En mayo de 2025, el Poder Ejecutivo Nacional dio un paso que el ecosistema financiero argentino venía esperando. Mediante el Decreto 353/2025, se creó el Sistema de Finanzas Abiertas (SFA), un marco que permite que personas humanas y jurídicas, a través de su consentimiento expreso, compartan información financiera con entidades inscriptas ante el Banco Central de la República Argentina. El objetivo declarado es desarrollar el crédito, la competencia y la inclusión financiera. En la práctica, lo que el decreto pone en marcha es un cambio estructural en la forma en que circulan los datos financieros en Argentina, con consecuencias profundas para bancos, fintechs, usuarios y para todo el esquema de protección de datos personales.
El concepto detrás del open finance u open banking, no es nuevo, Brasil ya tiene un sistema de open finance operativo bajo regulación del Banco Central. Colombia lo hizo obligatorio en 2024 mediante una circular de la Superintendencia Financiera. Chile tiene su marco técnico definido con entrada en vigencia prevista para 2027. La Unión Europea implementó la apertura de datos bancarios a través de la Directiva PSD2 y avanza hacia la PSD3. Argentina llega relativamente tarde al proceso, pero con la ventaja de poder aprender de las experiencias regionales y con un ecosistema fintech lo suficientemente maduro como para absorber el cambio.
Qué establece el Decreto 353/2025 sobre finanzas abiertas
El Decreto 353/2025 crea el Sistema de Finanzas Abiertas como un mecanismo de intercambio de información financiera entre entidades, basado en tres principios fundamentales. El primero es el consentimiento expreso del titular, lo que significa que ningún dato puede compartirse sin la autorización explícita de la persona a la que pertenece. El segundo es la reciprocidad, que implica que quien ingresa al sistema para acceder a datos de clientes de otras entidades debe, a su vez, poner a disposición la información de sus propios clientes. El tercero es la interoperabilidad, que exige que el intercambio se realice mediante APIs estandarizadas que permitan la comunicación técnica entre los distintos actores del ecosistema.
El Banco Central fue designado como autoridad de aplicación principal, aunque el decreto también involucra a otros organismos en su implementación. ARCA (la ex AFIP), la Comisión Nacional de Valores (CNV), la Superintendencia de Seguros de la Nación (SSN) y ANSES participarán en un Consejo Consultivo encargado de definir los parámetros, estándares y requisitos del sistema. Asimismo, se prevé que las entidades financieras serán participantes obligatorias, mientras que otros actores del ecosistema —como las fintechs no bancarias— podrán incorporarse de manera voluntaria.
El estado actual de la implementación
Es importante señalar que, a la fecha de publicación de esta nota, el Sistema de Finanzas Abiertas no es aún operativo. El decreto creó el marco institucional, pero el BCRA todavía no publicó los estándares técnicos, los requisitos de seguridad, los mecanismos de gestión del consentimiento ni el cronograma de implementación. Lo que sí ha hecho es conformar grupos técnicos de trabajo con representantes de bancos, fintechs y cámaras del sector para definir la infraestructura necesaria. Las estimaciones del mercado sitúan el lanzamiento operativo entre finales de 2026 y 2027, siguiendo un camino similar al que recorrió Colombia, que tardó aproximadamente dos años desde el marco voluntario hasta la obligatoriedad.
Esta ventana de tiempo entre la creación del sistema y su puesta en marcha no es un período muerto. Para los actores del ecosistema de servicios financieros digitales, es precisamente la etapa en la que deben prepararse. Diseñar la arquitectura de APIs, definir los protocolos de consentimiento, ajustar las políticas de privacidad y evaluar los riesgos de seguridad son tareas que requieren tiempo y que conviene abordar antes de que los estándares definitivos se publiquen.
