Pagos instantáneos, VoP y fraude por deepfake: Europa deja claro que el problema ya no es pagar, sino a quién y bajo qué controles

Europa ya resolvió una parte del problema: mover dinero en segundos. Ahora llega la parte incómoda: evitar que ese dinero salga disparado hacia el destinatario equivocado, hacia una cuenta controlada por un estafador o tras una orden fabricada con voz sintética. Esa es la lectura útil —la de verdad— de las actas del Payment Systems Market Expert Group (PSMEG) publicadas por la Comisión Europea sobre la reunión del 3 de abril de 2025 y la llamada de seguimiento del 27 de mayo de 2025.

Lo interesante no es que Bruselas vuelva a decir que quiere pagos paneuropeos más eficientes. Eso lo llevamos oyendo años. Lo relevante es otra cosa: la Comisión vinculó el despliegue del verification of payee (VoP) al calendario operativo del pago instantáneo en euros, confirmó que el primer reporte sectorial ligado a los estándares técnicos llegará en abril de 2026 con datos históricos desde el 26 de octubre de 2022, y dejó por escrito una discusión que el sector llevaba tiempo teniendo en voz baja: si el fraude nace en plataformas y redes de telecomunicaciones, cargar toda la responsabilidad sobre el PSP es una solución políticamente vistosa pero operativamente floja.

Ese matiz importa mucho en 2026. Porque la combinación de pago instantáneo, confirmación de beneficiario, fraude por suplantación bancaria vía WhatsApp y auge del deepfake no es una suma de temas separados. Es un único problema de diseño de control. Afecta a DORA, a PSD3/PSR, a GDPR, a NIS2 y a la conversación —todavía subestimada— sobre IA en banca y seguros. Si tu entidad sigue tratando el fraude en pagos como un asunto exclusivo del equipo antifraude, llega tarde. Esto ya es resiliencia operativa, gobierno de terceros, autenticación, monitorización de canales y reparto contractual de responsabilidad.

Tesis editorial

La tesis es sencilla: Europa está empujando al sector hacia un modelo en el que la velocidad del pago deja de ser ventaja competitiva si no va acompañada de verificación fuerte del destinatario, telemetría antifraude intersectorial y responsabilidad compartida entre bancos, PSPs, plataformas y operadores de telecomunicaciones. Seguir diseñando controles como si el riesgo estuviera confinado al banco es un error de 2019 en un problema de 2026.

Lo irónico es que el regulador llega a esta conclusión después de haber acelerado justo aquello que complica la respuesta: pagos irrevocables o casi irrevocables, experiencia de usuario cada vez más instantánea y expectativas comerciales de fricción mínima en el punto de venta. El sector pidió rapidez. Ya la tiene. Ahora descubre que la fricción no desaparece: simplemente cambia de sitio. Si quitas segundos al pago, tendrás que añadir inteligencia al control previo, al nombre del beneficiario, al device fingerprint, al canal de originación y a la correlación de señales externas. La física del fraude no negocia.

Las actas del PSMEG enseñan esa tensión con bastante claridad. Por un lado, Bruselas insistió en que el VoP debe ofrecerse junto al servicio de envío de transferencias instantáneas en euros antes del 9 de octubre. Por otro, el propio grupo identificó entre los mayores obstáculos para el pago instantáneo en punto de venta la fricción de la autenticación reforzada, la falta de funcionalidades avanzadas del esquema SCT Inst y las diferencias legales entre pagos instantáneos y tarjetas. Traducción: el mercado quiere que pagar con transferencia instantánea en comercio sea tan fluido como una tarjeta, pero el marco de control y responsabilidad todavía no acompasa esa ambición.

Y ahí entra el fraude por suplantación, amplificado ahora por IA generativa. No hace falta un escenario de ciencia ficción. Basta con un audio que suene lo bastante parecido al gestor del banco, al director financiero o al familiar que “necesita” una transferencia urgente. El pago instantáneo convierte una mentira creíble en pérdida inmediata. El VoP, bien diseñado, puede ser el último freno útil antes de que el dinero se esfume. Pero si se implementa como un simple check formal, sin integración real con motores de riesgo, sin UX comprensible y sin tratamiento claro de excepciones, será otro semáforo ignorado por clientes apurados.

