Mastercard reescribe sus reglas antifraude: los bots ya no son el enemigo, ahora son los compradores
Durante más de dos décadas, Mastercard construyó su reputación en la detección y el bloqueo de transacciones sospechosas ejecutadas por sistemas automatizados. Sus algoritmos aprendieron a identificar el rastro digital de los bots como señal inequívoca de fraude. Hoy, ese paradigma se ha invertido de forma radical. El auge del comercio agéntico —en el que agentes de inteligencia artificial actúan en nombre de personas y empresas para realizar compras de manera completamente autónoma— obliga a la compañía a replantear desde los cimientos su marco de gestión de riesgos. Este giro estratégico no es menor: afecta a una red que procesa cientos de miles de millones de transacciones al año y que, hasta hace poco, tenía como misión central impedir exactamente lo que ahora necesita habilitar.
Del bloqueo a la habilitación: un cambio de paradigma sin precedentes
Greg Ulrich, director de inteligencia artificial y datos de Mastercard, fue directo al exponer el dilema ante el auditorio de la conferencia VB Transform 2026, celebrada en julio en Menlo Park, California. “Hemos construido un conjunto de reglas de riesgo que tenían como objetivo detener a un bot para que no transaccionara”, reconoció. “Ahora necesitamos habilitar al bot para que transaccione, y eso requiere un cambio en nuestro marco de riesgo y en nuestras reglas de riesgo.”
La magnitud de este giro es difícil de exagerar. Durante generaciones, las reglas antifraude de Mastercard se perfeccionaron bajo una premisa sencilla: al otro lado de cada transacción legítima hay una persona de carne y hueso. Cualquier señal de automatización era, por definición, sospechosa. Ahora, esa premisa ha caducado. Los agentes de inteligencia artificial —programas capaces de recibir una instrucción como “compra los mejores auriculares inalámbricos dentro de este presupuesto” y ejecutarla sin intervención humana— son cada vez más comunes y legítimos. Bloquearlos indiscriminadamente equivaldría a rechazar a millones de consumidores reales que simplemente han delegado sus decisiones de compra en una herramienta automatizada.
La escala del sistema actual y el papel de la inteligencia artificial
Para dimensionar el reto, conviene entender la infraestructura sobre la que opera Mastercard. La red procesó 175.000 millones de transacciones en el último año registrado, y cada una de ellas recibe una puntuación de riesgo en menos de 100 milisegundos. Esa puntuación, que oscila entre 0 y 999, indica la probabilidad de fraude y se transmite al banco emisor para que tome la decisión final de autorizar o rechazar el pago.
La incorporación de inteligencia artificial generativa ha ampliado considerablemente el contexto analizable en ese brevísimo lapso. Según Ulrich, los nuevos modelos permiten identificar entre un 300% y un 400% más de transacciones fraudulentas en las bandas de alto riesgo, sin añadir fricción innecesaria para los consumidores legítimos ni incrementar los falsos positivos. El sistema Safety Net de Mastercard ha bloqueado hasta la fecha más de 70.000 millones de transacciones fraudulentas, una cifra que ilustra tanto la amenaza como la capacidad de respuesta desarrollada a lo largo de los años.
Ahora, esa misma inteligencia artificial debe aprender a distinguir no solo entre fraude y legitimidad, sino entre tres categorías radicalmente distintas: el consumidor humano tradicional, el bot malicioso y el agente de inteligencia artificial legítimo que actúa por encargo de un usuario real. Este último es el gran reto nuevo.
La arquitectura de cinco capas para el comercio agéntico
Para adaptar su infraestructura al nuevo escenario, Mastercard ha desarrollado un modelo de confianza estructurado en cinco capas diferenciadas. Cada una responde a un problema concreto que el comercio agéntico introduce y que los sistemas tradicionales no contemplan.
La primera capa es la identidad. Bajo el concepto de Know Your Agent —en analogía directa con el Know Your Customer y el Know Your Business ya existentes en el sector financiero—, Mastercard establece que no basta con identificar al consumidor. También es necesario identificar al agente que actúa en su nombre, validar que se trata de tecnología legítima y registrarlo formalmente en el sistema. Sin esta verificación, cualquier agente podría suplantar la identidad de otro o actuar con mandatos que nunca fueron otorgados.
La segunda capa es la intención verificable. Se trata de un registro criptográfico a prueba de manipulaciones que viaja junto a la transacción y documenta las instrucciones originales del usuario. Ulrich ilustró el problema con un ejemplo concreto: si un agente compra unas zapatillas en una venta final sin posibilidad de devolución, pero el usuario no había autorizado esa condición específica, el sistema puede acreditar objetivamente que hubo una desviación respecto a la intención original. Este mecanismo es esencial para resolver disputas y auditar el comportamiento de los agentes.
