KYC verifica quién eres. KYA verifica si esta acción está autorizada, ahora
Know Your Agent (KYA) es la disciplina de verificación de identidad para sistemas que no son personas: bots y agentes de IA, lo que la industria empieza a llamar Non-Human Identity. El software no adquiere personalidad jurídica por operar solo. Lo que hace el KYA es atar cada acción que ejecuta a la persona física o jurídica que responde por ella, en el instante en que ocurre, y dejar esa cadena escrita para el regulador.
| Know Your Customer (KYC) | Know Your Agent (KYA) | |
|---|---|---|
| Sujeto verificado | Una persona física | Un agente de software y quien responde por él |
| Cuándo se verifica | Una vez, al abrir la cuenta | En cada acción, en el instante en que se ejecuta |
| Qué comprueba | Documentación y biometría | Identidad técnica, autoridad delegada y sus límites (gasto, alcance, caducidad) |
| Pregunta que responde | ¿Quién dice ser esta persona? | ¿Tiene este agente permiso para hacer esto, ahora mismo? |
Por qué ahora
El comercio agéntico ya mueve el dinero
Tus controles siguen esperando a una persona. La capa de compra se está desplazando del navegador humano al agente que actúa por él. Cambia quién ejecuta la transacción y no quién la paga, y ese desplazamiento deja fuera de juego a los motores de riesgo entrenados sobre comportamiento humano y desplegados en stacks fragmentados.
Cuánto dinero va a pasar por manos que no son humanas
-
135.000M$ de mercado direccionable para el comercio agéntico en 2025, según Edgar, Dunn & Co.
-
1,7B$ proyectados para 2030. El mercado se multiplica por doce en cinco años.
-
1B$ en transacciones mediadas por agentes que McKinsey estima solo para el retail estadounidense a final de la década.
Ningún agente necesita vulnerar nada para hacer daño
El 25 de abril de 2026, un agente de Cursor AI operó con un token sin límite de alcance ni caducidad y borró una base de datos de producción entera. Nadie forzó ningún control. La credencial permitía exactamente eso.2
En una auditoría de 1Kosmos a una empresa del Fortune 100, agentes que operaban más allá de su alcance dejaron expuestos:
46,5
mensajes
728.000
archivos
57.000
cuentas de usuario
Los dos casos comparten causa: credenciales válidas con permisos que nadie acotó.
Cómo se construye
Los cinco pilares de un programa de cumplimiento KYA
Ninguno inventa doctrina nueva. Los cinco aplican figuras legales existentes a un sujeto que no existía cuando se redactaron.
El marco que obliga a moverse
El EU AI Act ya clasifica a los agentes de decisión financiera como alto riesgo
El Ómnibus Digital, aprobado el 29 de junio de 2026, movió las fechas de los sistemas de alto riesgo y dejó intacto el nivel de exigencia. El Anexo III alcanza a cualquier sistema que evalúe solvencia, fije precios de seguros o decida el acceso a productos financieros, lo ejecute una persona o un agente. Desglosamos el texto completo en nuestro análisis del Reglamento europeo de IA.
- Auditoría inmutable. Cada decisión del agente queda registrada y se puede reconstruir meses después.
- Control de alucinaciones. Pasa de métrica de calidad del modelo a requisito legal exigible.
- Responsabilidad personal. La dirección firma cada trimestre el comportamiento del agente.
El coste de no tenerlo listo: hasta 35M€ o el 7% de los ingresos globales por prácticas prohibidas; hasta 15M€ o el 3% por fallos en el registro de sistemas de alto riesgo.
Visa TAP
firma criptográficamente cada solicitud de un agente antes del pago (oct. 2025)
Mastercard
Agent Pay y Agentic Tokens, con alianzas activas con Microsoft y IBM
CaixaBank
primera transacción europea en vivo iniciada por un agente de IA (jul. 2026)
ACP vs UCP
OpenAI con Stripe y Google con Shopify compiten por el estándar del comercio agéntico, sin que ninguno resuelva quién responde legalmente
Qué cambia en tu sector
Qué cambia el KYA en banca, seguros, retail y viajes
Los cuatro sectores comparten el mismo problema de fondo y lo reciben por vías distintas: en banca entra por el motor de riesgo, en seguros por el Anexo III, en retail por el canal de descubrimiento y en viajes por la negociación directa entre agentes.
Banca y fintech
Visa ya puntúa las transacciones de agentes con señales que antes no existían: dispositivo, desviación del patrón y reglas de presupuesto. Fuera de ese rango, la transacción no pasa.
Seguros
Un agente que tarifica y liquida siniestros por su cuenta cae en el nivel más alto de escrutinio del Anexo III desde el primer día.
E-commerce y retail
El descubrimiento de producto deja de depender solo del SEO. Decide si tu catálogo expone datos que un agente pueda leer, comparar y ejecutar sin intervención.
Viajes y hospitality
Vuelos, hoteles y restaurantes son el primer escenario de agente contra agente: el agente del viajero, con billetera tokenizada y un mandato de gasto, negocia en milisegundos con el de la aerolínea o la cadena. Quien no exponga su inventario a esos protocolos desaparece del canal, y quien lo exponga necesita saber qué agente reserva y con qué autoridad. Lo analizamos en pagos agénticos en travel con el protocolo AP2.
