.png){kind=small}
Legal Paradox®
La Ley Fintech de México ordenó API de finanzas abiertas en más de 5,000 entidades financieras supervisadas, pero la regulación de datos transaccionales sigue sin publicarse más de seis años después del plazo legal. Este directorio da seguimiento a cada empresa de finanzas abiertas que transita el marco regulatorio incompleto de México.
México fue uno de los primeros países del mundo en legislar las finanzas abiertas. El artículo 76 de la Ley para Regular las Instituciones de Tecnología Financiera (Ley Fintech), expedida el 9 de marzo de 2018, obligó a todas las entidades financieras —no solo a los bancos, sino también a IFPE, IFC, SOFIPO, SOFOM, aseguradoras, administradoras de fondos para el retiro, sociedades de información crediticia, cámaras de compensación, transmisores de dinero y participantes del sandbox— a compartir datos financieros mediante Interfaces de Programación de Aplicaciones Informáticas Estandarizadas (API). El alcance era extraordinario: más de 5,000 entidades supervisadas obligadas a participar en un ecosistema de intercambio de datos que, en teoría, transformaría el acceso al crédito, la comparación de productos, la portabilidad de cuentas y la inclusión financiera.
Ocho años después, la revolución sigue inconclusa. Las finanzas abiertas se detuvieron en la fase 1 (datos abiertos). La regulación secundaria necesaria para poner en operación los datos agregados y los datos transaccionales —las disposiciones que realmente transformarían los servicios financieros— nunca se ha publicado. El retraso regulatorio ya supera los seis años desde el plazo legal y crece un día cada día, sin indicios de que la CNBV planee emitirla. En enero de 2026, unos emprendedores promovieron un amparo contra la CNBV, Banxico y la SHCP por su omisión. Mientras tanto, Brasil —que legisló las finanzas abiertas dos años después que México— ya tiene más de 128 millones de consentimientos activos en su ecosistema de Open Finance. Las finanzas abiertas en México son, al mismo tiempo, uno de los marcos regulatorios más ambiciosos de América Latina y uno de sus fracasos de ejecución más notorios.
El Legal Paradox® Fintech Map da seguimiento a cada empresa de finanzas abiertas y open banking que opera en México, incluidos proveedores de infraestructura de API, agregadores de datos, plataformas de iniciación de pagos y servicios de información de cuentas.
La relación de Legal Paradox® con el marco de finanzas abiertas de México va más allá de la asesoría. En abril de 2018 —un mes después de la publicación de la Ley Fintech—, Carlos Valderrama (Legal Paradox®) aportó el análisis legal al primer análisis integral de Open Banking en México: "What is the potential for open banking in Mexico? Recommendations and roadmap for adopting an Open Banking Standard", elaborado por C Minds, el Open Data Institute y FinTech Hub, con la Embajada Británica en México a través del Prosperity Fund. Este estudio se inició a sugerencia del entonces titular del área fintech de la CNBV, y evaluó […] Como FinTech Regulation Adviser del Prosperity Fund de la Embajada Británica (a través de DAI), Legal Paradox® participó después en el piloto de Open Finance de la CNBV, que probó los lineamientos transaccionales y de consentimiento; es el mismo programa a través del cual el despacho co-redactó la regulación secundaria de la Ley Fintech.
El artículo 76 de la LRITF establece el fundamento legal de las finanzas abiertas en México. A diferencia del modelo europeo de la PSD2 —que aplica solo a los bancos—, el marco mexicano es universal: aplica a todas las entidades financieras supervisadas del país, lo que lo convierte en uno de los mandatos de finanzas abiertas más amplios del mundo.
La ley clasifica los datos compartidos en tres niveles, cada uno con mayor sensibilidad y complejidad regulatoria:
Datos financieros abiertos: información pública y no confidencial generada por las entidades financieras: productos y servicios que ofrecen al público, estructuras de comisiones, tasas de interés (GAT, CAT), ubicación de sucursales, oficinas, cajeros automáticos y otros puntos de acceso. Es el único nivel implementado por completo. La CNBV publicó las disposiciones de carácter general correspondientes el 4 de junio de 2020.
