Si votre produit lit et agrège les comptes bancaires de vos utilisateurs, vous fournissez un service d’information sur les comptes. C’est la porte d’entrée la moins chère du monde réglementé des paiements : aucun capital initial, mais une assurance de responsabilité civile professionnelle et un dossier auprès de la Banque d’Espagne à construire avec soin.
Votre produit nécessite-t-il une licence AISP ? Réponse sous 24 h
Dites-nous quelles données vous lisez, de qui et pour quoi faire. Nous vous disons si vous entrez dans le périmètre, s’il vaut mieux une licence propre ou s’appuyer sur celle d’un tiers, et ce que coûte chaque voie.
Nous n’expliquons pas ici ce qu’est l’open banking : nous avons des pages dédiées. Voici ce qu’il faut décider, construire et déposer pour que votre entreprise soit enregistrée et puisse opérer.
Avant d’ouvrir un dossier, mieux vaut examiner la voie courte : fournir le service comme agent d’un établissement agréé ou s’appuyer sur un prestataire déjà enregistré. Moins de contrôle et moins de marge, mais une mise sur le marché en une fraction du temps.
Si votre plan consiste à faire circuler de l’argent (encaissements, virements, portefeuilles), l’AIS ne suffit pas et le projet bascule vers l’établissement de paiement, avec un capital initial aux montants fixés par la réglementation, la protection des fonds (safeguarding) et un dossier d’une tout autre ampleur.
Lire des comptes et initier des paiements sont deux services distincts, soumis à deux régimes distincts. Si vous comptez en plus ordonner des paiements depuis le compte de l’utilisateur, c’est cette page qu’il vous faut.
Beaucoup de projets combinent l’information sur les comptes avec une autre activité commerciale ou financière. Dans ce cas, la structure sociétaire et le périmètre de la licence se décident avant le dépôt de la demande.
Cela dépend des services que vous fournissez : la liste de l’article 2 de la loi 10/2010 doit être confrontée à votre modèle réel avant de rien tenir pour acquis.
Information sur les comptes, initiation de paiements, monnaie électronique, crédit ou crypto-actifs : chaque modèle a son statut et son coût réglementaire.
Presque personne ne se lance en voulant une licence de paiement. On y arrive parce que le produit a besoin de lire le compte de l’utilisateur et que quelqu’un demande sur quelle base on le fait.
« Les relevés PDF que nous envoient les clients ne suffisent pas : nous voulons lire le compte avec leur autorisation et décider en quelques minutes. On nous a dit que c’est déjà un service réglementé. »
« Notre valeur est de montrer sur un seul écran ce que l’utilisateur a réparti dans cinq établissements. Sans accès aux comptes, il n’y a pas de produit, et l’accès exige d’être enregistré. »
« Nous voulons que le mouvement bancaire entre directement dans le logiciel et corresponde à la facture. C’est une fonction de plus de notre ERP, mais techniquement, c’est de l’information sur les comptes. »
« Locations, sélection de fournisseurs, ouvertures de comptes clients : nous demandons des justificatifs qui se falsifient en deux minutes. Lire le compte avec consentement est plus fiable et plus rapide. »
Le régime de l’AISP est le plus abordable des paiements, mais cela n’en fait pas une simple formalité. Ces trois défauts sont ceux qui coûtent le plus d’argent et de mois.
Croire que demander ses identifiants à l’utilisateur vous sort du périmètre : ce qui définit le service, c’est l’activité, pas le canal technique par lequel vous accédez. Si vous consolidez, en tant que service, des informations sur les comptes de paiement de vos utilisateurs, vous avez besoin d’un enregistrement, que vous utilisiez l’interface de la banque ou toute autre méthode.
Ouvrir un dossier alors qu’il n’y a pas encore de produit : beaucoup de projets peuvent valider leur marché sous la licence d’un tiers et demander la leur quand le volume le justifie. Demander l’enregistrement avec une démo et sans équipe sécurité est la manière la plus coûteuse d’apprendre.