Lo que realmente dicen las actas del PSMEG, y por qué importa en 2026

El documento de la Comisión contiene varias señales concretas. La primera tiene fecha cerrada: el despliegue del VoP debe estar listo para el 9 de octubre. La segunda afecta a cumplimiento y datos regulatorios: los servicios de la Comisión indicaron que la adopción interna de los Implementing Technical Standards sobre comisiones de transferencias instantáneas y sobre transacciones rechazadas por cribado de sanciones seguía en curso, y que la Autoridad Bancaria Europea había comunicado abril de 2026 como primera fecha de reporte, con información histórica desde el 26 de octubre de 2022. Ese detalle histórico no es administrativo; es una pesadilla operativa para quien no haya preservado bien sus datos de pagos rechazados, pricing y screening.

La tercera señal es casi más relevante que las dos anteriores: el grupo recogió la preocupación de representantes del sector por el fraude que surge en WhatsApp y por la suplantación bancaria. La Comisión respondió que la prevención y la responsabilidad por fraude en pagos están en el núcleo de las negociaciones de PSD3/PSR. Hasta ahí, nada revolucionario. Lo jugoso vino después: representantes de PSPs advirtieron de que imponer responsabilidad solo a los proveedores de servicios de pago no funcionará si plataformas y operadores telecom no asumen también obligaciones de prevención. La Comisión expresó apoyo a la colaboración intersectorial.

Eso no crea por sí solo una obligación legal nueva, pero sí apunta la dirección política. Y la dirección es bastante evidente: más deberes de cooperación, más intercambio de señales de fraude y más presión sobre actores que hasta ahora han vivido razonablemente cómodos mientras el banco absorbía la reclamación del cliente y el coste reputacional del incidente.

El documento también aporta otro elemento que suele pasar desapercibido y no debería: la preocupación por las capacidades offline en pagos con tarjeta y el estudio de DG CNECT sobre opciones de pagos móviles offline para alimentar el euro digital y el marco eIDAS. Esto parece un desvío, pero no lo es. Cuanto más aspire Europa a ofrecer alternativas de pago resilientes —incluidas capacidades sin conectividad— más compleja se vuelve la arquitectura de autenticación, reconciliación, limitación de fraude y gestión de disputas. La resiliencia de pagos ya no se mide solo por disponibilidad del sistema central; también por degradación segura, canales alternativos y reglas claras cuando la identidad digital, el terminal o la red no cooperan.

El 9 de octubre no es una fecha comercial: es una fecha de control

Muchos equipos han tratado el VoP como un proyecto de conectividad, adhesión a esquema y experiencia de cliente. Error. El 9 de octubre es, sobre todo, una fecha de control interno. El objetivo de los colegisladores, recordado por la Comisión en el PSMEG, es que el servicio de verificación del beneficiario se ofrezca junto con el envío de transferencias instantáneas en euros. Dicho de otra forma: el mercado no puede pretender cobrar el dividendo reputacional del “pago instantáneo seguro” si no verifica razonablemente a quién se paga.

La apertura del esquema VoP del European Payments Council en marzo de 2025 fue una pieza necesaria, pero no suficiente. La parte difícil empieza dentro de cada entidad. Hay cuatro decisiones de diseño que separan una implementación meramente conforme de una implementación útil:

1. Qué hacer con las coincidencias parciales

Si el nombre coincide de forma exacta, el flujo parece simple. El problema real está en las coincidencias parciales, transliteraciones, nombres comerciales, apoderados y estructuras complejas de cuentas corporativas. Un VoP que rechaza demasiado rompe la experiencia y genera abandono. Uno que aprueba demasiado se convierte en cosmética regulatoria. Aquí no basta con adherirse a un esquema; hace falta política interna, umbrales, tratamiento especial para cuentas de empresa y mensajes que el cliente entienda sin tener que descifrar una tesis doctoral.

