Pagos instantáneos, VoP y deepfakes: la UE descubre que el fraude no lo arregla solo el banco

Las actas del grupo asesor de pagos de la Comisión Europea dejan una escena bastante europea: mucha ambición, bastante ingeniería institucional y un detalle nada menor que sigue sin resolverse del todo, quién asume el coste operativo y jurídico de hacer que los pagos instantáneos funcionen sin disparar el fraude ni destrozar la experiencia de usuario. No es una discusión teórica. Afecta al diseño de productos, a la autenticación, al reparto de responsabilidad y a la forma en que bancos, PSPs y comercios tendrán que encajar nuevas obligaciones que llegan por varias vías a la vez.

Lo relevante no es solo que Bruselas quiera más pagos inmediatos. Eso ya lo sabíamos. Lo relevante es cómo las actas muestran dónde están hoy los cuellos de botella reales: la adopción en punto de venta, la fricción regulatoria entre seguridad y conversión, la presión antifraude y la necesidad de que la verificación del beneficiario no se convierta en un ritual vacío. Dicho sin rodeos: el regulador quiere velocidad, seguridad y escala. El mercado quiere además rentabilidad. Y esas tres cosas no siempre caben en la misma diapositiva.

Hay otro elemento interesante. Las actas permiten leer entre líneas qué preocupa de verdad a la industria sin tener que pasar por el filtro del comunicado triunfalista. Cuando un foro técnico vuelve una y otra vez sobre autenticación, responsabilidad, mensajería, interoperabilidad y experiencia de pago en comercio físico, la lectura práctica es simple: el problema no es lanzar otra sigla en Bruselas, sino conseguir que los incentivos, las reglas técnicas y el riesgo legal no tiren cada uno para un lado distinto.

Qué sí dicen las actas y por qué importan

La documentación apunta a varias prioridades consistentes con la agenda comunitaria en pagos: extender el uso de pagos instantáneos, mejorar la prevención del fraude y avanzar en soluciones paneuropeas que puedan competir con esquemas ya asentados. También recoge debates sobre PSD3 y el futuro Reglamento de Servicios de Pago, dos piezas que importan mucho porque redefinen obligaciones de proveedores de servicios de pago, acceso a infraestructuras y reparto de riesgos en fraude y autenticación.

Hasta ahí, nada especialmente sorprendente. La novedad está en el tono técnico de las preocupaciones. No se discute solo si los pagos inmediatos son deseables; se discute qué los frena en la práctica, sobre todo cuando salen del móvil entre particulares y entran en escenarios más exigentes, como el pago en comercio físico. Ahí aparecen las preguntas incómodas: cómo integrar la solución en terminales y wallets, cómo gestionar la autenticación reforzada sin arruinar la conversión y cómo hacer convivir la prevención del fraude con una experiencia de pago que no haga que el usuario vuelva corriendo a la tarjeta.

Ese equilibrio tiene traducción jurídica directa. En el ecosistema europeo de pagos, el diseño del flujo técnico casi nunca es neutral: determina qué obligación se activa, quién debe monitorizar el riesgo, qué información debe mostrarse al usuario y, llegado el caso, quién se come la reclamación.

La verificación del beneficiario cambia el debate, pero no lo simplifica

Uno de los puntos que más pesa en esta conversación es la verificación del beneficiario, conocida como VoP. Su lógica es fácil de entender: antes de ejecutar una transferencia, el ordenante recibe una comprobación sobre la correspondencia entre el identificador de cuenta y el nombre del beneficiario. Sobre el papel, parece la típica medida que nadie puede discutir. En la práctica, obliga a rehacer procesos, mensajería, interfaces y gestión de incidencias.

La cuestión jurídica no es menor. Si una entidad incorpora un mecanismo de comprobación previa del beneficiario, ya no basta con defender que el cliente pulsó “aceptar” y, por tanto, asumió el resultado sin más. Lo que gana peso es la calidad del aviso, el diseño del journey, la trazabilidad del resultado devuelto y la capacidad de demostrar qué información recibió realmente el usuario antes de confirmar la orden. En pagos, el detalle de interfaz termina teniendo consecuencias de responsabilidad. Siempre pasa. Esta vez no será distinto.