Datos agregados: información estadística sobre las operaciones realizadas por medio de entidades financieras, procesada a un nivel de agregación que impide identificar a personas u operaciones individuales. Incluye la composición de cartera, patrones de crédito por sector, estadísticas de uso de productos y datos de actividad a nivel de mercado. Banxico publicó la Circular 2/2020 el 10 de marzo de 2020, que establece estándares de interoperabilidad de API para las sociedades de información crediticia y las cámaras de compensación, con lo que cubrió parcialmente este nivel. La implementación más amplia en todas las entidades financieras sigue incompleta.
Datos transaccionales: datos de operaciones de cada cliente: saldos de cuentas, productos de crédito, historial de pagos y actividad financiera asociada a usuarios específicos. Es el nivel que habilita los casos de uso transformadores: originación de crédito automatizada, agregación de cuentas, gestión de finanzas personales, iniciación de pagos y cambio de institución sin fricciones. Conforme al artículo 76, los datos transaccionales solo pueden compartirse con el consentimiento expreso del cliente y a través de intermediarios autorizados. Este nivel nunca se ha implementado. No se ha publicado la regulación secundaria necesaria para definir los mecanismos de consentimiento, los protocolos de autenticación, los estándares técnicos de las API, los requisitos de seguridad, los marcos de responsabilidad y los procesos de autorización para los terceros que consumen datos.
| Dimensión | Datos abiertos | Datos agregados | Datos transaccionales |
|---|---|---|---|
| Definición | Datos públicos y no confidenciales generados por las entidades financieras | Datos estadísticos sobre operaciones, agregados para impedir la identificación individual | Datos de operaciones de cada cliente (saldos, créditos, historial de pagos) |
| Ejemplos | Catálogos de productos, estructuras de comisiones, tasas de interés (CAT/GAT), ubicación de sucursales y cajeros | Composición de cartera, volúmenes de crédito por sector, estadísticas de uso de productos | Saldos de cuentas, patrones de ingreso, historial de gasto, obligaciones crediticias |
| Consentimiento del cliente | No se requiere: información pública | No se requiere en forma agregada; aplican mecanismos de autenticación | Consentimiento expreso del cliente obligatorio |
| Regulador | CNBV (circular de junio de 2020) | Banxico (circular de marzo de 2020; solo sociedades de información crediticia y cámaras de compensación) | CNBV (regulación secundaria sin publicar) |
| Aplica a | Todas las entidades financieras supervisadas (~más de 5,000) | Sociedades de información crediticia y cámaras de compensación (parcial); el resto de las entidades, pendiente | Todas las entidades financieras supervisadas (~más de 5,000) |
| Casos de uso | Comparación de productos, transparencia de comisiones, localizadores de sucursales y cajeros | Inteligencia de mercado, análisis sectorial, comparativos de cartera | Originación de crédito, agregación de cuentas, iniciación de pagos, gestión financiera, portabilidad |
| Valor comercial | Bajo: información estandarizada y de acceso público | Medio: útil para el análisis de mercado, pero no individualizado | Alto: permite productos personalizados, crédito automatizado y cambio de institución |
| Estado de implementación | IMPLEMENTADO Plazo de cumplimiento: junio de 2021 |
PARCIAL Limitado a sociedades de información crediticia y cámaras de compensación |
NO IMPLEMENTADO Regulación secundaria sin publicar desde 2020 |
La arquitectura de tres niveles fue intencional, no accidental. Legal Paradox® participó en las más de 270 reuniones con los reguladores financieros de México que dieron origen a este marco, y el enfoque por fases reflejaba una estrategia deliberada: generar confianza con datos de bajo riesgo (abiertos), construir la infraestructura técnica con datos de riesgo medio (agregados) y, después, liberar los datos de mayor valor (transaccionales) una vez que el ecosistema hubiera madurado. El problema es que el proceso se detuvo en la fase uno.
Entender las finanzas abiertas en México exige entender lo que pasó, y lo que no pasó:
9 de marzo de 2018: se expide la Ley Fintech. El artículo 76 establece el mandato de finanzas abiertas. México se convierte en el primer país de América Latina en legislar las finanzas abiertas. Los artículos transitorios de la ley establecen un plazo de 24 meses para la regulación secundaria.