Qué cambia para los bancos con la apertura de datos financieros
Para las entidades bancarias, el SFA representa un cambio de paradigma. Durante décadas, la información financiera de los clientes fue un activo exclusivo del banco con el que operaban. Esa exclusividad generaba una ventaja competitiva basada no necesariamente en la calidad del servicio, sino en la acumulación de datos que hacía costoso para el usuario cambiar de entidad. Con el SFA, esa información deja de estar cautiva y puede circular —con consentimiento del titular— hacia otras entidades que estén en condiciones de ofrecer mejores productos.
El caso de uso más inmediato es la evaluación crediticia. Hoy, la Central de Deudores del BCRA solamente informa deudas y movimientos financieros de los últimos 24 meses, y las empresas de información crediticia como Equifax (Veraz) o Nosis trabajan con datos similares. Con el SFA, un usuario podrá autorizar a una fintech a acceder a su historial bancario completo —movimientos, patrones de ahorro, flujos de ingresos— para obtener un crédito en condiciones que su banco actual no le ofrece. Para los bancos que compitan por precio y calidad de servicio, esto puede ser una oportunidad. Para los que dependan de la inercia del cliente, es una amenaza directa.
Oportunidades y riesgos para las fintechs
Para las fintechs, el escenario del open finance abre posibilidades que hoy están limitadas por la falta de acceso a datos bancarios. Plataformas de comparación de productos financieros, agregadores de cuentas, servicios de gestión financiera personal y modelos alternativos de scoring crediticio son algunos de los casos de uso que el SFA habilitaría. La posibilidad de acceder, con consentimiento del usuario, a información financiera que hoy solo tienen los bancos puede permitir el desarrollo de productos más personalizados y competitivos.
Sin embargo, esa oportunidad viene acompañada de obligaciones que no deben subestimarse. El principio de reciprocidad implica que la fintech que acceda a datos de clientes de un banco también deberá poner a disposición la información de sus propios usuarios. Las exigencias de seguridad para operar APIs con datos financieros sensibles serán, previsiblemente, significativas. Y la responsabilidad por el tratamiento de esos datos recaerá sobre quien los reciba, lo que exige una infraestructura de ciberseguridad y gobierno de datos que muchas fintechs medianas y pequeñas todavía no tienen dimensionada.
Protección de datos personales y finanzas abiertas
El cruce entre el SFA y la protección de datos personales es, probablemente, el aspecto jurídico más crítico del esquema. el SFA se construye sobre la premisa del consentimiento expreso del titular, pero la Ley 25.326 de Protección de Datos Personales exige que ese consentimiento sea libre, informado, específico y otorgado para una finalidad determinada. La pregunta que la reglamentación del BCRA deberá resolver es cómo se instrumenta ese consentimiento en la práctica.
En el modelo europeo bajo PSD2, el consentimiento se gestiona mediante pantallas de autorización estandarizadas donde el usuario ve explícitamente qué datos va a compartir, con quién, durante cuánto tiempo y con qué finalidad. También se prevén mecanismos de revocación sencillos. En Brasil, el Open Finance implementó un sistema similar con registro de consentimientos auditables. Argentina deberá diseñar un mecanismo equivalente que cumpla con los principios de la Ley 25.326 y con los estándares del Convenio 108+, evitando que el consentimiento se convierta en un trámite formal sin contenido real. La Agencia de Acceso a la Información Pública, como autoridad de control en materia de protección de datos, tiene un rol relevante en la definición de estos estándares, aunque el decreto no la menciona expresamente entre los organismos del Consejo Consultivo.
Otro aspecto sensible es la finalidad del tratamiento. Si un usuario consiente que una fintech acceda a su historial bancario para evaluar un crédito, esa información no puede ser utilizada con otros fines —por ejemplo, para segmentación publicitaria o para alimentar modelos de inteligencia artificial con propósitos distintos al autorizado— sin un consentimiento adicional específico. La tentación de reutilizar datos financieros para finalidades no previstas es uno de los riesgos más concretos que la reglamentación deberá abordar con claridad.