Conviene aterrizarlo en norma. Bajo PSD2, la autenticación reforzada del cliente se articula en el artículo 97 de la Directiva (UE) 2015/2366, y su desarrollo técnico descansa en el Reglamento Delegado (UE) 2018/389 sobre RTS de SCA y CSC. Eso no resuelve por sí solo el problema del fraude por manipulación del ordenante, pero sí delimita una parte del tablero: autenticar bien no equivale automáticamente a prevenir una estafa inducida. Son planos distintos. La autenticación confirma que quien inicia la operación supera ciertos controles; no certifica que su voluntad no haya sido manipulada por un tercero.

Ese matiz es el que vuelve tan relevante la capa previa de verificación del beneficiario. No elimina el fraude, pero sí añade una señal estructurada antes de la ejecución. Y cuando esa señal existe, cambia la conversación interna entre equipos jurídicos, fraude, operaciones y atención al cliente. También cambia la conversación con el supervisor.

Fraude inducido: menos debate filosófico, más diseño operativo

Las actas también reflejan la preocupación por el fraude en pagos, incluida la manipulación del usuario mediante suplantación. La fuente alude, entre otros ejemplos, a fraudes vehiculados por mensajería y falsa identidad bancaria. Con eso basta para entender el trasfondo: el ecosistema regulatorio europeo está dejando de mirar solo el acceso no autorizado y está prestando más atención al pago técnicamente autorizado pero materialmente inducido.

No hace falta adornarlo con futurismo de voz clonada para ver el problema. Ya es bastante serio tal como está documentado: el cliente recibe instrucciones falsas, cree hablar con su banco o con un proveedor legítimo y ordena él mismo la transferencia. Desde el punto de vista técnico, la operación puede estar correctamente autenticada. Desde el punto de vista económico, el dinero se ha ido. Y desde el punto de vista jurídico, empieza el festival habitual: qué alertas existían, qué controles operaban, qué información se mostró y si el PSP actuó con el nivel de diligencia exigible.

Ese desplazamiento del foco tiene consecuencias prácticas inmediatas. Los programas antifraude ya no pueden limitarse a credenciales comprometidas, malware o accesos anómalos. Tienen que incorporar señales de manipulación contextual, anomalías conductuales, patrones de beneficiario y mecanismos de warning que sean defensibles si luego llega una reclamación. No porque lo diga una frase grandilocuente del sector, sino porque la combinación entre pagos instantáneos y fraude de ingeniería social reduce el margen de corrección a casi cero.

Y ahí aparece el dilema regulatorio clásico: cuanto más agresivo sea el control preventivo, más fricción introduces; cuanto menos fricción, más exposición dejas viva. Bruselas quiere las dos cosas a la vez. El mercado lleva años intentando hacer magia con ese mandato.

Instant payments en punto de venta: el verdadero examen no está en el P2P

Durante años, buena parte del discurso sobre pagos inmediatos se ha apoyado en casos de uso entre particulares o en comercio electrónico. El terreno decisivo, sin embargo, está en el punto de venta. Si el pago instantáneo quiere convertirse en alternativa de escala, tiene que funcionar en el momento más ingrato posible: terminal delante, cliente con prisa, comercio midiendo abandono y una tolerancia al fallo cercana a cero.

Las actas recogen que el subgrupo sobre instant payments at point of sale identificó obstáculos prioritarios. La fuente resumida que tenemos no permite verificar una lista completa y cerrada de esos obstáculos, así que conviene no inventar una taxonomía detallada donde el documento disponible no la ofrece. Pero sí deja claro algo sustantivo: la discusión no gira en torno a una única barrera, sino a una combinación de integración técnica, experiencia de usuario, reglas operativas e incentivos de mercado.

Eso ya es bastante revelador. Si el atasco fuese solo técnico, se resolvería con especificaciones. Si fuese solo comercial, se resolvería con precio. Cuando un grupo de este tipo identifica varios frenos a la vez, la lectura es peor: el producto compite no contra un vacío, sino contra una infraestructura de tarjetas con décadas de aceptación, reglas maduras y experiencia casi instantánea para el consumidor. Pretender que una transferencia instantánea gane terreno en POS sin resolver su coreografía completa es pedirle a un raíl nuevo que funcione como si ya llevara veinte años en producción.

