Sovranità tecnologica & fintech

Sandbox regolamentare: il recinto dove l'innovazione finanziaria impara a camminare — e dove qualcuno finge di farlo

Duarte — Lisbona, 1 luglio 2026

Esiste un luogo nel diritto finanziario dove le regole ordinarie sono sospese, dove una startup può fare cose che a chiunque altro costerebbero una sanzione, dove il regolatore siede accanto all'innovatore invece di stargli di fronte. Si chiama sandbox regolamentare e, da quando il Financial Conduct Authority britannico ne ha lanciato la prima versione nel 2016, è diventata la risposta istituzionale quasi universale a una domanda fondamentale: come si regola ciò che non si capisce ancora?

La risposta onesta sarebbe: non si regola, si osserva. La sandbox è esattamente questo — uno spazio controllato dove un operatore autorizzato in via temporanea e derogatoria può testare prodotti, servizi o modelli di business innovativi su una platea reale di clienti, entro limiti definiti di volume, durata e perimetro geografico, sotto la sorveglianza diretta del supervisore. Non è esenzione dalla legge: è una licenza sperimentale con scadenza.

Capire come funziona davvero — e dove smette di funzionare — è una delle competenze che nessuna banca, nessuna fintech seria e nessun avvocato che voglia restare rilevante può permettersi di ignorare.

BPLab: quando Lisbona ha deciso di non aspettare Bruxelles

Il Portogallo non ha aspettato che l'Unione Europea disegnasse un framework comune. Il Banco de Portugal ha lanciato il proprio programma sandbox — BPLab — nel 2018, collocandosi tra i primi supervisori europei continentali ad adottare questo strumento. La scelta non era ideologica: era pragmatica. Lisbona aveva già un ecosistema fintech in crescita (da verificare: stima di oltre 200 startup fintech attive in Portogallo al 2023), un settore bancario reduce dalla crisi Novo Banco e BES, e la consapevolezza che aspettare regole europee uniformi significava perdere imprese a favore di Londra o Dublino.

BPLab si struttura come un programma a domanda. L'operatore — che può essere una startup, un incumbent bancario che vuole testare un nuovo servizio, o persino una società non ancora autorizzata — presenta una candidatura descrivendo la tecnologia, il modello di business, i rischi identificati, il numero massimo di clienti coinvolti e il piano di uscita al termine del periodo sperimentale. Il Banco de Portugal valuta se il progetto è genuinamente innovativo (non basta applicare tecnologia esistente a un prodotto standard), se i rischi sono proporzionati e gestibili, se l'operatore ha le capacità per condurre il test in modo sicuro.

Se la domanda è accettata, l'operatore riceve un'autorizzazione derogatoria temporanea. Può operare senza alcune delle licenze ordinariamente richieste, o con requisiti patrimoniali ridotti, per un periodo che tipicamente non supera i dodici mesi (prorogabili). Deve reportare al supervisore con una frequenza molto superiore all'ordinario. E deve sapere — fin dal primo giorno — cosa farà quando il tempo finirà.

Tra i progetti entrati in BPLab figurano (da verificare: dati di dettaglio non tutti pubblicamente verificabili) soluzioni di open banking che aggregavano conti su più banche prima che PSD2 diventasse operativa in Portogallo, sistemi di pagamento istantaneo per piccole imprese, piattaforme di identità digitale per onboarding remoto, e moduli di scoring creditizio basati su dati alternativi. Nessuna di queste tecnologie era illegale in senso stretto; alcune erano semplicemente in una zona grigia che il diritto esistente non aveva ancora mappato.

L'hub europeo: quando i regolatori decidono di parlarsi

A livello europeo, la risposta alla frammentazione tra ventisette sandbox nazionali è arrivata con il FinTech Facilitation Hub delle Autorità di vigilanza europee — EBA (banche), ESMA (mercati finanziari), EIOPA (assicurazioni). Attivato nel 2023 (da verificare: data di avvio operativo completo), l'hub non è una sandbox in senso tecnico: non rilascia autorizzazioni derogatorie. È un punto di contatto centralizzato per operatori che vogliono capire come le regole europee si applicano alla loro innovazione, e un meccanismo di coordinamento tra i supervisori nazionali quando un progetto coinvolge più giurisdizioni.

