Se il tuo prodotto legge e aggrega i conti bancari dei tuoi utenti, stai prestando un servizio di informazione sui conti. È la porta d’ingresso più economica al mondo regolamentato dei pagamenti: nessun capitale iniziale, ma servono un’assicurazione di responsabilità civile professionale e una domanda alla Banca di Spagna da costruire bene.
Il tuo prodotto richiede una licenza AISP? Te lo diciamo entro 24 ore
Raccontaci quali dati leggi, di chi sono e a quale scopo. Ti diciamo se rientri nel perimetro, se ti conviene una licenza propria o appoggiarti a quella di un terzo, e quanto costa ciascuna strada.
Qui non spieghiamo cos’è l’open banking: per questo abbiamo pagine dedicate. Qui trovi cosa decidere, costruire e presentare perché la tua società venga registrata e possa operare.
Prima di presentare una domanda di registrazione conviene guardare la via breve: prestare il servizio come agente di un istituto autorizzato o appoggiarti a un fornitore che ha già la registrazione. Meno controllo e meno margine, ma arrivi sul mercato in una frazione del tempo.
Se il piano prevede di movimentare denaro (incassi, bonifici, wallet), l’AIS non basta e il progetto passa a istituto di pagamento, con capitale iniziale negli importi fissati dalla normativa, tutela dei fondi (safeguarding) e una domanda di ben altro peso.
Leggere i conti e disporre pagamenti sono due servizi diversi, con due regimi diversi. Se in più ordinerai pagamenti dal conto dell’utente, quella è la pagina che fa per te.
Molti progetti combinano le informazioni sui conti con un’altra attività commerciale o finanziaria. In quel caso, l’impostazione societaria e il perimetro della licenza si decidono prima di presentare la domanda.
Dipende dai servizi che presti: l’elenco dell’articolo 2 della Legge 10/2010 va confrontato con il tuo modello reale prima di dare qualcosa per scontato.
Informazioni sui conti, disposizione di ordini di pagamento, moneta elettronica, credito o cripto-attività: ogni modello ha la sua figura e il suo costo regolamentare.
Quasi nessuno parte volendo una licenza di pagamento. Ci si arriva perché il prodotto ha bisogno di leggere il conto dell’utente e qualcuno chiede su quale base giuridica lo si fa.
«Gli estratti conto in PDF che ci caricano i clienti non bastano: vogliamo leggere il conto con il loro permesso e decidere in pochi minuti. Ci hanno detto che questo è già un servizio regolamentato.»
«Il nostro valore è mostrare in una sola schermata ciò che l’utente ha sparso in cinque banche. Senza accesso ai conti non c’è prodotto, e l’accesso richiede di essere registrati.»
«Vogliamo che i movimenti bancari entrino da soli nel software e quadrino con la fattura. È una funzione in più del nostro ERP, ma tecnicamente sono informazioni sui conti.»
«Affitti, selezione dei fornitori, onboarding dei clienti: chiediamo giustificativi che si falsificano in due minuti. Leggere il conto con il consenso è più affidabile e più veloce.»
Il regime dell’AISP è il più accessibile tra quelli dei pagamenti, ma questo non lo rende una semplice formalità. Questi tre errori sono quelli che costano più denaro e più mesi.
Credere che chiedere le credenziali all’utente ti porti fuori dal perimetro: ciò che definisce il servizio è l’attività, non il canale tecnico con cui accedi. Se consolidi come servizio le informazioni sui conti di pagamento dei tuoi utenti, devi essere registrato, che tu usi l’interfaccia della banca o qualsiasi altro metodo.
Presentare la domanda quando ancora non c’è un prodotto: molti progetti possono validare il mercato con la licenza di un terzo e chiedere la propria quando i volumi lo giustificano. Chiedere la registrazione con una demo e senza un team di sicurezza è il modo più costoso di imparare.
Presentare in bianco la parte su sicurezza e dati: la domanda di un AISP si gioca sulla gestione dei rischi operativi, sulla continuità, sul controllo degli accessi e sul trattamento dei dati personali. È proprio ciò che più spesso si liquida con due paragrafi generici, e ciò che genera più richieste di informazioni.
