Pagos agénticos: el control tiene que estar en la infraestructura, no en el prompt

El recadero al que le diste la tarjeta sin límite

Imagina que le das tu tarjeta de crédito a alguien para que te haga los recados del día. Sin tope de gasto. Sin lista de lo que puede comprar. Y que, entre recado y recado, se queda con la tarjeta en el bolsillo.

Eso es, técnicamente, lo que ocurre cuando un agente de IA tiene acceso a datos de pago persistentes durante una sesión.

Agentes como Claude, wrappers sobre GPT-4o o sistemas multiagente ya pueden reservar vuelos, renovar suscripciones, pagar proveedores o ejecutar compras sin que el usuario confirme nada en el momento. La capacidad técnica está resuelta. Lo que no está resuelto es la capa que viene después: ¿quién decide si esa transacción estaba autorizada? ¿Cómo se demuestra? ¿Quién paga si algo sale mal?

Visa y Mastercard están sentando bases técnicas para transacciones a gran escala lideradas por agentes. La iniciativa Agent Payments Protocol (AP2) va en esa dirección. Pero según Donald Kossmann, CTO de Chargebacks911 y ex-Microsoft con experiencia en equipos de IA, el problema no está en el carril de ida de la transacción, está en el de vuelta. En la disputa. En el momento en que algo falla y alguien tiene que demostrar que el agente actuaba dentro de sus límites.

Ese momento no tiene infraestructura. Y McKinsey proyecta que el comercio agéntico podría generar entre 3 y 5 billones de dólares en ingresos globales para 2030. Estamos construyendo sobre una grieta.

Por qué el prompt no es seguridad

La respuesta habitual cuando se plantea este problema es: "configura bien el agente, dile que pida confirmación antes de gastar."

Es una respuesta razonable. Y es completamente insuficiente.

Los prompts no son contratos. Cambian según el contexto, según la cadena de herramientas que se activa, según cómo el agente interpreta la instrucción en un momento dado. Un agente que tiene instrucciones de "pedir confirmación para gastos mayores de 50€" puede fallar en esa lógica si la llamada a herramienta viene encadenada desde otro subagente, si el contexto de la sesión ha derivado, o simplemente porque el modelo interpretó la situación de forma distinta a como tú la imaginabas.

Esto no es hipotético. Es la naturaleza de los sistemas agénticos: son autónomos por diseño, y esa autonomía es exactamente lo que los hace útiles. El problema es que autonomía sin límites de infraestructura es un riesgo financiero disfrazado de feature.

Benjamin Palacio, Senior IT Analyst cuya argumentación recoge GovTech, lo plantea con una analogía que vale la pena tomar en serio: la IA agéntica necesita los mismos controles internos que los sistemas financieros. En finanzas, existe algo llamado segregación de funciones: el sistema que fija los objetivos no es el mismo que aprueba las acciones, que tampoco es el mismo que valida los resultados. Así se evita que un único punto de fallo, o de mal comportamiento, pueda comprometer todo el proceso.

Aplicado a un agente de pagos: el agente no debería poder definir qué compra, ejecutar la compra y confirmar que la compra estaba autorizada. Eso es exactamente lo que ocurre cuando la seguridad vive solo en el prompt.

La IA agéntica no es peligrosa por tener conciencia propia. Es peligrosa por falta de límites. Los controles garantizan que actúe para nosotros, no en nuestro lugar.

La diferencia entre "para nosotros" y "en nuestro lugar" es exactamente la diferencia entre un agente útil y un agente con tu tarjeta en el bolsillo.

El problema de la autorización que no deja rastro

En una transacción normal, la autorización es implícita y verificable: tú introduces el PIN, firmas el recibo, o apruebas la notificación en el móvil. Hay un momento concreto en que queda registrado que tú, en ese instante, dijiste que sí.

En una transacción agéntica, ese momento no existe de la misma forma.

El consumidor da permiso días o semanas antes, cuando configura el agente: "puedes gastar hasta X en categoría Y durante el mes Z." La autorización no se deduce del momento de compra. Se deduce de los límites predefinidos. Y si esos límites no están registrados en ningún sistema neutral y verificable, tienes un problema enorme en el momento en que algo falla.

Kossmann lo señala directamente en su análisis publicado en Retail Gazette: el comercio agéntico carece de una capa de disputas y evidencia de consentimiento. Cuando un consumidor reclama que el agente se extralimitó, el comerciante no puede demostrar que tenía autorización. Cuando el comerciante reclama que la transacción era legítima, el consumidor no puede probar que el agente actuó fuera de sus límites. Nadie tiene el registro que resolvería el arbitraje.

¿Qué pasa entonces? Lo que siempre pasa cuando no hay infraestructura: contracargos automáticos, transacciones bloqueadas por los sistemas antifraude, o litigios largos y costosos que perjudican a todas las partes. El comerciante pierde ingresos. El consumidor pierde tiempo. Y la confianza en el modelo agéntico se erosiona antes de que haya tenido tiempo de consolidarse.

Qué tendría que existir y todavía no existe

La solución que propone Kossmann no es filosófica. Es arquitectónica.

Lo que hace falta es una arquitectura de evidencia: un sistema que capture, en el momento de configurar el agente, qué estaba autorizado a hacer, con qué límites y con qué marcas de tiempo. No un log interno del agente, eso puede manipularse o perderse, sino un registro neutral, verificable y atribuible a una decisión humana concreta.

Piénsalo como el equivalente a un contrato notariado, pero para permisos de agente. Cuando el agente ejecuta una transacción, el sistema puede consultar ese registro y verificar: ¿esta acción estaba dentro del alcance autorizado en el momento T con los límites L? Si la respuesta es sí, la disputa se resuelve en segundos. Si la respuesta es no, también.

