El 1 de junio de 2026, la Comisión para el Mercado Financiero dictó la Norma de Carácter General N°569, que modifica la NCG N°514 e incorpora el Anexo Técnico N°3 del Sistema de Finanzas Abiertas. Con esta norma, la CMF completa el núcleo técnico del marco regulatorio que la Ley N°21.521 ("Ley Fintec") dejó pendiente desde enero de 2023 — aunque queda pendiente el Anexo N°4, sobre costos del sistema — y activa un calendario de implementación con plazos concretos que ponen a bancos, fintechs y demás actores del sistema financiero ante obligaciones técnicas que no admiten postergación. La primera ventana crítica es julio de 2027.
Qué ocurrió
La NCG 569 establece que las APIs son el único mecanismo admitido para el intercambio de información dentro del Sistema de Finanzas Abiertas. Su desarrollo y mantenimiento son responsabilidad exclusiva de las Instituciones Proveedoras de Información (IPIs) e Instituciones Proveedoras de Cuentas (IPCs). Las entidades fiscalizadas no podrán utilizar mecanismos diferentes a las APIs para atender solicitudes de acceso a datos; el "mecanismo alternativo" que contempla la norma no es una vía tecnológica paralela, sino la modalidad de contingencia de las propias APIs, exigida en el marco de la continuidad operacional.
La norma actualiza además los antecedentes que deben acompañar las solicitudes de inscripción de los Prestadores de Servicios Basados en Información (PSBIs) y los Proveedores de Servicios de Iniciación de Pagos (PSIPs), e incorpora un Régimen de Participación Simplificada para ciertas IPIs del inciso segundo del artículo 18 de la Ley Fintec con menos de 100.000 clientes únicos, que quedan sujetas a exigencias reducidas si solicitan acogerse a ese régimen.
En cuanto al proceso de entrada en vigencia, se contempla un período piloto de 60 días por API durante el cual no se exigirán los niveles de servicio (SLA) ni los límites de transacciones por segundo o por minuto (TPS/TPM); todos los demás requisitos normativos sí serán exigibles durante ese lapso. El Sandbox y el Directorio del SFA deben estar disponibles para pruebas 9 meses antes de la entrada en vigencia de la normativa (hito único; no es un plazo que corra separadamente por cada categoría de API).
El calendario distingue dos grupos. Los bancos, emisores de tarjetas de crédito y emisores de tarjetas de pago con provisión de fondos tienen plazos que van desde 5 meses (APIs de términos, condiciones y canales de atención) hasta 18 meses (APIs de iniciación de pagos con mandato múltiple y pagos recurrentes), contados desde julio de 2027. Las demás entidades del artículo 18 de la Ley N°21.521, incluyendo aseguradoras y administradoras de fondos, tienen plazos de entre 20 y 30 meses desde esa misma fecha.
Qué puede significar para tu empresa
Si tu empresa es un banco, una fintech, una aseguradora o administra fondos de inversión, la NCG 569 activa un calendario de inversión tecnológica que no admite espera. Julio de 2027 puede parecer distante, pero los procesos de certificación de seguridad, el desarrollo de APIs por categoría y las pruebas funcionales en el Sandbox requieren comenzar ahora.
El primer punto que debes resolver es si tu empresa está dentro del universo de entidades obligadas. El artículo 18 de la Ley N°21.521 delimita quiénes son Instituciones Proveedoras de Información. Si tu empresa gestiona cuentas o datos financieros de clientes en Chile, debes verificar si encaja en alguna de las categorías específicas de IPI o IPC previstas por la Ley Fintec.
El segundo punto afecta a las fintechs que quieren acceder a los datos que las IPIs van a exponer. Los PSBIs deben cumplir requisitos de registro, seguridad y gestión de consentimientos que la NCG 569 ahora especifica. Si tu modelo de negocio depende de acceder a datos bancarios o de cuentas de clientes, el período piloto de 60 días por API es la ventana para probar la integración antes de que rijan los niveles de servicio exigibles.
El tercer punto afecta a todas las entidades reguladas. La NCG 569 profundiza la regulación sobre el flujo de otorgamiento, revocación y gestión de consentimientos del usuario. Si tu empresa no tiene un proceso documentado y auditable de consentimiento, ese es el primer paso de cumplimiento.
Un aspecto que merece atención es el Régimen de Participación Simplificada. La norma precisa la metodología de cálculo del umbral de 100.000 clientes únicos: se consideran los clientes únicos totales durante el año móvil previo al momento de la solicitud, sean personas naturales o jurídicas, con al menos un producto vigente. La norma también regula el caso de superación del umbral: si la entidad supera ese umbral durante 12 meses consecutivos, dispondrá de un plazo máximo de 12 meses para integrarse al régimen general, contado desde la verificación de dicha superación.
Qué puedes hacer
- Determinar en cuál categoría de la NCG 569 cae tu empresa — IPI, IPC, PSBI o PSIP — y, si corresponde, verificar si puede solicitar el Régimen de Participación Simplificada.
- Encargar a tu área de tecnología un análisis de brechas entre tu arquitectura actual y los requisitos de APIs y certificación de seguridad del Anexo Técnico N°3, con hitos definidos antes de octubre de 2026.
- Revisar y actualizar los flujos de consentimiento de usuarios para que cumplan con los requisitos de gestión y revocación que exige la norma, y verificar que la política de privacidad los refleje correctamente.
- Inscribirse en el Sandbox del SFA cuando esté disponible — que debe habilitarse 9 meses antes de la entrada en vigencia de la normativa — y realizar pruebas funcionales con tiempo suficiente antes del período piloto.
Si necesitas evaluar cómo la NCG 569 afecta la operación o el modelo de negocio de tu empresa, agenda una reunión de diagnóstico con nuestro equipo.
Este contenido es informativo y no constituye asesoría legal para un caso específico.
Área relacionada: Regulatorio
Conoce cómo trabajamos esta materia bajo el modelo OGC.
Ver área Regulatorio →