Agentes de IA bloqueados: Amazon, bancos y PSD2

Durante dos años, el sector prometió que un agente de IA podría hacer la compra, reservar un vuelo y transferir dinero por nosotros. En otoño de 2026, la realidad es que primero tiene que conseguir entrar, y cada vez encuentra más puertas cerradas. Amazon, Delta, Yelp y algunos de los mayores bancos de Estados Unidos están frenando a agentes de Meta, xAI y OpenAI. No creo que sea un fallo pasajero: puede ser el anticipo de una internet en la que los agentes solo entrarán donde alguien haya pagado por darles acceso.

El viernes 17 de octubre de 2026, The Verge publicó un artículo de Emma Roth cuyo titular resume bien lo ocurrido en las últimas semanas: las webs están cerrando la puerta a los agentes de IA. Desde hace varias semanas, usuarios de Muse, de Meta; Grok, de xAI; Dots, de OpenAI, y el agente Instinct cuentan lo mismo. Le dan una tarea al agente, este abre una tienda, una aerolínea o un banco y se queda atascado en una pantalla de verificación, un aviso de acceso bloqueado o una página en blanco. El día anterior, Rick Wurster, director de Charles Schwab, dijo en Bloomberg TV que la empresa bloquea cada semana decenas de intentos de grandes agentes de IA para acceder a las cuentas de sus clientes.

Es fácil pensar que se trata de los roces habituales de una tecnología nueva. Creo que hay algo más duradero detrás. Las razones son tres: seguridad, dinero y control de la relación con el cliente. Solo la primera se dice abiertamente. Europa ya vivió hace una década un conflicto parecido en el sector bancario, aunque con otro nombre.

Qué empresas han bloqueado a los agentes de IA

La lista es larga y reúne casos distintos. Amazon cortó el acceso de Muse a su tienda alrededor del 20 de septiembre y, según The Verge, trata de forma parecida a Grok, Dots e Instinct. No es la primera vez: desde noviembre de 2025 mantiene una disputa con Perplexity por su navegador Comet. El caso llegó a los tribunales y, en agosto, un tribunal de apelación revocó la prohibición que Amazon había conseguido antes (escribí sobre la sentencia sobre el agente de compras Comet). Yelp dijo a TechCrunch que no permite el tráfico no humano, salvo que el agente pague por el acceso dentro de su programa de licencias de datos. Delta no permite que los agentes compren billetes. United prohíbe en sus condiciones el uso de robots y «otros dispositivos automatizados» sin autorización escrita.

Después están los bancos. JPMorgan Chase y Charles Schwab confirmaron que bloquean agentes y, según Bloomberg, Citi y Bank of America hacen lo mismo. Algunas restricciones no se anuncian: usuarios cuentan que sus agentes han dejado de funcionar en Cars.com y en la web de Amtrak, aunque esas empresas no han hecho declaraciones. Otras son consecuencia de sistemas de seguridad que no distinguen entre una amenaza y un asistente legítimo. Walmart es socio de Meta y, aun así, un agente puede quedarse atascado en el botón «confirma que eres una persona»: la protección habitual contra bots no diferencia un script malicioso de un asistente enviado por un cliente. Algunos usuarios relacionan los problemas de Muse con un cambio en la configuración predeterminada de protección frente a rastreadores que Cloudflare introdujo el 15 de septiembre. Cloudflare respondió a TechCrunch que no tiene datos que indiquen que se estén bloqueando agentes personales.

El primer problema: nadie sabe quién responde

Wurster planteó el asunto con claridad. El problema no es que el agente sea poco inteligente, sino que el cliente le entrega su nombre de usuario y su contraseña. Después, el agente actúa en su nombre en un entorno que el banco no ve ni comprende.

Wurster añadió la pregunta clave: ¿quién responde si algo sale mal? Jamie Dimon, de JPMorgan, dijo durante una conferencia telefónica sobre resultados que nadie quiere «agentes descontrolados», que podrían contarse por miles. No es una reacción exagerada. Un agente que conoce la contraseña de una cuenta es un objetivo ideal para un ataque de inyección de instrucciones: basta con que encuentre una orden oculta en una página visitada para que haga una transferencia que el titular nunca habría autorizado. Ya escribí sobre quién responde cuando un agente de IA se descontrola y sobre el caso de Muse, que facilitó una dirección particular sin permiso.

Schwab no dice «nunca», sino «no de esta manera». La empresa prevé dar acceso a modelos de lenguaje externos a través de servidores MCP con autenticación controlada. Podrán consultar saldos y buscar información, pero no mover dinero. Schwab también promociona su propio asistente de IA. La diferencia es importante: el agente externo recibe una ventana; el agente de la casa, las llaves.

El segundo problema: los agentes no ven la publicidad

La seguridad explica las decisiones de los bancos, pero no la postura de Yelp, que ha dicho que dejará entrar a un agente si paga. Tampoco explica del todo a Amazon. Aquí entra en juego una cuestión económica de la que las empresas hablan menos.

Una tienda online no es solo un catálogo. También gana dinero cuando el cliente mira recomendaciones, resultados patrocinados, productos que otros compradores han adquirido, promociones y anuncios. Amazon lleva años aumentando sus ingresos publicitarios, y la publicidad solo funciona si alguien la ve. Un agente no mira: recibe la orden «compra el filtro más barato para esta aspiradora», compara precios en tres tiendas, compra y se va. No verá el lote promocionado, no elegirá el envío prémium ni añadirá un segundo producto a la cesta. Para la tienda es un cliente que paga por el producto, pero no con su atención.