2. Cómo se integra el resultado del VoP en el motor antifraude

El VoP no debería ser una pantalla separada del sistema de decisión. Si hay discrepancia de nombre, dispositivo nuevo, cambio reciente de beneficiario, patrón transaccional anómalo y origen del contacto en un canal de mensajería de alto riesgo, el caso no merece una simple advertencia visual. Merece escalado de fricción, retraso controlado, autenticación reforzada adicional o incluso bloqueo preventivo, según el apetito de riesgo de la entidad y sus obligaciones sectoriales.

3. Qué evidencia queda para reclamaciones y supervisión

Cuando el cliente alegue manipulación, presión o engaño, la entidad necesitará reconstruir exactamente qué mensaje vio, qué resultado devolvió el VoP, qué señales de riesgo existían y qué decisión tomó el sistema. Esto conecta de lleno con DORA y con gobierno del dato. Sin trazabilidad usable, la organización discutirá responsabilidades a ciegas.

4. Cómo se tratan las excepciones de clientes vulnerables y fraude inducido

La lógica tradicional del “usted autorizó el pago” se vuelve cada vez menos robusta cuando la autorización está socialmente manipulada o respaldada por deepfakes de voz y vídeo. La discusión de PSD3/PSR sobre responsabilidad va justo hacia ahí. Las entidades que sigan ancladas a un modelo binario entre pago autorizado y no autorizado pueden cumplir formalmente hoy, pero llegarán mal preparadas a las expectativas supervisoras y judiciales de mañana.

Fraude por deepfake: el riesgo no es futurista, es de cadena de señales

Cuando se habla de deepfake en pagos, a menudo se cae en dos extremos: o sensacionalismo tecnológico o escepticismo cómodo. Ninguno ayuda. El problema práctico no es que un estafador produzca una imitación perfecta digna de Hollywood. El problema es que produzca una imitación suficientemente convincente para vencer tres barreras humanas muy normales: prisa, confianza previa y asimetría de información.

Un empleado de tesorería recibe una llamada que parece del CFO. Un cliente retail recibe una nota de voz del “banco” alertando de un supuesto ataque y ordenando mover fondos a una cuenta segura. Un autónomo recibe un mensaje por WhatsApp de un proveedor habitual con cambio de IBAN. En los tres casos, el pago instantáneo comprime el tiempo de reflexión y reduce la capacidad de recuperación posterior. Si además el canal inicial —mensajería, voz, red social— está fuera del perímetro bancario, el banco solo ve el último tramo del fraude: la orden de pago. Demasiado tarde para actuar si sus controles están pensados solo para autenticación y scoring transaccional básico.

Aquí la respuesta útil exige trabajar la cadena completa de señales:

Primero, clasificación del contexto de iniciación. No es lo mismo un beneficiario frecuente generado desde libreta habitual que un alta de nuevo IBAN tras interacción previa con un canal de mensajería. Si la entidad no capta esa diferencia, trata igual situaciones radicalmente distintas.

Segundo, controles de “cooling-off” selectivo para cambios críticos. No hablo de frenar todas las transferencias, que sería una forma excelente de matar la propuesta de valor. Hablo de aplicar demoras cortas o confirmaciones reforzadas a combinaciones de riesgo muy concretas: nueva cuenta, importe alto, desviación del patrón habitual, discrepancia VoP y origen en canal social reportado como fraudulento.

Tercero, inteligencia compartida entre sectores. El propio PSMEG recogió la presión del sector para que plataformas y telecoms asuman obligaciones. Tiene lógica: si la estafa nace en un número reincidente, un perfil reportado o una campaña coordinada, la contención más eficiente está antes del banco. El problema es que la gobernanza de ese intercambio de señales sigue verde, tanto contractual como jurídicamente.