Abril de 2018: se publica el primer estudio integral de Open Banking: "What is the potential for open banking in Mexico?", elaborado por C Minds, el Open Data Institute y FinTech Hub (con la Embajada Británica en México / Prosperity Fund), con el análisis legal a cargo de Carlos Valderrama (Legal Paradox®). El estudio recomienda una hoja de ruta de implementación por fases.
10 de marzo de 2020: Banxico publica la Circular 2/2020, que establece estándares de interoperabilidad de API para sociedades de información crediticia y cámaras de compensación. El alcance se limita a datos abiertos y datos agregados de esas entidades específicas. Vence el plazo legal para la regulación secundaria. Empieza a correr el contador del retraso.
4 de junio de 2020: la CNBV publica las disposiciones de carácter general sobre datos financieros abiertos para todas las entidades supervisadas. Define estándares de API para compartir información pública (ubicación de cajeros, catálogos de productos, estructuras de comisiones). Plazo de cumplimiento: 5 de junio de 2021.
Junio de 2021: vence el plazo de cumplimiento para los datos abiertos. Las entidades financieras empiezan a exponer API públicas. La expectativa —ampliamente comunicada por la CNBV— es que la regulación de datos agregados y de datos transaccionales llegue en 2022.
2022: no se publican las reglas de datos transaccionales esperadas. No hay ninguna explicación oficial. El ecosistema empieza a expresar frustración.
Junio de 2023: el ciudadano Juan Pablo Ybarra Llamas promueve un amparo en Quintana Roo con el argumento de que la omisión regulatoria viola derechos constitucionales de acceso a los servicios financieros. La CNBV realiza proyectos piloto con TESOBE/Open Bank Project para probar especificaciones técnicas y marcos de consentimiento para datos transaccionales.
2024: continúan los pilotos de la CNBV. No se publica la regulación secundaria. Se acelera la salida de talento de la CNBV: personal técnico con experiencia se va al sector privado y se lleva el conocimiento institucional.
10 de diciembre de 2025: los emprendedores Adrián Martínez Pérez y Gerardo Moreno José promueven un nuevo amparo ante el Juzgado Octavo de Distrito en Materia Administrativa en la Ciudad de México, con la CNBV, Banxico y la SHCP como autoridades responsables. Argumentan que la omisión regulatoria ha impedido operar a su proyecto fintech, una plataforma para administrar las cuentas financieras de personas fallecidas. El caso pone en evidencia un modelo de negocio concreto que la inacción regulatoria vuelve imposible.
Enero de 2026: el amparo recibe cobertura en medios (Milenio, El Financiero). La CNBV enfrenta recortes presupuestales en términos reales para 2026 en un entorno de austeridad más amplio. La combinación de restricciones de recursos, pérdida de talento y ahora presión judicial genera una presión institucional sin precedentes sobre el regulador.
Febrero de 2026: la regulación secundaria de datos transaccionales y de datos agregados sigue sin publicarse. El retraso supera los 2,170 días desde el plazo legal y crece un día cada día. Las finanzas abiertas en México operan en un limbo regulatorio: la ley ordena compartir datos, pero las reglas necesarias para implementarlo no existen.
La consecuencia práctica del estancamiento regulatorio es que los casos de uso de finanzas abiertas más valiosos siguen siendo ilegales, imposibles o dependientes de soluciones alternativas:
Agregación de cuentas: un consumidor no puede autorizar a una sola app para que muestre en una sola vista todas sus cuentas en bancos, IFPE, SOFIPO y plataformas de inversión. Sin API transaccionales estandarizadas, la agregación requiere captura manual de datos (inviable) o web scraping (técnicamente frágil, jurídicamente ambiguo y prohibido por los términos de servicio de la mayoría de las instituciones). El ecosistema de Open Finance de Brasil ya tiene más de 128 millones de consentimientos activos, lo que demuestra la demanda latente que la brecha regulatoria de México suprime.
