L’open banking échoue, PSD3 lance un nouveau départ
7 min de lecture
L’open banking devait révolutionner le marché financier. La réalité en Allemagne : seuls 8,7 % de tous les comptes de paiement sont effectivement sollicités par des prestataires tiers via des API. La PSD2, entrée en vigueur en 2018 pour donner le coup d’envoi, n’a pas tenu ses promesses. Voici donc la PSD3 – accompagnée d’un cadre juridique profondément remanié, conçu pour corriger les erreurs de sa prédécesseure. L’Union européenne a fait adopter ce paquet législatif sous la présidence danoise du Conseil. Sa publication est attendue au cours du premier semestre 2026. Ce qui changera cette fois-ci – et pourquoi son application effective ne débutera toutefois qu’en 2028.
L’essentiel en bref
- Pénétration de seulement 8,7 % : En Allemagne, une infime minorité des prestataires tiers autorisés accède effectivement aux comptes bancaires. L’open banking a échoué dans la pratique – la PSD2 n’a pas rempli les attentes placées en elle.
- PSD3 prévue pour le premier semestre 2026 : Sa publication est attendue au cours de la première moitié de 2026. Avec un délai national de transposition de 18 mois, son application devrait intervenir vraisemblablement au deuxième ou troisième trimestre 2028.
- Le Règlement sur les services de paiement (PSR) s’applique immédiatement : Ce règlement d’accompagnement entre en vigueur directement 20 jours après sa publication – sans nécessiter de transposition nationale.
- Parité des API obligatoire : Les banques doivent maintenir leurs API aussi stables, fonctionnelles et performantes que leurs propres canaux numériques – plus aucune interface délibérément dégradée.
- Open finance via la FiDA : Parallèlement à la PSD3, l’UE travaille sur le Règlement sur l’accès aux données financières (FiDA), qui étend le principe de l’open banking aux assurances, aux pensions et aux investissements.
Pourquoi la PSD2 a échoué
La directive européenne sur les services de paiement (PSD2) est entrée en vigueur en 2018 afin d’ouvrir le marché financier aux prestataires tiers. Les banques ont été contraintes de mettre à disposition des API permettant aux prestataires tiers autorisés d’accéder aux données de compte et d’initier des paiements. L’idée était de stimuler la concurrence, l’innovation et d’offrir aux consommateurs des produits améliorés.
Dans les faits, la situation s’est avérée différente. De nombreuses banques ont certes implémenté des API techniquement fonctionnelles, mais pratiquement inutilisables – lentes, instables, fournissant des données incomplètes. La réglementation imposait la mise à disposition d’API, mais ne définissait pas de critères exigeants quant à leur qualité de fonctionnement. Résultat : en Allemagne, seuls 8,7 % de tous les comptes de paiement utilisent l’accès open banking. Dans d’autres États membres de l’UE, la situation est similaire.
Les raisons sont structurelles. Les banques avaient peu d’incitations à développer de bonnes API – chaque prestataire tiers réussi constitue un concurrent potentiel. L’authentification forte des clients (SCA) a été mise en œuvre de façon si contraignante qu’elle s’est révélée extrêmement pénible pour les utilisateurs. Enfin, l’absence de standardisation a conduit à l’usage, par chaque banque, de spécifications API différentes.
Ce que la PSD3 change
La PSD3 répond systématiquement aux faiblesses de sa devancière. La modification la plus importante : la parité des API. Les banques doivent désormais assurer à leurs API la même stabilité, la même fonctionnalité et la même performance que celles de leurs propres canaux de banque en ligne. Des rapports trimestriels obligatoires sur la disponibilité des API et leur latence rendent la qualité mesurable et comparables.
Autres nouveautés :
● Élargissement des droits d’accès aux données : Les prestataires tiers obtiennent désormais accès à davantage d’informations relatives aux comptes – non seulement aux transactions et soldes, mais aussi aux données produit telles que les taux d’intérêt, les frais et les conditions contractuelles.
● Obligation d’un tableau de bord centralisé : Les clients doivent pouvoir consulter, via un tableau de bord unique, quels prestataires tiers accèdent à leurs données – avec la possibilité de révoquer à tout moment ces droits d’accès.
● Clarté accrue en matière de responsabilité : La PSD3 définit clairement qui est responsable en cas de fraude – un problème récurrent sous la PSD2, où banques et prestataires tiers se renvoyaient mutuellement la balle.
● SCA améliorée : L’authentification forte des clients est rendue plus conviviale pour l’utilisateur – moins de frictions lors des accès autorisés, sans pour autant compromettre le niveau de sécurité.
