Mastercard y Alchemy: tarjeta virtual para agentes de IA

Mastercard ya emite tarjetas a agentes de IA

El 17 de septiembre de 2026, Mastercard anunció que cualquier titular de una de sus tarjetas podrá vincular su agente de IA a una tarjeta virtual propia, emitida por el banco emisor y limitada por el usuario a través de la startup Alchemy. La red lo presenta como «una tarjeta con identidad, propósito y confianza integrados» y, sobre el papel, cierra la pieza que faltaba para que la IA deje de recomendar productos y empiece a comprarlos por su cuenta.

Alchemy es una fintech con sede en San Francisco, conocida hasta ahora por su infraestructura blockchain, que en marzo de 2026 lanzó AgentCard, su SDK para que un agente tenga email propio, número de teléfono, billetera de stablecoins y credenciales de pago listas en menos de un minuto. El mecanismo, según el reporte de Gizmodo, funciona así: el usuario conecta su agente a su cuenta Mastercard vía Alchemy, define reglas (topes de gasto, listas de comercios autorizados, categorías de productos permitidas) y, dentro de esos parámetros, el agente puede completar la compra en cualquier comercio online que acepte Mastercard sin pedir confirmación en cada transacción.

La movida llega tres meses después de que Alchemy integrara AgentCard con Visa Intelligent Commerce, según el comunicado del 18 de junio de 2026 que recoge PYMNTS. Con Mastercard dentro, AgentCard cubre ya la mayoría de las tarjetas de crédito en circulación en los países donde operan ambas redes, según Blockonomi y CoinCentral.

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

¿Qué cambia frente a Visa y a los rivales?

Visa no se queda quieta. El 10 de junio de 2026, en el Visa Payments Forum en San Francisco, la red anunció una alianza con OpenAI para que los agentes dentro de ChatGPT puedan comprar en cualquiera de los más de 175 millones de comercios que aceptan Visa, una vez que el usuario otorgue permiso, según TheNextWeb. El CEO de Visa, Ryan McInerney, lo dijo en la earnings call del tercer trimestre fiscal el 28 de julio de 2026: «Agentic commerce is a when, not an if» (247wallst).

En el mismo reporte trimestral, Visa registró 71.700 millones de transacciones procesadas en el trimestre, un 10% más interanual, con un volumen de pagos que superó los US$4 billones, según 247wallst. La acción cerró cerca de los US$368, con una capitalización de mercado aproximada de US$685.600 millones y un alza de 8,6% en los últimos doce meses. Mastercard, por su parte, reaccionó de forma neutral al anuncio del 17 de septiembre: la acción (MA) subió alrededor de un 0,15%, prácticamente sin movimiento (CoinCentral).

Mastercard, en paralelo, no parte de cero: ya había presentado Agent Pay en abril de 2025 con Microsoft, IBM y Braintree como socios de lanzamiento (eco.com). El anuncio del 17 de septiembre es la primera implementación comercial abierta al público masivo a través de un partner externo, en este caso Alchemy. El CPO de Mastercard, Jorn Lambert, fue directo: «Creemos que no es cuestión de si, sino de cuándo y cómo de rápido».

El resto del ecosistema no espera: PayPal y Stripe están desarrollando sus propias infraestructuras agentivas (CoinCentral), y American Express también ha anunciado su propio estándar. Google, por su parte, lanzó en septiembre de 2025 el protocolo abierto AP2 (Agent Payments Protocol), con más de 60 socios de lanzamiento entre los que están Mastercard, American Express, PayPal, Coinbase y Salesforce (eco.com). La fragmentación es la norma: cada actor intenta ser la capa por la que el usuario concede permiso.

¿Cómo funcionan los «agentic tokens»?

El detalle técnico que separa esto de «dejar que un autocompletado teclee tu número de tarjeta» es el token agentivo. El banco emisor genera un token Mastercard, construido sobre la misma plataforma MDES que mueve Apple Pay o Google Pay, que lleva atados tres campos adicionales: la identidad del agente, la política de consentimiento del usuario y el alcance de comercios donde puede operar (eco.com).

En la práctica, según la documentación de Mastercard y la cobertura de Gizmodo, cada vez que el agente va a pagar: (1) presenta el token al checkout, (2) el adquirente lo enruta por la red Mastercard, (3) MDES des-tokeniza al número de tarjeta real, (4) el authorization stack valida que la compra cae dentro de la política. Si el comercio, el importe o la categoría no encajan, la transacción falla en la red, no en el navegador del agente.

