D urante treinta años, todo el sistema de pagos por internet se ha apoyado en un supuesto que nadie escribía porque parecía obvio: que al final del proceso hay una persona mirando una pantalla y decidiendo pulsar «comprar». Los agentes rompen ese supuesto, y no es un detalle de implementación — es el cimiento. Google lo dice con esas palabras en el anuncio de su protocolo de pagos: los sistemas actuales «generalmente asumen que un humano está pulsando directamente “comprar” en una superficie de confianza».
Esta guía va de qué se ha puesto en el sitio que ocupaba esa persona. No va de si conviene dejar que una IA te compre cosas: eso lo decides tú, y de momento en España casi no puedes. Va de entender el mecanismo antes de que llegue, porque las reglas que van a gobernar esos pagos se están escribiendo ahora mismo, y la pieza que te protege no es la tecnología — es el límite que pones antes de delegar.
1. Las tres preguntas que no sabe responder un pago normal
Cuando compras tú, tu banco y el comercio dan por buenas tres cosas a la vez sin tener que comprobarlas por separado: que querías comprar, que querías comprar eso, y que si algo sale mal hay alguien identificable a quien reclamar. Un agente separa las tres, y cada una se convierte en un problema distinto. El anuncio de Google las nombra sin rodeos.
La primera es la autorización: «demostrar que un usuario dio a un agente la autoridad específica para hacer una compra concreta». No basta con que le hayas dado acceso a tu cuenta en general; hace falta probar que autorizaste esta compra. La segunda es la autenticidad: «permitir que un comercio tenga la seguridad de que la petición de un agente refleja fielmente la verdadera intención del usuario». El comercio recibe una orden de un programa y necesita saber si de verdad sale de ti. Y la tercera es la responsabilidad: «determinar quién responde si ocurre una transacción fraudulenta o incorrecta».
Merece la pena quedarse con que son tres y no una, porque los mecanismos que han aparecido resuelven bien las dos primeras y bastante mal la tercera. Volveremos a eso, porque es donde está tu dinero.
2. Dos piezas distintas que se confunden todo el rato
En los últimos meses han aparecido varios estándares y se mezclan en las noticias como si compitieran por lo mismo. En su mayoría no compiten: resuelven capas distintas. La forma más útil de separarlos es preguntar qué responde cada uno.
Por un lado está el qué se compra y quién cobra: cómo viaja el pedido del agente al comercio, cómo se cobra sin que el agente toque tu tarjeta, quién calcula los impuestos y quién envía el paquete. Ahí está el Agentic Commerce Protocol (ACP), que Stripe y OpenAI publicaron juntos el 29 de septiembre de 2025 y que es lo que mueve el pago dentro de ChatGPT.
Por otro lado está el quién lo autorizó y cómo se prueba: qué queda registrado de tu decisión, firmado de forma que ni el agente ni el comercio puedan cambiarlo después. Ahí está el Agent Payments Protocol (AP2), que Google anunció el 16 de septiembre de 2025 con más de sesenta organizaciones — entre ellas Mastercard, PayPal, American Express, Adyen, Coinbase, Revolut, Worldpay, Etsy, Intuit, JCB y UnionPay International.
La documentación de Google para desarrolladores lo resume mejor que cualquier titular: una capa se ocupa de qué pides y a quién, y la otra de quién aprobó la compra y del rastro que queda. No son alternativas; están pensadas para encajar. AP2 además no se ata a un medio de pago: cubre «desde tarjetas de crédito y débito hasta stablecoins y transferencias bancarias inmediatas», y puede usarse como extensión de A2A y del propio MCP, el estándar con el que los asistentes se conectan a herramientas externas.
3. El token que solo sirve para un carrito
El mecanismo de ACP es fácil de contar y es el que más probablemente te toque primero. Pides algo en el chat, el asistente te propone productos y, cuando decides comprar, aparece un formulario de pago dentro de la propia conversación. Pagas con tu método habitual. Hasta aquí, nada nuevo.
Lo interesante pasa justo después. Stripe emite entonces un Shared Payment Token, una pieza nueva cuya única función es permitir que una aplicación como ChatGPT inicie un pago «sin exponer las credenciales de pago del comprador». Es decir: el asistente nunca ve tu tarjeta. Y el token no es una llave general — según el comunicado de Stripe, está «limitado a un comercio y a un importe de carrito concretos». Si se filtrara, no sirve para comprar otra cosa en otro sitio.
