Dalla diga ai dati: pagamenti istantanei, PSD3/PSR e l'Open Finance che cambia chi paga per le frodi

C'è una rivoluzione che non fa rumore e che la maggior parte dei vostri clienti ha già subìto senza accorgersene: dal 9 ottobre 2025, quando digitano un IBAN per un bonifico, una macchina invisibile controlla se il nome che hanno scritto corrisponde davvero al titolare del conto. È la Verification of Payee, ed è solo la prima crepa di una diga che l'Europa sta smontando pezzo per pezzo. Dietro c'è un disegno più grande: il passaggio dall'Open Banking all'Open Finance, cioè dal dato di pagamento al dato finanziario tutto. Chi guida uno studio, una banca, una fintech o anche solo un'impresa che incassa e paga ogni giorno farebbe bene a capire cosa sta succedendo, prima che glielo spieghi un contenzioso.

Il punto di partenza: l'Open Banking ha vinto a metà

La PSD2, la seconda direttiva sui servizi di pagamento (Dir. UE 2015/2366), aveva una promessa semplice: la banca non è più la padrona esclusiva dei dati di pagamento del cliente. Con il consenso dell'utente, soggetti terzi — gli AISP per l'informazione sui conti, i PISP per disporre pagamenti — potevano accedere ai dati e operare. Sulla carta, concorrenza e innovazione. Nella pratica, un decennio di API mal costruite, interfacce instabili, frizioni continue tra banche incumbent e nuovi entranti.

La Commissione europea, nel valutare la PSD2, ha riconosciuto apertamente che i risultati sono stati inferiori alle attese (Commissione europea, proposta del 28 giugno 2023). Da qui il nuovo pacchetto, che non è una direttiva soltanto, ma una coppia: una direttiva (PSD3) per l'autorizzazione e la vigilanza degli operatori, e un regolamento (PSR — Payment Services Regulation) per le regole di condotta, di responsabilità e di sicurezza direttamente applicabili. La scelta del regolamento non è un dettaglio tecnico: significa armonizzazione massima, niente più ventisette recepimenti nazionali divergenti sulle regole che contano. Una sola lingua giuridica per i pagamenti europei.

C'è un capitolo che pochi raccontano, ma che pesa più di tante norme di principio: la fine dello screen scraping. Sotto la PSD2 era ammesso un canale di emergenza che permetteva ai terzi di accedere ai dati simulando il login del cliente. Il PSR cancella questo ripiego: circa seimila banche e prestatori di servizi di radicamento del conto nell'Unione dovranno offrire un'interfaccia dedicata che funzioni con la stessa rapidità e affidabilità dei canali rivolti ai clienti, misurata su indicatori armonizzati di disponibilità, latenza ed errori (Open Banking Tracker; Speednet, 2026 — le soglie precise arriveranno con gli standard tecnici della EBA, da verificare). Tradotto: la scusa dell'interfaccia che non va smette di essere una scusa.

PSD3 e PSR: a che punto è l'iter (e perché conta il calendario)

Lo stato dell'arte, a metà 2026, è questo. Il 27 novembre 2025 Parlamento e Consiglio hanno raggiunto l'accordo politico provvisorio sui testi di PSD3 e PSR all'esito del trilogo (Consiglio UE; Norton Rose Fulbright, novembre 2025). Sul versante del Consiglio, il 23 aprile 2026 il Segretariato generale ha trasmesso al COREPER i testi di compromesso finali di PSD3 e PSR (Consiglio UE; Arthur Cox, aprile 2026); sul versante del Parlamento, dopo il voto in commissione ECON, si attende il voto in plenaria e la pubblicazione in Gazzetta Ufficiale dell'Unione europea, attesa nella seconda metà del 2026 (Open Banking Tracker, 2026 — da verificare l'esito definitivo del voto plenario e la data di pubblicazione).

