Banking as a Service: ¿quién está detrás de tu fintech?

La app donde aterriza tu nómina puede no ser un banco. Detrás de cientos de fintechs europeas hay una empresa de la que la mayoría de usuarios nunca ha oído hablar: la que de verdad tiene la licencia, emite el IBAN y responde ante el regulador. Esa capa tiene nombre, Banking as a Service, y 2026 es el año en que dejó de ser invisible.

¿Qué es el Banking as a Service?

El Banking as a Service (BaaS) es un modelo en el que una institución financiera con licencia alquila sus permisos regulatorios y su fontanería técnica, cuentas, tarjetas, pagos, a través de una API, para que otra empresa ofrezca esos servicios bajo su propia marca. La fintech construye la interfaz; el proveedor de BaaS tiene la autorización.

El derecho europeo hace explícita esa separación. Dos directivas soportan el peso: la Directiva de Servicios de Pago (PSD2), que permite a una entidad autorizada operar mediante agentes siendo plenamente responsable de sus actos, y la directiva de dinero electrónico, que creó la entidad de dinero electrónico (EDE), una licencia más ligera que la bancaria completa, con un capital inicial de 350.000 euros, que autoriza emitir saldos de cuenta y tarjetas pero no prestar con depósitos. Una licencia obtenida en un país de la UE puede “pasaportarse” a toda la Unión, y por eso un proveedor francés o luxemburgués puede alimentar apps en treinta países.

¿Quiénes son Treezor, Swan y Mangopay?

Tres empresas muestran tres versiones del modelo. Treezor, registrada en París en 2014 y autorizada como entidad de dinero electrónico por el regulador francés ACPR en 2016, fue el motor discreto de la primera ola de la fintech francesa: Lydia, Qonto y Shine arrancaron sobre sus raíles. Qonto acabó independizándose, con su propia licencia de entidad de pago en 2018 y la migración de las cuentas a sus propios sistemas, el riesgo de fondo de todo el modelo: los clientes con más éxito acaban marchándose. Société Générale la compró en una operación anunciada en 2018. Hoy declara más de 130.000 millones de euros de flujos procesados y más de 8 millones de tarjetas emitidas. En enero de 2026, Société Générale entró en negociaciones exclusivas para vendérsela a Shares, una fintech fundada en 2021; al escribir estas líneas, la operación no se ha cerrado.

Swan, fundada en 2019 en el estudio de startups eFounders, es la generación API-first: empresas de software integran cuentas, tarjetas e IBAN directamente en su producto, de modo que una herramienta de contabilidad como Pennylane puede alojar dinero sin mostrarle nunca al usuario un banco aparte. Tiene licencia francesa de dinero electrónico, ha levantado unos 95 millones de euros, incluida una ronda de 42 millones en enero de 2025, y declara más de 1.500 millones de euros en transacciones mensuales en 30 países.

Mangopay, escindida en 2013 del servicio de botes en línea Leetchi y autorizada en Luxemburgo, se especializa en marketplaces: custodia y mueve el dinero entre compradores y vendedores en plataformas como Vinted, Leboncoin y Chrono24. Crédit Mutuel Arkéa la compró en 2015; el fondo Advent International tomó una participación mayoritaria en 2022, inyectando 75 millones de euros de capital nuevo.

¿Dónde está tu dinero, en la práctica?

No en el balance de la fintech, si se cumplen las reglas. El derecho europeo exige la salvaguarda: los fondos de los clientes deben mantenerse separados del dinero propio del proveedor, depositados en cuentas dedicadas o invertidos en activos de bajo riesgo, para poder devolverlos si la empresa quiebra. Los saldos de dinero electrónico están protegidos por ese mecanismo de segregación, una construcción distinta de la garantía de depósitos que cubre una cuenta bancaria clásica.

La letra pequeña importa en otro plano: la elegibilidad. Los proveedores de BaaS publican listas de negocios a los que no atienden, y son largas. La documentación pública de Swan, por ejemplo, excluye las plataformas de intercambio y custodia de criptoactivos, junto con el juego y varios sectores más. Las empresas que mueven stablecoins suelen llegar a los datos bancarios por otra vía, proveedores especializados de cuentas virtuales, precisamente porque el BaaS clásico se mantiene al margen.