Présenter en blanc la partie sécurité et données : le dossier d’un AISP se joue sur la gestion des risques opérationnels, la continuité, le contrôle des accès et le traitement des données personnelles. C’est précisément ce qu’on expédie le plus souvent en deux paragraphes génériques, et ce qui génère le plus de demandes d’informations.
| Voie | Ce qui est exigé | Quand cela a du sens |
|---|---|---|
| Enregistrement propre comme AISP | Dossier auprès de la Banque d’Espagne : programme d’activités, gouvernance, sécurité et assurance de responsabilité civile professionnelle ou garantie comparable. Aucun capital initial n’est exigé. | Quand l’agrégation est le cœur de votre produit, que vous voulez maîtriser la relation avec l’utilisateur et envisager un passeport vers d’autres marchés. |
| Sous la licence d’un tiers | Contrat avec un établissement agréé, enregistrement comme agent le cas échéant et dépendance opérationnelle et réputationnelle à l’égard du titulaire de la licence. | Quand vous devez arriver sur le marché tout de suite, valider la demande, ou que l’accès aux comptes est accessoire dans un produit plus large. |
| Établissement de paiement ou établissement de paiement hybride | Régime complet : capital initial aux montants fixés par la réglementation, protection des fonds des clients et structure de conformité nettement plus lourde. | Quand, en plus de lire des comptes, vous allez initier des paiements, encaisser pour le compte de tiers ou détenir des fonds d’utilisateurs. |
Nous analysons votre produit, les données que vous devez lire et votre calendrier commercial, et nous vous disons laquelle des trois voies vous convient le mieux. Si un enregistrement propre s’impose, nous préparons le dossier complet auprès de la Banque d’Espagne : programme d’activités, gouvernance, assurance, sécurité et protection des données.
Un AISP est le prestataire autorisé à fournir le service d’information sur les comptes : accéder, avec le consentement de l’utilisateur, aux données de ses comptes de paiement et les présenter de façon consolidée. Il ne fait pas circuler d’argent, n’ordonne pas de paiements et ne détient pas de fonds de clients.
Si vous cherchez à comprendre le cadre général (ce qu’est l’open banking ou ce qu’a introduit la PSD2), nous avons des pages dédiées : open banking et PSD2. Cette page traite d’autre chose : du dossier qui fait de votre entreprise un AISP enregistré.
Aucun. C’est l’information qui surprend presque tous les projets : le régime des prestataires de services d’information sur les comptes n’exige pas de capital initial. En contrepartie, il exige une assurance de responsabilité civile professionnelle ou une garantie comparable couvrant la responsabilité envers les banques et envers les utilisateurs.
Cela ne signifie pas que le projet soit gratuit : il faut financer la structure, la sécurité, la conformité et l’audit. Mais le seuil d’entrée est incomparablement plus bas que celui d’un établissement de paiement.
Dans bien des cas, oui, et c’est la première question que nous posons. Deux voies courantes : fournir le service comme agent d’un établissement agréé, ou bâtir votre produit sur un prestataire qui détient déjà l’enregistrement et fournit l’accès aux comptes.
Aucune des deux ne vous libère de tout : vous signez un contrat comportant des obligations, vous dépendez de la licence d’autrui et votre traitement des données reste le vôtre. Mais elles permettent de valider le marché sans ouvrir de dossier. Il convient aussi de vérifier les exclusions du régime des services de paiement avant de supposer que vous y êtes soumis.
Nous ne donnons pas de délais : le délai de résolution est celui que fixe la réglementation, et ce qui décide du calendrier réel est autre chose. Un dossier complet, avec une documentation de sécurité et de protection des données réellement faite, avance ; un dossier qui arrive à moitié entre dans une série de demandes d’informations qui peut durer plus longtemps que la préparation entière.
Ce que nous pouvons en revanche anticiper, c’est ce qu’on vous demandera et dans quel ordre. C’est cette partie qui réduit le calendrier : arriver avec les réponses écrites avant que les questions ne soient posées.
Seulement si vous allez ordonner des paiements depuis le compte de l’utilisateur. Lire et agréger de l’information est un service ; initier un virement en est un autre, avec son propre régime (lui, avec des exigences de capital et d’assurance) que nous expliquons dans service d’initiation de paiements.
Beaucoup de projets commencent par l’AIS, vérifient que l’utilisateur répond présent et ajoutent le PIS ensuite. Si vous savez déjà que vous y viendrez, mieux vaut concevoir le programme d’activités et la structure en pensant à l’extension, et non à un rafistolage ultérieur.
Il faut le vérifier au cas par cas et ne rien présumer, dans un sens comme dans l’autre. La liste des entités assujetties figure à l’article 2 de la loi 10/2010 et son application dépend des services que vous fournissez réellement : un projet qui se contente de consolider de l’information n’est pas dans la même position que celui qui combine l’agrégation avec d’autres services de paiement ou financiers.
Ce qu’il faut en revanche avoir clairement en tête dès la conception, c’est la connaissance du client et la traçabilité des accès. Nous l’analysons avec vous, en lien avec notre service LCB-FT.