Originación de crédito automatizada: un otorgante de crédito fintech no puede, con el consentimiento del solicitante, consultar su historial de operaciones en distintas instituciones financieras para construir un perfil de ingresos y una evaluación de solvencia. En su lugar, las fintech mexicanas dependen de datos de las sociedades de información crediticia (limitados al historial crediticio formal), de fuentes de datos alternativas (telecomunicaciones, comercio electrónico) o de la recopilación manual de documentos. El resultado: originación más lenta, costos más altos y exclusión de la población con empleo informal a la que el artículo 76 estaba específicamente diseñado para servir.
Servicios de iniciación de pagos (PIS): un tercero no puede iniciar un pago directamente desde la cuenta bancaria de un consumidor, ni siquiera con su consentimiento. Esta capacidad —estándar en el Reino Unido conforme a la PSD2 y en Brasil con PIX + Open Finance— permitiría pagos de cuenta a cuenta que eviten las redes de tarjetas y sus cuotas de intercambio. La ausencia de regulación de PIS en México protege de la competencia a los procesadores de pagos y a las redes de tarjetas establecidos.
Cambio de institución / portabilidad: un consumidor no puede transferir sin fricciones sus domiciliaciones, pagos recurrentes y órdenes permanentes de una institución a otra. Los costos de cambio siguen siendo altos y atan a los consumidores a relaciones con instituciones que tal vez no los atienden bien: justo la dinámica que el artículo 76 buscaba romper.
Gestión y asesoría financiera: las herramientas automatizadas de presupuesto, la optimización del ahorro, la comparación de seguros y la planeación financiera integral requieren datos de operaciones de varias instituciones. Sin acceso regulado, estos servicios operan con información incompleta, lo que reduce su valor para los consumidores.
Sucesiones y administración de patrimonios: el amparo promovido en diciembre de 2025 pone en evidencia un caso de uso específico: localizar y administrar todas las cuentas financieras, pólizas de seguro, inversiones y obligaciones de una persona fallecida. Sin API de datos transaccionales, las familias que enfrentan un fallecimiento deben contactar a cada institución financiera por separado, un proceso que puede tardar meses y que a menudo deja cuentas sin reclamar.
A pesar de la brecha regulatoria, el ecosistema de finanzas abiertas de México no se ha quedado quieto. Las empresas han construido infraestructura, desarrollado soluciones alternativas y se han posicionado para la eventual implementación de la regulación completa de datos transaccionales. El mercado ha evolucionado en torno a la restricción en lugar de esperar a que se elimine.
Belvo: la plataforma de API de finanzas abiertas líder en América Latina. Fundada en 2019, Belvo ha levantado más de 70 millones de dólares (Kaszek, Quona Capital, Visa, Citi Ventures) y da servicio a más de 80 millones de cuentas conectadas en la región. En México, Belvo trabaja con BBVA, Banco Azteca y Banamex, entre otros. La empresa ofrece agregación y enriquecimiento de datos financieros e iniciación de pagos, y opera adelantándose a la regulación formal mediante acuerdos bilaterales con instituciones financieras, no mediante las API estandarizadas que prevé el artículo 76. El giro reciente de Belvo hacia análisis impulsados por IA (su "Intelligent Ecosystem") indica que la propuesta de valor está pasando de la conectividad de datos en bruto a la toma de decisiones automatizada construida sobre datos financieros agregados.
Finerio Connect: plataforma de finanzas abiertas con sede en la Ciudad de México que levantó 6.5 millones de dólares (Third Prime, entre otros). Fundada en 2018, Finerio empezó como una app de finanzas personales para consumidores y giró al modelo B2B en 2020, cuando se aceleró la demanda de bancos y fintech por infraestructura de datos financieros. Finerio ofrece agregación de cuentas, categorización de datos y analítica como servicios de marca blanca para instituciones financieras.
Syncfy (antes Paybook): ofrece conectividad con fuentes de datos bancarios y fiscales en México y América Latina. La plataforma de Syncfy permite verificación de identidad, validación de cuentas y obtención de datos financieros mediante API, al servicio de fintech, otorgantes de crédito y clientes corporativos que necesitan acceso programático a información financiera.
Prometeo: una API de open banking transfronteriza con conectividad en más de 10 países de América Latina y en Estados Unidos. En México, Prometeo permite pagos de cuenta a cuenta y acceso a datos financieros mediante una sola integración.