Además, el comercio físico castiga cualquier diseño torpe. Una alerta adicional, un paso extra o una comprobación mal explicada no son un detalle: son segundos. Y en pagos, los segundos tienen conversión, abandono y coste de soporte.

PSD3 y PSR: por qué esta reforma sí puede mover el centro de gravedad

Las referencias a PSD3 y al futuro PSR importan porque ahí se juega una parte esencial del rediseño normativo. La Comisión propuso en junio de 2023 una nueva Directiva de servicios de pago y un Reglamento de servicios de pago para revisar el marco actual, reforzar la lucha contra el fraude y homogeneizar reglas que hoy siguen fragmentadas por la transposición nacional de PSD2. No es un mero retoque técnico. Es un intento bastante explícito de arreglar algunas grietas que PSD2 dejó abiertas.

La razón es conocida por cualquier entidad que haya peleado reclamaciones en estos años: PSD2 mejoró el perímetro de autenticación y acceso, pero no cerró del todo los incentivos perversos en fraude de manipulación del pagador. El paquete PSD3/PSR intenta afinar obligaciones de información, prevención y cooperación entre PSPs. También busca simplificar aspectos operativos que bajo una directiva terminaban interpretándose de forma desigual según jurisdicción. Menos poesía legislativa y más reglamento directamente aplicable. Bruselas, cuando quiere, también aprende.

Para bancos y PSPs, la consecuencia es clara. No basta con leer la reforma como “más de lo mismo con nueva numeración”. Hay que mapear qué controles de fraude estaban diseñados para cumplir PSD2 de forma mínima y cuáles van a necesitar rediseño si el estándar regulatorio se desplaza hacia una prevención más activa y una mejor gestión de señales previas a la ejecución.

Esto afecta además a contratos, evidencias y gobierno interno. Si cambian los puntos donde se espera una intervención del proveedor antes de ejecutar el pago, cambian también los registros que conviene conservar, los criterios de escalado y la forma de explicar al consejo por qué un cierto nivel de falsa positiva puede ser jurídicamente defendible.

La pieza de pagos instantáneos no va sola, pero tampoco conviene mezclarlo todo

Una tentación habitual en compliance es convertir cualquier debate en una sopa de siglas: DORA por aquí, NIS2 por allá, GDPR al fondo y algo de AI Act para rematar el bingo. Queda muy completo en el PowerPoint y muy poco útil en la operación diaria. En este caso, las actas sí conectan de forma clara estrategia de pagos, fraude y PSD3/PSR. Con eso hay material de sobra. Forzar una conexión explícita adicional con DORA, NIS2 y GDPR a partir de la fuente resumida disponible sería ir más allá de lo acreditado.

Eso no significa que esas normas sean irrelevantes. Significa algo más sencillo y más honesto: no hace falta atribuir al documento lo que no dice para entender que el despliegue operativo de pagos instantáneos convivirá con otros marcos regulatorios ya vigentes o en fase de implementación. Cada uno juega su partido.

DORA, por ejemplo, sí es material para cualquier PSP o entidad financiera que dependa de terceros TIC, pruebas, gestión de incidentes y resiliencia operativa. Ahí los artículos 5 a 16 cubren el marco de gestión del riesgo TIC; los artículos 17 a 23, la notificación y clasificación de incidentes relacionados con las TIC; y el artículo 28 y siguientes, la gestión del riesgo de terceros proveedores de servicios TIC. Pero una cosa es reconocer esa coexistencia regulatoria y otra decir que las actas concretas establecen esa conexión de forma expresa.

Con NIS2 ocurre algo parecido. El artículo 21 fija medidas de ciberseguridad para entidades esenciales e importantes; el artículo 23 aborda la notificación de incidentes. Puede afectar a actores del ecosistema según su encaje nacional y sectorial. Aun así, si el documento base no desarrolla esa interrelación, lo correcto es no colgarle una tesis que no puede soportar.

Y GDPR, por supuesto, sigue ahí cuando los sistemas antifraude tratan datos personales, perfiles de riesgo o monitorización conductual. Artículo 5 para principios, artículo 6 para bases jurídicas, artículo 25 para protección de datos desde el diseño y, si hay brecha, artículo 33 para notificación a la autoridad de control. Todo eso importa. Pero importa por su propio peso jurídico, no porque debamos inflarlo dentro de unas actas que no lo articulan expresamente.

