BBVA helpt Meta en Sierra de regels schrijven voor AI-agenten bij bedrijven

BBVA is volgens de eigen mededeling van 13 oktober 2026 de eerste Europese bank die meewerkt aan het Personal Agent Protocol, een open standaard waarmee Sierra en Meta willen vastleggen hoe persoonlijke AI-agenten met bedrijven omgaan. Een bank zit daarmee aan tafel bij het opstellen van de regels voor AI-agenten die namens klanten bij bedrijven aankloppen, nog voor die regels bestaan.

Sierra kondigde het protocol op 6 oktober 2026 aan. Het regelt hoe een agent zich bij een bedrijf aanmeldt, wat een consument zijn agent laat doen (alleen lezen of ook wijzigen) en wat het bedrijf zelf toelaat. AI-agenten kunnen een bedrijf bereiken via de website, via API’s of via de eigen agent van het bedrijf. Sessies lopen via OAuth. Volgens BBVA bouwt het protocol voort op bestaande standaarden (OAuth, HTTPS, OpenAPI en MCP), zodat bedrijven een deel van hun huidige infrastructuur kunnen hergebruiken, en wil het weg van AI-agenten die websites voor mensen gebruiken of de inloggegevens van de gebruiker inzetten. Sierra noemt Genesys, Instinct, Rocket, Shopify, Stripe en Walmart als partners; BBVA spreekt van 35 ontwerppartners uit technologie, financiële diensten en e-commerce.

De specificatie is nog niet af. Sierra wil de versie 0.1 later in oktober 2026 publiceren, met ontwerpworkshops en een referentie-implementatie. Mogelijke uitbreidingen zijn gedetailleerdere rechten, pushmeldingen en ondersteuning voor betalingen. BBVA geeft geen datum voor de toepassing in de eigen diensten. De bank zegt dat klanten later via een AI-agent producten zouden kunnen vergelijken, informatie verzamelen of bepaalde financiële processen starten, binnen de rechten die de gebruiker instelt. David Puente, verantwoordelijk voor retailoplossingen bij BBVA, zei: “Security must be at the heart of interactions between AI agents and digital services.”

Wat betekent dit voor banken in België?

Het protocol is nog een ontwerp, dus er is niets om te implementeren. De vraag voor een bank in België of elders in Europa is wel waar ze staat tegenover agenten die bij haar aankloppen: zelf meeschrijven aan de regels, wachten op een standaard, of externe agenten buiten houden. Over die laatste houding schreven we eerder in Dimon: JPMorgan laat niet zomaar externe AI-agenten binnen. De drie wegen sluiten elkaar niet uit.

Wie wil weten wat er concreet te beslissen valt, kan in de specificatie op drie punten kijken zodra versie 0.1 er is: hoe een bank vaststelt wie een agent vertegenwoordigt, wie de rechten (lezen of ook wijzigen) instelt en hoe de bank zicht houdt op wat een agent doet. Of betalingen er later in komen, is volgens Sierra een mogelijke uitbreiding en dus nog niet uitgemaakt.