L’open banking è il sistema che permette a banche e operatori terzi autorizzati di scambiarsi i dati dei conti correnti tramite canali sicuri, con il consenso esplicito del cliente. In Europa è reso possibile dalla PSD2, la direttiva sui servizi di pagamento.
In pratica, l’open banking apre i dati bancari, finora chiusi dentro ogni singola banca, a società terze. Queste possono usarli per offrire nuovi servizi: app di gestione finanziaria, pagamenti istantanei, aggregatori di conti.
Il meccanismo si regge su tre elementi: le API, i prestatori di servizi di pagamento (PISP) e i prestatori di servizi di informazione (AISP). Tutto questo riguarda chiunque abbia un conto corrente, dal privato all’imprenditore, e introduce vantaggi concreti ma anche rischi nuovi sulla sicurezza dei dati.
Vediamo allora cos’è davvero l’open banking, come funziona la PSD2, chi sono i protagonisti del sistema e quali sono i rischi a cui prestare attenzione.
L’open banking permette a operatori terzi autorizzati di accedere ai dati del conto, ma solo con il consenso del cliente.
La PSD2 è la direttiva europea che lo ha reso obbligatorio, recepita in Italia nel 2018.
Il sistema si basa su API, PISP (che dispongono pagamenti) e AISP (che leggono i dati).
Il rischio principale è la sicurezza dei dati: verifica sempre che l’operatore sia autorizzato dalla Banca d’Italia.
Cos’è l’open banking e come funziona la PSD2
L’open banking è il modello che obbliga le banche a condividere i dati dei conti con operatori terzi autorizzati, su richiesta del cliente e tramite interfacce sicure. La PSD2 (Payment Services Directive 2) è la direttiva europea che ha reso obbligatorio questo scambio, recepita in Italia nel 2018.
Prima della direttiva, ogni banca custodiva i dati dei propri clienti come un patrimonio chiuso. Dopo, quei dati appartengono di fatto al cliente, che può decidere di condividerli con chi preferisce.
Il principio è semplice: il dato bancario è del cliente, non della banca. Di conseguenza, se un imprenditore vuole usare un’app esterna per monitorare i flussi del proprio conto, la banca è tenuta a consentirlo attraverso canali tecnici sicuri.
Con la PSD2 cambia chi comanda sui dati bancari. Prima erano un patrimonio chiuso della banca; oggi appartengono al cliente, che decide se condividerli e con chi. È questo spostamento di controllo a rendere possibile l’open banking e tutti i servizi che ne derivano.
Il ruolo della direttiva nel mercato unico
La PSD2 nasce con un duplice obiettivo: aumentare la concorrenza nel settore dei pagamenti e rafforzare la sicurezza delle transazioni nel mercato unico europeo.
Prima, le banche tradizionali avevano un controllo quasi totale sui dati e sui pagamenti dei clienti. La direttiva ha aperto questo mercato a nuovi operatori, le cosiddette terze parti, creando le condizioni per più innovazione e prezzi più competitivi.
In particolare, la direttiva uniforma le regole in tutti i Paesi dell’Unione. Un operatore autorizzato in uno Stato membro può così offrire i propri servizi in tutta l’area, sfruttando standard comuni come quelli già visti per i pagamenti SEPA.
Il risultato è un ecosistema più aperto, dove banche e fintech competono sullo stesso terreno. E la PSD2 non è il punto di arrivo: è già in corso il percorso verso la PSD3, che aggiornerà ulteriormente le regole.
Definizione di PSU e i nuovi standard tecnici
Il PSU (Payment Service User) è l’utente dei servizi di pagamento: la persona fisica o l’azienda titolare del conto che decide se e con chi condividere i propri dati.
È la figura centrale del sistema. Senza il suo consenso esplicito, infatti, nessuno scambio di dati può avvenire.
Per garantire che questo consenso sia sicuro, la PSD2 ha introdotto standard tecnici stringenti, i cosiddetti RTS (Regulatory Technical Standards). Il più importante è la SCA (Strong Customer Authentication, autenticazione forte del cliente), che richiede almeno due elementi di verifica indipendenti, appartenenti a tre categorie diverse.
