Sierra en Meta lanceren open Personal Agent Protocol voor AI‑agenten bij bedrijven

Sierra en Meta hebben op 6 oktober 2026 het Personal Agent Protocol (PAP) geïntroduceerd, een open specificatie die bedrijven en persoonlijke AI‑agenten een gemeenschappelijk kader biedt voor authenticatie, autorisatie en sessiebeheer. Het initiatief wordt ondersteund door een brede groep van bedrijven, waaronder Genesys, Instinct, Rocket, Shopify, Stripe en Walmart. Het doel is om een transparante en interoperabele manier te creëren waarop een AI‑agent, die door een consument wordt aangestuurd, kan ontdekken wat een website aanbiedt, zich eerst als gast kan aanmelden en vervolgens, indien nodig, via OAuth‑machtigingen toegang krijgt tot accountfuncties.

Hoe werkt de authenticatie en autorisatie?

Volgens de aankondiging van Sierra start een persoonlijke AI‑agent elke interactie door de openbare content van een website te analyseren. Als de agent alleen informatie moet lezen, blijft hij in de gastmodus. Voor taken die een account vereisen, zoals het plaatsen van een bestelling of het wijzigen van instellingen, vraagt de agent de consument om expliciete toestemming via een OAuth‑flow. De consument kan vervolgens kiezen tussen alleen‑lezen‑rechten of schrijfrechten, waardoor de agent alleen die acties mag uitvoeren die door de gebruiker zijn goedgekeurd.

De bedrijven bepalen vervolgens hoe de agent toegang krijgt tot hun systemen. Ze kunnen kiezen voor een eenvoudige interactie via gewone webpagina’s, of voor een meer gestructureerde benadering via bestaande API‑standaarden zoals MCP (Meta Connect Protocol) en OpenAPI. Daarnaast is er de mogelijkheid om een eigen bedrijfsagent te implementeren die specifiek is afgestemd op interne processen. Het protocol garandeert dat de sessie van de agent over verschillende communicatiekanalen – bijvoorbeeld web, mobiele app of messaging – consistent blijft, zodat de gebruiker niet telkens opnieuw hoeft in te loggen.

Wie nemen deel en wat betekent dit voor de markt?

De eerste ronde van deelnemers bestaat uit een mix van technologie‑ en retailspelers. Genesys en Instinct brengen expertise in klantcontact en conversational AI, terwijl Rocket zich richt op cloud‑infrastructuur. Shopify en Stripe, twee platformen die al intensief samenwerken met e‑commerce en betalingsverwerking, hebben hun deelname bevestigd. Walmart, als een van ’s werelds grootste retailers, test het protocol in haar digitale kanalen. Deze diversiteit laat zien dat het Personal Agent Protocol niet beperkt is tot één sector, maar een breed scala aan bedrijven kan helpen om AI‑agenten veilig en gestandaardiseerd te integreren.

The Next Web heeft opgemerkt dat Stripe en Shopify ook deelnemen aan Visa’s concurrerende Trusted Agent Protocol. Deze parallelle ontwikkeling onderstreept de groeiende belangstelling van de betalingsindustrie voor gestandaardiseerde AI‑agenten. Tegelijkertijd wijst The Next Web erop dat Europese regelgeving voor sterke klantauthenticatie (SCA) nog geen oplossing biedt voor de specifieke uitdagingen die persoonlijke AI‑agenten met zich meebrengen. Het Personal Agent Protocol adresseert dit niet direct, maar biedt een raamwerk waarin toekomstige Europese eisen kunnen worden geïntegreerd.

Roadmap, workshops en referentie‑implementatie

De eerste versie van de specificatie, v0.1, wordt later in oktober gepubliceerd. Tegelijkertijd organiseren Sierra en Meta een reeks ontwerp‑workshops waarin partners de technische details kunnen uitwerken en feedback kunnen geven. Een referentie‑implementatie zal beschikbaar worden gesteld om ontwikkelaars een concrete basis te bieden voor het bouwen van compatibele agents en bedrijfsintegraties. Deze stap is cruciaal om de adoptie te versnellen, omdat het ontwikkelaars in staat stelt om zonder uitgebreide eigen research een werkende agent te testen tegen een gestandaardiseerde set eisen.

Hoewel de basisfunctionaliteit – gasttoegang, OAuth‑machtigingen, lees‑ en schrijfrechten, en cross‑channel sessiebehoud – al is gedefinieerd, blijven er belangrijke uitbreidingen in de toekomst. De aankondiging noemt betalingen, pushmeldingen en fijnmaziger machtigingen als onderwerpen die later in de roadmap worden uitgewerkt. Deze elementen zijn essentieel voor een volledige commerciële inzet, omdat ze de mogelijkheid bieden om transacties veilig te laten uitvoeren en gebruikers real‑time updates te sturen zonder telkens opnieuw toestemming te vragen.

Beperkingen en open vragen

Het protocol is nog in een vroeg stadium en er zijn enkele beperkingen die expliciet worden genoemd. Ten eerste is er nog geen oplossing voor de Europese sterke klantauthenticatie, waardoor bedrijven die onder die regelgeving vallen extra maatregelen moeten nemen. Ten tweede blijven betalingen en pushmeldingen voorlopig buiten de scope van v0.1, wat betekent dat bedrijven die deze functionaliteit nodig hebben, eigen extensies moeten ontwikkelen totdat de standaard deze scenario’s ondersteunt. Ten slotte is de interoperabiliteit tussen verschillende bedrijfs‑agents nog afhankelijk van de implementatiekeuzes van elk bedrijf, waardoor er variatie kan ontstaan in de manier waarop agents zich authentiseren.

Met de lancering van het Personal Agent Protocol verandert de manier waarop consumenten met AI‑agenten omgaan in de digitale economie. Consumenten krijgen meer controle over welke rechten ze aan een agent toekennen, terwijl bedrijven een gestandaardiseerde, veilige manier krijgen om agents toegang te geven tot hun systemen. De komende weken zullen de specificatie‑publicatie, workshops en de referentie‑implementatie de eerste concrete stappen vormen om dit open protocol in de praktijk te brengen.