| Percorso | Cosa richiede | Quando ha senso |
|---|---|---|
| Registrazione propria come AISP | Domanda alla Banca di Spagna: programma delle attività, governance, sicurezza e assicurazione di responsabilità civile professionale o garanzia comparabile. Non richiede capitale iniziale. | Quando l’aggregazione è il cuore del tuo prodotto, vuoi controllare il rapporto con l’utente e prevedi il passaporto verso altri mercati. |
| Con la licenza di un terzo | Contratto con un istituto autorizzato, iscrizione come agente quando prevista e dipendenza operativa e reputazionale dal titolare della licenza. | Quando devi andare subito sul mercato, validare la domanda di mercato o l’accesso ai conti è accessorio all’interno di un prodotto più ampio. |
| Istituto di pagamento o istituto di pagamento ibrido | Regime completo: capitale iniziale negli importi fissati dalla normativa, tutela dei fondi dei clienti (safeguarding) e una struttura di compliance molto più pesante. | Quando, oltre a leggere i conti, vuoi disporre pagamenti, incassare per conto di terzi o detenere fondi degli utenti. |
Analizziamo il tuo prodotto, i dati che devi leggere e il tuo calendario commerciale, e ti diciamo quale delle tre vie ti conviene di più. Se serve la registrazione propria, prepariamo la domanda completa alla Banca di Spagna: programma delle attività, governance, assicurazione, sicurezza e protezione dei dati.
Un AISP è il prestatore autorizzato a offrire il servizio di informazione sui conti: accedere, con il consenso dell’utente, ai dati dei suoi conti di pagamento e presentarli in forma consolidata. Non movimenta denaro, non dispone pagamenti e non detiene fondi dei clienti.
Se vuoi capire il quadro generale (cos’è l’open banking o cosa ha introdotto la PSD2) abbiamo pagine dedicate: open banking e PSD2. Questa pagina parla d’altro: della domanda che trasforma la tua società in un AISP registrato.
Di nessuno. È il dato che sorprende quasi tutti i progetti: il regime dei prestatori di servizi di informazione sui conti non richiede capitale iniziale. In cambio, richiede un’assicurazione di responsabilità civile professionale o una garanzia comparabile che copra la responsabilità nei confronti delle banche e degli utenti.
Questo non significa che il progetto sia gratis: bisogna sostenere struttura, sicurezza, compliance e audit. Ma la soglia d’ingresso è incomparabilmente più bassa di quella di un istituto di pagamento.
In molti casi sì, ed è la prima cosa che chiediamo. Due vie abituali: prestare il servizio come agente di un istituto autorizzato, oppure costruire il tuo prodotto su un fornitore che ha già la registrazione e fornisce l’accesso ai conti.
Nessuna delle due ti libera da tutto: firmi un contratto con degli obblighi, dipendi dalla licenza altrui e il trattamento dei dati resta comunque tuo. Ma consentono di validare il mercato senza presentare una domanda. Conviene anche rivedere le esclusioni dal regime dei servizi di pagamento prima di dare per scontato di rientrarci.
Non diamo tempistiche: il termine di risoluzione è quello fissato dalla normativa e a decidere il calendario reale è un’altra cosa. Una domanda completa, con la documentazione su sicurezza e protezione dei dati fatta davvero, avanza; una che arriva a metà entra in un giro di richieste di informazioni che può durare più dell’intera preparazione.
Quello che possiamo anticiparti è cosa chiedono e in che ordine. È questa la parte che accorcia i tempi: arrivare con le risposte già scritte prima che le domande vengano poste.
Solo se vuoi ordinare pagamenti dal conto dell’utente. Leggere e aggregare informazioni è un servizio; disporre un bonifico è un altro, con un regime proprio (questo sì con requisiti di capitale e di assicurazione) che spieghiamo nella pagina sul servizio di disposizione di ordini di pagamento.
Molti progetti partono dall’AIS, verificano che l’utente risponda e aggiungono il PIS in un secondo momento. Se sai già che finirai lì, conviene progettare il programma delle attività e la struttura pensando all’ampliamento, non a una toppa successiva.
Va verificato caso per caso, senza darlo per scontato in nessuna direzione. L’elenco dei soggetti obbligati è nell’articolo 2 della Legge 10/2010 e la sua applicazione dipende dai servizi che presti realmente: un progetto che si limita a consolidare informazioni non si trova nella stessa posizione di uno che combina l’aggregazione con altri servizi di pagamento o finanziari.
Ciò che conviene avere chiaro fin dalla progettazione è la conoscenza del cliente e la tracciabilità degli accessi. Lo analizziamo con te insieme al nostro servizio AML/CFT.
È metà della domanda di registrazione ed è dove più progetti risultano carenti. L’accesso si basa su un consenso esplicito e limitato alla finalità concreta che l’utente ha accettato: non puoi riutilizzare quei dati per altri scopi né conservarli oltre il necessario.
