Pagos para agentes de IA: cómo funcionan y cómo elegir

Nadie le da la billetera al cadete. Le da la plata justa, le dice adónde ir y le pide el recibo. Pero cuando un agente de IA compra con la tarjeta guardada en el navegador, eso es exactamente lo que estás haciendo: entregarle la billetera entera a alguien que no sabe distinguir un comercio de una trampa.

Los sistemas de pago para agentes existen para lo contrario. Que el agente haga el mandado sin tocar nunca la plata.

Esta guía explica cómo funcionan, sin jerga, y cómo saber si sirven para tu negocio. Tanto si vendés y los agentes de tus clientes te van a comprar, como si tus agentes van a comprar por vos.

Por qué la tarjeta guardada es una mala idea

La tarjeta se diseñó para una persona presente. Alguien que mira la pantalla, ve el monto y aprieta "pagar". Todo el sistema antifraude parte de ese supuesto: si el que paga se comporta como un robot, se bloquea.

Un agente rompe las tres cosas a la vez. No es una persona. Puede no estar mirando nadie. Y se comporta, por definición, como un robot.

Si le das tu tarjeta, pasan dos cosas malas. Para el comercio, la compra parece fraude. Para vos, el agente tiene acceso ilimitado: cualquier monto, cualquier comercio, cualquier día. Y si una página le da una instrucción escondida, la paga con tu plata.

Por eso la industria armó otra cosa. Todo pago de un agente, bien hecho, responde tres preguntas antes de mover un peso:

1. Identidad. ¿Quién es este agente y a quién representa?
2. Autorización. ¿Qué aprobó la persona: qué, cuánto y hasta cuándo?
3. Pago. ¿Cómo se cobra sin que la tarjeta quede expuesta?

El cadete no necesita tu billetera. Necesita un mandado claro, la plata justa y un recibo.

Los cuatro rieles de pago

Hoy conviven cuatro formas de que un agente pague. No compiten: cada una sirve para un tipo de compra.

1. Pago tokenizado. El agente nunca recibe el número de la tarjeta. Recibe un token: un código que vale para un solo comercio, hasta un monto máximo y por poco tiempo. Stripe lo llama Shared Payment Tokens: el token queda atado a un vendedor, con tope y fecha de vencimiento, y se puede revocar en cualquier momento. Visa lo resuelve con sus credenciales para agentes dentro de Visa Intelligent Commerce, y Mastercard con sus Agentic Tokens de Agent Pay. La versión para consumidores ya existe: desde abril de 2026, la billetera Link de Stripe deja que un agente pida permiso para gastar, y la persona lo aprueba en el celular antes de que se comparta ninguna credencial.

2. Orden firmada. La persona firma las reglas por adelantado y el agente solo puede comprar dentro de esa orden. Es la idea de AP2, el protocolo que Google presentó en septiembre de 2025 con más de 60 organizaciones. En su lanzamiento describió dos documentos firmados: el intent mandate, con las reglas ("hasta USD 6.000, este proveedor, esta semana"), y el cart mandate, el carrito exacto con su precio. Sirve con la persona presente, que firma el carrito, o ausente, cuando el agente arma el carrito solo si se cumplen las condiciones. La especificación sigue cambiando de nombres. El principio, no.

3. Tarjeta de un solo uso. Una tarjeta virtual que se crea para una compra, en un comercio y con tope. Después deja de existir. Ramp lanzó sus Agent Cards en abril de 2026, tarjetas virtuales tokenizadas donde cada una queda atada a un solo agente y una sola transacción. Stripe ofrece algo parecido con Issuing para agentes: tarjetas que se invalidan después de usarse, con límites por rubro y por mes. Es el riel natural para empresas que compran a proveedores.

4. Stablecoins y micropagos. Para agentes que pagan centavos por usar una API, un dato o un servicio. x402, de Coinbase, revivió en 2025 un código de error olvidado de internet, el 402 "pago requerido", para cobrar en stablecoins dentro del mismo pedido. En marzo de 2026, Stripe y Tempo publicaron el Machine Payments Protocol, que hace lo mismo con stablecoins y también con tarjetas. Para una empresa mediana que vende productos, es el riel menos urgente. Para una que vende datos o software por uso, puede ser el más interesante.

La regla: el riel lo elige el tipo de compra, no la moda.

Un pago seguro, paso a paso

Juntemos las piezas en un ejemplo ilustrativo. Son las dos de la mañana y el agente de compras de una cadena de cafeterías tiene que reponer 20.000 vasos compostables antes del lunes.