El pedido viaja después al sistema del comercio, y ahí está la otra decisión de diseño que conviene entender: el comercio sigue mandando. Es él quien «puede aceptar o rechazar el pedido, cobrar el método de pago, calcular y remitir el impuesto sobre ventas», y quien se ocupa del envío y las devoluciones. Stripe insiste en que los comercios conservan el control de qué productos se pueden vender, cómo se presentan y cómo se procesan las transacciones. No es un intermediario que se queda con la relación: es un canal más.
Y es un estándar abierto de verdad, no un carril propietario: el propio comunicado dice que los negocios que no procesan con Stripe también pueden adoptarlo con sus proveedores de pago actuales. Salesforce anunció soporte poco después. Para un comercio, eso significa una integración que sirve para varios agentes en vez de una por cada asistente que aparezca.
4. El mandato firmado y la cadena de pruebas
AP2 ataca el otro lado del problema. Su pieza central son los mandatos: Google los describe como «contratos digitales a prueba de manipulación, firmados criptográficamente, que sirven de prueba verificable de las instrucciones del usuario», firmados mediante credenciales verificables. Dicho en claro: en vez de un permiso abierto, cada decisión tuya deja un documento firmado que nadie puede alterar después.
Hay dos que importan. El mandato de intención recoge lo que pediste y, en palabras de Google, «aporta el contexto auditable de toda la interacción». El mandato de carrito se firma cuando apruebas un carrito concreto y «crea un registro seguro e inalterable de los artículos y el precio exactos, garantizando que lo que ves es lo que pagas». Esa última frase es el resumen de para qué sirve todo el invento: que el carrito que aprobaste y el que se cobra sean el mismo.
Encadenados —de la intención, al carrito, al pago— producen lo que Google llama un rastro de auditoría «no repudiable»: el método de pago queda vinculado al contenido verificado del carrito. Si mañana discutes un cargo, no estás discutiendo tu palabra contra la de un programa; hay una firma que dice qué autorizaste exactamente.
Conviene no confundir dos cosas que suenan igual. Que exista un rastro firmado de lo que autorizaste no significa que el dinero se te devuelva si sale mal: significa que se puede demostrar qué pasó. Quién paga el destrozo es otra discusión, y sigue abierta.
5. Cuando no estás delante
Todo lo anterior describe una compra en la que estás mirando. El caso que de verdad cambia las cosas es el otro, y los dos diseños lo contemplan: el encargo que dejas hecho para que se ejecute cuando se cumplan unas condiciones. «Cómprame las zapatillas cuando bajen de ochenta euros» es el ejemplo de manual.
En AP2, ahí firmas el mandato de intención por adelantado, y es ese documento el que «especifica las reglas del juego: límites de precio, plazos y otras condiciones». Después el agente puede generar el mandato de carrito por su cuenta «una vez se cumplan tus condiciones precisas». Fíjate en lo que acaba de pasar: has movido tu decisión de un momento en el que estabas mirando a un documento que escribiste antes. Las condiciones que pusiste en ese documento son tu control. No hay una segunda oportunidad de revisar el carrito, porque el sentido del encargo era precisamente que no tuvieras que estar.
De ahí sale la única regla práctica que yo defendería sin matices en toda esta guía: cuando delegues una compra sin estar delante, escribe el límite más bajo con el que la tarea siga teniendo sentido, no el más alto que te puedas permitir. Es exactamente el mismo razonamiento que aplicamos a los límites de gasto de un agente, y por el mismo motivo: el techo no está para el caso normal, está para el día que algo se comporta de forma rara.
6. Dónde está el riesgo de verdad
Los dos protocolos resuelven bien un problema concreto: que el agente no toque tu tarjeta y que quede constancia firmada de lo que aprobaste. Ninguno resuelve los que vienen ahora, y conviene tenerlos presentes porque son los que te van a costar dinero.
La página que tu agente lee puede darle órdenes
Un agente que compra tiene que leer páginas de productos, descripciones y reseñas — contenido que no controlas ni tú ni él. Ese es el terreno natural de la inyección de prompts: instrucciones escondidas en el contenido que el agente procesa como si fueran tuyas. Y aquí el token acotado no te salva, porque el ataque no va contra el pago: va contra la decisión. Si consiguen que el agente arme otro carrito, el sistema firmará y cobrará ese otro carrito con toda la corrección del mundo.
El carrito que no es el que pediste
No hace falta un ataque para que la compra salga mal. Basta un modelo que confunda una referencia, una talla o una unidad de medida, y los modelos siguen haciendo eso — es el mismo fallo que describimos en las alucinaciones, solo que aquí termina en un cargo. El mandato de carrito garantiza que lo que ves es lo que pagas; no garantiza que lo que ves sea lo que pediste. Esa comprobación sigue siendo tuya, y es la razón por la que vale la pena leer el carrito aunque dé pereza.