Cuarto, diseño de mensajes al cliente. Parece menor, no lo es. Una alerta ambigua del tipo “el nombre no coincide completamente” tiene menos efecto que una advertencia clara: “La cuenta introducida no coincide con el nombre del beneficiario. Este patrón aparece en fraudes de cambio de cuenta y suplantación. Si ha recibido instrucciones por llamada, WhatsApp o redes sociales, verifique por un canal independiente antes de enviar.” Eso no elimina el fraude, pero reduce decisiones impulsivas. Y reduce litigios futuros sobre si la advertencia era realmente comprensible.

Impacto regulatorio cruzado

Este debate no cabe en una sola norma. Intentar encajarlo solo en DORA o solo en PSD3/PSR es una forma rápida de perder piezas críticas.

DORA: resiliencia operativa, terceros y trazabilidad

DORA obliga a gestionar riesgo TIC de forma integral, con gobernanza, respuesta a incidentes, pruebas y control de terceros. Si el VoP, la analítica antifraude, la mensajería segura, la biometría de voz o los servicios de detección de cuentas mula dependen de terceros, el encaje con DORA es directo. Los artículos 28 a 30 sobre gestión de riesgo de terceros ICT importan especialmente cuando parte del control antifraude descansa en proveedores externos, desde motores analíticos hasta servicios de verificación de identidad. Y los artículos 17 a 23 sobre gestión, clasificación y notificación de incidentes también entran en juego cuando una campaña coordinada de fraude afecta disponibilidad, integridad o autenticidad de servicios críticos.

La cuestión incómoda para muchas entidades es esta: siguen separando operativamente “fraude” de “resiliencia”. El supervisor cada vez lo acepta menos. Si una incapacidad de detectar fraude sistémico degrada el servicio de pagos, daña a clientes y requiere activación de proveedores críticos, eso ya no es solo pérdida financiera. Es resiliencia operativa de libro.

GDPR: minimización, base jurídica y decisiones automatizadas

La prevención de fraude suele justificarse bajo el interés legítimo del artículo 6.1.f del GDPR o en el cumplimiento de obligaciones legales, según el caso. Pero la ambición antifraude actual tensa varios principios. Más señales, más correlación y más intercambio entre actores significan más riesgo de sobrerrecolección, reutilización impropia y conservación excesiva. El artículo 5 exige minimización y limitación de finalidad; el artículo 32 exige seguridad apropiada; y el artículo 22 obliga a mirar con cuidado las decisiones automatizadas con efectos significativos sobre personas, especialmente si la respuesta es bloqueo o denegación inmediata de pagos.

La trampa habitual consiste en asumir que “como es antifraude, todo vale”. No. El uso de señales de dispositivo, comportamiento, geolocalización o reputación de canal debe documentarse, justificarse y revisarse. Un sistema opaco que congela operaciones legítimas con sesgo no solo genera quejas: puede convertirse en un problema de cumplimiento de protección de datos y de conducta.

NIS2: cooperación y gestión de incidentes más allá del perímetro clásico

Para entidades financieras y operadores relevantes, NIS2 refuerza la lógica de gestión de riesgos, seguridad de cadena de suministro e intercambio de información. El artículo 21 sobre medidas de gestión de riesgos de ciberseguridad y el marco de notificación del artículo 23 obligan a pensar en campañas de fraude y abuso de canales no como hechos aislados, sino como vectores que pueden comprometer continuidad, confianza y servicio esencial. Si una entidad depende de proveedores cloud, telecom o plataformas de comunicación para parte de su operación o atención al cliente, el perímetro práctico del riesgo ya no termina en la pasarela de pagos.

AI Act: los bancos no pueden meter IA en antifraude y luego fingir que es solo software

En 2026, el uso de IA en antifraude, biometría, análisis de voz y scoring conductual ya no puede presentarse como innovación neutra. Depende del caso de uso, sí, pero cuando el sistema influye de forma material en acceso al servicio, bloqueo de transacciones o autenticación reforzada, la conversación regulatoria cambia. No todo será “alto riesgo” en el sentido más estricto del AI Act, pero sí exige gobierno del modelo, calidad de datos, supervisión humana, evaluación de rendimiento y control de deriva. Si una entidad despliega detección de deepfakes o voice biometrics sin métricas robustas de falsos positivos y falsos negativos, se compra un problema doble: fraude que se escapa y clientes legítimos castigados.