C’est la moitié du dossier, et c’est là que beaucoup de projets restent trop courts. L’accès repose sur un consentement explicite limité à la finalité précise acceptée par l’utilisateur : vous ne pouvez pas réutiliser ces données à d’autres fins ni les conserver au-delà du nécessaire.
Cela oblige à concevoir la minimisation, les durées de conservation, le contrôle des accès internes, le chiffrement, le registre des traitements et l’analyse d’impact lorsque c’est nécessaire. Le superviseur des paiements pose des questions à ce sujet, et le régulateur des données se tient en outre derrière lui : nous le traitons avec notre service de protection des données.
Vous avez alors une couche de réglementation supplémentaire. L’évaluation de la solvabilité et le credit scoring des personnes physiques constituent un cas à haut risque du règlement sur l’IA (règlement (UE) 2024/1689), dont l’essentiel des obligations pour les systèmes à haut risque s’applique à partir d’août 2026.
Appliqué à votre projet : gouvernance du modèle, qualité des données, documentation technique, supervision humaine et traçabilité des décisions. C’est parfaitement compatible avec un AISP bien monté, mais il faut le concevoir dès le départ. Nous le développons dans AI Act.
Oui. Le paquet PSD3/PSR, proposé par la Commission en juin 2023, est toujours en cours d’examen, et le règlement sur l’open finance (FIDA) est en négociation. Aucun des deux ne supprime l’enregistrement : ils visent à réorganiser les interfaces, les responsabilités et l’accès aux données au-delà des paiements.
Celui qui est déjà enregistré arrivera avec la structure, les contrats et les contrôles en place ; celui qui attend repartira de zéro quand le marché aura déjà bougé. Nous suivons ces deux dossiers dans PSD3 et FIDA.
Un dossier d’AISP est court comparé à celui d’un établissement de paiement, mais il est examiné avec la même rigueur sur l’essentiel : gouvernance, sécurité et données. Voici le parcours.
Nous analysons quelles données vous lisez, de qui, avec quel consentement et pour quoi faire. Il en ressort si vous avez besoin d’un enregistrement propre, s’il vaut mieux vous appuyer sur un tiers ou si votre cas relève d’une exclusion du régime des services de paiement.
Programme d’activités, structure sociétaire et honorabilité et compétence (fit and proper), assurance de responsabilité civile professionnelle, politique de sécurité et gestion des risques opérationnels, continuité, externalisation et protection des données. Le tout cohérent.
Certificats et connexion aux interfaces des établissements, contrats avec les utilisateurs et les fournisseurs, gestion des incidents, reporting au superviseur et révision périodique des assurances, politiques et contrôles.
Si votre modèle doit aussi faire circuler de l’argent, regardez d’abord la licence d’établissement de paiement ou la formule de l’établissement de paiement hybride, car la structure sociétaire change.
Les termes que vous lirez dans la demande, dans les contrats avec les banques et dans les demandes d’informations. Les employer avec précision évite des semaines de malentendus.
Entité enregistrée pour accéder, avec le consentement de l’utilisateur, aux informations de ses comptes de paiement et les présenter de façon consolidée.
Service d’information sur les comptes : l’activité réglementée qui donne lieu à l’enregistrement. Il se définit par ce que vous faites, non par la technologie que vous utilisez.
Prestataire de services de paiement gestionnaire de comptes : l’établissement qui doit permettre l’accès à l’information lorsque l’utilisateur l’autorise.
Mécanisme par lequel l’utilisateur s’authentifie auprès de sa banque pour autoriser l’accès, avec les éléments indépendants qu’exige la réglementation.
Canal que les établissements mettent à la disposition des prestataires enregistrés, avec ses exigences de disponibilité, de performance et de mécanismes de secours.
Couverture (ou garantie comparable) qui répond, envers les établissements gestionnaires de comptes et envers les utilisateurs, de l’activité du prestataire.
Autorisation explicite de l’utilisateur, limitée à la finalité précise acceptée, révocable et documentée par la preuve de quand et comment elle a été obtenue.
Inscription publique qui atteste que vous êtes habilité. Les banques la consultent avant de vous donner accès, et vos clients devraient le faire aussi.
Le cadre européen permet d’étendre l’activité à d’autres pays de l’UE par notification via votre superviseur, dans les conditions fixées par la réglementation.
Description précise de quelles informations sont lues, sur quels comptes, dans quel but et selon quel parcours de l’utilisateur, sans ambiguïté sur la portée du service.
Mémoire du service avec flux de données et écrans, schémas d’architecture, conditions d’utilisation de l’utilisateur et description des moyens techniques et humains.
Société constituée avec un actionnariat transparent et un organe d’administration doté de l’honorabilité et de la capacité requises pour diriger une entité supervisée.