Nuestra tesis
Un agente no rompe la identidad continua.
Es una lectura más sobre ella.
La identidad no es un evento que termina en el alta. Es un registro que se acumula mientras dura la relación: verificación, sesión, cuenta, pago.
Un agente que opera en tu nombre entra en ese mismo registro. Con la misma evidencia trazable que ya exigimos a una persona, y en el mismo sitio donde vive el resto de su historial.
El KYA se resuelve en la arquitectura. Quien ya lee la identidad como una señal viva a lo largo del ciclo de vida del cliente tiene medio camino hecho. Quien la resolvió como un trámite de alta empieza de cero.
Cómo se sostiene
Un agente atraviesa en un segundo lo que tu stack reparte en cuatro contratos
Una sola acción de un agente toca la verificación, la sesión, la cuenta y el pago. Si cada una de esas capas vive con un proveedor distinto, ninguna puede responder a la pregunta que plantea el KYA: si ese agente tenía autoridad para hacer esto, en este momento exacto.
La brecha no está dentro de las herramientas. Está entre ellas, y añadir una herramienta específica de identidad de agentes suma un contrato más y una costura más. Un programa KYA se sostiene sobre un registro único que escribe y lee la misma plataforma que toma las decisiones. Ese argumento lo desarrollamos en la nueva capa de responsabilidad cuando un agente de IA actúa por tus clientes.
-
Un registro, no cuatro fragmentos. Verificación, sesión, cuenta y pago escriben sobre la misma identidad y leen de ella, también cuando quien actúa es un agente.
-
Evidencia, no una puntuación. Señales nombradas y legibles por una persona, trazables hasta el acto de verificación que fundó el registro. Una puntuación es una conclusión; el auditor pregunta por el razonamiento.
-
Despliegue donde lo exija tu regulador. On-premise, nube privada o híbrido. La residencia del dato es una obligación de la entidad, no una restricción que deba imponer la arquitectura.
-
Una verificación fundacional sólida. Un registro que se acumula sobre una primera prueba débil hereda ese defecto en cada lectura posterior, la haga una persona o un agente.
Una plataforma, un solo perfil de identidad
La plataforma de identidad de Facephi reúne las lecturas que hoy viven repartidas entre proveedores:
Todas escriben sobre el mismo perfil y leen de él. Cuando actúa un agente, ese perfil suma dos datos: quién lo desplegó y qué autoridad tiene ahora.
¿Tu arquitectura de identidad aguanta el salto a los agentes?
Media hora para revisar qué parte de tu KYC actual ya te sirve de base y dónde queda el hueco frente al KYA.
Preguntas frecuentes sobre Know Your Agent (KYA)
Know Your Agent (KYA) es el marco que verifica qué agente de IA ejecuta una acción, qué entidad jurídica responde por él y si la autoridad que recibió cubre esa acción concreta en ese momento. Extiende al software autónomo la lógica que el KYC aplica a las personas, con una diferencia: el KYC verifica una vez y el KYA verifica en cada operación.
No. El KYC verifica una identidad una vez, al abrir la cuenta. El KYA verifica, en cada acción, si el agente que la ejecuta tiene autoridad delegada para hacerla en ese momento concreto. Comparten el objetivo de fondo, pero operan en momentos y con evidencia distintos.
No existe una ley que use literalmente el término «Know Your Agent». Lo que sí es obligatorio, aunque con calendario aplazado por el Ómnibus Digital, es el EU AI Act para los sistemas de alto riesgo (Anexo III, exigible desde el 2 de diciembre de 2027), que incluye a los agentes de decisión crediticia, de seguros y de verificación KYC/AML autónoma.
Como un agente de IA no puede ser legalmente el «cliente» (no tiene fecha de nacimiento ni identificación fiscal), la ley exige que una entidad jurídica real, el Wrapper, lo despliegue, pase sus propios controles de identificación y asuma la responsabilidad de sus acciones y errores.
Es el problema del «agente fantasma»: las claves API estáticas no registran propiedad, así que el agente puede seguir operando sin que exista ya una persona responsable adjunta a sus acciones. El KYA exige atar cada credencial a una identidad humana viva, no solo a un token.
Depende de a quién le diste las credenciales y de qué ley aplica. En tarjetas de crédito bajo TILA en EE. UU., si el consumidor entregó voluntariamente sus credenciales, el emisor puede argumentar autoridad real y trasladarle la responsabilidad total. En transferencias B2B bajo el Artículo 4A del UCC no hay tope legal. Es el vacío que el pilar KYA-AUTH busca cerrar.
Web, iOS y Android, con el mismo esquema de datos en los tres. Las señales de integridad se distinguen por plataforma: root en Android y jailbreak en iOS. La matriz concreta de versiones soportadas se revisa con tu equipo en la sesión técnica, junto con la documentación pública.
Sí. Kubernetes on-premise, nube privada o SaaS, igual que el resto de la plataforma. La residencia del dato queda donde la institución decida, dentro del perímetro que exija el regulador de cada mercado. El modelo de despliegue no cambia las señales ni el panel de sesiones.