Il valore pratico è reale ma limitato. L'hub può dirti se la tua piattaforma di tokenizzazione di crediti commerciali rientra nell'ambito del Regolamento MiCA o se richiede autorizzazione come gestore di fondi ai sensi di AIFMD. Non può esentarti da nessuna di quelle normative. Per le autorizzazioni derogatorie, devi ancora bussare alla porta del supervisore nazionale competente e, se operi in più paesi, devi gestire più processi paralleli con più supervisori — con il rischio di ricevere interpretazioni divergenti dello stesso fatto.

Questa frammentazione è il problema strutturale che il sistema non ha ancora risolto. Una startup con sede a Lisbona che vuole testare un servizio anche in Spagna e Italia deve affrontare tre processi distinti, con timeline, requisiti documentali e approcci valutativi diversi. Il mercato unico digitale, nel fintech regolamentare, è ancora un'aspirazione.

Il DLT Pilot Regime: la sandbox per le infrastrutture di mercato su blockchain

Il caso più interessante — e strutturalmente diverso da tutti gli altri — è il Regolamento UE 2022/858, meglio noto come DLT Pilot Regime, entrato in applicazione il 23 marzo 2023. Qui non si tratta di una sandbox per prodotti o servizi di dettaglio: è una sandbox per le infrastrutture di mercato — le sedi di negoziazione, i sistemi di regolamento, le controparti centrali — che vogliono utilizzare la tecnologia a registro distribuito per emettere, negoziare e regolare strumenti finanziari tokenizzati.

Il perimetro è definito con precisione chirurgica. Possono accedere al regime pilota solo le infrastrutture autorizzate ai sensi di MiFID II o del Regolamento CSDR, o che chiedono un'autorizzazione specifica nel quadro del pilota. I limiti quantitativi sono espliciti: il valore di mercato degli strumenti finanziari ammessi alle negoziazioni non può superare i 6 miliardi di euro per singola sede; il valore totale del mercato operante nel regime non può eccedere i 9 miliardi. Sono soglie basse per definizione — sufficienti a testare senza rischi sistemici, insufficienti per scalare un business.

Il DLT Pilot Regime è la dimostrazione più sofisticata di cosa può essere una sandbox ben disegnata: non un vuoto normativo, ma un'architettura temporanea con regole proprie, deroghe specifiche rispetto al regime ordinario (ad esempio, la possibilità di combinare funzioni di negoziazione e regolamento che la normativa ordinaria tiene separate), e una clausola di tramonto — il regime è previsto per una durata massima di sei anni, al termine dei quali o diventa diritto permanente o si chiude.

I limiti tipici: volume, durata, perimetro, exit plan

Ogni sandbox — nazionale o europea — condivide una struttura di vincoli che non sono accessori ma costitutivi. Capirli è capire cosa una sandbox può e non può fare.

Volume massimo. Il numero di clienti coinvolti, il valore delle transazioni, il patrimonio gestito sono sempre soggetti a un tetto. La ratio è ovvia: si vuole che un eventuale fallimento del modello abbia conseguenze limitabili. Il problema è che per molte tecnologie — specialmente quelle con forti esternalità di rete — il test a basso volume non è un test reale. Un sistema di pagamento istantaneo funziona in modo completamente diverso a mille transazioni al giorno rispetto a un milione. I risultati del test in sandbox possono essere genuini ma non scalabili.

Durata. Le finestre sono tipicamente tra i sei e i ventiquattro mesi, con possibilità di proroga. Sono ragionevoli per testare un prodotto ma non per validare un modello di business in condizioni di mercato reali, che cambiano nel corso di anni. Una sandbox da dodici mesi lanciata nel 2021, nel pieno della liquidità abbondante, avrebbe dato risultati completamente diversi da una condotta nel 2023, dopo il rialzo dei tassi.

Perimetro geografico. Le autorizzazioni derogatorie valgono nel perimetro della giurisdizione che le rilascia. Questo è un vincolo pesante per i servizi digitali, che per natura non hanno confini geografici. Un wallet di pagamento che funziona in Portogallo ma non può essere usato da un cliente in Spagna non è un prodotto europeo — è un prodotto locale con ambizioni europee bloccate alla frontiera.