A falta de API estandarizadas de operaciones bancarias, las fintech mexicanas han recurrido cada vez más a los datos fiscales —la información en poder del SAT (Servicio de Administración Tributaria)— como indicador de la actividad financiera. Las declaraciones, los datos de facturación (CFDI) y la información de cumplimiento fiscal permiten conocer ingresos, actividad empresarial y comportamiento financiero sin requerir acceso transaccional de nivel bancario. Varias plataformas de agregación ofrecen hoy la conectividad con el SAT como producto central y, en los hechos, construyen una capa de datos alternativa mientras la capa de datos bancarios sigue bloqueada.
Esta solución alternativa tiene límites: los datos fiscales reflejan la actividad facturada (economía formal) y el cumplimiento fiscal, no saldos en tiempo real, patrones de gasto ni comportamiento de ahorro. También excluye a la economía informal, justo la población a la que las finanzas abiertas deberían servir. Pero para la originación de crédito y la inteligencia de negocio, la agregación fiscal se ha convertido en una tecnología puente crítica.
La iniciación de pagos —la posibilidad de que un tercero detone un pago directamente desde la cuenta bancaria de un consumidor— opera en México a través de las vías de pago existentes (SPEI, redes de tarjetas) y no mediante API de PIS de open banking reguladas. Empresas como Fintoc (cliente de Legal Paradox®) y Belvo ofrecen productos de iniciación de pagos, pero funcionan mediante integraciones directas con bancos específicos, no mediante el marco estandarizado y basado en el consentimiento que contempla el artículo 76.
La diferencia práctica: la iniciación de pagos actual requiere acuerdos bilaterales con cada banco, lo que genera fragmentación. Un marco estandarizado de PIS permitiría a cualquier tercero autorizado iniciar pagos desde cualquier cuenta bancaria, con el consentimiento del cliente, mediante un solo estándar de API, lo que reduciría de forma drástica los costos de integración y habilitaría nuevos modelos de negocio (domiciliación, pagos de suscripciones, liquidación instantánea a comercios).
El estancamiento regulatorio de México es especialmente notorio cuando se compara con jurisdicciones pares:
Brasil: implementó Open Finance por fases a partir del 1 de febrero de 2021. La fase 2 (intercambio de datos de clientes) arrancó en agosto de 2021 y la fase 3 (iniciación de pagos vía PIX) le siguió en octubre de 2021, con lo que completó el marco de datos transaccionales en aproximadamente 17 meses desde la resolución fundacional (Resolução Conjunta nº 1, 4 de mayo de 2020). A principios de 2026, el ecosistema de Open Finance de Brasil superó los 128 millones de consentimientos activos, gobernado por la Associação Open Finance Brasil (AOF) bajo la supervisión del BCB, con perfiles de seguridad de API estandarizados basados en FAPI. El banco central de Brasil (BCB) adoptó un enfoque activo y prescriptivo: definió por adelantado los estándares técnicos, los entornos de prueba y los mecanismos de solución de controversias. El resultado: adopción rápida y un ecosistema que funciona.
Reino Unido: el modelo original de open banking. La Retail Banking Market Investigation Order de la CMA se emitió el 2 de febrero de 2017 y obligó a los nueve bancos más grandes (los "CMA9", con más del 90% de las cuentas corrientes) a construir API abiertas. El estándar de API de lectura/escritura entró en operación aproximadamente 11 meses después, en enero de 2018. La Open Banking Implementation Entity (OBIE) —registrada legalmente como Open Banking Limited— administró los estándares técnicos, la certificación y la solución de controversias. Más de 10 millones de usuarios estaban conectados a mediados de 2024, y la cifra creció a aproximadamente 16 millones a finales de 2025. El modelo británico demuestra que se requiere infraestructura regulatoria (no solo regulación): una entidad dedicada que administre los estándares, certifique a los participantes y resuelva controversias. La supervisión conjunta involucró a la FCA, la CMA, el PSR (Payment Systems Regulator) y HM Treasury.
México: legisló las finanzas abiertas el 9 de marzo de 2018. Publicó las reglas de datos abiertos en junio de 2020. Regulación de datos transaccionales y de datos agregados: aún sin publicar, más de seis años después del plazo legal. Sin entidad de implementación dedicada. Sin entorno de pruebas estandarizado. Sin marco de terceros certificados. México tuvo la ventaja de llegar primero en legislación y la perdió por completo en la ejecución.