El consentimiento, además, es revocable en tiempo real desde la app del banco emisor: tirar del permiso invalida el token en la red, y el siguiente intento de compra cae en seco. Es la diferencia entre un CVV por transacción (lo que se hace hoy) y un OAuth con scopes que el usuario define una vez y la red ejecuta.

¿Quién paga si el agente compra algo que no querías?

Esta es la grieta que ningún regulador ha cerrado. Las directivas europeas PSD2 y PSD3 están diseñadas para transacciones iniciadas por personas; el PSD3 sí permite pagos iniciados por terceros cuando hay consentimiento explícito y revocable, lo que encaja con el diseño de Agent Pay, pero nadie ha resuelto todavía el caso de un agente que interpreta mal las instrucciones, cae en un prompt injection en un sitio malicioso o compra siguiendo un dark pattern que el usuario nunca habría aprobado.

Brendan Coughlin, presidente de Citizens Financial Group, lo dejó claro a Barron’s: el modelo tiene mérito, pero «ciertamente no está exento de riesgos» (CoinCentral). El riesgo no es teórico: un agente puede ejecutar decenas de transacciones por minuto, una velocidad a la que ningún humano podría auditar nada en tiempo real. Mastercard reconoció esa misma tensión en una conferencia previa a través de su director de datos e IA, Greg Ulrich: «Hemos construido un montón de reglas de riesgo pensadas para impedir que un bot transaccione. Ahora necesitamos permitir que el bot transaccione, así que hay que cambiar el marco» (Gizmodo).

Por ahora, la responsabilidad sigue las reglas del tokenizado Mastercard estándar: el banco emisor carga con el fraude si el token era válido y la política se respetó en la autorización; los derechos de chargeback del consumidor se mantienen. Lo que no existe todavía es jurisprudencia sobre quién responde cuando un agente autorizado cruza la línea por error o manipulación externa.

¿Qué significa esto para tu startup?

Si vendes online, el checkout tal como lo conocías tiene los días contados. El «botón de checkout está muriendo», escribió Alchemy, y los datos de Shopify que cita Search Engine Journal apuntan a que los pedidos originados en búsquedas con IA ya son 15 veces mayores que en enero de 2025. Una parte creciente de tu tráfico llegará, decidirá y pagará sin tocar tu web.

Tres acciones concretas que puedes tomar este trimestre:

Audita tu checkout como si fuera una API, no como si fuera una página web. La firma QAwerk, citada por Search Engine Journal, ha encontrado que los fallos más comunes no son visuales sino de coherencia entre feeds: el inventario dice «en stock», el checkout dice «agotado», y el agente no tiene contexto visual para resolver el desajuste. Centraliza plan data, SKU y precios en una sola fuente antes de añadir un cuarto protocolo agentivo a tu stack.
Adapta tu catálogo para que un agente pueda leerlo. Mastercard, Google AP2 y Visa recomiendan schema.org Product, GS1 GTINs y endpoints de checkout programáticos (add-to-cart, selección de envío). Si tu catálogo no es legible por máquina, los agentes comprarán en otro lado dentro del mismo presupuesto del usuario.
Define límites operativos antes de que el cliente te los pida. Si construyes sobre Alchemy o Agent Pay, decide hoy qué políticas de gasto vas a ofrecer por defecto y cuáles como upgrade: topes mensuales, allowlists de merchants, requisitos de step-up para compras sobre cierto umbral. Mastercard ya validó que la revocación tiene que ser inmediata; los usuarios lo exigirán como tabla rasa, no como feature premium.

Conclusión

Mastercard y Alchemy no inventaron la categoría: la venían empujando Visa, Mastercard, Google, PayPal, Stripe y American Express desde abril de 2025. Lo que cambia con el anuncio del 17 de septiembre es que la infraestructura agentiva deja de ser piloto y se vuelve una opción de producto disponible para desarrolladores y comercios. Para los founders, eso convierte una tendencia en un problema de ingeniería con deadline: si tu checkout no funciona cuando lo prueba un bot que ejecuta a velocidad de máquina, ese bot se llevará el pedido a otra tienda.