Exit plan. È il requisito più sottovalutato e il più importante. Prima di entrare in sandbox, l'operatore deve dichiarare cosa farà alla fine del periodo: richiederà la licenza ordinaria, modificherà il prodotto per rientrare nelle norme esistenti, oppure chiuderà il servizio e rimborserà i clienti. Il regolatore vuole questa risposta scritta prima di concedere l'accesso. È la garanzia che la sandbox non diventa un limbo permanente.

Regulatory arbitrage e sandwashing: i rischi che nessuno ama nominare

Il dibattito serio sulle sandbox deve includere due patologie sistemiche che i regolatori nominano raramente nei comunicati ufficiali ma discutono intensamente nei corridoi.

Il regulatory arbitrage da sandbox avviene quando un operatore usa lo spazio derogatorio non per testare genuina innovazione ma per svolgere attività che nel regime ordinario non otterrebbe mai l'autorizzazione, oppure per operare in modo permanente sfruttando le proroghe successive. Non è necessariamente illecito — se il regolatore concede la proroga, la sta autorizzando. Ma crea una asimmetria competitiva rispetto agli incumbent che operano sotto il regime pieno: pagano costi regolamentari più alti, sono soggetti a requisiti più stringenti, e si trovano a competere con operatori che hanno costi strutturalmente inferiori grazie allo spazio derogatorio.

Il sandwashing è la versione più sofisticata del problema. Un operatore presenta in sandbox un progetto genuinamente innovativo — diciamo, un sistema di tokenizzazione di crediti commerciali su DLT — per ottenere l'autorizzazione e la visibilità che ne derivano, ma il vero modello di business che intende scalare è diverso, meno trasparente, potenzialmente problematico. La sandbox ha funzionato come lavaggio dell'immagine: l'operatore può ora presentarsi come "validato dal supervisore" nel mercato ordinario, anche se ciò che ha testato in sandbox non è ciò che intende fare in scala.

Non esistono dati sistematici sul fenomeno — per definizione, chi fa sandwashing non lo dichiara. Ma supervisori come la FCA britannica e la Banca centrale olandese hanno riconosciuto il rischio nei loro documenti di revisione dei programmi sandbox. La risposta istituzionale è una maggiore selezione in ingresso e un monitoraggio più ravvicinato durante il periodo sperimentale.

Come si presenta una domanda: la guida pratica

Per chi valuta concretamente l'accesso a una sandbox — nel contesto portoghese o in quello di un altro supervisore europeo — il processo segue una struttura relativamente standardizzata.

Il primo passaggio è la pre-domanda informale. Quasi tutti i programmi sandbox prevedono un canale di contatto preliminare — un Innovation Hub o un Fintech Facilitation Office — dove è possibile discutere il progetto prima di impegnarsi in una candidatura formale. Questa fase ha un valore enorme: consente di capire se il supervisore ritiene il progetto eleggibile, quali sono le criticità che vedrà nella domanda formale, e se esiste già un quadro normativo che regola l'attività senza necessità di deroga.

La domanda formale richiede tipicamente: descrizione tecnica del prodotto o servizio; analisi dei rischi per i consumatori e per la stabilità finanziaria; identificazione delle norme derogatorie richieste e loro giustificazione; piano operativo del test (numero di clienti, volume massimo, durata); politiche di gestione dei reclami e di rimborso; exit plan dettagliato; informazioni sulla solidità finanziaria e organizzativa del richiedente.

I tempi di valutazione variano. BPLab del Banco de Portugal ha indicato (da verificare) una finestra di valutazione di circa tre mesi. Altri supervisori europei oscillano tra due e sei mesi. L'incertezza sui tempi è uno dei punti di attrito più citati dalle fintech che hanno attraversato il processo.

Cosa succede alla fine: tre destini possibili

La fine del periodo sandbox non è il fine della storia. Esistono tre esiti tipici, con frequenze molto diverse nella pratica.

Licenza ordinaria. È il risultato più desiderabile e meno frequente. L'operatore ha dimostrato che il modello funziona, che i rischi sono gestibili, che i consumatori sono stati trattati correttamente. Presenta domanda di autorizzazione nel regime pieno e la ottiene — spesso con qualche adattamento del prodotto per rientrare nel perimetro normativo standard. I dati del test in sandbox diventano documentazione di supporto alla domanda di licenza, riducendo l'incertezza valutativa del supervisore.