Reporting y calendario: cuidado con atribuir cada frase al supervisor equivocado

Otro punto que exige precisión es el calendario de reporting industrial mencionado en el debate público asociado a estas medidas. La referencia a una primera fecha de reporte en abril de 2026 y a información histórica desde el 26 de octubre de 2022 se ha citado en materiales resumidos, pero la atribución institucional importa. En el texto aportado, esa comunicación se vincula a la Comisión, no a la EBA. Parece una sutileza burocrática. No lo es.

En regulación financiera europea, decir que algo lo fijó la EBA cuando la referencia disponible lo atribuye a la Comisión cambia la lectura de jerarquía normativa, origen del mandato y expectativas supervisoras. Y ya sabemos cómo termina eso: una frase imprecisa en un artículo hoy, una presentación interna mañana y una falsa certeza regulatoria circulando por media organización la semana siguiente.

La versión prudente, y por tanto correcta, es esta: la documentación disponible menciona una primera fecha de reporte en abril de 2026 y la consideración de información histórica desde el 26 de octubre de 2022, pero en el material aportado esa comunicación aparece asociada a la Comisión. Hasta disponer del acto o comunicación formal exacta, cualquier atribución distinta conviene evitarla.

Moraleja: en compliance, las siglas importan. También quién firma cada cosa. A veces más de lo que querría cualquier persona sensata.

Lo que cambia para producto, fraude y jurídico

Si uno aterriza todo esto en una entidad, la conversación deja de ser regulatoria en abstracto y se convierte en una lista bastante concreta de decisiones de diseño. La primera afecta a producto: dónde introducir la verificación del beneficiario, cómo presentar el resultado y qué opciones dar al cliente cuando la comprobación no devuelve una coincidencia plena. Un mensaje ambiguo aquí no es un problema de copy. Es un problema de riesgo legal.

La segunda afecta a fraude. Los equipos tendrán que decidir qué señales generan una advertencia reforzada, cuáles desencadenan fricción adicional y en qué supuestos compensa incluso impedir la ejecución inmediata o pedir confirmaciones extra, siempre dentro del marco normativo aplicable. Eso exige calibración fina. Si bloqueas demasiado, castigas negocio y experiencia. Si bloqueas poco, te quedas expuesto cuando el patrón de estafa era reconocible.

La tercera afecta a jurídico y reclamaciones. Los expedientes de fraude en pagos inmediatos exigen una reconstrucción mucho más granular del journey del usuario: qué pantalla vio, qué nombre se comparó, qué resultado devolvió el sistema, qué warning se mostró, si hubo override y qué logs lo prueban. Sin esa trazabilidad, la defensa de la entidad se vuelve sorprendentemente frágil. Y esa fragilidad no la arregla ninguna política bonita aprobada por el comité adecuado.

La cuarta afecta a terceros. Si parte de la verificación, la mensajería, la analítica antifraude o la conectividad a esquemas descansa en proveedores, el contrato tiene que recoger obligaciones operativas, niveles de servicio, evidencias, soporte en investigación y responsabilidad por fallos. Aquí DORA vuelve a asomar por la puerta trasera: no porque las actas lo unan expresamente, sino porque la dependencia tecnológica en procesos críticos de pago ya no puede tratarse como un simple anexo de procurement.

El ángulo de responsabilidad: menos excusas basadas en autenticación, más escrutinio del proceso

Hay una idea que conviene enterrar cuanto antes: pensar que una autenticación reforzada correctamente ejecutada cierra el caso por sí sola. Jurídicamente, eso nunca fue tan simple. Operativamente, ahora lo es aún menos. El foco regulatorio y supervisor se está moviendo hacia la calidad de las medidas de prevención y de la información suministrada al usuario, especialmente cuando el riesgo no es de intrusión técnica sino de manipulación.

Eso no equivale a decir que todo fraude inducido será automáticamente responsabilidad del PSP. No hay base para una afirmación tan gruesa. Sí permite anticipar algo más matizado: en escenarios de reclamación, el análisis tenderá a mirar con más detalle qué hizo la entidad antes de la ejecución, qué señales tenía a su alcance y cómo diseñó la interacción con el cliente. En otras palabras, el expediente ya no se gana solo enseñando el log de SCA.