Il calendario applicativo, sulla base dei testi negoziati, è scaglionato. Il PSR, essendo regolamento, si applica direttamente decorso un periodo dall'entrata in vigore: le note di compromesso indicano un'applicabilità generale a circa 21 mesi dalla pubblicazione (Norton Rose Fulbright, 2026), con alcune obbligazioni — in particolare la verifica nome/identificativo per i bonifici non istantanei — differite per consentire gli adeguamenti tecnici (da verificare). La PSD3, essendo direttiva, richiede il recepimento nazionale, con piena applicabilità stimata attorno al 2028 (Morrison Foerster; DLA Piper, 2026 — da verificare le decorrenze finali). Tradotto per chi deve decidere oggi: non è materia del futuro remoto. È un orizzonte di pianificazione di 18-24 mesi.

Profilo	PSD2 (oggi)	PSD3 + PSR (in arrivo)
Strumento	Direttiva (recepita 27 volte)	Direttiva (autorizzazioni) + Regolamento (condotta, applicabile direttamente)
Istituti di pagamento ed e-money	Due regimi separati	Fusione in un'unica categoria di istituto di pagamento
Frode da inganno (APP fraud)	Nessun rimborso specifico	Rimborso quando il truffatore impersona il PSP (spoofing), a condizioni
Verifica beneficiario	Solo IBAN, nessun controllo del nome	Controllo nome/IBAN obbligatorio, con responsabilità se manca l'avviso
Accesso ai dati	Solo dati di pagamento (Open Banking)	Verso l'Open Finance con il separato regolamento FIDA
Screen scraping	Ammesso come canale di emergenza	Vietato; interfaccia dedicata obbligatoria con KPI di performance

Gli instant payments: il bonifico istantaneo non è più un lusso

Mentre PSD3 e PSR maturavano, l'Europa ha già fatto scattare il pezzo più concreto: il Regolamento (UE) 2024/886 sui pagamenti istantanei (entrato in vigore l'8 aprile 2024). La logica è brutale nella sua semplicità: se una banca dell'area euro offre bonifici ordinari in euro, deve offrire anche quelli istantanei, su tutti i canali e allo stesso prezzo dei bonifici tradizionali. Niente più sovrapprezzo per la velocità (Banca centrale europea).

Le scadenze sono già passate e operano. Dal 9 gennaio 2025 i PSP dell'area euro devono poter ricevere bonifici istantanei e verificare quotidianamente che i clienti non siano soggetti a misure restrittive (screening sanzioni). Dal 9 ottobre 2025 devono poterli inviare e, soprattutto, devono offrire gratuitamente la Verification of Payee sia sui bonifici istantanei sia su quelli ordinari (Banca centrale europea; European Payments Council, VoP Scheme Rulebook in vigore dal 5 ottobre 2025).

La Banca d'Italia ha comunicato e accompagnato il passaggio, chiarendo che la verifica del beneficiario riguarda sia i bonifici ordinari sia gli istantanei e che gli obblighi si applicano anche alla stessa Banca d'Italia in quanto PSP per le Pubbliche Amministrazioni (Banca d'Italia). Per il cliente il meccanismo è diventato un'esperienza quotidiana: si digita il nome, si digita l'IBAN, e prima di autorizzare arriva una risposta — corrispondenza, mancata corrispondenza, corrispondenza parziale, oppure impossibilità di verificare. È un controllo, non un blocco: l'utente può comunque procedere. Ma se procede ignorando un avviso di "no match", il discorso sulla responsabilità cambia radicalmente.

C'è un risvolto operativo che già morde le imprese. La risposta più temuta non è il "no match", ma il "close match" — la corrispondenza parziale. Un'azienda che incassa con un nome commerciale diverso dalla ragione sociale, un conto intestato a una holding, una sigla abbreviata: tutto questo genera avvisi che spaventano il pagatore e rallentano l'incasso. Le banche stanno tarando gli algoritmi di matching proprio per ridurre i falsi positivi su nomi commerciali, conti virtuali e abbreviazioni (Deutsche Bank; LSEG, 2025). Per chi emette fatture la conseguenza è semplice: l'intestazione del conto comunicata al cliente deve combaciare con quella registrata in banca, o ogni bonifico in entrata diventa un attrito.

