Fintech non vigilate: l’indagine della Banca d’Italia sulle regole

La Banca d’Italia ha pubblicato la seconda indagine sulle imprese fintech italiane non sottoposte a vigilanza. Il 63% delle imprese rispondenti segnala almeno un effetto negativo delle regole sull’attività, ma il 70% di queste le ritiene necessarie. Resta aperta una domanda: quanto pesano norme che non sono scritte per loro?

Cosa dice l’indagine della Banca d’Italia?

Descrive un settore giovane, piccolo e legato alle banche, che considera le regole insieme un costo e una garanzia. È l’Indagine Fintech sugli operatori italiani non vigilati – 2026, seconda edizione dopo quella dell’anno precedente. L’hanno curata Nicolino Di Giano, Alessandro Lentini e Fabrizio Zennaro.

La rilevazione si è svolta nel 2026 con un questionario online sui dati del 2025. La Banca d’Italia ha individuato 336 imprese classificabili come fintech secondo una propria classificazione interna. Hanno risposto in 157, circa il 47%. Di queste, 88 avevano partecipato anche all’edizione precedente.

Il profilo che emerge è questo:

• l’83% è una società a responsabilità limitata e il 93% ha meno di 100 dipendenti;
• il 67% ha la sede legale al Nord, il 44% nella sola Milano;
• il 73% vende soprattutto ad altre imprese, il cosiddetto modello B2B (business-to-business), mentre solo il 5% si rivolge direttamente ai consumatori;
• l’84% si finanzia con mezzi propri e il 64% investe meno di 200.000 euro in prodotti e servizi fintech.

Una precisazione è necessaria. La partecipazione era volontaria e non esiste un elenco ufficiale delle imprese interessate. La stessa Banca d’Italia avverte che i risultati descrivono le imprese che hanno risposto e non sono necessariamente rappresentativi dell’intero settore.

Che cos’è una fintech non vigilata?

È un’impresa che opera nella finanza e nei pagamenti senza essere un intermediario autorizzato. L’indagine la definisce così: non rientra tra gli intermediari autorizzati e sottoposti alla vigilanza o sorveglianza della Banca d’Italia o di altre autorità di controllo, e non è iscritta in appositi albi o registri.

Questo non significa che resti fuori dal sistema finanziario. Secondo l’indagine, queste imprese possono:

• offrire servizi agli intermediari vigilati con contratti di esternalizzazione (outsourcing) o altre forme di collaborazione;
• servire direttamente imprese e consumatori usando soluzioni offerte da intermediari vigilati, le cosiddette soluzioni white label;
• operare in regime di esclusione, di agenzia o di mediazione.

Il legame con il sistema vigilato è forte. Il 66% delle imprese collabora con almeno un intermediario vigilato: banche, istituti di pagamento, istituti di moneta elettronica, altri intermediari o assicurazioni. Un anno prima la quota era del 60%. Le collaborazioni si fondano soprattutto su accordi di licenza, usati in oltre il 70% dei casi.

La conclusione della Banca d’Italia è che queste imprese non sono un circuito alternativo agli intermediari tradizionali, ma una componente integrata della filiera finanziaria.

Quali regole contano di più per le fintech non vigilate?

Prima di tutto la protezione dei dati personali. Il GDPR, il regolamento europeo sulla protezione dei dati, è indicato come rilevante dall’83% delle imprese, contro il 75% della rilevazione precedente.

Seguono, tutte indicate dal 59% delle imprese:

• la disciplina antiriciclaggio e di contrasto al finanziamento del terrorismo (AML/CFT);
• DORA, la normativa europea sulla resilienza operativa digitale;
• l’AI Act, la normativa europea sull’intelligenza artificiale.

Le regole rilevanti sono molte. Il 36% delle imprese indica da tre a cinque ambiti normativi, circa un terzo più di cinque. La domanda riguardava le regolamentazioni europee e le relative norme nazionali di recepimento o attuazione.

Le regole per banche e intermediari valgono anche per le fintech non vigilate?

Non sempre in modo diretto, ma possono arrivare lo stesso. L’indagine precisa che una norma può essere rilevante per un’impresa anche quando l’impresa non ne è destinataria diretta. Il peso percepito può dipendere dai requisiti chiesti da intermediari vigilati, investitori e partner commerciali, oppure dai piani di crescita e di accesso a nuovi mercati.

La Banca d’Italia distingue due situazioni:

• il GDPR e l’AI Act possono avere un’applicazione diretta, perché riguardano il trattamento dei dati e lo sviluppo e l’uso di sistemi di intelligenza artificiale;
• DORA e, in molti casi, le norme AML/CFT possono pesare in modo indiretto, perché gli intermediari vigilati, destinatari diretti di queste norme, chiedono ai propri partner tecnologici requisiti di sicurezza informatica, resilienza operativa, continuità dei servizi e gestione dei fornitori.

La questione è aperta. L’indagine non misura quanto pesi ciascuna delle due vie e annuncia che la distinzione “meriterà un approfondimento dedicato”.