Acte constitutif et statuts, tableau des associés et des bénéficiaires effectifs, questionnaires d’honorabilité et de compétence, CV documentés et certificats de casier judiciaire.
Couverture ou garantie comparable proportionnée au profil de risque, au volume prévu et aux marchés où vous allez opérer.
Police ou engagement ferme de l’assureur avec périmètre et exclusions, calcul justificatif du montant et preuve de renouvellement périodique.
Gestion documentée des risques opérationnels et de sécurité, contrôle des accès, chiffrement, gestion des incidents et capacité à continuer d’opérer en cas de panne.
Politique de sécurité approuvée, analyse des risques, procédure d’incident avec canaux de communication, plan de continuité et tests réalisés.
Traitement limité à la finalité consentie, avec minimisation et conservation encadrée, et fournisseurs critiques placés sous un contrôle contractuel effectif.
Registre des traitements, textes de consentement et preuve de leur obtention, analyse d’impact lorsque c’est nécessaire et contrats avec les fournisseurs et sous-traitants.
Si vous vous reconnaissez dans l’un d’eux, il convient de s’arrêter et de valider l’adéquation avant de vous connecter à la première banque.
Cette page vend une chose précise : le dossier d’agrément et d’enregistrement de l’AISP auprès de la Banque d’Espagne. Si ce dont vous avez besoin est de comprendre le cadre général (ce qu’est l’open banking, ce qu’a introduit la PSD2, ce que changera PSD3 ou jusqu’où ira l’accès aux données financières avec FIDA), vous trouverez des pages dédiées à chaque sujet, plus utiles que ce texte.
Le modèle d’accès aux données et aux comptes qui a rendu possible ce statut, expliqué depuis zéro et sans jargon de dossier.
La directive (UE) 2015/2366 et sa transposition en Espagne par le décret-loi royal 19/2018, avec ses services, ses acteurs et ses obligations.
Le paquet proposé en juin 2023 est toujours en cours d’examen : ce qui se négocie et ce qu’il convient d’anticiper dans votre conception.
L’accès aux données d’investissement, d’assurance et de retraite qui se négocie en ce moment, et son effet sur ceux qui agrègent déjà des comptes.
Et si vous voulez vous lancer, l’ordre compte : comparez d’abord la voie de l’agent d’un établissement de paiement avec l’enregistrement propre, vérifiez si votre cas relève d’une exclusion du régime des services de paiement et consultez la carte des licences fintech pour situer votre projet.
Dites-nous comment fonctionne votre produit et ce que vous faites des données des comptes de vos utilisateurs. Nous vous disons si vous avez besoin d’un enregistrement propre et par où commencer.
Dernière mise à jour : 4 août 2026
Le prestataire de services d’information sur les comptes (AISP) est le statut qui permet d’accéder, avec le consentement préalable de l’utilisateur, à l’information de ses comptes de paiement pour la présenter de façon consolidée. Son cadre est la PSD2 (directive (UE) 2015/2366) et, en Espagne, le décret-loi royal 19/2018, et son enregistrement relève de la Banque d’Espagne. Ce texte n’explique pas l’open banking (pour cela, consultez notre page sur l’open banking et celle sur la PSD2) : il présente ici la manière de construire le dossier.
L’information que presque personne ne connaît et qui change beaucoup de business plans : le régime du prestataire de services d’information sur les comptes n’exige pas de capital initial. En contrepartie, il exige une assurance de responsabilité civile professionnelle ou une garantie comparable qui réponde, envers les établissements gestionnaires de comptes et envers les utilisateurs, des dommages découlant de votre activité. Cette seule différence sépare deux mondes : l’établissement de paiement démarre avec un capital aux montants fixés par la réglementation et avec l’obligation de protéger les fonds des clients, tandis que l’AISP peut se monter avec une structure bien plus légère, car il ne touche jamais à l’argent. Ce qu’il partage en revanche avec les autres entités supervisées, c’est l’exigence qualitative : gouvernance, gestion des risques, sécurité, continuité et contrôle des fournisseurs. Là, aucun régime allégé ne tient. C’est pourquoi l’erreur la plus fréquente dans ces projets n’est pas de sous-estimer le capital (il n’y en a pas), mais de sous-estimer le coût du maintien d’une entité supervisée : polices d’assurance à renouveler, politiques à réviser, incidents à déclarer et audits à passer. Notre travail commence précisément là, en chiffrant ce coût et en fixant un calendrier avant que vous décidiez si vous voulez un enregistrement propre ou préférez vous appuyer sur la licence d’un tiers pendant que vous validez le produit.