La ironía es preciosa: para frenar fraude con IA, el sector está acelerando IA defensiva con un apetito desigual por la gobernanza. Eso funciona hasta que deja de funcionar.

eIDAS 2.0: identidad y atributos, la pieza que falta en muchos diseños

La discusión sobre pagos y fraude se cruza con eIDAS 2.0 porque la identidad digital reutilizable, los atributos verificables y la autenticación interoperable pueden reducir parte del problema de suplantación y alta de beneficiarios falsos. No resolverán por sí solos el fraude inducido, pero sí pueden mejorar la fiabilidad de ciertos pasos críticos, sobre todo en onboarding, cambios sensibles y autorización de operaciones de mayor riesgo. El estudio de DG CNECT sobre pagos móviles offline, citado en el PSMEG, no es accesorio: conecta con cómo Europa quiere que convivan identidad, pagos y resiliencia en escenarios menos ideales que una app conectada y feliz.

NIST CSF 2.0: una referencia operativa útil cuando el marco legal se queda corto

Para equipos que necesiten bajar esto a operaciones, NIST CSF 2.0 sigue siendo una referencia muy práctica. Gobernanza, identificación de activos y dependencias, protección, detección, respuesta y recuperación encajan bien con el reto de fraude multicanal y VoP. No sustituye obligaciones europeas, pero ayuda a ordenar decisiones que el texto legal no detalla: qué señales recoger, cómo priorizar terceros, cómo ensayar escenarios y cómo medir eficacia real de controles.

El verdadero choque: experiencia de usuario contra control, en el TPV y fuera de él

Las actas del PSMEG son especialmente útiles en la parte de pagos instantáneos en punto de venta. El subgrupo identificó obstáculos concretos: falta de detalle de integración técnica, acceso fragmentado a NFC kernels, ausencia de acceso a Secure Element, falta de reglas comunes de “governance roaming”, carencia de funciones avanzadas del esquema SCT Inst como preautorizaciones, reembolsos o iniciación de pago, y fricción derivada de la autenticación reforzada.

Todo eso dibuja una realidad menos glamourosa que los folletos sobre innovación de pagos. Las tarjetas llevan décadas construyendo ergonomía comercial, reglas de aceptación, compensación, disputas, devoluciones y gestión de fraude. Pretender que el pago instantáneo en comercio las sustituya sin una capa equivalente de reglas y funciones es pedirle a la transferencia que se comporte como tarjeta sin darle herramientas para ello.

El punto más delicado está en la autenticación reforzada. PSD2 ya introdujo la SCA, con sus exenciones. Pero el PSMEG recoge que para muchos casos de uso en POS la fricción de SCA no encaja con un flujo muy rápido y sencillo. Aquí el sector querría una cuadratura del círculo: cero fricción, responsabilidad limitada, reversibilidad funcional y coste contenido. No va a ocurrir así. Habrá que escoger qué sacrificio aceptar.

Si Europa insiste en empujar IP@POS, tendrá que resolver al menos tres asuntos normativo-operativos:

Uno, si permite suficiente flexibilidad en exenciones de SCA basadas en análisis de riesgo sin abrir una autopista al fraude. Dos, cómo alinea obligaciones de screening de sanciones y tratamiento de transacciones fallidas para que el PSP no quede atrapado entre plazos instantáneos y cargas de cumplimiento incompatibles. Tres, cómo crea incentivos económicos y reglas de disputa comparables a las de tarjetas, porque ningún comercio serio cambia de rail solo por entusiasmo europeo.

