Il 3 settembre la Banca Centrale non ha emanato una regola di pagamento. Ha emanato una specifica di interfaccia. L'Istruzione Normativa BCB nº 774 pubblica la versione 7.4 dei Requisiti Minimi per l'Esperienza dell'Utente — documento che integra il Regolamento di Pix — e determina cosa può apparire nella ricevuta, come si presenta la contestazione di frode e quando l'applicazione deve avvertire che un contatto salvato ha cambiato titolare. Dietro la specifica esiste un regime sanzionatorio che termina nell'esclusione dall'arrangiamento per sessanta mesi. È questo che, nella mia lettura, rende un manuale di schermo uno strumento con peso.

Un manuale di interfaccia all'interno del regolamento

L'IN 774 revoca l'IN BCB nº 689, di dicembre 2025, ritira la versione 7.3 ed entra in vigore il 1º marzo 2027. Sono diciotto mesi tra pubblicazione e applicabilità — tempo affinché i partecipanti riscrivano lo schermo di conclusione della transazione e il file in PDF o immagine che il cliente condivide per messaggio.

La cadenza importa più del contenuto di qualsiasi versione isolata. La 7.0 è uscita ad agosto 2024, la 7.1 a febbraio 2025, la 7.2 a ottobre 2025, la 7.3 a dicembre 2025 con effetti a partire da febbraio 2026, la 7.4 ora. Cinque revisioni in poco più di due anni di un documento che specifica quali messaggi di errore l'applicazione deve visualizzare, quale icona deve sovrastare la ricevuta, quali nomenclature sono obbligatorie e in quale schermo il collegamento al canale di assistenza deve trovarsi. Il manuale non è allegato decorativo del regolamento: è dove il regolatore esercita il controllo del prodotto sulla interfaccia che l'utente effettivamente vede.

Il pacchetto della 7.4 va oltre la ricevuta. Richiede la visualizzazione della ragione sociale del ricevitore persona giuridica. Standardizza l'estratto conto, incluso l'uso di simboli per valori accreditati e addebitati e la nomenclatura di pagamento e riscossione. Obbliga a informare l'utente quando la transazione è bloccata per fondato sospetto di frode, e a informare, nel messaggio di insuccesso della registrazione della chiave, quando il rifiuto deriva da una marcatura di frode creata o accettata dallo stesso prestatore. Limita la rivendicazione di proprietà alle chiavi di tipo numero di telefono cellulare. Dà risalto al campo dell'oggetto del pagamento in Pix Automatico. Ogni uno di questi elementi è una decisione di design presa a Brasilia e implementata da ogni partecipante a proprie spese.

La ricevuta non è mai stato uno spazio libero

La lettura corrente è che la Banca Centrale ha chiuso una lacuna aperta. Ho letto l'intera versione 7.3 prima di scrivere questo, e la lettura più precisa è un'altra: ha esteso al documento un principio che già applicava al messaggio.

La versione 7.3, in vigore dal febbraio 2026, già determina che il campo "Descrizione" — che corrisponde al campo informacoesEntreUsuarios della pacs.008 — non contenga tag HTML, e che l'applicazione del pagatore visualizzi i suoi caratteri letteralmente, senza renderizzare link o qualsiasi contenuto dinamico. La clausola appare ripetuta in cinque capitoli del manuale: Pix con chiave, inserimento manuale, storno, programmazione, notifica al ricevitore. Nei codici QR, dove il campo di descrizione del pagatore è eliminato, la 7.3 ammette HTML nel campo di informazioni aggiuntive ma vieta contenuto dinamico, come script. E già proibisce di visualizzare la chiave Pix e i dati bancari del ricevitore nella ricevuta quando l'identificatore della transazione è compilato.

Cioè: la Banca Centrale regola cosa l'applicazione renderizza all'interno del flusso di pagamento da almeno due versioni. La novità della 7.4 è dichiarare che la ricevuta ha il fine esclusivo di registrare e dimostrare la transazione, e che pubblicità, propaganda, offerte commerciali, hyperlink e qualsiasi contenuto estraneo all'identificazione, all'esecuzione o alla registrazione sono vietati — su schermo, PDF, immagine e carta.