« La PSD2 n’a ouvert la porte qu’entrebâillée. La PSD3 la fracasse. L’obligation de parité des API est la différence décisive – les banques ne peuvent plus fermer la porte au nez des prestataires tiers par des moyens techniques. »
Norton Rose Fulbright, Analyse politique sur la PSD3, 2025
PSR : Le règlement qui s’applique immédiatement
Parallèlement à la PSD3 (une directive européenne devant être transposée dans le droit national), entre en vigueur le Règlement sur les services de paiement (PSR) – un règlement européen qui s’applique directement dans tous les États membres de l’UE, 20 jours après sa publication. Le PSR contient les exigences techniques et opérationnelles : normes API, règles d’authentification, obligations de rapport.
Pour les entreprises, cela signifie : les exigences du PSR entreront en vigueur plus rapidement que prévu. Toute entreprise proposant ou utilisant des services de paiement doit analyser dès maintenant les spécifications techniques et lancer ses projets de mise en conformité avant l’échéance.
De l’open banking à l’open finance
La PSD3 ne constitue qu’une pièce du puzzle. Parallèlement, l’UE développe le Règlement sur l’accès aux données financières (FiDA), qui étend le principe de l’open banking à l’ensemble du secteur financier : assurances, fonds de pension, comptes-titres, contrats de crédit. Les clients doivent bénéficier de la même souveraineté sur leurs données financières que celle dont ils jouissent déjà pour leurs comptes bancaires.
Pour les fintechs et les acteurs du wealthtech, c’est là le véritable point de rupture. Une application capable d’agréger, en temps réel et via des API standardisées, tous les comptes bancaires, comptes-titres, polices d’assurance et droits à pension d’un client – de façon structurée. Tel est le promesse de l’open finance. Son succès dépendra de la capacité de l’UE à tirer les leçons des erreurs commises avec la PSD2.
Ce que les entreprises doivent faire dès maintenant
Même si la PSD3 ne sera pleinement applicable qu’en 2028, c’est précisément maintenant qu’il faut se préparer. Les banques doivent vérifier si leur infrastructure API atteint bien la parité avec leurs propres canaux numériques. Les fintechs doivent intégrer les nouveaux droits élargis d’accès aux données dans leur planification produit. Et les entreprises utilisant des services de paiement doivent comprendre précocement les exigences du PSR.
Les entreprises qui tireront le plus profit de ce changement seront celles qui investissent dès aujourd’hui dans une infrastructure compatible API et qui considèrent l’open banking non comme une simple obligation de conformité, mais comme un modèle économique.
Questions fréquentes
Quelle est la différence entre PSD3 et PSR ?
La PSD3 est une directive européenne devant être transposée dans le droit national (délai de 18 mois). Le PSR est un règlement européen qui s’applique directement – 20 jours après sa publication, sans transposition nationale. Le PSR contient les détails techniques, tandis que la PSD3 définit le cadre juridique général.
Quand la PSD3 entrera-t-elle en vigueur ?
Sa publication est attendue au cours du premier semestre 2026. Après un délai de transposition nationale de 18 mois, la PSD3 devrait être applicable à compter du deuxième ou troisième trimestre 2028. Le PSR s’appliquera nettement plus tôt – directement après sa publication.
Pourquoi l’open banking a-t-il échoué jusqu’à présent en Allemagne ?
Trois raisons principales : les banques avaient peu d’incitations à développer de bonnes API (les prestataires tiers étant perçus comme des concurrents), l’authentification forte des clients était trop contraignante, et l’absence de standardisation a conduit à une fragmentation des paysages API. La PSD3 traite explicitement ces trois problèmes.
Que signifie « parité des API » ?
Les banques doivent maintenir leurs API destinées aux prestataires tiers aussi stables, rapides et fonctionnelles que leurs propres canaux de banque en ligne et applications mobiles. Des rapports trimestriels sur la disponibilité et la latence rendent le respect de cette obligation mesurable.
Qu’est-ce que l’open finance et en quoi diffère-t-elle de l’open banking ?
L’open banking se limite aux comptes bancaires et aux services de paiement. L’open finance (régie par la FiDA) étend ce principe à l’ensemble du secteur financier : assurances, pensions, investissements, crédits. Son objectif est d’assurer une souveraineté totale sur les données relatives à tous les produits financiers.
Lectures complémentaires
- Ce que les banques traditionnelles peuvent apprendre des néobanques
- L’État numérique : l’administration allemande au XXIᵉ siècle
- Cybersec Europe 2026 : la conférence européenne de sécurité à Bruxelles (SecurityToday)
- FinOps : maîtriser les coûts cloud (cloudmagazin)
Source de l’image : Pexels / Monstera Production
