The Loophole Economy of Embedded FinanceLa economía de los vacíos legales en las finanzas integradas

In the European Union, Open Banking is governed by PSD2, which requires banks to share customer data through APIs, digital interfaces that allow different systems to communicate. The goal is to democratize finance and create a more competitive market. In theory, any PayTech could obtain a license, gain legal access to those APIs, and build advanced financial services without becoming a bank. In practice, implementation varied significantly across EU member states. Some banks delayed or restricted access. Others imposed technical requirements so complex and costly that compliance became its own barrier. Even with the keys, the door did not always open.

Facing that friction, smaller players made a pragmatic calculation. Getting licensed was not always worth it. Without the time, capital, or technical capacity to go through the licensing process, many turned to Banking-as-a-Service (BaaS). These licensed platforms offered ready-made financial infrastructure and data access, allowing unlicensed firms to embed payments, accounts, or credit functions into their products under someone else’s license. Not necessarily illegal, but operating in a regulatory grey zone where questions of oversight and data responsibility rarely had clear answers. Around the same time, API aggregators gained traction, merging dozens of bank APIs into a single unified interface. For smaller firms, it was a shortcut to scale. It also introduced new dependencies that few regulators had anticipated.

Traditional banks noticed. Rather than resisting Open Banking, many chose to monetize it. Some launched premium APIs, charging for faster or richer data access and turning a regulatory obligation into a revenue stream. Others moved toward Banking-as-a-Platform (BaaP), integrating external fintech services directly into their own ecosystems. Instead of competing with investment apps or personal finance tools, they hosted them, keeping the customer relationship inside their own interface while quietly centralizing control.

This is the environment where embedded finance truly took off, not only as a product of innovation, but as a response to regulatory friction. Non-financial firms identified the gaps in PSD2 and built business models around them. The result was a market that grew not just within the boundaries of regulation, but in its blind spots. PSD3 and FIDA are now attempting to close those gaps, not to roll back what was built, but to ensure that data protection holds and that open access remains genuinely open, rather than a privilege of the most resourced players.

En la Unión Europea, el Open Banking se rige por PSD2, que obliga a los bancos a compartir los datos de sus clientes mediante APIs, interfaces digitales que permiten que distintos sistemas se comuniquen. El objetivo es democratizar las finanzas y crear un mercado más competitivo. En teoría, cualquier PayTech podía obtener una licencia, acceder legalmente a esas APIs y crear servicios financieros avanzados sin convertirse en banco. En la práctica, la implementación varió mucho entre los Estados miembros de la UE. Algunos bancos retrasaron o restringieron el acceso. Otros impusieron requisitos técnicos tan complejos y costosos que el cumplimiento se convirtió en una barrera en sí mismo. Incluso con las llaves, la puerta no siempre se abría.

Ante esa fricción, los actores más pequeños hicieron un cálculo pragmático. Obtener la licencia no siempre compensaba. Sin el tiempo, el capital o la capacidad técnica para superar el proceso de autorización, muchos recurrieron a la banca como servicio (BaaS). Estas plataformas con licencia ofrecían infraestructura financiera lista para usar y acceso a datos, lo que permitía a empresas sin licencia integrar pagos, cuentas o funciones de crédito en sus productos bajo la licencia de otro. No necesariamente ilegal, pero sí en una zona gris regulatoria donde las cuestiones de supervisión y responsabilidad sobre los datos rara vez tenían respuestas claras. Por la misma época ganaron terreno los agregadores de APIs, que reúnen decenas de APIs bancarias en una única interfaz unificada. Para las empresas pequeñas fue un atajo para escalar. También introdujo nuevas dependencias que pocos reguladores habían previsto.

Los bancos tradicionales tomaron nota. En lugar de resistirse al Open Banking, muchos optaron por monetizarlo. Algunos lanzaron APIs premium y cobraron por un acceso a datos más rápido o más rico, convirtiendo una obligación regulatoria en una fuente de ingresos. Otros avanzaron hacia la banca como plataforma (BaaP), integrando servicios fintech externos directamente en sus propios ecosistemas. En lugar de competir con las aplicaciones de inversión o las herramientas de finanzas personales, las acogieron, manteniendo la relación con el cliente dentro de su propia interfaz mientras centralizaban discretamente el control.

Este es el entorno en el que despegaron de verdad las finanzas integradas (embedded finance), no solo como fruto de la innovación, sino como respuesta a la fricción regulatoria. Las empresas no financieras detectaron las lagunas de PSD2 y construyeron modelos de negocio en torno a ellas. El resultado fue un mercado que creció no solo dentro de los límites de la regulación, sino en sus puntos ciegos. PSD3 y FIDA intentan ahora cerrar esas lagunas, no para deshacer lo construido, sino para garantizar que la protección de datos se mantenga y que el acceso abierto siga siendo realmente abierto, en lugar de un privilegio de los actores con más recursos.