Colombia: publicó su regulación de Open Finance mediante el Decreto 1297 de 2022, que inicialmente estableció un marco voluntario. El Plan Nacional de Desarrollo de 2023 (Ley 2294 de 2023) añadió disposiciones obligatorias, y la Superintendencia Financiera emitió estándares técnicos mediante la Circular Externa 004 de 2024. Colombia avanza hoy más rápido que México pese a haber legislado después, con plazos definidos para las fases de implementación. La ironía es que Colombia recibió capacitación de reguladores financieros de México.
La lección es consistente en todas las jurisdicciones: la legislación sin infraestructura de implementación —una entidad dedicada, estándares técnicos, entornos de prueba, procesos de certificación y solución de controversias— produce un mandato regulatorio que existe en el papel, pero no en la práctica. México tiene la legislación. Le falta todo lo demás.
| Dimensión | México | Brasil | Reino Unido |
|---|---|---|---|
| Marco legal | Ley Fintech, art. 76 (9 de marzo de 2018) | BCB Resolução Conjunta nº 1 (4 de mayo de 2020) | CMA Retail Banking Order (2 de febrero de 2017) + PSD2 |
| Alcance | Todas las ~más de 5,000 entidades financieras supervisadas (bancos, fintech, SOFIPO, aseguradoras, administradoras de fondos para el retiro) | Todas las instituciones financieras reguladas + ecosistema PIX | Inicialmente, los bancos del CMA9 (más del 90% de las cuentas corrientes); después, todos los proveedores de cuentas de pago |
| Datos públicos (fase 1) | Implementado junio de 2020 | Implementado febrero de 2021 | Implementado 2017 |
| Datos transaccionales | No implementado Regulación secundaria sin publicar; más de 6 años de retraso | En operación Fase 2 (intercambio de datos) agosto de 2021; fase 3 (PIS vía PIX) octubre de 2021 | En operación API de lectura/escritura en operación desde enero de 2018 |
| Iniciación de pagos | Sin regulación Solo mediante integraciones bilaterales | En operación PIX + Open Finance (fase 3) | En operación Marco de PIS de la PSD2 |
| Entidad de implementación | Ninguna Sin organismo dedicado | Sí Associação Open Finance Brasil (AOF), bajo la supervisión del BCB | Sí OBIE / Open Banking Limited (en transición a la Future Entity bajo la FCA) |
| Estándar de API | Parcial Solo para sociedades de información crediticia y cámaras de compensación (Circular 2/2020) | Unificado Perfil de seguridad basado en FAPI, definido por el BCB | Unificado UK Open Banking Standard |
| Consentimientos activos / usuarios conectados | No medible: no hay API transaccional estandarizada | Más de 128 millones de consentimientos activos | ~16 millones de usuarios conectados (finales de 2025) |
| Pruebas / certificación | Ninguna para las API de finanzas abiertas | Sí Certificación y conformidad administradas por el BCB | Sí Suite de conformidad de la OBIE |
| Exigibilidad legal | Amparo promovido en diciembre de 2025 contra la CNBV, Banxico y la SHCP por omisión regulatoria | Activa Supervisión y sanciones del BCB | Activa Supervisión conjunta de la FCA, la CMA, el PSR y HM Treasury |
| De la legislación a los datos transaccionales completos | Más de 6 años de retraso, y contando | ~17 meses (mayo de 2020 → octubre de 2021) | ~11 meses (febrero de 2017 → enero de 2018) |
El artículo 76 de la LRITF establece que las entidades que buscan acceder a datos financieros mediante API deben obtener la autorización de la comisión supervisora correspondiente (CNBV, CONSAR, CNSF o CONDUSEF, según la fuente de los datos) o de Banxico (para sociedades de información crediticia y cámaras de compensación). La autorización requiere, entre otras cosas:
Un plan de trabajo que detalle el uso previsto de los datos, la infraestructura técnica y las medidas de seguridad. Un modelo de contrato de interconexión que defina los términos del intercambio de datos. Un certificado digital autorizado por Banxico para la transmisión de información. El registro de cualquier contraprestación que se cobre por el acceso a las API, que debe ser equitativa y transparente, y que Banxico puede vetar si la considera anticompetitiva.
