Open Finance en México: seis años de Ley Fintech y la API que nunca llegó

México fue primero, pero Brasil llegó más lejos

Cuando el Congreso aprobó la Ley para Regular las Instituciones de Tecnología Financiera en marzo de 2018, el artículo 76 colocó al país en la vanguardia regional: por primera vez en América Latina, la ley obligaba a bancos e ITF a compartir datos financieros con terceros autorizados mediante APIs abiertas. Era, en papel, una revolución.

Seis años después, la realidad es más sobria. Las disposiciones secundarias que debían convertir ese mandato en especificaciones técnicas —formatos de API, estándares de autenticación, protocolos de consentimiento— se han publicado de forma fragmentada y con ritmo lento. Las ITF de fondeo colectivo y emisoras de fondos de pago electrónico tienen obligaciones vigentes, pero la banca tradicional opera en un limbo regulatorio que le permite diferir el cumplimiento sin consecuencias claras.

El resultado: el ecosistema fintech mexicano construye sobre cimientos de datos prestados, a través de scrapers con acceso tipo pantalla verde, en lugar de APIs robustas y consentidas. Una fragilidad que encarece el crédito alternativo, limita el scoring y frena la portabilidad financiera real.

Qué dice la ley, qué ocurre en la práctica

El artículo 76 de la Ley Fintech distingue tres capas de datos: información financiera agregada (open data), datos de transacciones del usuario y datos generados por el uso de APIs de terceros. El esquema requiere consentimiento explícito del usuario para las dos últimas capas, y delega en Banxico y la CNBV la emisión de las disposiciones de carácter general que le dan músculo técnico al mandato.

Banxico publicó en 2020 disposiciones iniciales enfocadas en las ITF, y la CNBV ha avanzado en lineamientos para agregadores de información. Sin embargo, los estándares de iniciación de pagos —que permitirían a un tercero ejecutar transferencias SPEI directamente desde la app del usuario sin redirigir a la banca— siguen sin calendario público de implementación obligatoria para la banca comercial.

Esto contrasta con Brasil, donde el Banco Central implementó Open Finance en cuatro fases entre 2021 y 2022, con estándares técnicos detallados, sandbox regulatorio y mecanismos de auditoría. Hoy Brasil procesa más de 40 millones de consentimientos activos, según datos del propio Banco Central do Brasil.

Los actores que llenan el vacío

En ausencia de APIs bancarias nativas, tres jugadores de infraestructura dominan la capa de agregación en México:

| Proveedor | Origen | Modelo | Instituciones MX | Último fondeo |]
|-----------|--------|--------|------------------|---------------|
| Belvo | Colombia/México | API de datos + widgets | +50 bancos e ITF | US$43M (Serie A, 2021) |
| Finerio Connect | México | API + PFM white-label | +40 instituciones | No divulgado |
| Prometeo | Uruguay | API multi-país LATAM | Presencia MX | US$13M (2022) |
| Tefi | México | Scoring + datos | Foco crediticio | No divulgado |

Estos agregadores operan hoy en gran medida mediante screen scraping con credenciales del usuario, método que implica riesgos de seguridad, viola los términos de uso de varios bancos, y que la CNBV ha señalado como transitorio. La promesa de las APIs consentidas es eliminar ese modelo; el problema es que sin mandato bancario claro, la transición no ocurre sola.

El costo de la demora para el crédito alternativo

El open finance no es un tema técnico periférico: es la columna vertebral del crédito digital. Las fintech de lending que operan en México —Kueski, Konfío, Credijusto, Stori, entre otras— construyen sus modelos de scoring sobre datos transaccionales que, idealmente, deberían llegar vía consentimiento expreso desde el banco principal del usuario.

Sin APIs estandarizadas, cada lender reinventa la rueda: negocia integraciones bilaterales, usa scrapers con riesgo regulatorio, o trabaja con datos más pobres, lo que eleva tasas y excluye segmentos viables. Se estima —cifra de mercado, sin fuente oficial única— que más de 35 millones de mexicanos tienen historial bancario suficiente para calificar a crédito formal, pero no acceden a él por fricciones de datos.

Lo que viene: la presión de DiMo y el umbral bancario

El ecosistema tiene una ventana concreta: DiMo (Dinero Móvil, el esquema de Banxico para transferencias por número celular) ya sentó el precedente de que la infraestructura de pagos puede evolucionar por mandato regulatorio con plazos claros. Si Banxico aplica el mismo enfoque a la capa de iniciación de pagos open finance, el mercado podría tener APIs bancarias funcionales antes de 2027.

La CNBV tiene sobre la mesa la posibilidad de exigir un sandbox de open finance para bancos con más de un millón de cuentas —umbral que cubriría a BBVA, Banorte, Santander, HSBC, Citibanamex y Scotiabank— como paso previo a la obligación plena. Fuentes del sector citadas por iupana sugieren que ese camino está en discusión, aunque sin fechas confirmadas.

El rezago no es irreversible, pero el reloj corre. Cada trimestre sin APIs estandarizadas es un trimestre en que Brasil, Colombia y Perú consolidan ecosistemas open finance más densos, más baratos de integrar y más atractivos para el capital de riesgo que busca infraestructura financiera regional. La Ley Fintech de 2018 fue una apuesta audaz; el riesgo ahora es que quede como monumento regulatorio sin implementación real.