Questo cambia la mia interpretazione di quello che è accaduto. Se la regola riguardasse la monetizzazione, sarebbe una novità di politica. Come estensione di una clausola antirenderizzazione preesistente, è la conclusione coerente di una linea che il regolatore stava tracciando: la superficie del pagamento non può contenere nulla di azionabile che non sia il pagamento. Il meccanismo è il phishing. Il truffatore non ha bisogno dell'accesso all'applicazione della banca; ha bisogno che l'utente accetti come normale la presenza di un pulsante cliccabile all'interno di una ricevuta. Mentre le ricevute legittime portano link, la ricevuta falsificata con link non spicca. Standardizzato il documento senza elemento azionabile, qualsiasi ricevimento con pulsante esterno diventa un'anomalia visibile — e il costo di rilevazione migra dall'utente al formato.

La coppia che nessuno ha unito

Due cambiamenti della 7.4 sono stati trattati separatamente da tutta la copertura che ho letto. Per me, hanno senso solo insieme.

Il primo: le istituzioni devono ora archiviare la chiave Pix utilizzata, collegata alla funzionalità dei contatti salvati, e avvertire l'utente quando la chiave già contenuta nei suoi contatti inizia a puntare a un altro titolare. Il secondo: la rivendicazione di proprietà — il procedimento con il quale qualcuno chiede per sé una chiave registrata da un altro utente — esiste ora solo per chiavi di tipo numero di telefono cellulare.

Uno limita il vettore. L'altro installa l'allarme. L'attacco contro il quale entrambi si dirigono è la cattura di una chiave già fidata: il truffatore cattura una chiave che la vittima ha già salvato e verificato, e il trasferimento successivo va verso l'account sbagliato senza che nessuno schermo di conferma sembri diverso. È il punto del flusso in cui la verifica umana è già stata effettuata e non sarà ripetuta. La 7.3 già obbligava il prestatore donante a comunicare immediatamente l'inizio della rivendicazione al titolare della chiave, con un termine di sette giorni per la riconvalida — protezione da parte di chi perde la chiave. La 7.4 aggiunge la protezione dall'altro lato: da chi paga ad essa. Ridurre i tipi di chiave rivendicabili a uno solo, e obbligare l'avviso quando il titolare dietro un preferito cambia, è un design antifroude indirizzato a un passo specifico del flusso, non una pulizia di interfaccia.

L'MED non è stato riformato a settembre

La caratterizzazione più ripetuta sulla IN 774 — che essa riformula il Meccanismo Speciale di Storno — è sbagliata, e l'errore cancella la storia che importa. Insisto su questo perché la vera riforma è passata quasi inosservata.

La riforma è stata l'MED 2.0, istituito dalla Risoluzione BCB nº 493, di uso facoltativo dal novembre 2025 e obbligatorio per tutti i partecipanti dal 2 febbraio 2026. Ha alterato la meccanica, non la presentazione: ha iniziato a permettere lo storno non solo a partire dal conto ricevente originale ma anche dai conti attraverso i quali il valore è transitato dopo; ha obbligato la comunicazione continua di transazioni intrabbancarie, affinché la Banca Centrale veda i tratti della catena che prima rimanevano invisibili; ha trasferito alla stessa Banca Centrale, via DICT, la generazione e l'invio automatico delle notifiche di infrazione lungo il tracciamento; e ha iniziato a contrassegnare come coinvolte in frode, nel DICT, i conti riceventi della catena quando una notifica è accettata. Niente di tutto questo è nella 7.4. La 7.4 cambia lo schermo attraverso il quale l'utente entra in questo meccanismo: linguaggio quotidiano per identificare il tipo di truffa, campo per descrivere l'accaduto, allegato di documenti e ricevute, e segnalazione più chiara di quando il caso non è idoneo — disaccordo commerciale senza frode, ritardo nella consegna, prodotto diverso da quello previsto.

Inoltre, non è vero che il pacchetto non ha toccato i termini. Ha toccato — tre giorni prima, in un'altra norma, e dall'altro lato dell'operazione. L'IN BCB nº 766, che ha pubblicato la versione 8.5 del Manuale Operativo del DICT, ha ampliato da 30 a 80 giorni, con vigore dal 1º settembre 2026, il termine di cui dispone il ricevitore originale per contestare uno storno effettuato dall'MED. Il termine della vittima per attivare il meccanismo era già di 80 giorni e rimane. Gran parte della copertura ha fuso i due e ha riportato un'estensione della protezione della vittima che non è avvenuta. Quello che è accaduto è stato l'opposto simmetrico: più tempo per il commerciante di buona fede che ha avuto il valore addebitato per difendersi da una contestazione infondata.

