- Colombia pone en marcha el Open Finance: qué cambia para los usuarios y el sistema financiero
- La nueva norma sustituye el esquema voluntario que había estado vigente desde 2022.
- El nuevo decreto articula toda su arquitectura alrededor del consentimiento del usuario
Durante años, los datos financieros de los colombianos estuvieron fragmentados entre distintas entidades: el banco donde se tiene la cuenta corriente ignoraba el historial crediticio en otra aseguradora, y la fintech donde se paga el arriendo no podía ver el flujo de caja real de una pyme. Esa lógica de silos empieza a quebrarse con la expedición del Decreto 0368 de 2026.
La norma, suscrita por el ministro de Hacienda Germán Ávila Plazas, modifica el Decreto 2555 de 2010 y sustituye el esquema voluntario que había estado vigente desde 2022. Con ello, Colombia da el salto de un modelo optativo a uno obligatorio de finanzas abiertas —conocido internacionalmente como Open Finance—, convirtiéndose en uno de los pocos países de América Latina en dar ese paso con carácter universal y vinculante.
Claves del decreto
- El texto define el sistema de finanzas abiertas como el conjunto de autoridades, normas, estándares, infraestructuras y participantes que permiten el acceso y suministro de datos personales de los clientes de entidades vigiladas por la Superintendencia Financiera de Colombia (SFC), siempre con respeto al consentimiento del titular.
- En términos concretos, la obligatoriedad recae sobre una lista amplia de actores: bancos, compañías de seguros, administradoras de fondos de pensiones y cesantías, comisionistas de bolsa, sociedades especializadas en depósitos y pagos electrónicos (Sedpe), entidades de financiación colaborativa, fiduciarias e instituciones oficiales especiales. Todos ellos deberán habilitar el acceso a los datos de sus clientes a terceros receptores debidamente vigilados, dentro de un plazo máximo de 12 meses desde la expedición de los estándares técnicos por parte de la SFC. El regulador podrá ampliar ese plazo hasta seis meses adicionales y contempla una prórroga especial para clientes persona jurídica que no sean microempresas.
- Los datos sujetos a circulación incluyen tres categorías principales: información sobre productos y servicios financieros vigentes del titular —con historial transaccional de al menos los últimos 12 meses—, información del proceso de vinculación del cliente y características de los productos contratados.
- Además, el decreto incorpora un mecanismo de doble verificación del consentimiento: primero el usuario autoriza al tercero que quiere acceder a sus datos; luego, la entidad que los posee debe confirmar nuevamente con el titular antes de entregarlos. Esto busca reducir los accesos no autorizados y fortalecer la trazabilidad sobre quién accedió, cuándo y para qué.
Un giro que centrado en el usuario
Hasta ahora, la forma más común en que aplicaciones y servicios accedían a la información bancaria de sus usuarios era a través del llamado screen scraping: el usuario entregaba su usuario y contraseña a un tercero, que luego ingresaba a su nombre para extraer los datos que necesitaba.
A partir de ahora:
- Las APIs reguladas que el decreto promueve eliminan esa lógica: el banco entrega los datos específicos autorizados directamente, sin que ningún tercero almacene las credenciales del cliente. El usuario, en consecuencia, pasa de tener un control prácticamente nulo sobre quién accede a su información a tener visibilidad completa y la capacidad de revocar permisos en cualquier momento.
Uno de los efectos más concretos del nuevo modelo podría sentirse en el acceso al crédito. Las mipymes representan más del 90% del tejido empresarial colombiano y generan el 79% del empleo, según cifras del DANE y el Ministerio de Comercio, pero más de la mitad depende del crédito de proveedores para operar porque el sistema financiero tradicional no les ofrece condiciones adecuadas.
Con el decreto, una empresa podrá autorizar que múltiples entidades consulten su historial transaccional, ventas reales, flujo de caja y comportamiento con proveedores, generando competencia entre oferentes y abriendo la puerta a modelos crediticios más ajustados a su realidad.
El impacto también se extiende al comercio electrónico: se fortalecerá la experiencia de compra y el desarrollo del ecosistema digital.
La tensión del consentimiento real
El decreto articula toda su arquitectura alrededor del consentimiento del usuario, pero ese consentimiento viene cargado de historia: durante años se redujo a aceptar términos y condiciones extensos y difíciles de comprender, generando una brecha entre la cantidad de datos que ya circulan en el entorno digital y la capacidad real de las personas para entender y controlar cómo se utilizan.
Ciberseguridad: la otra cara de la apertura
A mayor interconexión, mayor superficie expuesta. Es una ecuación que los especialistas en seguridad ya están poniendo sobre la mesa.
Aunque Latinoamérica enfrenta desafíos persistentes en inclusión financiera, competencia y digitalización bancaria, el modelo colombiano empieza a perfilarse como un caso de referencia replicable con ajustes locales. Los objetivos explícitos del decreto —impulsar la innovación financiera, la competencia, la entrada de nuevos actores al mercado y la inclusión crediticia— plantean una hoja de ruta que otros países de la región observarán con atención.
El decreto desarrolla lo previsto en el artículo 89 de la Ley 2294 de 2023, que ordenó al Gobierno nacional reglamentar el acceso y suministro de información financiera de manera universal. Con su entrada en vigor, Colombia da un paso que el Reino Unido y Brasil ya dieron antes, pero con un sistema que incorpora lecciones de ambos y que, por primera vez en el país, convierte los datos financieros de los ciudadanos en un activo que le pertenece a quien los genera.
