Open banking e PSD2 in Italia: cosa cambia per aziende e consumatori

Dal 14 settembre 2019 ogni banca operante nello Spazio Economico Europeo è obbligata a fare una cosa che dieci anni prima sarebbe sembrata impensabile: aprire, tramite API sicure, l’accesso ai dati dei conti dei propri clienti a soggetti terzi autorizzati — a condizione che il cliente lo autorizzi esplicitamente. È l’effetto pratico della PSD2, la direttiva europea 2015/2366 sui servizi di pagamento.

Da quella data in poi, l’espressione “open banking” ha smesso di essere un concetto astratto e ha iniziato a comparire in app che offrono servizi tutt’altro che scontati per chi aveva conosciuto solo l’home banking tradizionale.

AISP e PISP: due sigle, due funzioni diverse

La PSD2 introduce due nuove categorie di prestatori di servizi, entrambe soggette ad autorizzazione. Gli AISP (Account Information Service Provider) possono aggregare informazioni provenienti da conti detenuti su più banche diverse, mostrando all’utente un quadro unificato della propria situazione finanziaria. I PISP (Payment Initiation Service Provider) possono invece avviare direttamente un pagamento per conto dell’utente, senza passare dai tradizionali circuiti a carta.

In Italia, la supervisione dell’applicazione della normativa spetta a Banca d’Italia, insieme all’Autorità Bancaria Europea (EBA) a livello comunitario. A ottobre 2025 Banca d’Italia ha pubblicato un rapporto dedicato, “Open Banking in Italy: A Comprehensive Report”, che fotografa lo stato del settore.

Quanto è diffuso, in pratica

Il consorzio CBI, attraverso la piattaforma CBI Globe, ha federato oltre l’80% del sistema bancario italiano e gestito più di 700 milioni di chiamate API generate da oltre 200 prestatori di servizi di pagamento attivi come AISP, PISP o CISP (una terza categoria dedicata alla conferma di disponibilità fondi). Sono numeri che raccontano un’infrastruttura ormai matura, anche se poco visibile per l’utente finale — che nella maggior parte dei casi incontra l’open banking attraverso l’app di una fintech o di una neobanca, un tema approfondito nell’articolo su neobanche e conti digitali.

Cosa cambia con PSD3

La direttiva che ha reso possibile tutto questo è già in fase di sostituzione. Nel novembre 2025 Parlamento europeo e Consiglio hanno raggiunto un accordo politico provvisorio su PSD3, che affiancherà alla direttiva un nuovo regolamento sui servizi di pagamento (Payment Services Regulation, PSR). La pubblicazione in Gazzetta Ufficiale dell’Unione Europea è attesa entro il 2026, con piena applicazione — dopo i consueti periodi di transizione — non prima del 2027-2028.

Per le imprese che usano l’open banking come infrastruttura per i propri servizi di pagamento, il tema si intreccia direttamente con l’evoluzione del mercato dei pagamenti digitali italiani, raccontata nell’articolo su pagamenti digitali in Italia.

Cosa possono fare oggi le aziende con l’open banking

Per un’impresa, non solo per un consumatore privato, l’open banking apre possibilità concrete. Un e-commerce può integrare un pulsante di pagamento diretto da conto corrente, evitando le commissioni tipiche dei circuiti a carta. Un software di contabilità può collegarsi automaticamente ai conti bancari dell’azienda per riconciliare le transazioni senza inserimento manuale. Una fintech che eroga credito può, con il consenso del richiedente, analizzare lo storico dei movimenti bancari per valutare il merito creditizio in pochi minuti invece che in giorni.

Questi casi d’uso non sono ipotetici: sono già alla base di molti dei servizi offerti dalle neobanche e dalle fintech italiane, un ecosistema che si appoggia quasi sempre sull’infrastruttura messa a disposizione da provider tecnici come CBI, piuttosto che costruire ogni singola integrazione bancaria da zero.

Resta comunque un limite pratico, spesso sottovalutato: non tutte le banche italiane hanno implementato le API PSD2 con la stessa qualità tecnica, e alcune integrazioni funzionano meglio di altre a seconda dell’istituto coinvolto.

La PSD2 ha introdotto anche un altro obbligo spesso sottovalutato dal grande pubblico: la Strong Customer Authentication (SCA), l’autenticazione forte a due fattori richiesta per la maggior parte delle operazioni di pagamento online. È il motivo per cui, dal 2021 in avanti, molti acquisti con carta richiedono una conferma tramite app bancaria o codice inviato via SMS invece del solo numero di carta — una misura pensata per ridurre le frodi, che in una prima fase ha generato anche qualche attrito lamentato dagli e-commerce per i tassi di abbandono del carrello. Esistono comunque eccezioni regolate con attenzione: pagamenti di importo molto basso, transazioni ricorrenti già autorizzate una prima volta, o operazioni classificate a basso rischio possono evitare la doppia autenticazione, entro soglie definite dalla normativa. Per un consumatore, il risultato pratico è un equilibrio — non sempre percepito come tale — tra maggiore sicurezza e qualche passaggio in più al momento di pagare online.

L’open banking resta una delle infrastrutture chiave dietro l’intero settore fintech italiano, dalle neobanche ai servizi di pagamento più innovativi.

Domande frequenti