E qui sta il numero contro il quale misuro tutto questo. Tra gennaio 2022 e aprile 2026, R$ 24,52 miliardi sono stati sottratti in frodi Pix e R$ 2,2 miliardi sono stati restituiti dall'MED — 8,9%, con una media di 271,5 mila frodi confermate al mese. Nei dati più recenti pubblicati, da gennaio ad aprile 2026, sono stati 11,8 milioni di richieste aperte e 10,7 milioni negate: tasso di rifiuto del 90,3%, con R$ 264,7 milioni restituiti, circa il 10% del valore riconosciuto. La Banca Centrale dichiara di pubblicare queste statistiche trenta giorni dopo la chiusura di ogni mese; i dati da maggio in poi non sono ancora stati rilasciati.

Contro questo contesto, permettere alla vittima di allegare una prova non è un miglioramento dell'esperienza. È un tentativo di spostare un tasso di recupero catastrofico sin dall'inizio. Se lo sposterà è una domanda empirica aperta, e c'è motivo per il dubbio: l'MED recupera il valore che ancora esista nella catena tracciata, e la limitazione potrebbe essere la velocità, non la qualità della prova. La stessa Banca Centrale ha indicato che la produzione del tracciamento ampliato ha iniziato coprendo circa il 5% dei recuperi, con espansione graduale. Una prova migliore non restituisce il denaro che è già uscito.

La multa è proporzionata; l'esilio non lo è

Quello che trasforma una specifica di schermo in un obbligo di bilancio è quello che accade a chi la viola.

La Risoluzione BCB nº 507/2025 ha approvato il Manuale delle Penalità di Pix, applicabile alle infrazioni commesse a partire dal 30 settembre 2025. Le sanzioni sono avvertimento, multa ed esclusione dall'arrangiamento; la sospensione ha cessato di esistere come sanzione autonoma. La multa parte da un valore base tra R$ 50 mila e R$ 1 milione secondo la fascia di gravità, moltiplicata per un fattore di ponderazione legato all'attivo totale del partecipante, con aggravanti per recidiva, riduzioni per riparazione del danno e sconto per chi paga senza ricorrere. Il limite massimo del manuale è R$ 500 milioni, rispetto a R$ 25 milioni nel regime precedente.

Questo limite massimo, tuttavia, quasi mai è il limite che vincola. Il manuale limita la somma delle multe nello stesso procedimento, per le istituzioni autorizzate a operare dalla Banca Centrale, al maggiore tra il 25% del capitale minimo richiesto e il 25% del patrimonio netto; per le altre persone giuridiche, a R$ 1,25 milioni. La multa, quindi, scala con la dimensione per costruzione. Il manuale è severo in alto e contenuto in basso — il che è un design di sanzione convenzionale e difendibile.

L'esclusione non funziona così. La Risoluzione BCB nº 506/2025 ha elevato da 12 a 60 mesi il termine minimo affinché un partecipante escluso possa richiedere una nuova adesione, ha iniziato a richiedere un patrimonio netto minimo di R$ 5 milioni come condizione di partecipazione, e ha creato una multa giornaliera coercitiva fino a R$ 200 mila, limitata a 60 giorni, per il mancato rispetto di un'ordinanza del regolatore. La Risoluzione BCB nº 559/2026, di aprile, ha aggiunto la perdita della qualità di partecipante per chi rimanga più di 90 giorni consecutivi senza partecipante attivo nell'SPI.

Cinque anni fuori da Pix non è una sanzione graduata per dimensione: è lo stesso intervallo per tutti, e per un prestatore brasiliano la cui proposta di valore dipende da un conto transazionale è indistinguibile dalla chiusura. La proporzionalità del regime è nella multa; la pena che non ha proporzionalità è proprio quella che non si può assorbire. È per questo che una clausola su cosa può apparire nella ricevuta è un argomento del consiglio di amministrazione e non del team di design.

Regole di bandiera e mandato di banca centrale

Le bandiere di carta specificano anche l'interfaccia. Le regole di rete affrontano il posizionamento del marchio, gli schermi di autenticazione, i testi di errore, il formato della ricevuta. Il meccanismo è lo stesso: chi opera il binario determina cosa il partecipante mostra.

La differenza è la natura dell'adesione. L'affiliazione a una bandiera è una relazione commerciale; l'uscita è una decisione di business, con costi e alternative. La partecipazione a Pix, per chi offre un conto transazionale in Brasile, è un'infrastruttura praticamente obbligatoria — e l'uscita, quando imposta, dura sessanta mesi. Lo stesso strumento, specifica di interfaccia, opera sotto una leva incomparabile. Una bandiera che indurisce troppo le sue regole perde emittenti per un'altra. Una banca centrale che indurisce le sue non perde nessuno.