Quando autorizzi un pagamento online, dunque, ti viene chiesto di combinare almeno due di questi tre fattori. È il motivo per cui oggi confermi gli acquisti con un codice ricevuto sul telefono e l’impronta digitale.
I protagonisti del sistema: API, PISP e AISP
Il sistema open banking si regge su tre protagonisti tecnici. Le API sono i canali che permettono lo scambio dei dati. I PISP sono gli operatori che dispongono pagamenti per conto dell’utente. Gli AISP, infine, sono quelli che leggono e aggregano le informazioni dei conti.
Insieme, questi tre elementi traducono la PSD2 da norma a servizi concreti.
| Elemento | Cosa fa |
|---|---|
| API | Canale sicuro che collega la banca all’operatore terzo per lo scambio dei dati. |
| PISP | Operatore che dispone pagamenti direttamente dal conto, per conto dell’utente. |
| AISP | Operatore che legge e aggrega le informazioni dei conti, senza muovere denaro. |
Come funzionano le API nel settore bancario
Le API (Application Programming Interface, interfacce di programmazione) sono i canali standardizzati attraverso cui due sistemi software comunicano tra loro in modo sicuro.
Nel settore bancario, sono il ponte che collega la banca all’operatore terzo. Quando un’app autorizzata richiede i dati di un conto, lo fa tramite l’API messa a disposizione dalla banca.
Il vantaggio è che il dato viaggia senza che l’utente debba mai consegnare le proprie credenziali bancarie all’operatore terzo. L’app non vede username e password del conto: riceve solo le informazioni autorizzate, attraverso un canale cifrato e controllato.
Ecco qui un esempio:
Alfa Manufacturing Srl usa un gestionale che mostra in un’unica dashboard i saldi di tre conti correnti diversi. Il gestionale non conosce le password dei conti, ma legge i dati tramite le API delle tre banche, dopo che l’azienda ha dato il consenso.
È lo stesso principio alla base degli strumenti di riconciliazione bancaria automatica, che incrociano movimenti e fatture senza interventi manuali.
La distinzione tra servizi di pagamento e informazione
Gli operatori terzi si dividono in due categorie, a seconda di cosa fanno con l’accesso al conto. È una distinzione importante, perché determina cosa può e cosa non può fare ciascun operatore.
| PISP | AISP | |
|---|---|---|
| Cosa fa | Dispone pagamenti | Legge e aggrega dati |
| Muove denaro | Sì | No |
| Esempio d’uso | App di pagamento conto a conto | App di gestione e budget |
Il PISP (Payment Initiation Service Provider) avvia pagamenti direttamente dal conto dell’utente, senza passare da carte o circuiti tradizionali. È il caso delle app che permettono di pagare un acquisto con un bonifico immediato.+
L’AISP (Account Information Service Provider), invece, si limita a leggere e aggregare le informazioni dei conti. Non muove un euro: serve a dare una visione d’insieme, utile per la gestione delle liquidità e per monitorare incassi e pagamenti in tempo reale.
La sicurezza e il rischio tecnologico nella PSD2
La PSD2 è costruita attorno alla sicurezza, ma apre comunque a rischi nuovi.
Da un lato, impone standard rigidi come la SCA e la cifratura dei dati. Dall’altro, moltiplicando gli operatori che accedono ai conti, amplia la superficie esposta a possibili attacchi.
La sicurezza, dunque, è il cuore della direttiva e allo stesso tempo il suo punto più delicato.
Il rischio non sparisce con la PSD2: aumentando gli operatori autorizzati, cresce il numero di soggetti che gestiscono i tuoi dati. Prima di concedere l’accesso, verifica sempre che l’operatore sia autorizzato dalla Banca d’Italia.
Su chi grava la responsabilità dei dati
La responsabilità in caso di operazioni non autorizzate ricade in primo luogo sul prestatore di servizi di pagamento, non sull’utente.
Se un pagamento avviene senza il consenso del cliente, la banca o l’operatore deve rimborsare l’importo, salvo i casi di dolo o colpa grave dell’utente stesso.
