Licença AISP na Espanha: agregação de contas e serviços de informação sobre contas

Última atualização: 4 de agosto de 2026

Registro de um AISP na Espanha: processo, seguro e requisitos reais

O prestador de serviços de informação sobre contas (AISP) é a figura que permite acessar, com o consentimento prévio do usuário, as informações das suas contas de pagamento para apresentá-las de forma consolidada. Seu marco é a PSD2 (Diretiva (UE) 2015/2366) e, na Espanha, o RD-lei 19/2018, e o registro cabe ao Banco de España. Este texto não explica o open banking (para isso você tem nossa página de open banking e a de PSD2): aqui explicamos como o processo é construído.

A porta de entrada mais barata para o mundo regulado dos pagamentos

O dado que quase ninguém conhece e que muda muitos planos de negócios: o regime do prestador de serviços de informação sobre contas não exige capital inicial. Em contrapartida, exige um seguro de responsabilidade civil profissional ou uma garantia comparável que responda perante as instituições que gerem as contas e perante os usuários pelos danos decorrentes da sua atividade. Só essa diferença separa dois mundos: a instituição de pagamento começa com capital nos valores fixados pelas normas e com a obrigação de salvaguardar os fundos de clientes, enquanto o AISP pode ser montado com uma estrutura muito mais leve, porque nunca toca no dinheiro. O que ele compartilha com as demais instituições supervisionadas é a exigência qualitativa: governança, gestão de riscos, segurança, continuidade e controle de fornecedores. Aí não há regime simplificado que valha. Por isso, o erro mais frequente nesses projetos não é subestimar o capital (não há), mas subestimar o custo de sustentar uma instituição supervisionada: apólices que se renovam, políticas que se revisam, incidentes que se comunicam e auditorias que se enfrentam. Nosso trabalho começa justamente aí, colocando números e calendário nesse custo antes que você decida se quer registro próprio ou prefere se apoiar na licença de um terceiro enquanto valida o produto.

O processo perante o Banco de España, bloco a bloco

Um processo de AISP é mais curto que o de uma instituição de pagamento, mas é lido com a mesma exigência no que realmente importa. O primeiro bloco é o programa de atividades: quais informações você vai ler, de quais contas, com que finalidade, com que jornada do usuário e com que arquitetura técnica. Ele precisa ser tão concreto que qualquer pessoa consiga desenhar o fluxo de dados só de lê-lo. O segundo é a estrutura: sociedade, sócios, beneficiários finais e órgão de administração, com a honorabilidade e a capacidade de quem vai dirigir uma instituição supervisionada. O terceiro, o seguro de responsabilidade civil profissional ou a garantia comparável, com um alcance justificado em relação ao seu volume e aos mercados onde você vai operar. O quarto (o que mais gera exigências) é o pacote de segurança e riscos operacionais: controle de acessos, criptografia, gestão de incidentes, plano de continuidade e testes feitos, não prometidos. E o quinto é o de dados pessoais e fornecedores: consentimento explícito e granular, minimização, conservação delimitada e contratos de terceirização com os terceiros que sustentam sua conexão. Cinco blocos que devem contar a mesma história: quando o programa de atividades diz uma coisa e a política de segurança diz outra, a exigência chega sozinha.

Quando você não precisa de licença própria (e vale a pena dizer)

Preferimos perder um trabalho a vender a você um processo de que você não precisa. Há pelo menos três situações em que um projeto de agregação pode chegar ao mercado sem registro próprio. A primeira: operar como agente de uma instituição autorizada, com contrato, registro quando for o caso e o guarda-chuva da licença dela. A segunda: construir seu produto sobre um prestador já registrado que fornece o acesso às contas enquanto você fornece a camada de valor; você perde margem e controle da relação técnica, mas ganha meses. A terceira: verificar se o seu caso se enquadra em alguma exclusão do regime de serviços de pagamento, que existem e às vezes resolvem o problema por inteiro. Nenhuma das três é de graça: você continua respondendo pelo tratamento de dados, pelo contrato com seu usuário e pela sua própria segurança, e nas duas primeiras aceita também condições econômicas e operacionais que não controla (tarifa por consulta, cobertura de bancos, qualidade do serviço e prioridade em relação a outros clientes do prestador). E nenhuma é para sempre: quando a agregação passa a ser o núcleo do negócio, depender da licença de outro se torna um risco estratégico (mudanças de preço, de condições ou de dono) e o registro próprio deixa de ser um custo para ser um ativo. Essa transição deve ser planejada, não improvisada.

O que vem por aí, e por que isso não é motivo para esperar

O marco está se movendo em duas frentes. O pacote PSD3/PSR, proposto pela Comissão em junho de 2023, continua em tramitação e tende a reorganizar o acesso às contas, as interfaces e a divisão de responsabilidades entre bancos e prestadores. E o regulamento de acesso a dados financeiros (o FIDA, proposto em junho de 2023 e também em negociação) quer levar o modelo além dos pagamentos, para investimentos, seguros e previdência, por meio de prestadores autorizados e esquemas de compartilhamento de dados. Nenhum dos dois elimina a figura nem o registro; ambos elevam o nível de exigência em governança, segurança e contratos. A conclusão prática é o contrário da intuitiva: quem se registra agora chega a esse cenário com a instituição constituída, controles testados na prática e relação com o supervisor, e adaptar-se custará uma revisão; quem espera começará do zero quando o mercado já tiver sido dividido. Some-se a isso o restante do perímetro que um projeto de dados financeiros traz consigo: proteção de dados, resiliência operacional e, se você decide com modelos automatizados, o AI Act. Organizar tudo desde o desenho custa uma fração do que custa reconstruir depois, quando você já tem usuários, contratos assinados com instituições que gerem as contas e um supervisor que pergunta por escrito. Nossa recomendação, quando o negócio já está validado, é não esperar pela norma perfeita: registrar-se com o marco vigente e deixar o processo preparado para absorver o que vier.

Este conteúdo tem caráter informativo e não constitui assessoria jurídica. As normas citadas podem ter sido modificadas após a data de atualização indicada: verifique sempre a versão vigente ou fale conosco para analisar o seu caso concreto.