¿Qué cambia en el estándar de seguridad en pagos que protege cada tarjeta?
El estándar de seguridad en pagos es el que define los controles que bancos, procesadores y comercios deben cumplir para proteger los datos de tarjetas, y el PCI Security Standards Council (PCI SSC) prepara una nueva versión que lo actualiza para la era de la IA.
El cambio responde a que la IA ya interviene en la gestión del riesgo y en las transacciones mismas. La próxima versión incorporará los desafíos que ese uso plantea en el ecosistema financiero [1].
El dato importa porque el PCI DSS no es una recomendación: es el marco de cumplimiento que exige la industria de tarjetas a cualquier negocio que almacene, procese o transmita datos de pago, desde una pyme con pasarela propia hasta el banco emisor más grande de la región.
Que el organismo mueva su estándar por la IA es una señal de que el uso de modelos de IA en checkout, antifraude y atención al cliente dejó de ser experimental para convertirse en parte del perímetro que hay que auditar.
¿Por qué le importa esto al comercio electrónico en México y América Latina?
Importa porque la región que más está empujando pagos con IA es también la que más está creciendo en ventas online, lo que multiplica la superficie que cualquier estándar nuevo tendrá que cubrir. En México, el comercio electrónico retail alcanzó 941.000 millones de pesos en 2025, un crecimiento anual de 19,2%, y ya suma 77,2 millones de compradores digitales [2].
Ese canal ya representa 17,7% de las ventas minoristas del país, es decir, casi 18 de cada 100 pesos del retail mexicano se generan en línea [2].
Con ese volumen, México ocupa el octavo lugar a nivel mundial en ventas online retail, por delante de mercados como Estados Unidos o Singapur, mientras América Latina en conjunto registra una participación del comercio electrónico de 15,9% sobre las ventas minoristas, por encima del promedio mundial de 8,4% [5].
Más transacciones digitales significan más superficie expuesta a fraude impulsado por IA y, al mismo tiempo, más dependencia de la propia IA para detectarlo. Es exactamente la tensión que el PCI SSC dice estar incorporando a su próxima versión del estándar [1].
¿Cómo ya opera la IA dentro de los pagos en América Latina?
La IA ya no es un escenario futuro en los pagos de la región: Mastercard ejecutó transacciones de pagos agénticos en vivo y de punta a punta en América Latina y el Caribe, con agentes de IA iniciando y completando compras en nombre de clientes, bajo su consentimiento y usando la infraestructura de pagos existente [4].
“Los pagos agénticos representan un cambio fundamental en la forma en que se inicia y se ejecuta el comercio. Esto no es un ejercicio de laboratorio ni una hoja de ruta futura, son transacciones reales que ocurren hoy en nuestra red.”
En el piloto participaron emisores y procesadores de distintos países, ejecutando compras reales con tarjetas de débito y crédito, desde maquillaje y comestibles hasta bienes digitales [4]. La tabla resume algunos de los participantes.
Fuente: Mastercard Newsroom [4].
Mastercard asegura que casi el 100% de los emisores de la región ya están habilitados con su tecnología de tokens agénticos, lo que le permite a la compañía afirmar que la infraestructura para el comercio impulsado por IA ya está instalada en múltiples países, sin requerir nuevas credenciales [4].
Esa misma infraestructura es la que un estándar de seguridad de pagos tiene que empezar a auditar: tokens agénticos, autenticación biométrica y los registros que documentan qué autorizó realmente el tarjetahabiente cuando quien compra es un agente de IA [4].
| Entidad | Mercado principal |
|---|---|
| Bancolombia | Colombia |
| Davivienda | Colombia |
| Banamex | México |
| Banco de la Nación Argentina | Argentina |
| Banco Galicia | Argentina |
| Banco Falabella | Chile / Perú |
| BAC | Centroamérica |
¿Qué deben revisar los equipos de pagos y comercio ahora?
Para un equipo de comercio o de pagos en la región, el cambio en el estándar no es un asunto solo de los bancos emisores: toca a cualquiera que acepte tarjetas y use IA en algún punto del flujo de compra. Antes de que llegue la nueva versión del estándar, conviene revisar:
El crecimiento de 19,2% en ventas online que registró México en 2025 y la llegada de pagos agénticos reales a bancos de toda la región muestran que la ventana para prepararse es corta [2][4].
- 1Dónde entra la IA en el flujo de pago propio: antifraude, scoring de riesgo, atención al cliente o checkout conversacional.
- 2Qué datos de tarjeta pueden quedar expuestos a un modelo de IA, incluidos registros, prompts o historiales de soporte.
- 3Si existe trazabilidad clara entre una transacción y la decisión humana o automatizada que la autorizó.
- 4Cómo se documenta el consentimiento cuando un agente de IA, propio o de un tercero, inicia una compra en nombre de un cliente.
- 5Qué exige hoy el procesador o adquirente de la empresa en materia de IA, antes de que el requisito se vuelva obligatorio en el estándar.
Fuentes
- [1]iupana, IA impulsa cambios en estándares de seguridad en pagos — iupana.com
- [2]T21, Comercio electrónico impulsa el retail en México: AMVO — t21.com.mx
- [3]AMVO, Descarga Estudio de Venta Online 2026 — amvo.org.mx
- [4]Mastercard Newsroom, Mastercard impulsa los pagos agénticos en América Latina y el Caribe con transacciones en vivo completadas en toda la región — mastercard.com
- [5]Retailers, México ocupa el 8 lugar a nivel global en ventas online retail — retailers.mx
