Diario Oficial.

Según esa información, contemplaría la identificación de todos los titulares de cuentas online y fijaría umbrales a partir de los cuales el operador debería aplicar una identificación reforzada: transacciones individuales desde 96 UVT, acumulados mensuales desde 287 UVT y premios desde 96 UVT, o 153 UVT acumulados. Con la UVT de 2026, fijada por la DIAN en 52.374 pesos, eso equivale aproximadamente a 5 millones de pesos por transacción, 15 millones al mes y 8 millones en premios acumulados. Los operadores tendrían 180 días desde la publicación para adaptarse y el incumplimiento podría acarrear multas e incluso la caducidad de la concesión.

La propuesta del Senado sobre identidad digital y verificación de edad

Desde el Congreso se quiere impulsar una regulación mucho más fuerte para las apuestas en línea, basada en verificar la identidad y la edad de quienes apuestan y en reforzar la identidad digital. Según Focus Gaming News, la iniciativa incluiría también límites diarios y mensuales a los depósitos y a las pérdidas.

El senador puso el acento en el problema de que muchos jóvenes, y también menores de edad, apuestan a través de terceros, es decir, usando cuentas o documentos de adultos. A su vez, se planteó el debate también como una cuestión de salud mental y de economía. Ese enfoque ayuda a entender por qué la verificación de identidad aparece ligada a los límites de depósito y pérdida. Un límite solo protege si se aplica a la persona correcta y una autoexclusión solo funciona si el jugador no puede volver con otra identidad o con la cuenta de un tercero.

La verificación de edad en el entorno digital

Las apuestas no son el único sector en este debate. La Ley 2489 de 2025, de entornos digitales sanos y seguros para niños, niñas y adolescentes, ya está sancionada, y su decreto reglamentario ha recibido críticas de organizaciones como Karisma, Dejusticia y la FLIP, que advierten del riesgo de una recogida excesiva de datos para verificar la edad. En julio de 2026 se presentó además un proyecto de ley, todavía en trámite, para restringir el acceso de los menores de 16 años a las redes sociales mediante validación documental o reconocimiento facial. El equilibrio entre protección de menores y privacidad es, por tanto, una discusión que trasciende el sector del juego.

¿Qué métodos de verificación de identidad existen y cuál conviene?

En nuestra opinión, solo la combinación de verificación documental y biometría facial con prueba de vida impide de forma fiable que un menor juegue con la cédula de un adulto.

Los datos declarados apenas aportan seguridad. Cualquiera puede escribir un número de cédula ajeno. La verificación documental, que analiza una imagen del documento para detectar falsificaciones o manipulaciones, es imprescindible, pero tiene el límite de que no puede detectar que un documento auténtico lo está usando otra persona.

Ese hueco lo cubre la biometría facial con prueba de vida. El jugador se hace un selfie, el sistema lo compara con la foto del documento y, al mismo tiempo, comprueba que hay una persona genuina frente a la cámara y no un ataque. Esta comprobación se conoce como detección de ataques de presentación.

El cotejo con la base biométrica de la Registraduría compara al jugador con el registro oficial del Estado.

¿Cómo debería ser la verificación de identidad en apuestas en Colombia?

Un buen proceso verifica documento, rostro y listas en el alta.

El proceso empieza con la captura y validación del documento. El jugador fotografía su cédula, su cédula de extranjería o su PPT, y el sistema extrae los datos, comprueba las medidas de seguridad del documento y detecta posibles manipulaciones. La fecha de nacimiento se toma del documento, no de lo que teclea el usuario, de modo que la comprobación de edad no depende de su buena fe.

A continuación llega la verificación biométrica: un selfie con prueba de vida que se coteja con la foto del documento, con la autorización previa del jugador. Con la identidad confirmada, el operador cruza los datos con el registro de autoexcluidos y con las listas que exige el sistema antilavado, como las de personas expuestas políticamente, que en el lenguaje del SARLAFT también se abrevian como PEP, aunque no tienen nada que ver con el permiso migratorio. Conviene detectar posibles duplicados para identificar si una persona está detrás de varias cuentas.

