Durante décadas, la prestación de servicios bancarios estuvo reservada casi en exclusiva a las entidades de crédito. Hoy, sin embargo, el panorama ha cambiado radicalmente. Empresas tecnológicas, plataformas de comercio electrónico, compañías de movilidad, operadores de telecomunicaciones e incluso grandes cadenas de distribución ofrecen cuentas, tarjetas, financiación instantánea o sistemas de pago integrados dentro de sus propias aplicaciones, sin ser bancos.
Esta transformación responde al modelo conocido como Banking as a Service (BaaS), una de las mayores innovaciones del sector financiero europeo en los últimos años. No obstante, desde una perspectiva jurídica conviene realizar una precisión fundamental: BaaS no elimina la regulación bancaria; simplemente redistribuye las funciones entre distintos actores. Precisamente ahí reside uno de los principales riesgos legales para muchas empresas que desean incorporar servicios financieros a su modelo de negocio.
¿Qué es realmente el Banking as a Service?
El BaaS consiste en que una entidad financiera autorizada pone a disposición de terceros su infraestructura bancaria mediante interfaces tecnológicas (APIs), permitiendo que empresas no bancarias integren productos financieros dentro de sus propias plataformas digitales.
El cliente, en muchas ocasiones, ni siquiera es consciente de que detrás de la aplicación que utiliza existe una entidad bancaria distinta de la marca comercial con la que interactúa.
Así, una plataforma puede ofrecer:
- cuentas de pago;
- emisión de tarjetas;
- transferencias inmediatas;
- financiación al consumo;
- sistemas de cobro;
- wallets digitales;
- programas de fidelización con funcionalidades financieras.
Todo ello sin convertirse formalmente en un banco, siempre que la arquitectura jurídica del proyecto esté correctamente diseñada.
La gran confusión: BaaS no significa “hacer banca sin licencia”
Uno de los errores más habituales consiste en pensar que el modelo BaaS permite prestar servicios financieros sin supervisión.
Nada más lejos de la realidad.
La actividad financiera continúa siendo una de las más intensamente reguladas dentro del Derecho europeo. Lo que hace el BaaS es separar dos planos distintos:
- la infraestructura regulada;
- la experiencia de usuario.
La licencia sigue estando detrás del servicio.
La empresa tecnológica únicamente desarrolla la capa comercial, la experiencia digital y la relación con el cliente, mientras que la entidad autorizada mantiene la responsabilidad sobre la actividad regulada que corresponde a su licencia.
En consecuencia, la cuestión jurídica esencial nunca es únicamente qué servicio desea ofrecer una empresa, sino quién es realmente el proveedor regulado de ese servicio.
¿Qué licencia existe detrás?
Desde un punto de vista jurídico, el modelo puede sustentarse sobre distintas autorizaciones regulatorias, dependiendo del servicio concreto que se pretenda ofrecer.
Entre las principales encontramos:
- entidades de crédito;
- entidades de dinero electrónico;
- entidades de pago;
- proveedores de servicios de información sobre cuentas;
- proveedores de iniciación de pagos;
- otras entidades financieras autorizadas conforme a la normativa europea.
La elección de una u otra licencia condiciona completamente el modelo de negocio, el reparto de responsabilidades, el régimen prudencial, las obligaciones de supervisión y la relación contractual entre las partes.
PSD2 fue solo el principio
La mayoría de las personas asocian la transformación financiera con la segunda Directiva de Servicios de Pago (PSD2).
Sin embargo, PSD2 únicamente abrió la puerta a un cambio mucho más profundo.
Hoy el ecosistema financiero europeo se encuentra condicionado simultáneamente por un conjunto de normas que interactúan entre sí:
- PSD2 y la futura PSD3.
- El Reglamento de Servicios de Pago (PSR).
- El Reglamento sobre Mercados de Criptoactivos (MiCA).
- El Reglamento de Resiliencia Operativa Digital (DORA).
- El Reglamento General de Protección de Datos (RGPD).
- La normativa de prevención del blanqueo de capitales (AML/CFT).
- Las Directrices de la Autoridad Bancaria Europea sobre externalización y gestión de riesgos tecnológicos.
En otras palabras, el éxito de un proyecto BaaS depende tanto de la tecnología como de su arquitectura regulatoria.
El verdadero riesgo jurídico: la gobernanza
Muchas startups centran todos sus esfuerzos en desarrollar APIs, experiencia de usuario y funcionalidades comerciales.
Sin embargo, desde una perspectiva jurídica, el mayor riesgo suele encontrarse en aspectos mucho menos visibles:
- distribución contractual de responsabilidades;
- tratamiento de datos personales;
- prevención del fraude;
- autenticación reforzada del cliente;
- gestión de proveedores tecnológicos;
- continuidad de negocio;
- supervisión del cumplimiento normativo.
La creciente complejidad normativa hace que el gobierno corporativo del proyecto sea tan importante como la propia tecnología.
No basta con tener un banco detrás; resulta imprescindible determinar quién responde frente al cliente, quién asume cada obligación regulatoria y cómo se documenta esa distribución de responsabilidades.
El papel de la protección de datos
Desde la óptica del RGPD, el BaaS plantea igualmente cuestiones especialmente delicadas.
Los modelos actuales implican un intercambio constante de información entre múltiples actores:
- banco regulado;
- proveedor BaaS;
- fintech;
- proveedor cloud;
- plataformas de identificación electrónica;
- servicios antifraude;
- herramientas de análisis.
Cada flujo de datos exige determinar con precisión quién actúa como responsable del tratamiento, corresponsable o encargado, evitando configuraciones contractuales ambiguas que posteriormente generan importantes contingencias regulatorias.
La privacidad deja así de ser un elemento accesorio para convertirse en una pieza estructural del diseño del propio servicio financiero.
Hacia la “embedded finance”
El verdadero potencial del BaaS no reside únicamente en permitir que empresas ofrezcan productos bancarios.
Su auténtica revolución consiste en hacer desaparecer la propia banca como elemento visible para el usuario.
La denominada embedded finance integra los servicios financieros dentro de cualquier experiencia digital.
El cliente ya no “va al banco”; simplemente compra, paga, financia o invierte sin abandonar la aplicación que está utilizando.
Esta integración será probablemente una de las grandes transformaciones económicas de la próxima década.
Reflexión final
Desde el punto de vista jurídico, el Banking as a Service constituye uno de los mejores ejemplos de cómo la innovación tecnológica no reduce la regulación, sino que la hace considerablemente más compleja.
Las licencias siguen existiendo.
Las obligaciones regulatorias permanecen.
La supervisión continúa siendo intensa.
Lo que cambia es la forma en que se distribuyen las funciones entre bancos, fintech, proveedores tecnológicos y empresas no financieras.
Por ello, cualquier organización que pretenda incorporar servicios financieros a su actividad debería comenzar el proyecto formulándose una pregunta mucho más importante que la tecnológica:
¿Cuál es exactamente mi posición jurídica dentro del ecosistema regulado?
La respuesta a esa cuestión determinará no solo la viabilidad legal del modelo, sino también su capacidad para crecer de forma segura, atraer inversión y generar confianza en un mercado cada vez más regulado y supervisado