Questo obbliga a progettare minimizzazione, tempi di conservazione, controllo degli accessi interni, cifratura, registro dei trattamenti e valutazione d’impatto quando necessaria. Il supervisore dei pagamenti ne chiede conto, e in più hai alle spalle l’autorità per la protezione dei dati: lo gestiamo insieme al nostro servizio di protezione dei dati.
Allora hai un ulteriore livello di regolamentazione. La valutazione del merito creditizio e il credit scoring delle persone fisiche sono un caso ad alto rischio dell’AI Act (Regolamento (UE) 2024/1689), il cui grosso degli obblighi per i sistemi ad alto rischio si applica da agosto 2026.
Tradotto per il tuo progetto: governance del modello, qualità dei dati, documentazione tecnica, supervisione umana e tracciabilità delle decisioni. È perfettamente compatibile con un AISP ben impostato, ma va progettato fin dall’inizio. Ne parliamo nella pagina sull’AI Act.
Sì. Il pacchetto PSD3/PSR, proposto dalla Commissione a giugno 2023, è ancora in fase di iter legislativo, e il regolamento sull’open finance (FIDA) è in negoziazione. Nessuno dei due elimina la registrazione: puntano a riordinare interfacce, responsabilità e accesso ai dati oltre i pagamenti.
Chi è già registrato arriverà con struttura, contratti e controlli già pronti; chi aspetta ripartirà da zero quando il mercato si sarà già mosso. Seguiamo entrambi i dossier nelle pagine su PSD3 e FIDA.
La domanda di un AISP è breve rispetto a quella di un istituto di pagamento, ma viene valutata con la stessa attenzione su ciò che conta: governance, sicurezza e dati. Ecco il percorso.
Analizziamo quali dati leggi, di chi sono, con quale consenso e a quale scopo. Da qui emerge se ti serve una registrazione propria, se ti conviene passare da un terzo o se il tuo caso rientra in una delle esclusioni dal regime dei servizi di pagamento.
Programma delle attività, struttura societaria e requisiti di onorabilità e professionalità (fit and proper), assicurazione di responsabilità civile professionale, policy di sicurezza e gestione dei rischi operativi, continuità, esternalizzazione (outsourcing) e protezione dei dati. Il tutto coerente in ogni sua parte.
Certificati e collegamento alle interfacce degli istituti, contratti con utenti e fornitori, gestione degli incidenti, reporting al supervisore e revisione periodica di assicurazione, policy e controlli.
Se il tuo modello prevede anche di movimentare denaro, guarda prima la licenza di istituto di pagamento o la formula dell’istituto di pagamento ibrido, perché l’impostazione societaria cambia.
Termini che leggerai nella richiesta, nei contratti con le banche e nelle richieste di informazioni. Usarli con precisione evita settimane di equivoci.
Ente registrato per accedere, con il consenso dell’utente, alle informazioni sui suoi conti di pagamento e presentarle in forma consolidata.
Servizio di informazione sui conti: l’attività regolamentata che dà luogo alla registrazione. Si definisce per ciò che fai, non per la tecnologia che usi.
Prestatore di servizi di pagamento che gestisce il conto: l’ente che deve consentire l’accesso alle informazioni quando l’utente lo autorizza.
Meccanismo con cui l’utente si autentica presso la propria banca per autorizzare l’accesso, con gli elementi indipendenti richiesti dalla normativa.
Canale che gli istituti mettono a disposizione dei prestatori registrati, con i relativi requisiti di disponibilità, prestazioni e meccanismi alternativi (fallback).
Copertura (o garanzia comparabile) che risponde nei confronti dei prestatori che gestiscono i conti e degli utenti per l’attività del prestatore.
Autorizzazione esplicita dell’utente, limitata alla finalità concreta accettata, revocabile e documentata con evidenza di quando e come è stata ottenuta.
Iscrizione pubblica che attesta che sei abilitato. Le banche la consultano prima di darti accesso, e dovrebbero farlo anche i tuoi clienti.
Il quadro europeo consente di estendere l’attività ad altri paesi dell’UE mediante notifica tramite il tuo supervisore, nei termini fissati dalla normativa.
Descrizione precisa di quali informazioni si leggono, da quali conti, a quale scopo e con quale percorso dell’utente, senza ambiguità sulla portata del servizio.
Relazione sul servizio con flussi di dati e schermate, diagrammi di architettura, condizioni d’uso per l’utente e descrizione dei mezzi tecnici e umani.
Società costituita con compagine societaria trasparente e organo di amministrazione dotato dell’onorabilità e della capacità necessarie per dirigere un ente vigilato.