Non sto criticando il design. Sto constatando che Pix ha creato una categoria di rischio normativo che il settore ancora tratta come se fosse conformità di prodotto: cambiamenti di interfaccia obbligatori, con cadenza di due o tre all'anno, finanziati interamente dal partecipante, sanzionati da un regime il cui estremo è l'uscita dal mercato. Chi ha margine assorbe. Chi non ne ha, finanzia lo strumento di disputa più ricco fino a marzo 2027 con lo stesso budget.

Dove la tesi non regge

Una parte della lettura corrente sulla IN 774 non ha evidenza, e l'ho cercata: quella secondo cui i partecipanti stavano trattando la ricevuta come spazio proprio per la vendita incrociata e il regolatore ha reagito a questo.

Non ho trovato una fonte nemmeno che nomini una banca, fintech o portafoglio che mettesse un annuncio o un link in una ricevuta Pix. Dopo l'annuncio della norma, i portali hanno iniziato a descrivere la pratica come corrente — offerte di prestiti pre-approvati, rateizzazione, assicurazione, coupon di negozio partner proprio sotto i dati del ricevitore — senza nominare un'istituzione, senza immagine, senza fonte primaria. La giustificazione dichiarata dalla Banca Centrale è la frode: ridurre il rischio che il documento sia usato come vettore di truffa, soprattutto attraverso link fraudolenti.

C'è una seconda controevidenza, e per me è più eloquente della prima: nessuno nel mercato ha protestato. Non ho trovato una dichiarazione di un'entità di classe o di un partecipante nominato sulla perdita di questa superficie. Quando il settore si è pronunciato pubblicamente sull'MED, a luglio, la preoccupazione dichiarata è stata la riduzione dei falsi positivi e il trattamento adeguato al ricevitore di buona fede — rischio operazionale, non inventario perduto. Una risorsa di monetizzazione che nessuno difende quando viene tolta probabilmente non era una risorsa di monetizzazione.

La mia lettura, quindi, è più ristretta e più interessante di quella dell'economia dell'attenzione. Non è che il regolatore abbia ripreso una superficie commerciale. È che il regolatore ha specificato preventivamente una superficie prima che diventasse commerciale — e ha potuto farlo perché la specifica dell'interfaccia è già sua, per regolamento, con una sanzione dietro. La capacità di chiudere un mercato pubblicitario che ancora non esiste è la dimostrazione più pulita di chi è il proprietario del prodotto.

Cosa osservare

Il primo marcatore che seguirò è il 26 ottobre 2026, quando entra la fase di comunicazione tra istituzioni dell'MED 2.0, rinviata da agosto. È il pezzo che determina la velocità del tracciamento in catena, e la velocità è la variabile che decide se c'è saldo da restituire.

Il secondo è la ripresa delle statistiche dell'MED. I dati pubblici si fermano ad aprile 2026, nonostante la cadenza dichiarata di trenta giorni. Senza una serie da maggio a febbraio, non ci sarà una linea di base rispetto alla quale misurare l'effetto del nuovo percorso di contestazione a partire da marzo 2027 — e l'assenza di una linea di base è come gli interventi normativi smettono di essere valutabili. Vale la pena seguire anche la proporzione dei recuperi che effettivamente transita attraverso il tracciamento ampliato, partendo da circa il 5% dell'inizio della produzione.

Il terzo è il 1º ottobre 2026, quando entrano i limiti personalizzabili e cade il limite fisso per transazione in Pix by proximity. È il vettore che cresce mentre l'attenzione del settore è sullo schermo della ricevuta.

Il quarto, e per me il più rivelatrice, è il primo procedimento sanzionatorio avviato sulla base di un elemento del manuale dell'esperienza dell'utente. Finché questo non accadrà, l'ipotesi che la specifica dell'interfaccia sia un vero obbligo rimane non testata — e i partecipanti con budget ristretto continueranno a priori tizzarla al di sotto dei requisiti la cui applicazione hanno già visto funzionare.

Il quinto è il silenzio. Se, entro marzo 2027, nessun partecipante chiede pubblicamente una proroga, nessun'entità stima il costo di adeguamento e nessuna istituzione viene identificata come avere perso ricavi per il divieto, l'interpretazione che si trattasse di una regola antiphishing preventiva sarà confermata per assenza — e il settore avrà accettato, senza dibattito, che lo schermo dove l'utente trascorre più tempo è specificato da chi opera il binario.

Redazione in portoghese revisionata da Alexandre Goes.