Un dossier d’AISP est plus court que celui d’un établissement de paiement, mais il est lu avec la même exigence sur ce qui compte vraiment. Le premier bloc est le programme d’activités : quelles informations vous allez lire, sur quels comptes, dans quel but, selon quel parcours de l’utilisateur et avec quelle architecture technique. Il doit être assez concret pour que n’importe qui puisse dessiner le flux de données en le lisant. Le deuxième est la structure : société, associés, bénéficiaires effectifs et organe d’administration, avec l’honorabilité et la capacité de ceux qui dirigeront une entité supervisée. Le troisième, l’assurance de responsabilité civile professionnelle ou la garantie comparable, avec une portée justifiée au regard de votre volume et des marchés où vous allez opérer. Le quatrième, celui qui génère le plus de demandes d’informations, est le volet sécurité et risques opérationnels : contrôle des accès, chiffrement, gestion des incidents, plan de continuité et tests réalisés, et non simplement promis. Et le cinquième est celui des données personnelles et des fournisseurs : consentement explicite et granulaire, minimisation, conservation encadrée et contrats d’externalisation (outsourcing) avec les tiers qui soutiennent votre connexion. Cinq blocs qui doivent raconter la même histoire : quand le programme d’activités dit une chose et la politique de sécurité une autre, la demande d’informations arrive toute seule.
Nous préférons perdre un mandat plutôt que de vous vendre un dossier dont vous n’avez pas besoin. Il existe au moins trois situations où un projet d’agrégation peut arriver sur le marché sans enregistrement propre. La première : opérer comme agent d’un établissement agréé, avec contrat, enregistrement le cas échéant et le parapluie de sa licence. La deuxième : bâtir votre produit sur un prestataire déjà enregistré qui fournit l’accès aux comptes pendant que vous apportez la couche de valeur ; vous perdez de la marge et le contrôle de la relation technique, mais vous gagnez des mois. La troisième : vérifier que votre cas relève d’une exclusion du régime des services de paiement, qui existent et résolvent parfois tout le problème. Aucune des trois n’est gratuite : vous continuez de répondre du traitement des données, du contrat avec votre utilisateur et de votre propre sécurité, et, dans les deux premières, vous acceptez en outre des conditions économiques et opérationnelles que vous ne contrôlez pas (tarif par requête, couverture des banques, qualité du service et priorité par rapport aux autres clients du prestataire). Et aucune n’est éternelle : quand l’agrégation devient le cœur de l’activité, dépendre de la licence d’un autre devient un risque stratégique (changements de prix, de conditions ou de propriétaire) et l’enregistrement propre cesse d’être un coût pour devenir un actif. Cette transition doit se planifier, non s’improviser.
Le cadre évolue sur deux fronts. Le paquet PSD3/PSR, proposé par la Commission en juin 2023, est toujours en cours d’examen et vise à réorganiser l’accès aux comptes, les interfaces et la répartition des responsabilités entre banques et prestataires. Et le règlement sur l’accès aux données financières (FIDA, proposé en juin 2023 et lui aussi en négociation) veut porter le modèle au-delà des paiements, vers l’investissement, l’assurance et les retraites, au moyen de prestataires autorisés et de schémas de partage de données. Aucun des deux ne supprime le statut ni l’enregistrement ; tous deux relèvent le niveau d’exigence en matière de gouvernance, de sécurité et de contrats. La conclusion pratique est contraire à l’intuition : celui qui s’enregistre maintenant aborde ce scénario avec une entité constituée, des contrôles rodés et une relation avec le superviseur, et s’adapter ne lui coûtera qu’une révision ; celui qui attend repartira de zéro quand le marché sera déjà réparti. S’y ajoute le reste du périmètre qu’entraîne un projet de données financières (protection des données, résilience opérationnelle et, si vous décidez avec des modèles automatiques, l’AI Act). Tout ordonner dès la conception coûte une fraction de ce que coûte une reconstruction ultérieure, quand vous avez déjà des utilisateurs, des contrats signés avec des établissements gestionnaires de comptes et un superviseur qui vous interroge par écrit. Notre recommandation, lorsque l’activité est déjà validée, est de ne pas attendre la norme parfaite : s’enregistrer avec le cadre en vigueur et laisser le dossier prêt à absorber ce qui viendra.
Ce contenu a un caractère informatif et ne constitue pas un conseil juridique. Les textes cités ont pu être modifiés après la date de mise à jour indiquée : vérifiez toujours la version en vigueur ou consultez-nous pour analyser votre cas concret.
Textes de référence, avec lien vers le texte officiel :
Textes et liens vérifiés en .