Sin embargo, como la regulación secundaria completa no se ha publicado, el marco de autorización para el acceso a datos transaccionales todavía no existe. Las empresas que hoy operan en el espacio de las finanzas abiertas lo hacen mediante acuerdos bilaterales con instituciones financieras, no mediante el marco regulado de API que prevé el artículo 76.
La Ley Fintech establece que los datos transaccionales solo pueden compartirse con el consentimiento expreso del cliente. La regulación secundaria —cuando se publique— debe definir, entre otras cosas:
Los mecanismos de obtención del consentimiento (cómo autorizan los clientes el intercambio de datos). La duración del consentimiento y los procedimientos de revocación (cómo retiran los clientes su autorización). Las limitaciones al uso de los datos (qué pueden hacer con ellos los terceros autorizados). Las obligaciones de respuesta a incidentes (requisitos de notificación en caso de vulneraciones de datos; la ley exige notificar a la comisión correspondiente dentro de las dos horas siguientes a su detección).
Hasta que se publiquen estas reglas, el marco de consentimiento seguirá indefinido, lo que genera incertidumbre jurídica para las empresas que agregan datos transaccionales por canales distintos de las API (screen scraping, integraciones directas). Legal Paradox® asesora a empresas de finanzas abiertas para transitar esta incertidumbre regulatoria, estructurar acuerdos bilaterales de intercambio de datos que se anticipen al marco regulatorio y preparar la arquitectura de cumplimiento para las reglas de datos transaccionales cuando por fin se publiquen.
Las empresas de infraestructura de finanzas abiertas en México enfrentan un reto estructural de modelo de negocio análogo al problema de rentabilidad de las IFPE descrito en la categoría Wallet: el marco regulatorio que generaría las fuentes de ingreso de mayor valor (datos transaccionales, iniciación de pagos) todavía no existe.
Los modelos de ingreso actuales de los proveedores de infraestructura de finanzas abiertas incluyen, entre otros:
Cobro por conexión: cobrar a fintech y corporativos por cada conexión de cuenta u obtención de datos a través de la plataforma. Los precios suelen ir de fracciones de centavo a varios centavos de dólar por llamada a la API, según el tipo de datos y el volumen.
Modelos de suscripción: acceso mensual o anual a la plataforma de agregación, por niveles según el número de conexiones, los tipos de datos o el volumen de llamadas a la API.
Comisiones por procesamiento de pagos: para las plataformas que ofrecen iniciación de pagos, un porcentaje o una cuota fija por operación.
Enriquecimiento de datos y analítica: servicios premium que categorizan, etiquetan y analizan datos financieros en bruto y los convierten en información accionable para calificación crediticia, detección de fraude o gestión financiera.
Soluciones de marca blanca: licenciar la tecnología de agregación a bancos y fintech que la integran en sus propios productos.
Las empresas que han alcanzado una escala significativa —Belvo (más de 70 millones de dólares levantados, más de 80 millones de cuentas conectadas), Finerio (6.5 millones de dólares levantados), Fintoc (con licencia de IFPE, cliente de Legal Paradox®)— lo han logrado operando en varios mercados de América Latina y diversificándose más allá del entorno regulatorio incompleto de México. El mercado mexicano por sí solo, limitado por la ausencia de regulación de datos transaccionales, todavía no genera el volumen de llamadas a API que sostendría la economía de una infraestructura a escala de capital de riesgo.
La eventual publicación de la regulación secundaria de datos transaccionales —ya sea impulsada por el amparo, por una renovación institucional en la CNBV, por presión legislativa o por la vergüenza competitiva frente a Brasil y Colombia— detonaría una cascada de consecuencias en todo el ecosistema financiero de México:
Para los bancos: la exposición obligatoria de los datos de operaciones de sus clientes mediante API permitirá a los competidores construir productos sobre las relaciones bancarias. Los bancos que traten las finanzas abiertas como una carga de cumplimiento perderán clientes frente a las instituciones que las aprovechen como canal de distribución. Los bancos que construyan de forma proactiva ecosistemas de API —y permitan a las fintech crear servicios de valor agregado sobre sus datos— pueden fortalecer la relación con sus clientes y generar nuevos ingresos.