Los sistemas UDMS y ResolveLab de Chargebacks911 utilizan IA y aprendizaje automático para construir y analizar este tipo de arquitectura de permisos, permitiendo clasificar transacciones y recuperar ingresos perdidos por falsos rechazos. Pero la existencia de estas herramientas no significa que la industria las haya adoptado como estándar, son una propuesta, no una norma.

El artículo de GovTech va en la misma dirección desde el ángulo de los controles internos: toda acción de un agente debe ser registrada, explicable y atribuible a una solicitud humana. Debe existir la posibilidad de auditoría. Y para decisiones de alto impacto, como pagos por encima de ciertos umbrales, debe haber validación humana en el bucle, no como opción sino como requisito de infraestructura.

Esto no es lo mismo que decirle al agente que pida confirmación. Es construir un sistema donde la confirmación queda registrada de forma verificable antes de que el agente empiece a operar, y donde cualquier acción puede trazarse hasta esa confirmación original.

La trampa de la infraestructura incompleta

Hay algo que conviene nombrar con claridad: la infraestructura de pagos agénticos que existe hoy cubre bien la parte visible del proceso.

Orquestación de pagos, detección de fraude, tokenización, liquidación, todo eso está bastante resuelto o en proceso de resolverse. Visa, Mastercard y AP2 están trabajando en los carriles técnicos para que los agentes puedan ejecutar transacciones a escala. Esa parte es la que genera los titulares y las proyecciones de McKinsey.

Lo que no genera titulares es la capa posterior: la verificación de intención, el registro de consentimiento, el arbitraje de disputas. Es la parte aburrida. La que no se puede demostrar en una demo. La que nadie pone en el pitch deck.

Y es exactamente la parte que determina si el modelo es viable a largo plazo.

Una industria puede sobrevivir con tasas de fraude relativamente altas si tiene mecanismos claros para resolverlo. Lo que no puede sostener es ambigüedad sistemática sobre si las transacciones eran legítimas. Esa ambigüedad destruye la confianza de comerciantes y consumidores mucho más rápido que el fraude en sí.

Kossmann hace una observación que merece quedarse: los comerciantes que inviertan en marcos de consentimiento y captura de evidencia no solo se protegen de disputas. Construyen la confianza necesaria para escalar. En un agéntico maduro, los agentes seleccionarán comerciantes según su fiabilidad y su historial en la gestión de disputas. El comerciante que no tenga esa capa no será elegido.

Es decir: la arquitectura de evidencia no es solo un mecanismo defensivo. Es una ventaja competitiva.

Tarjetas efímeras: el control que vive en la infraestructura

Hay una solución técnica que apunta en la dirección correcta y que el post original señalaba: la emisión de tarjetas en tiempo real.

La lógica es simple. En lugar de que el agente tenga acceso a datos de pago persistentes durante toda la sesión, con el riesgo de que un fallo en cualquier llamada a herramienta genere un gasto no autorizado, el agente solicita una tarjeta virtual para una operación concreta. La tarjeta se emite con límites predefinidos (importe máximo, categoría de gasto, ventana temporal). El agente la usa. La tarjeta se cancela al terminar la operación.

Sin datos de pago persistentes entre sesiones. Sin posibilidad de que un fallo en el contexto genere un gasto fuera de los parámetros. El control no vive en la instrucción del prompt, vive en los límites técnicos de la tarjeta.

Esto es exactamente el tipo de control que Palacio describe cuando habla de definir accesos, segregar funciones y establecer límites de alcance antes de que el agente opere. No le dices al agente "no gastes más de X", construyes un sistema donde gastar más de X es técnicamente imposible.

La honestidad aquí es necesaria: no hay cifras públicas claras sobre cuántas plataformas soportan tarjetas efímeras a escala para casos de uso agéntico. El mercado está en construcción. Pero la dirección es la correcta, y la lógica es la misma que la de cualquier buen sistema de control financiero: los límites se definen en la infraestructura, no en la buena voluntad del operador.

El silencio que suele preceder a los problemas gordos

No hay casos documentados masivos de agentes de IA gastando dinero sin control. No hay estadísticas públicas de contracargos agénticos. No hay datos cuantitativos sobre el coste de disputas en comercio agéntico porque el comercio agéntico a escala todavía no existe.

Ese silencio se puede interpretar de dos formas.

La primera: no hay problema porque el problema no ha llegado todavía, y tenemos tiempo de construir la infraestructura antes de que llegue.

La segunda: la capacidad técnica ya existe, los primeros usos reales ya están ocurriendo, y cuando el volumen escale lo suficiente como para que los fallos sean visibles, la infraestructura de resolución no estará lista.

La historia de los sistemas de pago digitales sugiere que la segunda interpretación es la más probable. El fraude en tarjetas de crédito existía mucho antes de que existieran sistemas robustos para gestionarlo. Los contracargos en e-commerce eran un problema sistémico antes de que la industria desarrollara herramientas específicas. En ambos casos, la infraestructura llegó tarde y costó dinero, mucho dinero, construirla a posteriori.

Con el comercio agéntico, tenemos la ventaja de saber que el problema viene antes de que llegue. La pregunta es si alguien va a tomárselo en serio antes de que los 3-5 billones proyectados por McKinsey se conviertan en el argumento para no cambiar nada porque "ya hay demasiado en juego."

El control financiero no es una feature que añades cuando el producto ya funciona. Es la base desde el primer día. Y la base no se construye en el prompt. Se construye en la infraestructura.