La tentación de dar la contraseña
Mientras los carriles oficiales no lleguen a tu país o a tu banco, aparecerán herramientas que ofrezcan el mismo resultado por la vía rápida: entrar en tu cuenta con tus credenciales. Es el atajo que conviene no tomar, y no lo decimos solo nosotros — varios bancos grandes han empezado a bloquear a los agentes que entran con la contraseña del cliente. Si te interesa el detalle de por qué una contraseña es la peor forma de dar acceso y qué usar en su lugar, está en cómo dar permisos a un agente sin darle tus contraseñas.
Quién responde sigue sin estar claro
De las tres preguntas del principio, esta es la que sigue sin respuesta operativa. Los protocolos aportan pruebas; no reparten pérdidas. Quién asume un cargo indebido depende de tu contrato con el banco, de las condiciones de la plataforma, de las del comercio y de las reglas de las redes de tarjetas, que están en plena revisión. Hasta que eso se asiente, el supuesto prudente para ti es el pesimista: si lo autorizaste —aunque fuera con un mandato firmado tres semanas antes—, la discusión la empiezas cuesta arriba.
7. Qué puedes hacer hoy, en concreto
Aunque el botón todavía no te aparezca, hay decisiones que ya puedes tomar y que te van a servir el día que llegue.
- Trata el carrito como el momento de la verdad. Es el único punto en el que tu revisión es barata. Después, lo que discutes es un cargo.
- Separa el dinero. Si vas a dejar que un agente compre, que lo haga contra una tarjeta virtual o una cuenta con saldo limitado, no contra la que te paga la hipoteca. Es la medida más tonta y la que más daño evita.
- Pon el techo bajo al delegar. El límite del mandato no es una formalidad: es la única frontera que sigue en pie cuando el agente se equivoca o lo engañan.
- Desconfía de quien te pida la contraseña del banco. Ningún diseño oficial de los que hemos descrito la necesita. Si una herramienta te la pide, lo que te ofrece no es esto.
- Guarda los comprobantes. El valor del rastro firmado lo notas solo si sabes dónde está. Localiza, en la herramienta que uses, dónde quedan los pedidos y las autorizaciones antes de necesitarlo.
- No des por bueno un precio porque lo diga el agente. Un asistente que compara precios también puede equivocarse al leerlos, y el ahorro que te promete es justo el tipo de afirmación que nadie verifica.
8. Lo que todavía no está resuelto
Hay tres huecos que conviene vigilar, y los señalamos porque cualquiera que te cuente esto como un asunto cerrado te está vendiendo algo.
El primero es geográfico. El pago dentro de ChatGPT nació limitado a Estados Unidos y a vendedores de Etsy radicados allí, con Shopify «próximamente» y una promesa de ampliación «a más territorios» sin calendario. Mientras eso no cambie, lo que llegue a España llegará con las reglas ya escritas.
El segundo es el coste. Ni el comunicado de Stripe ni la documentación pública detallan qué paga un comercio por vender a través de un agente. Circulan cifras concretas en artículos de terceros que no aparecen en ninguna fuente primaria, así que no las vas a leer aquí. Si eres comercio, es la pregunta que hay que hacer antes de integrarse, no después.
El tercero es la capa de identidad de las redes de tarjetas. Visa y Mastercard llevan meses anunciando mecanismos para que un comercio pueda verificar que un agente es quien dice ser y que actúa por encargo de un cliente concreto. Es la pieza que falta para que esto funcione fuera de los jardines de OpenAI o Google, pero las fechas y los detalles que circulan en explicadores de terceros se contradicen entre sí, y no hemos podido contrastarlos en fuentes primarias. Si te afecta profesionalmente, el sitio donde mirar son las salas de prensa de Visa y Mastercard, no los resúmenes.
Y una cuarta cosa, que no es un hueco sino una advertencia de fondo: ninguno de estos protocolos ha ganado todavía. Conviven ACP, AP2, el camino de las criptomonedas por la extensión x402 que Google lanzó con Coinbase, y los carriles propios de cada red. Si estás decidiendo dónde invertir trabajo, la pregunta útil no es cuál es mejor, sino cuál usan los sitios donde tus clientes compran — y esa respuesta cambia cada trimestre, igual que pasa cuando hay que migrar de modelo sin romper nada.
9. La idea que merece la pena llevarse
El trabajo técnico de estos protocolos es serio y resuelve cosas reales: tu tarjeta deja de pasar por manos del agente, y tu decisión deja de ser una afirmación que nadie puede comprobar. Eso es un avance, no marketing.