Seguridad, fraude y responsabilidad
El sistema, por definición, implica exponer datos financieros sensibles a través de interfaces técnicas que conectan múltiples actores. Cada API es un punto de acceso que, si no está adecuadamente protegido, puede convertirse en un vector de ataque. Los riesgos de fraude, suplantación de identidad, phishing sofisticado y accesos no autorizados se multiplican en un ecosistema donde la información circula entre entidades con niveles de madurez tecnológica muy dispares.
La pregunta sobre quién responde cuando un incidente de seguridad produce un daño al usuario es central. Si una fintech accede a datos bancarios a través del SFA y sufre una filtración, ¿responde la fintech por no haber protegido adecuadamente la información, el banco por haberla compartido, o el sistema por no haber exigido estándares suficientes? La experiencia internacional sugiere que la responsabilidad debe recaer sobre quien tiene el control de los datos en el momento del incidente, pero la asignación clara de responsabilidades es algo que la normativa argentina todavía debe definir.
Un cambio estructural en construcción
Las finanzas abiertas representan, para el ecosistema financiero argentino, un cambio comparable en magnitud al que supuso la irrupción de las billeteras virtuales. La diferencia es que esta vez el cambio no proviene de una innovación del mercado que la regulación debió correr de atrás para encuadrar, sino de una decisión regulatoria deliberada que busca redefinir las reglas de juego. El Decreto 353/2025 sentó las bases institucionales, pero la arquitectura jurídica y técnica del sistema está todavía en construcción.
Para quienes operan en el sector financiero digital, el momento de empezar a prepararse es ahora. No porque los plazos sean inminentes, sino porque las decisiones de arquitectura tecnológica, gobierno de datos, gestión del consentimiento y seguridad de la información que se tomen hoy van a determinar la capacidad de operar dentro del sistema cuando sea obligatorio. Quienes lleguen a esa instancia con su infraestructura y su marco de cumplimiento normativo preparados tendrán una ventaja significativa sobre quienes deban improvisar sobre la marcha.
Preguntas frecuentes sobre finanzas abiertas en Argentina
¿Qué son las finanzas abiertas?
Es un modelo que permite compartir datos financieros entre entidades autorizadas, con el consentimiento expreso del titular, a través de APIs estandarizadas. El objetivo es que los usuarios puedan trasladar su información de una entidad a otra para acceder a mejores productos, facilitar la evaluación crediticia y fomentar la competencia en el sistema financiero.
¿Qué establece el Decreto 353/2025?
Creó el Sistema de Finanzas Abiertas (SFA) en Argentina, designó al BCRA como autoridad de aplicación, estableció los principios de consentimiento, reciprocidad e interoperabilidad, y previó la conformación de un Consejo Consultivo con participación de ARCA, CNV, SSN y ANSES. Las entidades financieras serán participantes obligatorias.
¿El sistema ya está funcionando?
No. El decreto creó el marco institucional, pero los estándares técnicos, los requisitos de seguridad, los mecanismos de consentimiento y el cronograma de implementación aún no fueron publicados por el BCRA. Las estimaciones del mercado sitúan el lanzamiento operativo entre finales de 2026 y 2027.
¿Cómo impacta en la protección de datos personales?
El SFA se basa en el consentimiento del titular, pero la Ley 25.326 exige que ese consentimiento sea libre, informado, específico y para una finalidad determinada. La reglamentación deberá definir cómo se instrumenta ese consentimiento, cómo se revoca y qué límites aplican a la reutilización de los datos para finalidades distintas a las autorizadas.
¿Qué deberían hacer hoy los actores del ecosistema financiero?
Prepararse antes de que los estándares sean obligatorios. Esto incluye evaluar la capacidad técnica para implementar APIs seguras, diseñar protocolos de gestión del consentimiento, ajustar las políticas de privacidad, dimensionar las exigencias de ciberseguridad y analizar el impacto del principio de reciprocidad sobre su modelo de negocio. La ventana actual es una oportunidad para llegar preparado.