L'autenticazione forte e la biometria

Il presidio tecnico che regge tutto l'impianto è la strong customer authentication, l'autenticazione forte: due o più fattori indipendenti, scelti tra qualcosa che l'utente sa (una password), qualcosa che possiede (un dispositivo) e qualcosa che è (un dato biometrico). Il PSR non smonta la SCA, la affina. La novità più discussa riguarda proprio la biometria: secondo le bozze in discussione il regolamento dovrebbe consentire di costruire l'autenticazione combinando due elementi della stessa categoria dell'inerenza — per esempio una biometria fisiologica (impronta, volto) con una biometria comportamentale (il modo in cui si digita o si tocca lo schermo) — ferma restando l'indipendenza degli elementi (Okay; OneSpan, 2025 — da verificare il testo finale). È un cambio di paradigma: si apre la porta a un'autenticazione che osserva il comportamento, non solo le credenziali.

Sul piano dell'inclusione, il PSR pretende che la SCA non tagli fuori chi non ha uno smartphone o una certa dimestichezza digitale: i PSP devono prevedere mezzi alternativi, perché l'autenticazione forte non può diventare una barriera all'accesso ai servizi di pagamento di base (Norton Rose Fulbright, 2026). E qui entra in scena l'Autorità bancaria europea: una volta entrato in vigore il PSR, la EBA è incaricata di scrivere gli standard tecnici che daranno corpo alle norme su SCA, monitoraggio delle transazioni e prevenzione delle frodi (OneSpan, 2025). Il regolamento fissa i principi, ma il dettaglio operativo — quello su cui si vince o si perde una contestazione — arriverà dopo, con atti ancora da verificare. Chi pianifica oggi deve mettere a bilancio che le regole fini non sono ancora scritte.

Chi paga per la truffa autorizzata

È il punto che dovrebbe svegliare chiunque firmi contratti o gestisca rischi. La frode dei pagamenti europei non è più, in larga parte, la frode "classica" del numero di carta clonato. È l'Authorised Push Payment fraud: il truffatore non viola alcun sistema, convince la vittima a pagare con le proprie mani. Social engineering, finte e-mail della banca, finte chiamate dell'ufficio antifrode, IBAN sostituiti nelle fatture. La vittima autorizza davvero il bonifico — ed è proprio questo che, sotto la PSD2, le toglieva ogni protezione.

Il PSR sposta i pesi. Sulla base dei testi di compromesso, quando un truffatore si finge il PSP dell'utente attraverso i canali di comunicazione del PSP stesso — il cosiddetto spoofing, con falsificazione di numero, nome o messaggio del mittente — il prestatore è tenuto a rimborsare il consumatore per intero, a condizione che questi abbia notificato senza indebito ritardo sia il proprio PSP sia le autorità di polizia (Arthur Cox; EY, 2026). Le fonti indicano un obbligo di rimborso entro dieci giorni lavorativi, con l'onere della prova ribaltato: è il PSP a dover dimostrare la frode del cliente o la sua colpa grave per escludere la responsabilità (Freshfields, 2026 — da verificare i contorni definitivi delle condizioni). Non è un rimborso automatico e incondizionato. Ma l'asse si muove dal consumatore verso l'operatore, e l'inversione dell'onere probatorio è la vera bomba.

La catena della responsabilità, però, non si ferma alla banca. Il PSR coinvolge anche gli operatori delle comunicazioni elettroniche e le piattaforme online: i provider di telefonia e messaggistica sono chiamati a cooperare nella prevenzione di SIM swap e spoofing, e le piattaforme online che, avvisate di contenuti fraudolenti, non li rimuovono, possono rispondere verso la banca che ha rimborsato il cliente truffato (Norton Rose Fulbright; Consiglio UE, 2026). Si aggiunge un obbligo di condivisione delle informazioni sulle frodi — IBAN sospetti, tecniche di manipolazione — tramite una piattaforma dedicata. A questo si lega la responsabilità per la verifica nome/identificativo: per i bonifici non coperti dal regime instant, in caso di mancata segnalazione di una discordanza prima dell'autorizzazione, la responsabilità per i fondi finiti nelle mani sbagliate può ricadere sul PSP del pagatore (EY, 2026). Il messaggio è chiaro: chi sta nel flusso del pagamento e non presidia, paga.