El alta, sin embargo, es solo el principio. Ya se obliga a revalidar los datos cada año, y si se aprueba el nuevo SARLAFT habrá que volver a verificar al jugador cuando sus transacciones o premios superen determinados umbrales. Un proceso bien diseñado debería poder lanzar esas reverificaciones con la mínima fricción, por ejemplo, con un nuevo selfi en lugar de repetir todo el registro.

Por último, cada verificación debería dejar una evidencia auditable: qué se comprobó, cuándo, con qué resultado y con qué tecnología. Es lo que permitirá al operador demostrar su diligencia ante una inspección de Coljuegos o un requerimiento de la SIC.

¿Cómo encontrar el equilibrio entre control y experiencia del jugador?

Un control que empuja a los jugadores hacia webs ilegales no protege a nadie. La verificación debe ser exigente con el riesgo y ligera para el jugador.

La advertencia de Fecoljuegos sobre la fricción tiene fundamento. Coljuegos emitió 58.916 órdenes de bloqueo de webs de apuestas ilegales durante el periodo 2022-2026, una cifra que da idea de la oferta ilegal existente. Si la verificación es lenta, confusa o falla con frecuencia, existe el riesgo de que una parte de los jugadores no abandone el juego, sino el mercado legal, que es donde están las protecciones.

Control y experiencia, sin embargo, no tienen por qué ser incompatibles. Un flujo pensado para el móvil, con captura automática del documento y un selfie, puede ofrecer un nivel de seguridad alto sin convertirse en un obstáculo. El enfoque basado en el riesgo, que es el que plantearía el nuevo SARLAFT, ayuda en el mismo sentido: reservar las verificaciones adicionales para los casos que lo justifican permite ser exigente sin penalizar al jugador ocasional.

Hay referencias internacionales en esta línea. En el Reino Unido, la Gambling Commission exige desde el 7 de mayo de 2019 que los operadores online verifiquen el nombre, la dirección y la fecha de nacimiento del cliente antes de permitirle jugar.

¿Por qué conviene revisar ahora el proceso de verificación, si nada está aprobado?

Porque los cambios en discusión afectan al núcleo del KYC, los plazos de adaptación serían cortos si llegan y el problema de fondo ya existe hoy.

Vemos tres razones para no esperar. La primera es el calendario. La segunda es que el riesgo que motiva el debate no depende de ninguna ley nueva: la Ley 643 ya prohíbe ofrecer juegos de azar a menores y ya se impide que abran cuentas. La tercera es que el debate sigue abierto: Coljuegos publica sus proyectos de reglamentación para comentarios antes de aprobarlos, y operadores y proveedores pueden aportar su experiencia técnica.

En la práctica, un buen punto de partida es un diagnóstico del proceso actual: cuántas altas se verifican con biometría y prueba de vida, cuánto tarda el registro, cuántos jugadores lo abandonan y qué evidencias se conservan. A partir de ahí, es posible identificar las brechas frente a la normativa vigente, anticipar las que abrirían las propuestas en discusión y revisar el tratamiento de los datos biométricos con una evaluación de impacto.

Preguntas frecuentes sobre la verificación de identidad en apuestas en Colombia

¿Es obligatorio verificar la identidad para apostar en línea en Colombia?

Sí, ya se exige el registro e identificación de cada jugador.

¿Va a cambiar la verificación de identidad en las apuestas en línea en Colombia?

Se debate. Hay propuestas para reforzar la identidad digital y un SARLAFT más exigente, pero aún nada está aprobado.

¿Se puede apostar en línea con pasaporte en Colombia?

Se admite cédula de ciudadanía, cédula de extranjería vigente y PEP o PPT para venezolanos. El pasaporte no figura en la lista.