Ese cambio es relevante también para el gobierno interno. Riesgo, fraude, operaciones, producto y legal no pueden seguir trabajando como compartimentos estancos si el momento crítico de responsabilidad está repartido entre interfaz, decisión algorítmica, reglas de alertado y ejecución del pago. Cuando cada función optimiza solo su propia métrica, el resultado suele ser una arquitectura impecable para perder reclamaciones.

Instant payments regulation: mejor hablar con precisión que con eslóganes

También conviene afinar cuando se menciona la llamada pieza normativa de pagos instantáneos. Decir sin más que “modificó el marco SEPA” simplifica demasiado una realidad jurídica más concreta y, con la fuente resumida truncada, no es una formulación que deba darse por verificada. Lo prudente es hablar del Reglamento de pagos instantáneos como la pieza de la UE que introduce obligaciones específicas para impulsar las transferencias inmediatas en euros y que modifica instrumentos previos del marco europeo de pagos, sin reducirlo a una etiqueta genérica.

Esa precisión no es academicismo. Tiene impacto práctico. Cuando un equipo interno oye “marco SEPA”, puede pensar en rulebooks de esquema, estándares de mercado y funcionamiento operativo; cuando oye “reglamento”, debería pensar en obligación jurídica directamente aplicable, plazos, supervisión y potencial sanción. Mezclar ambos planos suele producir dos males corporativos muy comunes: proyecto mal gobernado y dependencia excesiva del proveedor para interpretar la norma.

Lo relevante para las entidades es menos semántico y más operativo: la capa normativa de pagos instantáneos ya no es un experimento de nicho. Se está convirtiendo en infraestructura regulada con exigencias concretas sobre ejecución, recepción, verificación y, en determinados casos, gestión de comprobaciones ligadas a sanciones. Eso obliga a revisar capacidad técnica, procesos de onboarding, mensajería al cliente y coordinación con funciones de cumplimiento financiero y fraude.

No todo es Bruselas: la ejecución real se decide en arquitectura y operaciones

Hay una manía muy del sector regulado que conviene evitar: pensar que el problema termina cuando se publica la norma o cuando un foro europeo identifica el obstáculo. En pagos, el problema empieza ahí. Después viene lo difícil: mensajes ISO, conectores, reglas de fallback, parametrización de alertas, dependencias con core banking, conciliación, operación de fin de semana, gestión de falsos positivos y atención al cliente cuando el sistema devuelve una no coincidencia a las 19:43 de un sábado.

Eso explica por qué muchas discusiones aparentemente técnicas son, en realidad, discusiones de modelo de riesgo. Una entidad puede tener el mismo mandato regulatorio que su competidor y aun así adoptar una política de fricción muy distinta porque su apetito de riesgo, su base de clientes o su arquitectura heredada no son comparables. El supervisor no suele premiar la creatividad, pero tampoco acepta que una mala arquitectura heredada sirva como excusa permanente.

Tu entidad ya tiene esto resuelto? La pregunta incómoda no es si existe un proyecto de pagos instantáneos en marcha. La pregunta es si el proyecto está diseñado para soportar una reclamación compleja dentro de dos años, cuando nadie recuerde quién aprobó aquel warning tan amable que hoy parece una buena idea de UX.

Qué deberían hacer ahora bancos y PSPs

Primero, revisar la gobernanza del journey de pago instantáneo como un proceso legalmente sensible, no solo como una feature de producto. Eso implica inventariar dónde se informa al cliente, qué decisiones automatizadas o semiautomatizadas existen y qué evidencias deja cada paso.

Segundo, separar con claridad los distintos tipos de fraude y mapear qué controles responden a cada uno. El fraude por credenciales comprometidas, el fraude por manipulación social y el error del ordenante pueden terminar pareciéndose en la contabilidad del perjuicio, pero exigen respuestas preventivas distintas. Mezclarlos en una sola bolsa de “fraude APP” o “fraude de transferencias” sirve para el comité mensual y poco más.

