Colombia acaba de transformar las reglas de su sistema financiero. El Decreto 0368 de 2026, expedido por el gobierno Petro, convierte en obligatorio lo que hasta ahora era voluntario: el intercambio de datos financieros entre entidades.
- A partir de esta norma, bancos, aseguradoras, fondos de pensiones y otras entidades vigiladas deberán compartir la información de sus clientes con otros actores del sistema —siempre con autorización previa del titular.
- El cambio no es menor. Durante años, la información financiera de los ciudadanos ha estado dispersa entre distintas entidades, lo que limita la visión completa del perfil de cada usuario.
«Cada banco conoce solo una parte de la historia financiera», señaló Larisa Caruso, directora (e) de la Unidad de Proyección Normativa y Estudios de Regulación Financiera (URF), en declaraciones a El Colombiano. Esa fragmentación ha sido históricamente una barrera de acceso, especialmente para quienes no tienen historial crediticio consolidado.
Con el Decreto 0368, Colombia sigue el camino de Reino Unido —el pionero global— y de Brasil, el referente más cercano en la región. La diferencia con lo anterior es estructural: el modelo pasa de ser voluntario a regulado, con el objetivo de aprovechar los datos financieros para ampliar el acceso a servicios y fomentar la competencia.
Qué dice el decreto, en concreto
La norma establece que las entidades financieras deberán compartir la información de sus clientes con otras entidades, siempre que el titular lo autorice de forma previa, expresa e informada.
- El intercambio opera mediante APIs —protocolos tecnológicos estandarizados— que permiten un flujo automático, seguro y eficiente entre instituciones.
- El alcance de la información es amplio. Incluye datos sobre productos financieros como cuentas, créditos o seguros, el proceso de vinculación del cliente y características de los servicios. Además, el decreto exige que se comparta al menos el historial transaccional de los últimos 12 meses.
- En cuanto a quiénes están obligados, el decreto es explícito: bancos, compañías de seguros, administradoras de fondos de pensiones, comisionistas de bolsa y otras entidades vigiladas deberán participar. También podrán vincularse terceros no vigilados, bajo condiciones específicas. Eso incluye, de manera voluntaria, empresas de telecomunicaciones.
El usuario sigue siendo el dueño
El punto que más énfasis recibe en la norma es el control del titular. El consentimiento debe ser claro: debe indicar quién usará los datos, cuáles datos se usarán, con qué finalidad y por cuánto tiempo. Incluso, la norma exige una doble verificación: primero, el usuario autoriza al tercero que quiere acceder; luego, la entidad que tiene los datos debe confirmar nuevamente con el titular antes de entregarlos.
- «Los datos pertenecen al ciudadano», subrayó Caruso, quien precisó que la autorización puede revocarse en cualquier momento.
- El decreto también fija principios que deben regir el sistema, como la transparencia, la seguridad de la información, la calidad de los datos y el trato no discriminatorio. En particular, se exige que los datos estén protegidos con mecanismos robustos de seguridad para evitar accesos indebidos.
Qué cambia para los usuarios
El impacto más directo para una persona natural es la posibilidad de usar su propio historial financiero, disperso entre varios bancos, aseguradoras o billeteras digitales, como palanca para acceder a mejores condiciones en cualquier entidad, no solo en aquella donde ya tiene cuenta.
- En la práctica, una persona podría autorizar a una nueva entidad para que consulte su historial financiero en otro banco y le ofrezca mejores condiciones de crédito. Lo mismo aplica para seguros, productos de ahorro e inversión.
- El nuevo modelo busca beneficiar especialmente a segmentos que han enfrentado barreras para acceder al sistema financiero formal: trabajadores independientes, emprendedores y pequeños negocios, que muchas veces no cuentan con un historial crediticio robusto.
- Con la integración de información de múltiples fuentes, estas personas podrán demostrar capacidad de pago sin depender de un solo banco.
Más competencia, no monopolios
Uno de los efectos esperados es una reconfiguración del poder en el sistema financiero. Al permitir que más entidades accedan a información completa de los usuarios, se reduce la ventaja que tradicionalmente han tenido los grandes bancos.
- Esto abre la puerta para que entidades más pequeñas, fintechs y neobancos diseñen productos más ajustados a cada perfil y compitan en igualdad de condiciones.
- «El sistema no genera monopolios, al contrario, democratiza el acceso a la información», afirmó Caruso. La mayor disponibilidad de datos podría traducirse en tasas de interés más competitivas y una oferta de productos más diversa para los usuarios.
Las entidades podrán cobrar por permitir el acceso a los datos, pero solo para recuperar costos operativos. El decreto aclara que en ningún caso podrán cobrar por la información en sí misma.
- Los cobros deberán ser proporcionales al uso, basados en el volumen de consultas y aplicados en igualdad de condiciones para todos los participantes.
- Según Caruso, esta regla busca facilitar la entrada de entidades más pequeñas que enfrentarían mayores costos de adaptación tecnológica en las etapas iniciales.
Los plazos: nada ocurre de un día para otro
La implementación será gradual. La Superintendencia Financiera tendrá un plazo de seis meses para definir el cronograma y publicar los estándares técnicos que deberán cumplir las entidades.
- Una vez definidos estos lineamientos, las entidades contarán con hasta 12 meses para habilitar el intercambio de información. Si se suman los plazos, el proceso podría tomar hasta 18 meses desde la definición de los estándares.
- Los estándares se publicarán de forma escalonada por tipo de producto o servicio, lo que implica una adopción progresiva.
- Se creará además un Directorio de Participantes administrado por la Superintendencia Financiera, donde deberán inscribirse todas las entidades involucradas.
- La vigilancia del cumplimiento en materia de protección de datos estará a cargo de la Superintendencia de Industria y Comercio (SIC).
El contexto regional
El Decreto 0368 modifica el Decreto 2555 de 2010 y desarrolla lo previsto en la Ley 2294 de 2023, que ordenó reglamentar el acceso a datos para facilitar servicios financieros. Colombia consolida así avances previos, un esquema voluntario lanzado en 2022 y estándares técnicos definidos en 2024, y da el paso que países de la región como Brasil ya dieron hace varios años con resultados concretos en inclusión financiera.
Colombia deja de ser observador del open finance y se convierte en regulador activo. Para startups de crédito, insurtech, neobancos y cualquier empresa que opere sobre datos financieros, el mercado colombiano acaba de cambiar de dimensión.
* Reporteado con IA, editado y revisado por la redacción. Fuentes: Infobae Colombia; El Colombiano; La República; Portafolio; iProUP; El Cronista.
Descubre más desde TEKIOS
Suscríbete y recibe las últimas entradas en tu correo electrónico.