Chiusura ordinata. Il test ha dimostrato che il modello non è sostenibile, oppure che i rischi nel regime pieno sarebbero eccessivi, oppure semplicemente che il mercato non è abbastanza ampio. L'operatore chiude il servizio secondo il piano concordato: i clienti vengono rimborsati o trasferiti, i dati vengono gestiti secondo il GDPR, il supervisore archivia il caso come test concluso. Non è un fallimento in senso negativo — la sandbox ha fatto esattamente ciò per cui esiste: ha permesso di scoprire i limiti del modello senza danni sistemici.

Regime definitivo adattato. È il caso più interessante dal punto di vista regolamentare, e il DLT Pilot Regime ne è l'esempio paradigmatico. Il legislatore — europeo o nazionale — decide che l'esperienza sandbox ha prodotto abbastanza evidenze per costruire un regime normativo permanente. Le regole derogatorie temporanee vengono convertite in diritto ordinario, eventualmente modificate sulla base dei risultati del test. Questo percorso ha tempi lunghi (anni, non mesi) ma è l'unico che consente vera scalabilità.

Tecnologie testate: un catalogo non esaustivo

Le sandbox europee degli ultimi anni hanno visto transitare una varietà considerevole di tecnologie. Open banking: aggregatori di conti che accedevano ai dati bancari dei clienti prima che PSD2 imponesse le API standardizzate — in sandbox potevano operare con accordi bilaterali con le banche. Instant payments: sistemi di pagamento in tempo reale per segmenti non coperti da SEPA Instant, spesso rivolti a piccole imprese o a pagamenti transfrontalieri extrazona euro. Tokenizzazione di strumenti finanziari: azioni, obbligazioni, quote di fondi rappresentati come token su blockchain, con il DLT Pilot Regime che ha creato il framework europeo specifico. Identità digitale e onboarding remoto: processi KYC basati su biometria e documenti digitali, in deroga ai requisiti di verifica fisica presenti in alcune normative antiriciclaggio nazionali. Scoring creditizio alternativo: modelli che usano dati non tradizionali — comportamento di pagamento di utenze, dati di e-commerce, social media (da verificare: alcuni supervisori hanno già limitato l'uso di quest'ultima categoria) — per valutare il merito creditizio di soggetti senza storia bancaria.

La domanda che rimane aperta

Una sandbox è un privilegio regolamentare. Come ogni privilegio, può essere usato bene o male. Il supervisore che la gestisce bene è quello che entra nel processo sapendo cosa vuole imparare, che mantiene la sorveglianza durante il periodo sperimentale senza burocratizzarla al punto da svuotarla di senso, e che trasforma le evidenze raccolte in decisioni regolamentari utili per tutto il mercato — non solo per l'operatore che ha partecipato al test.

Il supervisore che la gestisce male è quello che usa la sandbox come strumento di comunicazione — per segnalare al mercato di essere "innovation friendly" — senza avere né le risorse né l'intenzione di apprendere davvero dal processo. In quel caso, la sandbox diventa teatro: uno spazio dove si recita l'innovazione, dove l'operatore ottiene visibilità e legittimazione, e dove il regolatore ottiene conferenze stampa. Nessuno ottiene un mercato finanziario migliore.

Distinguere le une dalle altre richiede attenzione ai dettagli: il numero di progetti effettivamente entrati in licenza ordinaria, la qualità delle pubblicazioni sui risultati dei test, la disponibilità del supervisore a condividere le lezioni apprese anche con gli operatori che non hanno partecipato. Il Banco de Portugal ha pubblicato report periodici sull'esperienza BPLab (da verificare: frequenza e completezza di tali pubblicazioni). L'EBA ha prodotto analisi comparative dei programmi sandbox europei che costituiscono materiale di riferimento per chiunque voglia capire il fenomeno senza affidarsi alla narrazione dei comunicati stampa.

Il recinto serve. Ma il recinto non è il pascolo.

Articolo a carattere informativo e divulgativo. I dati contrassegnati con "(da verificare)" non sono stati oggetto di verifica primaria diretta. Non costituisce parere legale.

Banda · Duarte · Portogallo · N.VIII