Tercero, revisar contratos con proveedores que soportan funciones críticas del flujo: verificación, scoring, mensajería, conectividad, screening o componentes de autenticación. No hace falta exagerar la interconexión normativa para ver el riesgo: si falla un tercero en un punto crítico del journey, la reclamación no se la presenta el cliente al tercero. Se la presenta a su banco o a su PSP.

Cuarto, preparar ya una estrategia de evidencia. Logs, sellado temporal, versionado de pantallas, resultados devueltos por motores de verificación y trazabilidad de overrides. La diferencia entre “creemos que el cliente fue advertido” y “podemos demostrar exactamente qué vio y cuándo” es la diferencia entre una discusión jurídica seria y una tarde muy larga con auditoría interna.

Quinto, seguir la tramitación de PSD3/PSR y las piezas asociadas sin caer en la pereza del resumen ejecutivo. Hay obligaciones que parecen continuistas hasta que uno baja al artículo, a la interacción con RTS y a la forma en que el supervisor las aterriza en inspección. El detalle importa, y mucho.

La lectura de fondo: Europa quiere que la transferencia compita como producto, no solo como infraestructura

Ese es, probablemente, el mensaje más interesante que se puede extraer del conjunto. Durante mucho tiempo, la transferencia fue la capa funcional y la tarjeta fue el producto usable. La agenda actual intenta cerrar esa distancia: que la transferencia inmediata no sea solo una capacidad del sistema, sino una experiencia de pago capaz de competir en aceptación, confianza y sencillez.

El problema es que la infraestructura no se convierte en producto por decreto. Necesita reglas, sí. También UX, incentivos comerciales, interoperabilidad operativa y una asignación de responsabilidad que no asuste a todos los participantes del ecosistema al mismo tiempo. Las actas muestran precisamente que esa transición está lejos de ser trivial.

Quien lea esto como un mero capítulo más del entusiasmo regulatorio europeo se perderá lo importante. Si los pagos instantáneos se consolidan en comercio y se combinan con verificación del beneficiario y reformas en PSD3/PSR, el impacto no será marginal. Cambiará la forma de diseñar journeys, medir fraude, documentar decisiones y defender reclamaciones. Y eso, para bancos y PSPs, no es un asunto de relaciones institucionales. Es un asunto de cuenta de resultados, riesgo operativo y exposición jurídica.

La parte irónica, si uno quiere encontrarla, es bastante europea también: después de años prometiendo innovación en pagos, el verdadero salto puede depender menos del eslogan de soberanía que de algo tan poco glamuroso como el texto exacto de una alerta al usuario, un log bien conservado y un artículo bien leído. Al final, la revolución digital siempre acaba aterrizando en los detalles que nadie quería discutir en la primera reunión.

Conclusión: menos grandilocuencia, más precisión ejecutable

La lección que dejan estas actas no es que todo esté claro. Más bien lo contrario. Pero sí dejan una señal nítida para el sector: la carrera ya no consiste solo en habilitar pagos instantáneos, sino en hacerlos defendibles, utilizables y escalables a la vez. Eso exige precisión técnica, disciplina jurídica y bastante menos fe en que la autenticación por sí sola resolverá el fraude inducido.

También exige rigor al describir lo que dicen los documentos. Si una referencia de reporting se atribuye a la Comisión en el material disponible, no hay por qué trasladarla alegremente a la EBA. Si la fuente menciona fraude por suplantación vía mensajería, no hace falta adornarla con escenarios de voz clonada para que parezca más moderna. Y si el subgrupo sobre IP@POS identifica obstáculos prioritarios pero la fuente resumida está truncada, lo responsable es reconocer el límite documental y no fabricar una lista enciclopédica de problemas como si la hubiéramos visto completa.

Ese rigor no rebaja el análisis. Lo mejora. Porque la cuestión de fondo sigue intacta: Europa está rediseñando las condiciones para que los pagos instantáneos dejen de ser una función disponible y pasen a ser una opción de pago viable a gran escala. La diferencia entre que eso funcione o se quede en otro ejercicio de voluntarismo regulatorio se decidirá, sobre todo, en tres sitios: el punto de venta, el control antifraude y la responsabilidad cuando algo sale mal.

Ahí está el quid. Y ahí conviene llegar con menos eslóganes y más arquitectura, más evidencia y una lectura bastante más fina de cada artículo aplicable.