Internet creció porque los protocolos compartidos permitieron que sistemas independientes interoperaran sin confianza preestablecida. Los agentes autónomos de IA ahora están impulsando la web hacia un punto de inflexión similar: actuando a través de tiendas, APIs y sistemas administrativos con mínima supervisión humana. El apoyo de Vint Cerf a una capa de identidad abierta y basada en estándares es una señal de que los fundamentos de la responsabilidad a nivel de Internet—quién autorizó al agente, qué puede hacer y qué hizo realmente—deben resolverse a nivel de protocolo, no con widgets específicos de proveedores. Para líderes de seguridad, legales y operativos, esto no es una gobernanza abstracta; es la diferencia entre automatización escalable y una pesadilla de auditoría.

El diseño emergente es pragmático: aprovechar la infraestructura existente de Internet como raíz de confianza, vincular identificadores de agentes al control organizacional y emparejar la identidad con concesiones de capacidades firmadas que limitan acciones por alcance, tiempo y recurso. Cada transacción produce un recibo no repudiable—firmado criptográficamente, con sello de tiempo y referenciable—para que puedas reconstruir la actividad a través de SaaS, nube y sistemas locales. Esto complementa OAuth/OIDC para flujos usuario-aplicación añadiendo procedencia app-a-app y agente-a-agente. Crucialmente, debe soportar rotación de claves, revocación y actualizaciones de políticas sin romper la interoperabilidad, y debería desplegarse con la PKI y directorios empresariales actuales, no con una reescritura total de identidad.

Por qué importa ahora: los modelos de negocio para agentes—compras, programación, triaje de soporte, sincronización de datos, incluso control industrial—dependen de que terceros confíen en las solicitudes. Fraudes, suplantaciones, automatizaciones ocultas y responsabilidades poco claras amenazan esa confianza. Una capa de identidad verificable eleva el nivel: los mercados pueden admitir solo agentes certificados, los procesadores de pagos pueden hacer cumplir permisos limitados y las empresas pueden clasificar riesgos según el nivel de garantía. Los reguladores también obtendrán una visión más clara de las cadenas de autorización, permitiendo reglas precisas (por ejemplo, alcances de consentimiento, retención de auditorías) sin prohibir la automatización por completo. Se espera que listas de verificación, esquemas de certificación y normas de telemetría entre nubes converjan rápidamente una vez que los protocolos se estabilicen.

Para los compradores, el movimiento a corto plazo es tratar “identidad y responsabilidad del agente” como un requisito de plataforma, no una característica. Pilotea con flujos de bajo riesgo donde puedas aplicar el principio de menor privilegio, instrumentar registros completos y probar la revocación bajo carga. En compras, exige atestaciones de proveedores que prueben quién operó el agente, presenta reclamaciones de capacidades que puedas verificar independientemente y entrega registros portátiles que puedas reconciliar con tu SIEM. Prefiere proveedores alineados con estándares abiertos y que ofrezcan artefactos de identidad exportables y claves bajo tu control. Las organizaciones que construyan sobre estos primitivos entregarán más rápido con menos incidentes y estarán listas cuando los auditores pregunten cómo saben tus agentes sus límites.