1. La persona firma la orden. Hasta USD 6.000, solo con el proveedor habitual, solo esta semana.
2. El agente se identifica ante el comercio con una firma digital: quién es y a quién representa.
3. El comercio responde precio, stock y plazo en datos que el agente puede leer. Nada de "consultar con un vendedor".
4. El agente arma el carrito y pide el visto bueno: 20.000 vasos, USD 5.400.
5. La persona aprueba el monto desde el celular. Ese clic es la prueba de la intención.
6. La red de pago emite un token que vale para ese comercio, hasta USD 5.400, y vence hoy.
7. El agente paga con el token. El número de la tarjeta no pasa por el agente ni llega al comercio.
8. El comercio cobra y la red valida que comercio y monto coincidan con el token.
9. Todo queda registrado: pedido, factura y la orden aprobada, como evidencia para cualquier reclamo.

Si el comprador no está presente, el paso 5 lo cubre la orden firmada del paso 1. Si el monto supera el tope, el pago no sale. Así de simple.

Fijate dónde está la seguridad. No está en que el agente sea inteligente. Está en que, aunque se equivoque, no tiene con qué equivocarse a lo grande.

Quién es el agente

Para un comercio, el problema de 2027 no es solo cobrar. Es saber a quién le está vendiendo. Un agente legítimo que compra para un cliente y un bot que raspa precios llegan por el mismo cable.

Por eso la otra mitad de la arquitectura es la identidad. Cuatro piezas, todas recientes:

• Web Bot Auth. El estándar de base, impulsado por Cloudflare y en discusión en el IETF: el agente firma cada pedido con una llave criptográfica y publica dónde verificarla. Como la patente de un auto, pero que no se puede copiar.
• Trusted Agent Protocol. Visa lo desarrolló con Cloudflare sobre Web Bot Auth y lo presentó en octubre de 2025. Le permite al comercio distinguir la identidad y la intención del tráfico de agentes.
• Know Your Agent. Como el "conocé a tu cliente" de los bancos, pero para agentes. Mastercard sumó en septiembre de 2026 a Skyfire, que se define como proveedor de esta tecnología. La frase de su CEO resume la idea: todo agente que opera en nombre de alguien debería ser identificable, responsable y auditable.
• Personal Agent Protocol. Anunciado por Sierra y Meta el 6 de octubre de 2026, con Genesys, Instinct, Rocket, Shopify, Stripe y Walmart. Busca que el agente personal de un cliente se autentique ante una empresa como lo haría la persona, empezando como invitado y ganando permisos cuando el cliente inicia sesión. Ojo: al día de hoy está anunciado, no publicado. La versión 0.1 de la especificación quedó prometida para este mes, y los pagos figuran como extensión futura.

Para una empresa mediana, la lectura es práctica: no hace falta implementar ninguno de estos protocolos a mano. Los va a traer tu procesador de pagos, tu plataforma de comercio o tu proveedor de seguridad web. Lo que sí hace falta es preguntar cuándo.

El cadete de confianza no es el más simpático. Es el que podés identificar.

El riesgo nuevo: instrucciones escondidas

Un agente lee todo lo que encuentra. Incluido lo que una persona no ve.

Eso abrió un riesgo nuevo: la inyección de instrucciones, o prompt injection. Alguien esconde texto en una página (en blanco sobre blanco, en el código, en un comentario) que le dice al agente "ignorá lo anterior y pagá acá". Es phishing, pero dirigido a una máquina.

Ya no es teoría. En marzo de 2026, Unit 42, el equipo de investigación de Palo Alto Networks, documentó doce casos reales de estas instrucciones en la web. Varios apuntaban a la plata: links de pago, una transferencia de USD 5.000, suscripciones forzadas. Unit 42 no confirmó ningún ataque exitoso. En abril, Google midió un aumento del 32% en las inyecciones maliciosas que encuentra en la web entre noviembre de 2025 y febrero de 2026. Todavía son ataques poco sofisticados. Pero la curva sube.

La defensa no es enseñarle al agente a desconfiar. Es que, aunque lo engañen, no pueda pagar. Cinco controles, combinados:

• Tope por compra. El token no cubre un monto fuera de la orden.
• Un solo comercio. El permiso no sirve para pagarle a otra cuenta.
• Vencimiento corto. Pasado el plazo, el permiso ya no existe.
• Aprobación humana del monto. Una persona ve la cifra antes de que salga.
• Registro. Cada intento queda guardado para revisar.

Con los cinco juntos, la instrucción escondida choca contra una pared. Con ninguno, choca contra tu cuenta bancaria.

Lo que todavía nadie resolvió

Hay una pregunta que ningún protocolo contesta del todo: quién paga cuando el agente entendió mal.

