El banco es el primer europeo entre los 35 socios que diseñan este borrador sobre cómo se identifican los agentes de IA ante las empresas.
BBVA participará en el diseño del Personal Agent Protocol, conocido como Poppy, la propuesta con la que Sierra AI y Meta quieren fijar cómo se relacionan los agentes de inteligencia artificial con las empresas. El banco lo anunció el 13 de octubre y se presenta como la primera entidad bancaria europea en sumarse a la iniciativa.
La entidad forma parte de un grupo de 35 socios de diseño de los sectores tecnológico, financiero y de comercio electrónico. Según su nota, su papel será aportar a la discusión sobre estos nuevos modelos de interacción digital y explorar cómo podrían aplicarse a los servicios financieros.
Qué es un agente personal y por qué necesita reglas
Un agente personal es un asistente de IA que actúa en nombre de una persona: busca un vuelo, cambia una reserva, consulta el estado de un pedido o compara tarifas. Para hacerlo tiene que entrar en webs y servicios de terceros, y ahí aparece el problema que Poppy intenta resolver.
Hoy no existe una forma común de que una empresa sepa si quien navega por su web es una persona o un agente, en nombre de quién actúa ni qué se le ha autorizado a hacer. El borrador plantea que el cliente decide qué acceso concede a su agente y que la empresa fija qué acciones acepta.
Un borrador abierto a comentarios
Sierra anunció el protocolo el 6 de octubre y publicó un primer borrador el día 9. La compañía lo describe como «un punto de partida» y anuncia talleres de diseño y una implementación de referencia para desarrolladores en las próximas semanas. No hay fecha para una versión final. El texto puede consultarse y comentarse en personalagentprotocol.org.
En el anuncio inicial figuraban Meta, Genesys, Instinct, NiCE, Rocket, Shopify, Stripe y Walmart. A ellos se suman los 35 socios de diseño, entre los que Sierra cita, además de BBVA, a Adyen, Bank of America, Visa, Mastercard, PayPal, Cloudflare, Okta, Klaviyo, Zapier, Zendesk, Notion y OpenAI. Participar en el diseño no implica tener el protocolo en funcionamiento.
Cómo funcionaría
El borrador intenta responder a tres preguntas: quién es el agente, a quién representa y qué se le permite hacer. Sus piezas principales son estas:
- Descubrimiento. Cada empresa publica en su web un archivo en una ruta estándar (
/.well-known/poppy.json) que indica cómo puede interactuar un agente con ella, cómo se inicia sesión y qué puede hacer. - Identificación. El agente se presenta como tal y puede empezar como invitado, de modo que la empresa sabe que actúa en nombre de un cliente.
- Permisos. Cuando hace falta la cuenta del cliente, este inicia sesión en la web de la empresa con OAuth y decide qué acceso concede. Si la empresa lo permite, el agente recibe un token limitado a esos permisos.
- Una sesión para todos los canales. Ese mismo token sirve en la web, en las APIs y en el asistente conversacional de la empresa.
- Canales a elección de la empresa. Puede ofrecer su web, sus APIs (basadas en OpenAPI y MCP) o su propio agente para tareas conversacionales.
La propuesta se apoya en estándares ya extendidos, como OAuth, JWT, HTTPS, OpenAPI y MCP, para que las compañías puedan reutilizar su infraestructura actual. Según el borrador, es complementaria a otros protocolos como el Universal Commerce Protocol (UCP), centrado en las compras.
La posición de BBVA
En el comunicado, David Puente, responsable de soluciones para clientes de banca minorista de BBVA, sostiene que la seguridad debe estar en el centro de las interacciones entre agentes de IA y servicios digitales. Añade que el protocolo sienta las bases de un ecosistema abierto e interoperable que protege la privacidad de los clientes y les permite mantener el control.
Para un banco, la cuestión es especialmente delicada: un agente que consulta saldos o inicia operaciones necesita permisos muy acotados y trazables. Que una entidad española esté en la mesa de diseño indica que el debate ya no es solo de grandes tecnológicas estadounidenses.
Qué supone para las pymes
Para una pequeña empresa no hay nada que implantar por ahora: el protocolo sigue en borrador y su adopción es incierta. Sí apunta hacia dónde puede ir la relación con los clientes, con parte de las consultas, reservas o pedidos llegando a través de agentes.
Conviene identificar qué gestiones podría hacer un agente en la web propia, como pedir presupuesto, reservar o consultar un pedido, y revisar qué datos expone el área de clientes y con qué permisos. Las empresas que venden o atienden a través de plataformas presentes entre los socios, como Shopify, Stripe, Klaviyo o Zendesk, pueden seguir sus anuncios: si llegan a adoptar el protocolo, serán ellas quienes lo comuniquen. En cualquier caso, un agente que maneje datos personales sigue sujeto al RGPD y, según el caso, a las obligaciones de transparencia del Reglamento Europeo de IA.
Más contexto en nuestra guía sobre agentes de IA para pymes. En WTG trabajamos el diseño de Asistentes y agentes de IA y el Gobierno de IA en la empresa: qué datos usan, con qué permisos y quién responde.
Vía: BBVA · Más información: Sierra, Personal Agent Protocol (consultado el 13/10/2026)