La tercera capa define los controles operativos del agente: qué comerciantes están autorizados, cuál es el límite de gasto máximo y bajo qué restricciones puede operar. Es, en esencia, el perímetro dentro del cual el agente tiene libertad de actuar, y fuera del cual cualquier transacción debe ser bloqueada o elevada para revisión humana.
La cuarta capa es la ejecución a través de Mastercard Agent Pay, la plataforma lanzada por la compañía que integra tokenización, autenticación y el marco de aceptación. Ya opera con socios de primer nivel como Microsoft, OpenAI y Google, lo que garantiza una adopción amplia desde el primer momento.
La quinta y última capa es la inteligencia. Comprende las reglas de riesgo actualizadas, los mecanismos de acceso consentido a información personalizada y el monitoreo de amenazas mediante Recorded Future, una herramienta especializada en identificar actores maliciosos dentro del ecosistema de pagos.
El problema de la delegación de autoridad
Ulrich subrayó que el verdadero cambio no es solo técnico, sino profundamente conceptual. En el modelo transaccional tradicional, la autorización es un acto puntual y directo: el titular de la tarjeta aprueba un pago específico en un momento concreto. En el comercio agéntico, lo que ocurre es una delegación de autoridad: el consumidor le dice al agente “gestiona mis compras de supermercado esta semana dentro de este presupuesto”, y el agente toma decisiones autónomas dentro de ese mandato amplio.
“En lugar de una transacción atómica y singular donde yo digo ‘ve y compra algo’, estoy efectivamente delegando autoridad”, explicó Ulrich. “Y cuando eso ocurre, es una transacción mucho más compleja.” La verificación de esa intención original, su persistencia a lo largo de toda la cadena y la capacidad de auditarla en caso de disputa son desafíos sin precedentes para los sistemas de pagos actuales.
Este modelo de delegación introduce también nuevas responsabilidades legales y éticas. Si un agente realiza una compra que el usuario no habría aprobado explícitamente, ¿quién asume la responsabilidad? ¿El desarrollador del agente, la plataforma que lo aloja, el banco emisor o el propio consumidor? Estas preguntas no tienen todavía respuesta definitiva en ningún marco regulatorio, y la arquitectura de Mastercard intenta, al menos, proporcionar la evidencia criptográfica que permita resolverlas.
El comercio B2B: la gran oportunidad del comercio agéntico
Si el comercio de consumo agéntico ya plantea retos considerables, el ámbito empresa a empresa es donde Mastercard identifica la mayor oportunidad a medio plazo. Ulrich describió el caso de un fabricante que quiere mantener su línea de ensamblaje operativa de forma ininterrumpida: un agente gestionaría los niveles de inventario, detectaría cuándo los suministros caen por debajo de un umbral crítico, realizaría pedidos automáticamente a los proveedores aprobados y operaría dentro del presupuesto asignado por el departamento financiero.
Este escenario introduce complejidades de confianza radicalmente nuevas porque involucra múltiples partes simultáneamente: un agente de compras, un agente del proveedor y un agente bancario deben comunicarse entre sí para completar una sola operación de forma autónoma. Cada uno actúa bajo mandatos distintos, con distintos niveles de autoridad y distintas obligaciones de transparencia. Coordinar esa interacción sin que ningún agente exceda sus límites ni pueda ser suplantado por un actor malicioso es el problema técnico central que el nuevo marco de Mastercard intenta resolver.
Una transformación que apenas comienza
El movimiento estratégico de Mastercard es significativo no solo por su alcance técnico, sino por lo que revela sobre el estado del comercio digital en su conjunto. Empresas como OpenAI con sus operadores autónomos, Google con Gemini y Anthropic con Claude ya ofrecen capacidades que permiten a estos sistemas navegar sitios web, rellenar formularios y completar transacciones sin intervención humana directa. La infraestructura de pagos que durante décadas fue diseñada para el ser humano detrás del teclado debe ahora acomodar a una nueva categoría de actor: el algoritmo que compra en nombre del humano.
Esta transición no será sencilla ni rápida. Requiere actualizar no solo sistemas tecnológicos, sino marcos regulatorios, estándares de responsabilidad legal y, en último término, la confianza de los consumidores en que los agentes que actúan en su nombre lo hacen de forma fiel y transparente. Mastercard ha dado un primer paso crucial al reconocer públicamente el cambio y al presentar una arquitectura concreta para gestionarlo. La pregunta que queda abierta es si el resto del ecosistema financiero mundial estará en condiciones de seguir ese ritmo antes de que el comercio agéntico supere la capacidad de los sistemas diseñados para controlarlo.
El futuro de los pagos no lo ejecutará solo una persona con una tarjeta. Lo ejecutará también un agente que actúa en su nombre, con su confianza y dentro de sus límites. Que las redes de pago sean capaces de verificar, en menos de 100 milisegundos, que esa delegación es legítima y que el agente opera dentro del mandato recibido, determinará en gran medida si el comercio agéntico prosperará de forma segura o si generará una nueva generación de fraudes que ningún sistema actual está equipado para detectar.
