PSD2 API för kreditanalys i Sverige — en komplett guide

PSD2 — Payment Services Directive 2 — är EU-direktivet som tvingar banker att öppna sina kunddata-APIs för tredjepartsaktörer med kundens samtycke. Det är grunden för hela Open Banking-rörelsen och den tekniska möjligheten bakom kassaflödesbaserad kreditanalys.

Den här guiden riktar sig till tekniska beslutsfattare och utvecklare som utvärderar PSD2 API-integration för kreditanalys, inkomstverifiering eller kreditbeslut i den svenska marknaden.

Vad PSD2 faktiskt tillåter

Under PSD2 kan tredjepartsaktörer — så kallade TPPs, Third Party Providers — med kundens uttryckliga samtycke hämta två typer av data från banker:

Kontoinformation (AIS — Account Information Services). Tillgång till kontosaldo, transaktionshistorik och kontodetaljer. Det är detta som används för kassaflödesbaserad kreditanalys och inkomstverifiering.

Betalningsinitiation (PIS — Payment Initiation Services). Möjlighet att initiera betalningar direkt från kundens konto. Relevant för utbetalning av beviljade lån men inte för kreditbedömning.

För kreditanalys är det AIS-flödet som är relevant. Kunden ger sitt samtycke, TPP:n hämtar transaktionshistoriken — typiskt 12 månader bakåt — och kreditgivaren analyserar kassaflödena.

Licenskravet — det vanligaste missförståndet

Det vanligaste missförståndet kring PSD2-integration är att kreditgivaren själv måste ha en PSD2-licens (TPP-licens) för att komma åt bankdata. Det stämmer inte.

En kreditgivare kan använda en licensierad TPP som mellanhand. TPP:n hanterar bankuppkopplingen, samtyckesflödet och datahämtningen under sin egen licens. Kreditgivaren tar emot den strukturerade datan — eller i Truevis fall, det färdiga kreditbeslutet — utan att själv behöva ansöka om licens hos Finansinspektionen.

Licensansökan är en process som kan ta 6–18 månader och kräver betydande juridisk och teknisk infrastruktur. Att använda en licensierad partner eliminerar detta hinder helt.

Teknisk arkitektur för PSD2 kreditanalys

En typisk PSD2 kreditanalys-integration ser ut på följande sätt:

Steg 1 — Initiering. Kreditgivaren initierar en session med ett API-anrop som innehåller produkttyp, lånebelopp och kund-ID. Sessionen returnerar en widget-URL eller redirect-URL.

Steg 2 — Samtycke och bankval. Kunden visas ett bankvalsgränssnitt — antingen embedded som en widget i kreditgivarens kundresa eller som en redirect till en extern samtyckessida. Kunden väljer sin bank och autentiserar med BankID.

Steg 3 — Datahämtning. TPP:n hämtar transaktionshistorik via bankens PSD2-API. De flesta svenska storbanker stödjer 12 månaders historik. Hämtning tar typiskt 5–20 sekunder beroende på bank och datamängd.

Steg 4 — Analys och beslut. Transaktionsdata klassificeras, KALP och DSTI beräknas, och ett kreditbeslut genereras. Det totala analyssteget tar under en sekund i moderna implementationer.

Steg 5 — Svar till kreditgivaren. Kreditbeslutet levereras via webhook till kreditgivarens backend eller kan pollas via REST API. JSON-svaret innehåller verdict, nyckeltal och beslutsfaktorer.

Bankstöd i Sverige

De svenska storbankerna har implementerat PSD2-APIs av varierande kvalitet och tillgänglighet. De banker med stabilt stöd för AIS-flödet inkluderar Swedbank, SEB, Handelsbanken, Nordea, Danske Bank och Länsförsäkringar Bank. Nischbanker och neobanker varierar i API-kvalitet och tillgänglighet.

En viktig distinktion: PSD2-API:erna är inte standardiserade på ett sätt som gör att en integration fungerar för alla banker. Varje bank har sin egen implementation av Berlin Group-standarden, med egna quirks i autentiseringsflöde, dataformat och felhantering. En robust PSD2-integration kräver att dessa skillnader hanteras i mjukvara — vilket är en av anledningarna till att egenutvecklad PSD2-integration är en betydande teknisk investering.

Integration via widget vs direkt API

Det finns två huvudsakliga integrationsmodeller:

Widget-integration. En JavaScript-widget bäddas in i kreditgivarens kundresa med ett script-tag. Widgeten hanterar samtycke, bankval och BankID-autentisering i en isolerad komponent. Kreditgivaren tar emot resultatet via callback eller webhook. Integrationstiden är typiskt en halv till en hel arbetsdag.

Direkt API-integration. Kreditgivaren bygger sitt eget UI för bankval och samtycke och kommunicerar med backend-API:et direkt. Ger full kontroll över UX men kräver mer developmenttid — typiskt en till tre veckor beroende på kreditgivarens stack.

För de flesta kreditgivare är widget-integrationen det rätta valet initialt. Det eliminerar UX-arbetet, hanterar edge-cases i samtyckesflödet och minskar time-to-production drastiskt.

Säkerhet och GDPR-krav

PSD2-data innehåller känslig finansiell information och lyder under GDPR. Viktiga krav:

Samtycke måste vara uttryckligt och informerat. Kunden ska förstå vad som hämtas, varför och hur länge det sparas. Samtyckestexten ska vara tydlig, inte gömd i villkorstext.

Dataminimering. Endast den data som är nödvändig för kreditbedömningen ska hämtas och lagras. Transaktionsdata som inte används i analysen ska inte sparas.

Retentionspolicy. Finansiell transaktionsdata ska raderas enligt en definierad policy efter att den har använts för sitt syfte. Typiska retentionsperioder är 30–90 dagar beroende på produkttyp.

Kryptering i transit och vila. All PSD2-data ska krypteras med modern kryptografi, både under överföring och i lagring.

Truevis tekniska integration

Truevi hanterar hela PSD2-stacken — bankuppkopplingen, samtyckesflödet, BankID-autentisering, datahämtning, klassificering och kreditbeslut — under vår egen PSD2-licens. Kreditgivaren integrerar ett JavaScript snippet och tar emot ett strukturerat JSON-svar med kreditbeslut.

Truevi.init({
  apiKey: 'tvk_live_xxxxx',
  product: 'BLANCO_LARGE',
  amount: 150000,
  onDecision: (result) => {
    console.log(result.verdict);  // "APPROVED"
    console.log(result.kalp);     // 8420
    console.log(result.dsti);     // 0.28
    console.log(result.score);    // 87
    console.log(result.factors);  // Array av beslutsfaktorer
  }
});

Ingen PSD2-licens. Ingen egenutvecklad bankintegration. Ingen kreditlogik att bygga. Kreditbeslutet levereras på under 300 millisekunder efter att bankdata är hämtad.

Läs vår tekniska dokumentation för fullständig API-referens, webhook-specifikation och sandbox-miljö för testning.

Truevi är en kassaflödesbaserad kreditanalysmotor för banker, kreditgivare och låneförmedlare i Sverige. Läs mer om vår PSD2-integration och hur vi levererar kreditbeslut via Open Banking på truevi.io/developers.