Colombia ajusta plazos en finanzas abiertas

Actualización 3 de septiembre de 2026: la Superintendencia Financiera de Colombia abrió comentarios sobre un nuevo proyecto de circular externa para GERCO y publicó el cronograma de estándares de intercambio de información del sistema de finanzas abiertas. También mantuvo una versión complementaria del proyecto en formato de tabla.

La Superintendencia Financiera de Colombia expidió la Circular Externa 007 del 26 de agosto de 2026 para que las entidades vigiladas mitiguen el impacto de la situación de desastre sobre los consumidores financieros afectados. La medida se suma a otro tramo de ajustes regulatorios en el país, donde la agenda de finanzas abiertas ya opera con nuevos plazos de seguridad, trazabilidad sobre el dato y mayores exigencias de control sobre identidad digital.

¿Qué ordenó la Superintendencia Financiera?

La Circular Externa 007 instruyó a las entidades vigiladas a adoptar medidas para reducir el impacto de la situación de desastre sobre los consumidores financieros afectados. El anuncio fue publicado por la propia Superintendencia Financiera de Colombia el 27 de agosto de 2026, como parte de sus circulares externas de ese año.

El texto disponible en la fuente oficial no amplía aquí el detalle operativo de esas instrucciones, pero sí confirma que el objetivo regulatorio es proteger a los usuarios golpeados por la situación de desastre y orientar la respuesta de las entidades bajo supervisión.

La República informó además que la Circular Externa 007 de 26 de agosto de 2026 fue expedida para ordenar alivios a deudores afectados por la situación de desastre, en una ventana temporal en la que la Superintendencia mantuvo actividad supervisora adicional.

¿Qué cambió en la hoja de ruta de finanzas abiertas?

El régimen de transición asociado al perfil de seguridad de la Circular Externa 004 de febrero de 2024 expiró el 7 de agosto de 2026, después de dos extensiones semestrales adicionales, según un análisis técnico de Ozone API sobre la hoja de ruta de finanzas abiertas en Colombia.

Ese mismo análisis describe un esquema escalonado para la exposición de entidades vigiladas una vez se emiten los estándares de datos por categoría. El plazo base es de 12 meses, con una ampliación única de hasta 6 meses adicionales, más 6 meses extra exclusivamente para datos de grandes empresas.

Con esa secuencia, el techo regulatorio queda en 18 meses para individuos y MIPYMES, y en 24 meses para compañías grandes. El observatorio Facephi agrega que la obligatoriedad de las finanzas abiertas desde 2026 se articula con requisitos de gobierno del dato y auditoría de la Superintendencia Financiera, con trazabilidad de qué dato se usó, bajo qué consentimiento explícito y para qué decisión.

En paralelo, la Superintendencia Financiera de Colombia publicó el Proyecto de carta circular del 31 de agosto de 2026 con el cronograma para la expedición de estándares de intercambio de información del sistema de finanzas abiertas, y habilitó comentarios hasta el 15 de septiembre de 2026 a las 5:00 p. m. La entidad mantuvo además una publicación complementaria del mismo proyecto en formato de tabla.

¿Qué implica el nuevo proyecto sobre GERCO?

El Proyecto de Circular Externa 14 de 2026 busca dictar instrucciones sobre la Gestión del Riesgo de Conductas de afectación a los consumidores financieros, bajo un proceso de consulta pública abierto hasta el 15 de septiembre de 2026 a las 5:00 p. m.

La Superintendencia Financiera de Colombia publicó ese documento como parte de su actividad normativa de 2026, lo que muestra continuidad en la agenda de supervisión sobre conducta de mercado y protección al consumidor financiero. La publicación no se presenta como una norma ya expedida, sino como un proyecto sujeto a comentarios.

¿Cómo impacta esto en datos sensibles e identidad digital?

La combinación de finanzas abiertas, gobierno del dato y auditoría refuerza el control sobre datos sensibles y sobre la identidad digital en productos hiperpersonalizados, según Facephi Observatory. En ese marco, el uso de información para decisiones financieras debe quedar trazado y vinculado a un consentimiento explícito, de acuerdo con el análisis citado.

Ese foco regulatorio convive con un caso reciente sobre datos biométricos en Cartagena. Infobae reportó que una resolución fechada el 18 de junio de 2026 ordenó la supresión definitiva de datos personales sensibles, incluidos códigos de iris, recolectados desde el inicio de ciertas actividades vinculadas a presunta suplantación de identidad.

La misma nota precisa que la resolución ratificó una orden previa de octubre de 2025 y recomendó a los afectados ejercer derechos de habeas data. Entre esas acciones figuran solicitar la supresión en las plataformas, enviar peticiones formales al área de privacidad, desvincular cuentas y, si hace falta, denunciar ante la Superintendencia de Industria y Comercio.

Medios especializados indican además que en el plano normativo colombiano la Superintendencia Financiera de Colombia y la Ley 1581 de Protección de Datos Personales imponen parámetros estrictos de responsabilidad demostrada para pasarelas de pago y actores de comercio electrónico, incluyendo exigencias de seguridad de la información y protección de datos personales aplicables a servicios de pago vinculados al sistema financiero.

Un análisis de prensa económica nacional señala, además, que Colombia no cuenta aún con una ley integral de ciberseguridad, y que el marco jurídico aplicable al entorno digital y financiero depende de normas dispersas como la Ley 1273 de 2009, el Decreto 338 de 2022 y la Estrategia Nacional de Ciberseguridad 2025-2027, presentada en junio de 2026.

¿Qué pasa con los criptoactivos y los PSAV?

En Colombia no existe hoy un registro formal de PSAV, pese a la adopción del CARF por la DIAN, porque el proyecto de ley que buscaba crearlo fue archivado en agosto de 2026, según el reporte de Fluyez. Eso deja al país sin una autoridad que registre, autorice o supervise integralmente a los exchanges que operan en el mercado local.

En paralelo, un análisis jurídico de Nieto & Nieto Lawyers recuerda que la DIAN trata los criptoactivos como activos intangibles bajo las reglas generales del Estatuto Tributario. El mismo análisis sostiene que usar wallets de autocustodia no elimina las obligaciones tributarias y cita una respuesta oficial de mayo de 2026, en la que la DIAN indicó que no dispone de una herramienta automática para asociar todas las wallets privadas con contribuyentes.

La relación oficial de proyectos normativos de la Superintendencia Financiera en 2026 demuestra actividad regulatoria continua, pero en los documentos disponibles no se identifican referencias explícitas a la normativa de ciberseguridad del BCRA ni a regulaciones de CNBV o Banxico, lo que indica ausencia de alineamiento formal directo con exigencias específicas de Argentina o México en los proyectos colombianos recientes.