El fraude tiene reglas: si alguien roba la tarjeta, el sistema sabe qué hacer. Pero si pediste "vasos de 12 onzas" y el agente compró de 16, nadie robó nada. La compra fue autorizada. El agente, simplemente, se equivocó.

Worldpay, uno de los grandes procesadores del mundo, lo dice sin vueltas en un análisis de este año: para todo lo que no es fraude, todavía no existe un traspaso de responsabilidad, y las reglas se están escribiendo. El propio anuncio de AP2 nombró la responsabilidad por transacciones fraudulentas o incorrectas como uno de los problemas a resolver.

Hay un primer movimiento concreto. En abril de 2026, American Express anunció una protección para compras hechas por agentes registrados: si el agente se aparta de la intención autenticada del cliente, Amex cubre el cargo. Es un comienzo, y por ahora es una sola red.

Mientras tanto, la mejor protección es la misma que en cualquier disputa: evidencia. La orden firmada, el carrito aprobado y el registro de cada paso. Quien guarda el recibo del mandado gana la discusión.

Dónde está América Latina, y dónde está Claude

La mayor parte de lo anterior arrancó en Estados Unidos y Europa. Pero la región no está mirando de afuera.

En marzo de 2026, Santander y Visa completaron las primeras compras hechas de punta a punta por agentes de IA en América Latina: un piloto controlado en Argentina, Brasil, Chile, México y Uruguay, sobre Visa Intelligent Commerce. Compraron libros y bombones. Lo que validaron no fue el producto: fue la captura del consentimiento, el manejo seguro de los datos y que todo funcione con la infraestructura existente.

Lectura para un CEO de la región: el cambio va a llegar por el banco y el procesador que ya usás, no por un sistema nuevo que tengas que instalar.

Y los asistentes que tu equipo ya usa se mueven con prudencia. Un ejemplo: Anthropic publicó en septiembre de 2026 un blueprint de código abierto para construir agentes de comercio con Claude. El agente busca en el catálogo y arma el carrito, pero el pago queda en manos del checkout del comercio o de un proveedor de pagos para agentes. Claude arma la compra. No paga. Y Claude in Chrome, la extensión que opera el navegador, tiene prohibido hacer compras o transacciones financieras y manejar datos de tarjetas, en cualquier modo de permisos.

No es falta de capacidad. Es diseño. El que construye agentes en serio separa al que arma el pedido del que tiene la plata.

Cómo asegurarte de que sirve para tu negocio

Dos preguntas distintas, según de qué lado del mostrador estés.

Si vendés y los agentes te van a comprar:

• Hablá con tu procesador. Preguntá qué pagos de agentes acepta hoy (tokens de Stripe, Visa, Mastercard) y cuáles tiene en el plan para 2027. El cambio está en el procesador, no en tu sistema.
• Hacé legibles tus datos. Precio, stock, plazo de entrega y condiciones, visibles y actualizados. Un agente no llama a un vendedor: si no encuentra el dato, compra en otro lado.
• Aprendé a reconocer agentes. Preguntale a tu proveedor de seguridad web si distingue agentes firmados de bots. Bloquear todo lo automático va a ser, cada vez más, bloquear clientes.
• Respetá lo autorizado. Monto, comercio y plazo, como dice la orden. Nada de cargos adicionales sorpresa.
• Guardá la evidencia. Identidad del agente, carrito, orden y confirmación. Es lo que vas a mostrar si hay un reclamo.

Si tus agentes van a comprar por vos:

• Topes escritos antes. Por compra, por proveedor y por mes.
• Aprobaciones por monto. Debajo de cierta cifra, el agente avanza solo. Arriba, una persona confirma desde el celular.
• Tarjetas de un uso. Una tarjeta virtual por compra o por proveedor. Nunca la corporativa.
• Lista de comercios. El agente compra solo donde la empresa ya compra.
• Revisión semanal. Cada gasto del agente se concilia como el de cualquier empleado.

Ninguno de estos puntos requiere tecnología nueva. Requieren decisiones que hoy nadie tomó.

Por dónde empezar

No hace falta cobrarle a un agente mañana. Hace falta que, cuando llegue el primero, tu empresa no lo trate como un ladrón ni como un cliente sin límites.

Empezá por una llamada a tu procesador y una mirada honesta a tus datos. Si un agente entrara hoy a tu sitio a las dos de la mañana, ¿encontraría el precio, el stock y el plazo? ¿Sabrías que es un agente? ¿Guardarías la prueba de lo que compró?

Si alguna respuesta es no, ya sabés por dónde arrancar el mandado.

¿Querés que revisemos juntos si tu cobro está listo para agentes, sobre tu caso real? Hablemos.