El subgrupo también señaló la incertidumbre causada por proyectos competidores y por el encaje del euro digital. Aquí la crítica editorial es inevitable: Bruselas quiere que florezcan soluciones privadas paneuropeas de pago instantáneo en comercio mientras mantiene abierta una conversación estructural sobre euro digital, identidad, pagos offline y gobernanza de aceptación. Para grandes entidades, esto es gestionable. Para actores medianos, es un sudoku de inversión con demasiadas casillas sin cerrar.

Qué deberían estar haciendo ya bancos, PSPs, adquirentes, fintechs y aseguradoras

No basta con adherirse a esquemas y esperar instrucciones finales. Hay trabajo que en 2026 ya debería estar en marcha porque depende más de decisión interna que de nueva letra legal.

Bancos y PSPs

Primero, mapear de extremo a extremo el viaje del fraude inducido. No solo la orden final. También el canal de contacto inicial, la creación del beneficiario, el mensaje de advertencia, la autenticación usada, la lógica del motor de decisión y el circuito de reclamación. Si no puedes dibujarlo, no puedes controlarlo.

Segundo, integrar VoP, motor antifraude y gestión de excepciones en un único marco de decisión. El peor diseño posible es un VoP aislado que el cliente puede ignorar sin que el sistema reevalúe el riesgo.

Tercero, revisar contratos y dependencia de terceros bajo DORA. Si la detección depende de proveedores de biometría, analítica, mensajería, inteligencia de cuentas o conectividad, la entidad debe saber quién falla cuando falla el control y qué evidencia contractual tiene para exigir servicio, auditoría, pruebas y soporte en incidente.

Cuarto, rediseñar las advertencias al cliente con test de comprensión real. Si el mensaje no lo entiende un usuario no experto en menos de cinco segundos, probablemente no sirve.

Quinto, preparar evidencia para el primer reporte de abril de 2026 y validar la integridad histórica desde el 26 de octubre de 2022 en todo lo que afecte a los ITS mencionados por la Comisión y la EBA. Los problemas de datos no se arreglan la víspera del reporte.

Plataformas y telecoms

Si siguen pensando que esto es un problema “de bancos”, conviene revisar el viento regulatorio. La presión política para imponer deberes de cooperación y prevención va en aumento. Las capacidades esperables incluyen detección de cuentas reincidentes, retirada rápida de perfiles o números reportados, canales de escalado con entidades financieras y conservación de evidencia suficiente para investigación. Quien llegue tarde a esa conversación corre el riesgo de convertirse en culpable útil en la próxima ronda normativa.

Comercios y adquirentes

La expansión de pagos instantáneos en tienda abre oportunidades de coste y liquidación, sí, pero también exige revisar UX de checkout, devoluciones, conciliación y tratamiento de fraude. Si el comercio adopta IP@POS sin estrategia de disputa, soporte y confirmación de beneficiario, acabará trasladando incertidumbre al cliente o absorbiéndola en atención al usuario. Ninguna de las dos sale barata.

Aseguradoras

A primera vista parecen fuera de foco. No lo están. Las aseguradoras gestionan pagos, reembolsos, indemnizaciones y redes de mediación donde el fraude de suplantación también crece. Además, como compradoras de soluciones de verificación, biometría y analítica, comparten buena parte de la superficie de riesgo regulatorio. El fraude por deepfake en órdenes internas o cambios de cuenta de proveedores no distingue entre banco y aseguradora; distingue entre controles robustos y controles decorativos.

Implicaciones para entidades financieras españolas

España llega a esta fase con una posición singular por dos motivos: Bizum ya tiene una adopción masiva y, según se discutió en el PSMEG, ha lanzado pagos instantáneos en comercios en España, habilitado el pago del IRPF y trabaja en funcionalidad de request-to-pay. Esa ventaja operativa no elimina el problema regulatorio; lo adelanta.

Para las entidades españolas, el reto no es descubrir el pago inmediato. Es demostrar que pueden industrializarlo sin multiplicar reclamaciones por fraude inducido, sin romper experiencia de usuario y sin generar un choque entre VoP, antifraude y atención al cliente. Además, la conexión de Bizum, MB Way y Bancomat bajo la alianza EuroPA eleva la ambición transfronteriza. Y eso añade complejidad de nombres, alias, reglas de interoperabilidad y expectativas del usuario que cree que pagar fuera debe ser tan intuitivo como pagar en casa.