Para las fintech: el acceso completo a los datos transaccionales habilita el caso de uso de la originación de crédito, la aplicación de mayor valor comercial. Las fintech que puedan evaluar la solvencia con datos reales de operaciones (ingresos, patrones de gasto, comportamiento de ahorro) en lugar de calificaciones de buró ofrecerán crédito más rápido, más barato e incluyente. La combinación IFPE + SOFOM ENR descrita en la categoría Crédito se vuelve mucho más poderosa cuando la IFPE puede acceder al panorama financiero completo del acreditado en todas las instituciones.
Para los proveedores de infraestructura de finanzas abiertas: las empresas que construyeron plataformas de agregación durante la brecha regulatoria tendrán una ventaja significativa por haber llegado primero cuando se exijan API estandarizadas. Sus integraciones, modelos de datos y relaciones con clientes existentes las posicionan como la capa de infraestructura a través de la cual operará el ecosistema.
Para los consumidores: la portabilidad de cuentas, la optimización automatizada del ahorro, la gestión financiera entre instituciones y la comparación competitiva de productos serán posibles por primera vez. Los más de 50 millones de adultos mexicanos sin acceso al crédito formal podrían beneficiarse de una calificación crediticia basada en sus operaciones que no dependa del historial tradicional en buró.
Para los clientes de Legal Paradox®: la regulación de finanzas abiertas generará una ola de demanda de cumplimiento: solicitudes de autorización, diseño de la arquitectura de consentimiento, cumplimiento técnico de las API, marcos de protección de datos y reestructuración de acuerdos bilaterales. Legal Paradox® asesora a clientes en toda la cadena de valor de las finanzas abiertas: proveedores de infraestructura que transitan el proceso de autorización, bancos que diseñan su estrategia de cumplimiento de API, fintech que estructuran acuerdos de intercambio de datos que se anticipan al marco regulatorio y empresas de tecnología que se preparan para operar como terceros autorizados consumidores de datos.
El Legal Paradox® Fintech Map ofrece un directorio, actualizado de forma continua, de las empresas de finanzas abiertas de México, con capacidades de API, alcance de agregación de datos, servicios de iniciación de pagos, estatus regulatorio y posicionamiento en la infraestructura. Abajo encontrarás el directorio completo de empresas de finanzas abiertas y open banking del ecosistema fintech mexicano.
Legal Paradox® es un despacho rankeado por Chambers (Band 4, FinTech Mexico) cuya práctica central es fintech y regulación financiera. En abril de 2018, Carlos Valderrama aportó el análisis legal al primer análisis de Open Banking de México —"What is the potential for open banking in Mexico?" (C Minds, Open Data Institute, FinTech Hub, con la Embajada Británica / Prosperity Fund)— a sugerencia del entonces titular del área fintech de la CNBV, y después, como FinTech Regulation Adviser del Prosperity Fund (a través de DAI), el despacho participó en el piloto de Open Finance de la CNBV. El despacho participó en las más de 270 mesas de trabajo […] y co-redactó su regulación secundaria a través del Prosperity Fund de la Embajada Británica. Legal Paradox® ha asesorado más de 520 proyectos fintech, entre ellos 8 unicornios, 9 bancos y 4 empresas BigTech.
Para las empresas de finanzas abiertas que transitan la incertidumbre regulatoria del marco incompleto de México —autorización de API, preparación para el cumplimiento en datos transaccionales, acuerdos bilaterales de intercambio de datos, arquitectura de consentimiento, estructuración de la iniciación de pagos o posicionamiento estratégico para la eventual conclusión del marco regulatorio—, Legal Paradox® ofrece asesoría regulatoria integral, desde la estrategia inicial hasta el cumplimiento operativo.
Datos del Legal Paradox® Fintech Map y del Regulatory Intelligence Dashboard. Referencias regulatorias de la LRITF (art. 76), las Disposiciones de Carácter General Aplicables a las Instituciones de Tecnología Financiera de la CNBV, la Circular 2/2020 de Banxico y publicaciones en el DOF. Última actualización: febrero de 2026.