Un dato aiuta a capire il fenomeno. L’ostacolo alla crescita indicato più spesso, da circa il 60% delle imprese, è la complessità dei processi di acquisto (procurement) dei grandi clienti. Secondo l’indagine, gli intermediari tendono a collaborare con soggetti che offrono garanzie elevate di sicurezza informatica, continuità operativa e riservatezza delle informazioni.

Le regole sono un costo o una garanzia per le fintech?

Entrambe le cose. L’indagine descrive la regolamentazione come “infrastruttura della fiducia”: aiuta a costruire la fiducia necessaria nei rapporti con clienti e partner vigilati, ma rispettarla ha un costo che può condizionare l’accesso al mercato.

I giudizi delle imprese cambiano a seconda dell’aspetto considerato:

• sui costi operativi, il 56% dà un giudizio negativo o estremamente negativo;
• sui tempi di arrivo sul mercato (time to market), il giudizio è negativo per il 50%;
• sullo sviluppo della tecnologia, il 41% dà un giudizio positivo o molto positivo;
• sulla definizione del modello di business, il giudizio è positivo per il 39%.

Nel complesso, il 63% delle imprese segnala almeno un ambito in cui le regole hanno un effetto negativo o molto negativo. Tra queste, però, il 70% ritiene che i vincoli siano nel complesso necessari; nella rilevazione precedente era il 67%. Il restante 30%, circa un’impresa su cinque sul totale, vede margini di miglioramento.

Le richieste indicate più spesso sono tre:

• un quadro normativo più armonizzato e stabile;
• una più ampia applicazione del principio di proporzionalità, cioè regole commisurate alla dimensione delle imprese;
• una valutazione più attenta degli effetti sui processi interni.

L’indagine avverte che l’onere segnalato mescola fenomeni diversi: il costo della conformità sui processi interni, l’incertezza di un quadro normativo frammentato e in evoluzione, una proporzionalità applicata in misura limitata. I dati disponibili non permettono ancora di separarli.

Chi gestisce la conformità alle regole nelle fintech non vigilate?

Soprattutto consulenti esterni. Il 53% delle imprese affida la conformità alle regole, la cosiddetta compliance, esclusivamente a consulenti esterni. Un anno prima la quota era del 31%.

Il quadro completo, confrontato con l’edizione precedente, è questo:

• solo consulenti esterni: 53% (era 31%);
• modello misto, con ufficio legale o funzione di controllo interni affiancati da professionisti esterni: 29% (era 44%);
• solo risorse interne: 13% (era 16%);
• nessun presidio dedicato: 5% (era 9%).

Il confronto va letto con cautela. Tra le imprese presenti in entrambe le edizioni la tendenza è confermata, ma meno marcata: il ricorso esclusivo ai consulenti esterni passa dal 32% al 49%. Inoltre, nel nuovo questionario la risposta “controllo interno” è stata sostituita dalla categoria più ampia “altra struttura interna”.

I fattori che decidono l’assetto della compliance sono, nell’ordine, la dimensione aziendale (56%), le richieste di investitori e partner (40%) e le competenze interne disponibili (39%). Contano meno i vincoli di budget (26%) e lo stadio di sviluppo dei prodotti e servizi (25%).

Che cosa insegna l’indagine?

Che per una fintech non vigilata la domanda non è solo “quali norme si applicano a me”, ma anche “quali requisiti mi chiederanno i clienti vigilati”. Fin qui il fatto. Quella che segue è un’interpretazione.

I dati descrivono una catena. Le fintech non vigilate lavorano soprattutto per imprese e intermediari vigilati. Questi chiedono garanzie di sicurezza, continuità e riservatezza. Le norme scritte per i soggetti vigilati, come DORA, raggiungono così i loro fornitori attraverso gli accordi commerciali. Tre dati sono coerenti con questa lettura: il peso dei processi di acquisto dei grandi clienti, la crescita della compliance affidata a consulenti esterni e il ruolo delle richieste di investitori e partner nell’organizzazione della compliance.

L’indagine però non dimostra alcune cose:

• non dice quanto dell’onere derivi dalla legge e quanto dalle richieste dei partner, perché la distinzione non è stata ancora misurata;
• non separa il costo della conformità dall’incertezza normativa e dalla scarsa proporzionalità;
• non rappresenta l’intero settore, perché il campione è volontario e potenzialmente autoselezionato.

Sul piano pratico, chi guida o assiste una fintech non vigilata ha due verifiche distinte da fare:

• quali norme si applicano direttamente all’impresa, come può accadere per il GDPR e l’AI Act;
• quali requisiti arrivano dagli accordi con clienti e partner vigilati, come può accadere per DORA e, in molti casi, per le regole AML/CFT.

Fonti

• Banca d’Italia, Indagine Fintech sugli operatori italiani non vigilati – 2026, a cura di N. Di Giano, A. Lentini, F. Zennaro