¿Qué pasa cuando un proveedor de BaaS falla?

Los últimos tres años dieron respuestas reales. En abril de 2024, la comisión de sanciones de la ACPR francesa impuso a Treezor una amonestación y una multa de un millón de euros por fallos contra el blanqueo de capitales detectados en una inspección de 2021: perfiles de riesgo que clasificaban al 99% de los clientes como riesgo bajo, vigilancia de operaciones deficiente y reportes de actividad sospechosa tardíos o ausentes. El regulador reconoció la remediación significativa emprendida desde entonces.

La alemana Solaris, durante años el buque insignia del BaaS europeo, pasó mucho tiempo bajo supervisión reforzada del regulador BaFin, que le impuso un supervisor especial y restringió nuevas alianzas. En febrero de 2025, una ronda de emergencia de 140 millones de euros convirtió al japonés SBI Group en su accionista mayoritario, y en junio de 2025 BaFin la multó de nuevo, con 500.000 euros, por superar repetidamente los límites de grandes exposiciones. En el Reino Unido, Railsr pasó por una venta de rescate en marzo de 2023. El patrón es constante: el modo de fallo del BaaS rara vez es una base de datos perdida; es deuda de cumplimiento que vence.

Estados Unidos ofrece el contraste más crudo. Cuando la intermediaria estadounidense Synapse quebró en abril de 2024, más de 200 millones de dólares de fondos de clientes finales quedaron congelados, y la administradora nombrada por el tribunal, una ex presidenta de la FDIC, estimó entre 65 y 95 millones de dólares el agujero que quizá nunca se recupere. Las reglas europeas de salvaguarda existen precisamente para dificultar ese escenario, y las caídas europeas hasta ahora han golpeado a inversores y socios en lugar de bloquear los saldos de los clientes.

¿Hacia dónde va el sector?

En dos direcciones a la vez: consolidación y reglas más estrictas. Cada gran historia del BaaS europeo de los últimos cuatro años termina con un cambio de dueño: Mangopay al private equity, Railsr a un consorcio de rescate, Solaris a SBI, Treezor en conversaciones con Shares. Mientras tanto, el suelo regulatorio sube. El reglamento europeo de pagos instantáneos hizo obligatoria la recepción de transferencias instantáneas en euros en enero de 2025 y su emisión, con una verificación gratuita del nombre del beneficiario, en octubre de 2025. Desde octubre de 2025, las entidades de dinero electrónico y de pago que cumplen las condiciones pueden además acceder a los sistemas de pago del Eurosistema, lo que afloja su dependencia histórica de los bancos patrocinadores. Una tercera directiva de servicios de pago, la PSD3, logró un acuerdo político en noviembre de 2025 y avanza en su adopción formal, con aplicación esperada hacia 2028.

Para el usuario, la lección práctica es más simple y merece recordarse: la marca de la app y la institución que custodia el dinero suelen ser dos empresas distintas, y saber quién tiene realmente la licencia es la pregunta más útil que puedes hacerle a cualquier app financiera.

En las finanzas embebidas, el logo que ves rara vez es la empresa que custodia tu dinero.

Fuentes

• EUR-Lex, Directiva de Servicios de Pago (PSD2): salvaguarda, agentes y pasaporte europeo.
• EUR-Lex, directiva de dinero electrónico (EMD2): la licencia EDE y la protección de fondos.
• ACPR, decisión de la comisión de sanciones sobre Treezor (abril de 2024).
• Shares, negociaciones exclusivas para adquirir Treezor a Société Générale (29 de enero de 2026).
• Bpifrance, ampliación de serie B de 42 millones de euros de Swan y cifras de negocio (30 de enero de 2025).
• Mangopay, inversión mayoritaria de Advent International (7 de abril de 2022).
• Banco Central Europeo, plazos del reglamento de pagos instantáneos y acceso a los sistemas de pago.
• BaFin, multa a Solaris SE (13 de junio de 2025).
• CNBC, la quiebra de Synapse y los fondos de clientes congelados (junio de 2024).
• Swan, documentación pública sobre actividades restringidas.