Atto costitutivo e statuto, prospetto dei soci e dei titolari effettivi, questionari sui requisiti di onorabilità e professionalità, CV documentati e certificati del casellario giudiziale.
Copertura o garanzia comparabile proporzionata al profilo di rischio, ai volumi previsti e ai mercati in cui opererai.
Polizza o impegno vincolante dell’assicuratore con portata ed esclusioni, calcolo a sostegno dell’importo ed evidenza del rinnovo periodico.
Gestione documentata dei rischi operativi e di sicurezza, controllo degli accessi, cifratura, gestione degli incidenti e capacità di continuare a operare in caso di interruzione.
Policy di sicurezza approvata, analisi dei rischi, procedura per gli incidenti con canali di comunicazione, piano di continuità e test effettuati.
Trattamento limitato alla finalità consentita, con minimizzazione e conservazione circoscritta, e fornitori critici sotto un controllo contrattuale effettivo.
Registro dei trattamenti, testi del consenso ed evidenza della sua acquisizione, valutazione d’impatto quando necessaria e contratti con fornitori e responsabili del trattamento.
Se ti riconosci in qualcuno di questi, conviene fermarsi e verificare l’inquadramento prima di collegarti alla prima banca.
Questa pagina riguarda una cosa concreta: la domanda di autorizzazione e registrazione dell’AISP presso la Banca di Spagna. Se ti serve capire il quadro generale (cos’è l’open banking, cosa ha introdotto la PSD2, cosa cambierà con la PSD3 o fin dove arriverà l’accesso ai dati finanziari con la FIDA), trovi pagine dedicate a ciascun tema e ti saranno più utili di questo testo.
Il modello di accesso a dati e conti che ha reso possibile questa figura, spiegato da zero e senza il gergo della domanda.
La Direttiva (UE) 2015/2366 e il suo recepimento in Spagna con il Real Decreto-ley 19/2018, con i suoi servizi, soggetti e obblighi.
Il pacchetto proposto a giugno 2023 è ancora in fase di iter legislativo: cosa si sta negoziando e cosa conviene anticipare nel tuo progetto.
L’accesso ai dati su investimenti, assicurazioni e pensioni oggi in negoziazione, e come incide su chi già aggrega conti.
E se vuoi iniziare, l’ordine conta: confronta prima la via dell’agente di un istituto di pagamento con la registrazione propria, verifica se il tuo caso rientra in una esclusione dal regime dei servizi di pagamento e guarda la mappa delle licenze fintech per collocare il tuo progetto.
Raccontaci come funziona il tuo prodotto e cosa fai con i dati dei conti dei tuoi utenti. Ti diciamo se ti serve una registrazione propria e da dove partire.
Ultimo aggiornamento: 4 agosto 2026
Il prestatore di servizi di informazione sui conti (AISP) è la figura che accede, previo consenso dell’utente, alle informazioni sui suoi conti di pagamento per presentarle in forma consolidata. Il suo quadro normativo è la PSD2 (Direttiva (UE) 2015/2366) e, in Spagna, il Real Decreto-ley 19/2018, e la sua registrazione spetta alla Banca di Spagna. Questo testo non spiega l’open banking (per questo trovi la nostra pagina sull’open banking e quella sulla PSD2): qui raccontiamo come si costruisce la domanda.
Il dato che quasi nessuno conosce e che cambia molti business plan: il regime del prestatore di servizi di informazione sui conti non richiede capitale iniziale. In cambio, richiede un’assicurazione di responsabilità civile professionale o una garanzia comparabile che risponda nei confronti dei prestatori che gestiscono i conti e degli utenti per i danni derivanti dalla tua attività. Questa sola differenza separa due mondi: l’istituto di pagamento parte con un capitale negli importi fissati dalla normativa e con l’obbligo di tutelare i fondi dei clienti (safeguarding), mentre l’AISP può reggersi su una struttura molto più leggera perché non tocca mai il denaro. Ciò che condivide con gli altri enti vigilati è invece il livello di esigenza qualitativa: governance, gestione dei rischi, sicurezza, continuità e controllo dei fornitori. Lì non esiste un regime alleggerito che tenga. Per questo l’errore più frequente in questi progetti non è sottovalutare il capitale (non c’è), ma sottovalutare il costo di mantenere un ente vigilato: polizze da rinnovare, policy da rivedere, incidenti da comunicare e audit da superare. Il nostro lavoro parte proprio da qui: dare numeri e calendario a quel costo prima che tu decida se vuoi una registrazione propria o preferisci appoggiarti alla licenza di un terzo mentre validi il prodotto.