FIDA: l'Open Finance che doveva morire e non è morto (per ora)

Il terzo pezzo del disegno è il più ambizioso e il più traballante: il Financial Data Access Regulation, FIDA (proposta della Commissione europea del 28 giugno 2023, COM(2023) 360). Se la PSD2 ha aperto i dati di pagamento, FIDA vuole aprire l'intero universo dei dati finanziari del cliente: conti di risparmio e investimento, polizze assicurative non-vita, mutui, prestiti, pensioni, dati creditizi. È il salto dall'Open Banking all'Open Finance vero e proprio.

Il meccanismo cardine è il consenso del cliente, che resta padrone dei propri dati e decide chi può accedervi attraverso schemi di condivisione (i cosiddetti financial data sharing schemes) e cruscotti di gestione delle autorizzazioni. Nasce una nuova categoria regolata, il Financial Information Service Provider (FISP): un soggetto che può solo ricevere e usare i dati, non produrli, e che opera su licenza (Norton Rose Fulbright; PFR Rechtsanwälte).

Ma FIDA ha rischiato grosso. All'inizio del 2025, una bozza trapelata del programma di lavoro della Commissione lasciava intendere un possibile ritiro, sull'onda delle preoccupazioni per i costi di compliance e di una spinta — in particolare dalla Francia — verso lo stralcio. Alla fine la proposta è stata mantenuta tra i dossier pendenti (Freshfields, 2025; Capco, aprile 2025). Il prezzo del salvataggio è stato un ridimensionamento: tra le ipotesi emerse, l'esclusione dei gatekeeper ai sensi del Digital Markets Act dalla possibilità di ottenere licenze FISP — per tenere i colossi tech fuori dai dati finanziari europei — la limitazione dell'ambito dei dati e tempistiche di attuazione più lunghe (Axway; Taylor Wessing, luglio 2025 — da verificare il testo finale).

Lo stato dell'iter, ad aprile 2026, è in trilogo, con un orizzonte ben più incerto di PSD3 e PSR: le stime degli operatori collocano un eventuale accordo politico nel 2026-2027, la pubblicazione nel 2027 e l'applicabilità — di norma 24 mesi dopo l'entrata in vigore — verosimilmente tra il 2029 e il 2030 (Crassula; Freshfields, 2026 — da verificare). Il nodo più contestato è il compenso tra chi detiene i dati e chi li usa: nessuno vuole regalare il patrimonio informativo, nessuno vuole pagarlo troppo. È lì che si decide se l'Open Finance sarà un mercato o un'utopia.

Cosa cambia, in concreto, per banche, fintech e clienti

Per le banche incumbent il messaggio è duplice. Da un lato perdono il monopolio informativo: prima sui pagamenti, domani — se FIDA arriva — sull'intero rapporto finanziario del cliente. Dall'altro acquisiscono nuove armi e nuovi obblighi: la verifica del beneficiario è un onere operativo, ma anche uno scudo reputazionale; il regime sulla frode impone investimenti in monitoraggio e autenticazione, ma riduce l'esposizione di chi li fa per davvero.

C'è poi un fronte sottovalutato: il cruscotto dei permessi. Ogni PSP che offre conti online dovrà costruire una dashboard che mostri in tempo reale a quali terzi il cliente ha dato accesso ai propri dati, con la possibilità di revocare o concedere autorizzazioni (Open Banking Tracker; Speednet, 2026). Sembra burocrazia, ma è una bomba reputazionale: per la prima volta molti clienti vedranno nero su bianco l'elenco delle app che leggono i loro conti, e una dashboard mal disegnata rischia di scatenare revoche di massa e telefonate al servizio clienti. Il design diventa una questione di rischio.

