Un agente de IA puede saber que un cobro se ha hecho, por cuánto dinero y con qué referencia, pero no debería ver ni guardar números de tarjeta, códigos de seguridad ni datos bancarios completos. Esos datos los maneja la pasarela de pago, que es el servicio especializado que cobra por ti. La regla de dirección es sencilla: los datos de pago no pasan por el agente. Conviene pactarlo por escrito con quien lo implanta antes de empezar.
Antes o después alguien propone: "y que el agente también cobre". Suena razonable: el cliente pregunta por su pedido, el agente responde y, de paso, le cobra. Las grandes empresas separan con mucho cuidado quién puede ver qué en un cobro y reservan los datos de tarjeta a sistemas muy controlados. Una pyme consigue esa misma separación de una forma más simple: impidiendo que esos datos lleguen al agente.
¿Qué información de un cobro puede consultar un agente?
La que le sirve para atender al cliente y no permite cobrar a nadie. Es decir: el estado del cobro (pagado, pendiente, fallido o devuelto), el importe, la fecha, la referencia del pedido o de la factura a la que corresponde y el método de pago en términos generales, como tarjeta, transferencia o domiciliación. Con eso, el agente puede contestar a "¿habéis recibido mi pago?", avisar de que un cobro ha fallado o recordar con buen tono que una factura sigue pendiente. Para atender no necesita más, y cuanto menos vea, menos puede perderse o salir mal.
¿Qué datos de pago no debe manejar nunca?
Estos datos deben quedar fuera del alcance del agente, de su memoria y de los historiales de conversación:
- El número completo de la tarjeta, su fecha de caducidad y el código de seguridad del reverso.
- Las claves de la banca online y los códigos de confirmación que el banco envía por SMS o por su aplicación.
- Las claves de acceso a la pasarela con permisos para cobrar, devolver o cambiar importes.
Hay además una zona intermedia que se decide caso por caso con tu asesor: las últimas cifras de una tarjeta cuando la pasarela las muestra ya con el resto oculto, el nombre del titular, o la cuenta bancaria completa en una domiciliación. Si el proceso no los necesita, es mejor que el agente no los vea.
La razón es práctica. Un error del agente, una copia de seguridad o una fuga en el proveedor pueden exponer cualquier dato que haya pasado por el sistema. Además, el sector de las tarjetas tiene sus propias normas de seguridad, conocidas como PCI DSS, y cuantos menos sistemas tuyos toquen esos datos, menos tienes que proteger y justificar. Tu pasarela se encarga de esa parte precisamente para que tú no tengas que hacerlo.
¿Cómo se cobra entonces con un agente de por medio?
El agente no recibe la tarjeta: envía al cliente un enlace de pago generado por la propia pasarela. El cliente lo abre, escribe sus datos en la página de la pasarela y paga. La pasarela comunica el resultado, y el agente solo recibe el aviso de "pagado" o "fallido" junto a la referencia. Es el mismo recorrido de una compra en una tienda online, en la que la tarjeta se teclea en la página de pago y no en una conversación con el vendedor.
Para las devoluciones, el agente puede preparar la solicitud con el motivo y la referencia, pero la ejecuta una persona con permisos en la pasarela. Lo mismo con una disputa de un cliente con su banco: el agente reúne el historial del pedido y lo deja listo; quien responde es una persona.
¿Qué pasa si un cliente escribe su tarjeta en el chat?
Pasa más de lo que parece, y el agente tiene que estar preparado. Lo razonable es que no repita ni use ese dato, que conteste con amabilidad que por seguridad no puede recibir datos de tarjeta por chat y que envíe el enlace de pago de la pasarela. Además debe avisar a una persona. Esa persona decide, según lo pactado con el proveedor, cómo se oculta o se borra el mensaje del historial, comprueba si el dato ha quedado guardado en algún otro sitio (copias de seguridad, correos, notificaciones) y deja constancia de lo ocurrido. El agente no debe intentar "arreglarlo" por su cuenta borrando conversaciones.
Qué pactar con quien implanta el agente
Esta es la parte que la dirección debe dejar por escrito antes de empezar. Pregunta y exige respuesta clara a estos puntos:
- El agente tiene acceso de lectura al estado de los cobros; no puede cobrar, devolver ni cambiar importes.
- Las claves de la pasarela están a nombre de tu empresa, las guardas tú y el proveedor trabaja con credenciales limitadas que puedas retirar.
- Ningún dato de tarjeta se guarda en los historiales de conversación, y existe un procedimiento para ocultarlo si un cliente lo escribe.
- Está claro qué datos de clientes llegan al modelo de IA y dónde se tratan.
- Queda un registro de qué consulta el agente y a petición de quién.
- Se sabe quién avisa a quién, y en cuánto tiempo, si hay un incidente con datos.
Revisa estos puntos con tu asesor y con el proveedor de la pasarela. Sobre los accesos, tienes más en controles de acceso de IA: permisos y credenciales de agentes, y para evaluar a quien te implanta el servicio, cómo evaluar la seguridad de un proveedor de software.
Quién hace qué cuando hay un cobro por medio
El agente consulta el estado de los cobros, avisa al cliente de que un pago ha fallado, envía los enlaces de pago, recuerda las facturas pendientes y deja preparada la información para quien deba decidir. Una persona autoriza las devoluciones, responde a las disputas, vigila los cobros que parecen raros y decide si un movimiento sospechoso se trata como posible fraude. Si quieres ver cómo se organiza la parte de recordatorios, puedes leer gestión de cobros y morosidad con IA.
Una recomendación que va en la misma línea
La Agencia Española de Protección de Datos publicó en enero de 2026 un decálogo de recomendaciones para usar herramientas de IA. En el ámbito laboral, insiste en no incluir en ellas información que revele datos confidenciales de la entidad, ni de su personal o clientes. Son recomendaciones y no obligaciones por sí mismas, pero encajan con la regla de este artículo: lo que el agente no necesita ver, no debe ver.
Fuentes
Conclusión
La regla de dirección cabe en una línea: el agente conoce el estado de un cobro, pero nunca el dato con el que se paga. Estado, importe y referencia, sí; tarjeta, claves y códigos, no. Con un enlace de pago de la pasarela, permisos de solo lectura y un procedimiento para cuando un cliente escribe su tarjeta, el agente ayuda con los cobros sin aumentar el riesgo.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.