Questo principio sposta il peso della sicurezza su chi gestisce il servizio. Di conseguenza, banche e operatori terzi hanno un forte incentivo a investire in protezione, perché eventuali frodi gravano su di loro.
Resta però una responsabilità anche in capo all’utente: custodire le proprie credenziali e non autorizzare con leggerezza l’accesso ai dati. La SCA aiuta, ma non sostituisce l’attenzione di chi usa il conto.
Le misure di protezione per gli utenti finali
La PSD2 protegge l’utente finale con diversi strumenti combinati. Oltre alla SCA, prevede l’obbligo di autorizzazione e vigilanza degli operatori, la cifratura dei dati in transito e il diritto di revocare in ogni momento il consenso concesso.
In pratica, l’utente mantiene sempre il controllo. Può vedere quali operatori hanno accesso al suo conto e togliere l’autorizzazione quando vuole, esattamente come revoca i permessi a un’app sullo smartphone.
Ecco i controlli da fare per usare l’open banking in sicurezza.
Verifica l’autorizzazione: controlla che l’operatore sia iscritto negli albi vigilati dalla Banca d’Italia.
Attiva la SCA: tieni sempre attiva l’autenticazione forte su conti e app collegate.
Revoca i consensi inutilizzati: togli l’accesso alle app che non usi più.
Controlla periodicamente gli accessi: verifica quali operatori hanno accesso al conto.
Non condividere mai le credenziali: nessun operatore serio le chiede via email o telefono.
Open banking e PSD2 con Sibill
Noi di Sibill costruiamo la nostra piattaforma proprio sulle possibilità aperte dall’open banking e dalla PSD2. Collegando i conti correnti tramite canali sicuri e autorizzati, permettiamo alle PMI di vedere in tempo reale i flussi di cassa, riconciliare automaticamente movimenti e fatture e disporre pagamenti senza saltare da una piattaforma all’altra.
Tutto avviene nel rispetto degli standard di sicurezza previsti dalla direttiva, con il consenso esplicito dell’azienda e la possibilità di revocarlo in ogni momento.
Vedi tutti i tuoi conti e pagamenti in un solo posto, in sicurezza
Prova la demo →Domande frequenti
Che cosa è la PSD2?
La PSD2 è la seconda direttiva europea sui servizi di pagamento, recepita in Italia nel 2018. Obbliga le banche a condividere i dati dei conti con operatori terzi autorizzati, su richiesta e con il consenso del cliente. Nasce per aumentare la concorrenza nel settore dei pagamenti, favorire l’innovazione fintech e rafforzare la sicurezza delle transazioni, introducendo standard come l’autenticazione forte del cliente (SCA).
Quali sono i rischi principali dell’open banking?
I rischi principali dell’open banking riguardano la sicurezza dei dati. Aumentando il numero di operatori autorizzati ad accedere ai conti, cresce la superficie esposta a possibili attacchi o usi impropri delle informazioni. Altri rischi sono l’autorizzazione concessa a operatori non affidabili e la gestione poco attenta dei consensi. Per limitarli, conviene verificare sempre che l’operatore sia autorizzato dalla Banca d’Italia e revocare gli accessi inutilizzati.
Dove è possibile consultare il testo della PSD2?
Il testo della PSD2 (Direttiva UE 2015/2366) è consultabile gratuitamente su EUR-Lex, il portale ufficiale della legislazione europea. Il recepimento italiano è disponibile sul sito della Banca d’Italia, che vigila sugli operatori autorizzati, e nella Gazzetta Ufficiale (D.Lgs. 218/2017). Sono le fonti ufficiali da preferire a riassunti di terze parti per avere il testo aggiornato e completo.
Come funziona concretamente l’open banking?
L’open banking funziona attraverso le API, canali sicuri che collegano la banca agli operatori terzi. Quando un utente autorizza un’app a leggere i dati del conto o a disporre un pagamento, la banca condivide solo le informazioni necessarie tramite l’API, senza che l’app conosca le credenziali bancarie. L’utente conferma l’operazione con l’autenticazione forte (SCA) e può revocare il consenso in qualsiasi momento.
