Open finance y APIs: preguntas frecuentes de bancos y fintechs

Qué cambia

• Hasta ahora, participar era voluntario.
• Con el decreto, toda entidad vigilada es a la vez proveedora y receptora de datos.

(fuente: Superintendencia Financiera de Colombia, 9 abr 2026)

Un plazo que ya venció. La SFC había dado a las entidades un plazo para ajustarse a los estándares de arquitectura, seguridad y tecnología de finanzas abiertas (Circular Externa 004 del 7 de febrero de 2024). Con la Circular Externa 001 del 3 de febrero de 2026, ese plazo se extendió hasta el 7 de agosto de 2026, fecha que ya pasó (fuente: Holland & Knight, feb 2026). Los estándares y cronogramas que fije la SFC en desarrollo del Decreto 368 se suman a ese marco.

Verifica la norma técnica. Antes de planificar, revisa si la SFC ya publicó los estándares técnicos y el cronograma del Decreto 368.

Cómo prepararte mientras tanto

• Inventariar qué datos de clientes y productos deberás exponer.
• Definir cómo registrarás y revocarás el consentimiento.
• Revisar la seguridad de tus APIs.
• Asignar un responsable de negocio, no solo técnico.

El contexto de pagos. Bre-B ya superaba los 34 millones de usuarios en abril de 2026 (fuente: Banco de la República, indicadores Bre-B). Con ese nivel de adopción, los datos compartidos pueden alimentar nuevos servicios de pago y crédito.

Categorías de solución

• Plataformas de APIs estandarizadas.
• Gestión de consentimientos.
• Seguridad de APIs.

La cronología

• La CMF reguló el sistema con la NCG 514 del 3 de julio de 2024.
• En noviembre de 2025 propuso extender la implementación de 24 a 36 meses (fuente: Carey, 17 nov 2025).
• La NCG 569, del 1 de junio de 2026, modifica la NCG 514, incorpora los estándares técnicos y deja la entrada en vigencia para julio de 2027, 36 meses después de la NCG 514 (fuente: CMF; análisis de Cuatrecasas, 2026).

Qué cambia con la NCG 569, según lo reportado

• La ventana de historial transaccional a compartir pasa de 12 a 24 meses.
• Participación simplificada para entidades con menos de 100,000 clientes.
• Un periodo piloto antes de que los niveles de servicio sean plenamente exigibles.
• Plazos graduales por tipo de API: para bancos y emisores de tarjetas, entre 5 y 18 meses.

(fuente: Cuatrecasas, 2026)

Categorías de solución

• Plataformas de APIs.
• Gestión de consentimientos.
• Acceso eficiente al historial de datos.

Qué revisar

• Cumplimiento de los tiempos de respuesta exigidos.
• Costo para una entidad pequeña.
• Facilidad para adaptarse a ajustes de la norma.

La situación hoy

• La Ley Fintech prevé tres tipos de datos: abiertos, agregados y transaccionales.
• Solo están vigentes las reglas de los datos abiertos.
• En enero de 2026 se presentó un amparo por la falta de las reglas restantes.

(fuente: Armor AML y Fiskil, 2026)

Lo que no sabemos: cuándo se publicarán las reglas pendientes ni con qué requisitos. Cualquier fecha que circule debe confirmarse en el DOF.

Qué puede hacer una entidad mientras tanto

• Ordenar sus APIs internas.
• Preparar la gestión del consentimiento.
• Reforzar la seguridad.

Ese trabajo sirve con o sin regulación, porque clientes y socios ya piden conexiones por API.

Categorías de solución

• Preparación de APIs.
• Agregación de datos.
• Gestión de consentimientos.

Adopción no es uso. Brasil muestra que la adopción puede ser grande: 208.79 millones de consentimientos activos al 31 de julio de 2026 (fuente: panel del ecosistema, reportado por Let's Money). Pero un consentimiento no garantiza ingresos. El valor aparece cuando los datos cambian una decisión o una experiencia.

Qué hace falta para cada modelo

• Iniciación de pagos: reducir el costo y la fricción del cobro.
• Crédito: usar los datos compartidos para aprobar a quien antes no se podía evaluar.
• Agregación: ofrecer una vista completa de las finanzas del cliente, que lo haga volver.

Categorías de solución

• Iniciación de pagos.
• Plataformas de agregación.
• Motores de crédito con datos compartidos.

Qué revisar

• La cobertura de entidades conectadas.
• La calidad y la frescura de los datos.
• El modelo de costos por llamada.
• La conversión del consentimiento.

Más exposición por regulación. Las finanzas abiertas obligatorias amplían la superficie de ataque. En Colombia, el Decreto 0368 de 2026 obliga a todas las entidades vigiladas a compartir y recibir datos (fuente: Superintendencia Financiera, 9 abr 2026).

Riesgos típicos

• Credenciales robadas que parecen tráfico legítimo.
• Extracción masiva de datos.
• Fallas de autorización que permiten ver datos de otro cliente.
• APIs olvidadas que nadie monitorea.

Categorías de solución

• Gestión y gateway de APIs.
• Seguridad de APIs: descubrimiento de APIs, detección de abuso y pruebas.
• Perfiles FAPI.

Qué revisar

• Si descubre todas tus APIs, incluidas las no documentadas.
• Cuántas alertas útiles genera frente al ruido.
• El impacto en la latencia.
• La integración con tu centro de operaciones de seguridad.