BBVA se suma a Poppy, el protocolo de agentes de Meta

BBVA se convierte en el primer banco europeo en el protocolo Poppy

BBVA se ha sumado a la iniciativa Personal Agent Protocol (Poppy), impulsada por Sierra AI y Meta, para diseñar un protocolo común que permita a los agentes de inteligencia artificial interactuar de forma segura con las empresas. La entidad vasca es el primer banco europeo en adherirse a un proyecto que ya reúne a 35 socios de diseño de los sectores tecnológico, financiero y de comercio electrónico.

Para un founder, la señal es concreta: la capa donde tus clientes interactúan con tu producto está dejando de ser una web y empieza a ser un agente. Y quién define cómo ese agente se identifica, qué permisos tiene y hasta dónde puede llegar es una discusión que ya está en marcha.

"La seguridad debe estar en el centro de las interacciones entre agentes de IA y servicios digitales. Este protocolo común sienta las bases para un ecosistema abierto e interoperable que proteja la privacidad de nuestros clientes y les permita mantener el control", aseguró David Puente, responsable de Soluciones para Clientes Minoristas de BBVA.

¿Qué es Poppy y cómo funciona técnicamente?

Poppy propone un modelo basado en tres mecanismos: identificar al agente, establecer los permisos que concede el usuario y facilitar la comunicación con los servicios de una empresa. El protocolo contempla varias formas de interacción, desde la navegación por páginas web hasta el acceso a interfaces de programación (API) o la comunicación directa entre agentes.

El diseño se apoya en tecnologías y estándares ya extendidos —OAuth, HTTPS, OpenAPI y MCP— con el objetivo, según BBVA, de facilitar su adopción y permitir que las compañías aprovechen parte de su infraestructura actual. Ese detalle no es menor: si tu stack ya habla OAuth y tienes APIs documentadas, la barrera de entrada es mucho más baja que si tuvieras que construir una capa nueva desde cero.

Según la cobertura de CMSWire sobre el anuncio del 6 de octubre, las sesiones corren sobre OAuth y se mantienen a lo largo de los canales dentro de una misma visita, y el cliente elige si su agente tiene acceso de solo lectura o de escritura. La empresa, por su parte, decide qué funciones expone y por qué vía: la web tradicional, APIs construidas sobre MCP y OpenAPI, o su propio agente conversacional.

¿Quién está detrás y cuándo llega la especificación?

El proyecto lo lideran Sierra AI —la compañía de agentes de atención al cliente fundada por Bret Taylor y Clay Bavor— y Meta. Según CMSWire, Sierra nombra como socios a Genesys, Instinct, Rocket, Shopify, Stripe y Walmart, mientras que la lista de Meta añade a NiCE y Decagon.

Los plazos importan si estás planificando producto. Vizaca reporta que la especificación v0.1 se espera para finales de octubre de 2026, seguida de talleres de diseño y una implementación de referencia para desarrolladores. Entre las extensiones futuras que se barajan están permisos más granulares, notificaciones push —por ejemplo, un retraso de vuelo— y soporte de pagos que evite compartir los datos de la tarjeta.

El contexto de Meta ayuda a entender la urgencia: la compañía lanzó Muse, su agente personal, un mes antes del anuncio del protocolo, según CMSWire. Ese mismo medio recoge, citando a CNBC, que Amazon bloqueó a Muse por preocupaciones sobre el scraping de sus sitios web. Es exactamente el escenario que Poppy quiere resolver: que una empresa pueda saber quién está al otro lado antes de dejarlo actuar.

El campo de batalla de los protocolos: Poppy no es el único estándar

Poppy no llega a un terreno vacío. Google presentó en abril de 2026 A2Family, una familia de protocolos open source que incluye A2A —donado a la Linux Foundation—, AP2 para pagos con mandatos criptográficos verificables y UCP para el ciclo completo de compra, según el análisis de WWWhat's New. Ese mismo texto recuerda que MCP, el estándar que Anthropic publicó en noviembre de 2024, terminó convertido en el denominador común que adoptaron los grandes jugadores de IA.

En paralelo, OpenAI impulsa el Agentic Commerce Protocol (ACP), un estándar abierto para que los agentes interactúen con los sistemas de checkout y pago de los comercios manteniendo el control del comerciante sobre la relación con el cliente, según explicó Lyra España en un comunicado recogido por Europa Press.

La consecuencia práctica para un founder: vas a tener que elegir a qué estándar te adhieres, o prepararte para soportar más de uno. La buena noticia es que todos convergen en las mismas piezas base —OAuth para autenticación, MCP y OpenAPI para exponer capacidades—, así que la inversión en fundamentos no se pierde.

Un dato que ayuda a dimensionar la ola: Genesys citó una predicción de Gartner según la cual, para 2028, el 80% de las organizaciones verá a los agentes de IA consumir la mayoría de sus APIs, frente a menos del 20% en 2026, según CMSWire.

¿Qué significa esto para tu startup?

1. Audita tus APIs antes de que un agente las toque. Si hoy no sabes qué endpoints tienes expuestos, qué permisos otorgan y qué pasa cuando alguien los llama en volumen, ese es el trabajo previo. La recomendación que surge del propio ecosistema es inventariar las APIs y decidir cuáles estarías dispuesto a exponer a un agente personal. Un agente con acceso de escritura puede cambiar pedidos y cuentas: define qué acciones permites en cada nivel de acceso.

2. Revisa tu flujo de autenticación pensando en sesiones iniciadas por agentes. Los flujos actuales asumen un humano frente a una pantalla. Si tu login depende de un captcha, de un código por SMS o de una interfaz que solo funciona con clics, un agente que actúa en nombre de tu cliente se va a quedar afuera. Vale la pena revisar si tus flujos soportan OAuth de forma limpia.

3. Designa a alguien que siga la especificación. No hace falta construir nada todavía. Pero conviene que alguien de tu equipo lea la v0.1 cuando salga y pregunte a tus proveedores de ecommerce, pagos y soporte si planean soportarla. Los estándares de este tipo llegan en silencio y después se vuelven el default.

4. Trata al agente como un nuevo tipo de visitante. Si parte de tu tráfico futuro no abre tu homepage sino que llega por API o habla con tu propio agente, tu analítica, tu soporte y tu embudo de conversión necesitan distinguir ese tráfico. Un agente que consulta el estado de un pedido no es lo mismo que un usuario navegando tu catálogo.

Conclusión

La entrada de BBVA en Poppy es una señal de que los bancos europeos quieren estar en la mesa donde se definen las reglas de la interacción agéntica, no solo adoptarlas después. Para una startup, el mensaje es más directo: la ventana para preparar tu infraestructura —APIs ordenadas, autenticación compatible, permisos claros— está abierta ahora, y es mucho más barata de aprovechar antes de que el estándar sea obligatorio de facto.

Fuentes

• Europa Press: BBVA participará en el diseño del protocolo común de Sierra AI y Meta (fuente original)
• BBVA: BBVA helps design a common protocol led by Sierra AI and Meta
• CMSWire: Genesys, NiCE Join Sierra, Meta on Open Standard for Personal AI Agents
• Vizaca: Meta and Sierra Propose an Open Standard for AI Agents
• WWWhat's New: Google libera A2Family y dona A2A a la Linux Foundation
• Europa Press: Lyra analiza el Agentic Commerce