Hay tres implicaciones muy concretas para España en 2026:

La primera, el mercado doméstico ya no puede refugiarse en la narrativa de “esto es todavía incipiente”. No lo es. La madurez relativa de Bizum obliga a afinar antes los controles y mensajes, porque el volumen y la familiaridad del usuario elevan tanto la oportunidad como la superficie de fraude.

La segunda, las entidades españolas tendrán más exposición reputacional si el cliente percibe incoherencia entre facilidad de uso y protección. En un mercado donde el pago móvil ya forma parte del día a día, cada fricción extra se nota y cada fraude viraliza rápido.

La tercera, la interoperabilidad europea puede convertir problemas nacionales manejables en incidentes regionales con múltiples actores. Eso exige protocolos de escalado y coordinación que no dependan de llamadas improvisadas entre equipos que se conocen de congresos.

La responsabilidad compartida suena bien. Implementarla es otra historia

Todo el mundo está a favor de la colaboración intersectorial contra el fraude hasta que hay que decidir quién paga la integración, quién comparte qué datos, con qué base jurídica, con qué SLA y bajo qué régimen de responsabilidad si la señal llega tarde o es errónea. Ahí empieza la realidad.

La idea defendida en el PSMEG —que plataformas y telecoms también deben asumir obligaciones— es sensata. Pero su ejecución requerirá resolver al menos cinco fricciones.

Primera: taxonomía común. Si cada actor define “fraude confirmado”, “suplantación”, “cuenta de riesgo” o “canal comprometido” a su manera, el intercambio de señales vale poco.

Segunda: velocidad. En fraude de pagos, una señal que llega horas tarde es casi arqueología.

Tercera: privacidad y proporcionalidad. Compartir inteligencia útil sin pasarse de frenada con datos personales será uno de los campos de batalla más serios con GDPR.

Cuarta: incentivos. Si una plataforma no asume coste por la campaña fraudulenta que aloja, cooperará menos de lo que declama.

Quinta: gobernanza transfronteriza. La interoperabilidad paneuropea de pagos no sirve de mucho si las respuestas a fraude quedan troceadas por jurisdicción, sector y proveedor.

En otras palabras: el diagnóstico ya está sobre la mesa. El modelo operativo todavía no.

Lo que viene después: menos fe en la fricción cero, más disciplina de diseño

La gran lección del PSMEG no es que Europa quiera más pagos instantáneos. Eso era conocido. La lección es que el regulador y el mercado están convergiendo, quizá a regañadientes, en una idea más adulta: los pagos rápidos exigen controles igualmente rápidos, explicables y distribuidos entre varios actores. No basta con pedir al cliente que “revise bien el nombre”. Tampoco basta con culpar al banco después del daño. Y desde luego ya no basta con pensar que la IA solo traerá eficiencia comercial.

Quien quiera leer esta agenda como una mera historia de compliance va a perder el ángulo central. Esto es arquitectura de confianza. Significa decidir dónde pones la fricción, qué actor absorbe qué riesgo, cómo documentas decisiones automatizadas, qué dependencias de terceros aceptas y cómo respondes cuando un deepfake activa una transferencia en segundos.

Mi conclusión es poco cómoda, pero bastante clara: el futuro inmediato del pago europeo no lo decidirá la velocidad del rail, sino la calidad del control sobre identidad, beneficiario y contexto de la orden. El VoP antes del 9 de octubre es solo el principio. Lo que de verdad se está probando en 2026 es si bancos, PSPs, plataformas y telecoms pueden comportarse como una cadena de defensa coordinada en lugar de como una fila de actores pasándose la factura del fraude unos a otros.

Si no lo consiguen, habrá más regulación. Y, siendo honestos, se la habrán ganado a pulso.