Pero los dos diseños comparten una consecuencia que casi nunca se cuenta: trasladan el momento decisivo hacia atrás. Antes decidías al pulsar «comprar»; ahora decides al firmar las condiciones, que puede ser semanas antes y con mucha menos atención. Toda la seguridad criptográfica del mundo protege fielmente la instrucción que diste — incluida la instrucción imprudente. Si vas a delegar compras, el trabajo no está en entender las firmas: está en escribir límites que aguanten el día que algo salga raro. Y si quieres la versión más general de ese razonamiento aplicada a cualquier agente, no solo a los que pagan, está en límites de gasto para agentes y en qué es exactamente un agente de IA.
Preguntas frecuentes
A día de hoy, el pago dentro de ChatGPT que Stripe y OpenAI anunciaron el 29 de septiembre de 2025 arrancó limitado a usuarios de ChatGPT en Estados Unidos comprando a vendedores de Etsy radicados allí, con los comercios de Shopify anunciados como «próximamente». El propio comunicado dice que la intención es ampliarlo «a más negocios y consumidores en más territorios», sin dar fechas. Así que si estás en España, lo normal es que el botón no te aparezca todavía. Eso no significa que no te afecte: los estándares se están fijando ahora, y cuando llegue, llegará con las reglas que se escriban estos meses.
En el diseño de Stripe, no. La pieza que lo evita se llama Shared Payment Token: Stripe emite un token que permite a una aplicación como ChatGPT iniciar un pago «sin exponer las credenciales de pago del comprador», y ese token está «limitado a un comercio y a un importe de carrito concretos». La idea es que, aunque el token se filtre, no sirve para comprar otra cosa en otro sitio. Ojo con la lectura fácil: eso protege tu número de tarjeta, no tu decisión. Si al agente lo engañan para que arme el carrito equivocado, el token cubrirá exactamente ese carrito equivocado.
Un permiso corriente dice qué puede hacer una herramienta, en general y hasta que lo revoques. Un mandato, en el diseño de AP2, es un registro firmado criptográficamente de una instrucción concreta tuya: este carrito, estos artículos, este precio. Google lo describe como «contratos digitales a prueba de manipulación» que sirven de «prueba verificable de las instrucciones del usuario». La diferencia práctica está en lo que queda después: un permiso deja un acceso abierto; un mandato deja un rastro de quién autorizó exactamente qué, que es lo que hace falta cuando hay que discutir un cargo.
Esa es la pregunta que todavía no tiene una respuesta limpia, y conviene saberlo antes de delegar. Google nombra la «responsabilidad» —determinar quién responde si una transacción sale fraudulenta o incorrecta— como uno de los tres problemas que su protocolo intenta abordar, y lo que aporta es un rastro de auditoría «no repudiable»: sirve para demostrar qué se autorizó. Demostrar no es lo mismo que resolver. Quién asume la pérdida sigue dependiendo del contrato con tu banco, con la plataforma y con el comercio, y de las reglas de las redes de tarjetas, que están cambiando mientras lees esto. Mientras no esté claro, el supuesto prudente es que el riesgo es tuyo.
No, pero sí hace falta entender una cosa: el límite que pongas antes es tu única defensa real. Los dos diseños coinciden en que el momento que importa es cuando firmas las condiciones —precio máximo, plazo, en qué comercio— y no cuando llega el cargo. Si solo te quedas con una idea de esta guía, que sea esa: revisa el carrito antes de aprobarlo, y cuando delegues algo sin estar delante, pon el techo de gasto más bajo con el que la tarea aún tenga sentido.
Fuentes
- Stripe, anuncio de Instant Checkout en ChatGPT y publicación del Agentic Commerce Protocol (29 de septiembre de 2025, fuente primaria).
- Stripe, sobre el desarrollo de un estándar abierto para el comercio con agentes.
- Google Cloud, anuncio del Agent Payments Protocol (AP2) (16 de septiembre de 2025, fuente primaria).
- Google Developers Blog, guía de protocolos de agentes, sobre el reparto de papeles entre capas.
- Salesforce, soporte del Agentic Commerce Protocol en colaboración con Stripe (14 de octubre de 2025).
Las citas entre comillas son traducción nuestra de los comunicados originales en inglés. No incluimos cifras de comisiones ni fechas de los programas de Visa y Mastercard porque no hemos podido contrastarlas en fuentes primarias: los explicadores de terceros que las publican se contradicen entre sí.
¿Ves un error? Avísanos y lo corregimos en la fe de erratas.