Per le fintech il pacchetto è un'arma a doppio taglio. La fusione tra istituti di pagamento ed e-money in un'unica categoria, l'accesso armonizzato e il divieto di screen scraping — che impone alle banche interfacce dedicate realmente performanti — abbassano alcune barriere e tolgono alibi agli incumbent. Ma il regolamento alza l'asticella della responsabilità: chi vuole stare nel flusso dei dati e dei pagamenti deve reggere il peso della sicurezza, della SCA, della cooperazione antifrode. L'innovazione senza presidi diventa un boomerang.

Per il cliente — impresa o consumatore — la promessa è controllo e protezione: bonifici istantanei alla pari di quelli ordinari, un controllo sul nome prima di pagare, un regime di rimborso più favorevole in caso di inganno, e in prospettiva la possibilità di portare i propri dati finanziari dove vuole. La controindicazione è la solita: più dati circolano, più aumenta la superficie d'attacco. Il consenso diventa la chiave di tutto, e un consenso mal informato è una porta lasciata aperta.

Cosa deve fare adesso un operatore

Le scadenze del PSR sono a diciotto-ventiquattro mesi, ma alcuni obblighi — verifica del beneficiario, bonifici istantanei — sono già legge oggi. Chi gestisce un'impresa che incassa e paga, o consiglia chi lo fa, può cominciare da una lista corta. Primo: allineare l'intestazione dei conti correnti con la ragione sociale e i nomi commerciali usati in fattura, per non subire avvisi di "close match" che bloccano gli incassi. Secondo: rivedere i contratti con i fornitori di servizi di pagamento, cercando le clausole sulla ripartizione della responsabilità per frode e su chi risponde in caso di spoofing o di mancata segnalazione di discordanze. Terzo: formare il personale sui nuovi schemi di truffa autorizzata, perché il bonifico autorizzato per inganno resta in larga parte fuori dal rimborso se non c'è impersonazione del PSP.

Per banche e fintech la lista è più tecnica: mappare le obbligazioni del PSR e i relativi tempi, prepararsi agli standard tecnici della EBA su SCA e antifrode, progettare le dashboard dei permessi pensando all'esperienza del cliente prima che alla conformità, aggiornare le interfacce dedicate per i terzi rispettando i KPI di performance, e attrezzare le procedure di rimborso con la gestione dell'onere della prova ribaltato (Worldline; Norton Rose Fulbright, 2026). Nessuna di queste cose si improvvisa la settimana prima della scadenza. E nessuna di queste indicazioni è una garanzia: la conformità riduce il rischio, non lo azzera, e ogni situazione va valutata sul caso concreto.

L'avvertenza dell'Avvocato del Diavolo

Diffidate di chi vi vende l'Open Finance come paradiso o come apocalisse. È né l'uno né l'altro: è una redistribuzione di poteri, dati e responsabilità, scritta in regolamenti che diventeranno applicabili tra diciotto e ventiquattro mesi e che, per FIDA, potrebbero non arrivare prima della fine del decennio. Chi gestisce un'impresa che incassa e paga, chi consiglia banche o fintech, chi firma contratti con fornitori di servizi di pagamento, dovrebbe già oggi mettere mano a tre cose: le clausole sulla ripartizione della responsabilità per frode, le procedure interne di verifica del beneficiario, e il governo dei consensi alla condivisione dei dati. Non perché lo imponga una scadenza imminente — non per tutto — ma perché quando la diga si apre del tutto, chi ha già fatto i compiti non rincorre. E nei pagamenti, rincorrere significa pagare per gli altri.

Tutte le affermazioni di questo articolo sono ancorate a fonti verificabili e datate, citate inline. I dati riflettono le informazioni disponibili al 22 giugno 2026 e vanno verificati alla luce degli sviluppi successivi.