Los lectores de Slashdot que comentaron el artículo de The Verge añadieron otra cuestión: la transparencia de los precios. Un vendedor que cambia los precios de forma dinámica puede no querer que miles de agentes los comparen en un instante cada vez que alguien busca unos zapatos. Para el cliente, sería ideal. Para la tienda, podría acabar con el margen que obtiene cuando a la gente no le apetece comparar.

Quienes critican a los bancos plantean un argumento parecido: si un agente mueve automáticamente los ahorros a una cuenta con mejor remuneración, el problema para el banco no es que el agente sea peligroso, sino que sea eficaz. Los bancos no confirman esta acusación, pero tampoco es fácil descartarla.

El tercer problema: ¿de quién es el cliente?

Meta respondió a los bloqueos con una frase ingeniosa y un tanto descarada:

Ingeniosa, porque detrás del agente hay una persona con una tarjeta de pago. Descarada, porque Meta ha construido su imperio defendiendo que la relación con el usuario le pertenece a ella, no a los editores ni a las tiendas. Ahora quiere hacer lo mismo con las compras. El agente de Meta se interpone entre el cliente y la tienda y decide adónde va el pedido. La tienda no pierde solo una transacción: también pierde el contacto con el cliente, sus datos y la oportunidad de fidelizarlo.

Elon Musk reaccionó al bloqueo de Grok a su manera: quizá debería crear una alternativa a Amazon. Suena a broma, pero deja claro lo que está en juego. El debate no trata de si los agentes son útiles, sino de quién controla la puerta: la tienda, la plataforma del agente o un tercero como Cloudflare, que ya opera un mercado en el que los bots de IA pagan por acceder a contenidos.

Europa ya vivió algo parecido con PSD2

Antes de 2019, las aplicaciones de gestión financiera y algunos intermediarios de pago operaban en Europa de una forma parecida a la de los agentes de IA actuales: el cliente les daba el nombre de usuario y la contraseña de su banco, y esas aplicaciones accedían a la cuenta en su nombre y leían la pantalla. Esta práctica se conocía como screen scraping. A los bancos les desagradaba por los mismos motivos que hoy menciona Wurster: no sabían quién estaba al otro lado ni quién respondería si se producía un daño.

La Unión Europea abordó el conflicto con la directiva PSD2 y las normas de autenticación reforzada, aplicables desde el 14 de septiembre de 2019. El compromiso era sencillo: el intermediario debía tener una licencia e identificarse ante el banco; el banco debía ofrecerle una interfaz adecuada, es decir, una API, y no podía discriminarlo. El cliente autorizaba un alcance de acceso concreto y podía retirar su consentimiento. En Polonia, los bancos prepararon un estándar común llamado PolishAPI, impulsado por la Asociación de Bancos Polacos. El acceso anónimo haciéndose pasar por el cliente dejó de ser la norma y pasó a considerarse una solución de emergencia para los casos en que la API del banco no funcionaba.

PSD2 no prohibió a los intermediarios ni permitió a los bancos bloquearlos sin más. Obligó a ambas partes a tratarse según unas reglas fijadas por ley, en lugar de dejar que decidiera quien tuviera más poder. En Estados Unidos no existe un marco equivalente para los agentes, así que cada tienda y cada banco establece sus propias reglas. De ahí el caos de las últimas semanas.

Qué puede pasar ahora con los agentes de IA

Los datos de Gemius ofrecen una referencia sobre la actitud de los consumidores en Polonia: el 65 % de los encuestados utiliza herramientas de IA, pero el 71 % no quiere que la IA tome decisiones de compra por su cuenta. Es un dato polaco, no una encuesta sobre España. Aun así, muestra que usar herramientas de IA no implica necesariamente confiarles las decisiones de compra.

Veo tres escenarios posibles, y ninguno se parece a la internet abierta que prometen las empresas de IA.

• Una internet de acuerdos. El agente accede a las webs con las que su proveedor ha firmado un acuerdo. Meta ya avanza en esa dirección: en vez de enfrentarse a Amazon, ha llegado a acuerdos con Walmart, Gap, Sephora y Best Buy, y Shopify ha abierto sus tiendas a los agentes. La calidad de tu agente dependería entonces menos del modelo que de la lista de socios de su empresa, como la oferta de televisión por cable depende del paquete contratado.
• Una internet de peajes. Un intermediario como Cloudflare cobra por cada acceso del agente y comparte el dinero con la web. El agente paga así por lo que no aporta en atención. Es un modelo transparente, pero caro, y el coste acabaría repercutiendo en la suscripción del usuario.
• Una internet de reglas. Un regulador aplica a los agentes un marco parecido al que la UE estableció para los intermediarios de pago: licencia, identificación, alcance del consentimiento y prohibición de discriminación. Es la opción más lenta, pero la única en la que el cliente tiene derecho a enviar a su agente y la tienda sabe con quién está tratando.

Creo que Europa acabará entre el segundo y el tercer escenario, y Estados Unidos, entre el primero y el segundo. Para las tiendas y los bancos europeos, la lección de PSD2 es práctica: quien en 2019 vio la norma como una obligación incómoda pasó años remendando sus interfaces; quien creó una buena API ganó socios. Con los agentes puede ocurrir algo parecido. La tienda que ofrezca un acceso seguro y previsible, con permisos claramente definidos, recibirá pedidos. La que solo ponga un botón de «soy una persona» no bloqueará únicamente máquinas: también dejará fuera a los clientes que las han enviado.

La promesa de los agentes de IA era sencilla: di lo que quieres y se encargarán del resto en toda internet. El otoño de 2026 demuestra que «toda internet» era una hipótesis, no una realidad. Un agente será tan útil como los acuerdos que tenga detrás y tan seguro como las reglas que alguien termine escribiendo. Hasta entonces, para hacer una transferencia, lo más fiable sigue siendo usar el pulgar en la pantalla de tu propio móvil.