La domanda di un AISP è più breve di quella di un istituto di pagamento, ma viene letta con la stessa severità su ciò che conta davvero. Il primo blocco è il programma delle attività: quali informazioni leggerai, da quali conti, a quale scopo, con quale percorso dell’utente e con quale architettura tecnica. Deve essere così concreto che chiunque, leggendolo, possa disegnare il flusso dei dati. Il secondo è la struttura: società, soci, titolari effettivi e organo di amministrazione, con l’onorabilità e la capacità di chi dirigerà un ente vigilato. Il terzo, l’assicurazione di responsabilità civile professionale o la garanzia comparabile, con una portata giustificata rispetto ai tuoi volumi e ai mercati in cui opererai. Il quarto, quello che genera più richieste di informazioni, è il pacchetto di sicurezza e rischi operativi: controllo degli accessi, cifratura, gestione degli incidenti, piano di continuità e test eseguiti, non promessi. E il quinto riguarda i dati personali e i fornitori: consenso esplicito e granulare, minimizzazione, conservazione circoscritta e contratti di esternalizzazione con i terzi che sostengono il tuo collegamento. Cinque blocchi che devono raccontare la stessa storia: quando il programma delle attività dice una cosa e la policy di sicurezza un’altra, la richiesta di informazioni arriva da sola.
Preferiamo perdere un incarico che venderti una domanda di cui non hai bisogno. Ci sono almeno tre situazioni in cui un progetto di aggregazione può andare sul mercato senza registrazione propria. La prima: operare come agente di un istituto autorizzato, con contratto, iscrizione quando prevista e l’ombrello della sua licenza. La seconda: costruire il tuo prodotto su un fornitore già registrato che fornisce l’accesso ai conti mentre tu metti il livello di valore; perdi margine e controllo sul rapporto tecnico, ma guadagni mesi. La terza: verificare che il tuo caso rientri in una delle esclusioni dal regime dei servizi di pagamento, che esistono e a volte risolvono l’intero problema. Nessuna delle tre è gratis: continui a rispondere del trattamento dei dati, del contratto con il tuo utente e della tua sicurezza, e nelle prime due accetti inoltre condizioni economiche e operative che non controlli (tariffa per consultazione, copertura delle banche, qualità del servizio e priorità rispetto agli altri clienti del fornitore). E nessuna dura per sempre: quando l’aggregazione diventa il cuore del business, dipendere dalla licenza di un altro si trasforma in un rischio strategico (cambi di prezzo, di condizioni o di proprietà) e la registrazione propria smette di essere un costo per diventare un asset. Questa transizione conviene pianificarla, non improvvisarla.
Il quadro si sta muovendo su due fronti. Il pacchetto PSD3/PSR, proposto dalla Commissione a giugno 2023, è ancora in fase di iter legislativo e punta a riordinare l’accesso ai conti, le interfacce e la ripartizione delle responsabilità tra banche e prestatori. E il regolamento sull’accesso ai dati finanziari (FIDA, proposto a giugno 2023 e anch’esso in negoziazione) vuole portare il modello oltre i pagamenti, verso investimenti, assicurazioni e pensioni, attraverso prestatori autorizzati e schemi di condivisione dei dati. Nessuno dei due elimina la figura né la registrazione; entrambi alzano l’asticella su governance, sicurezza e contratti. La conclusione pratica è contraria a quella intuitiva: chi si registra ora arriva a quello scenario con un ente costituito, controlli già rodati e un rapporto con il supervisore, e adeguarsi gli costerà una revisione; chi aspetta ripartirà da zero quando il mercato si sarà già spartito. A questo si aggiunge il resto del perimetro che un progetto di dati finanziari si porta dietro: protezione dei dati, resilienza operativa e, se decidi con modelli automatici, l’AI Act. Mettere ordine fin dalla progettazione costa una frazione di quanto costa ricostruire dopo, quando hai già utenti, contratti firmati con i prestatori che gestiscono i conti e un supervisore che ti interroga per iscritto. La nostra raccomandazione, quando il business è già validato, è non aspettare la norma perfetta: registrarsi con il quadro vigente e lasciare la domanda pronta ad assorbire ciò che arriverà.
Questo contenuto ha carattere divulgativo e non costituisce consulenza legale. La normativa citata potrebbe essere stata modificata dopo la data di aggiornamento indicata: verifica sempre la versione in vigore oppure contattaci per analizzare il tuo caso concreto.
Normativa di riferimento, con link al testo ufficiale:
Normativa e link verificati a .