Agent Payments Protocol (AP2)
Definition
L'Agent Payments Protocol, ou AP2, est un protocole ouvert développé par Google pour résoudre un problème précis du commerce agentique : comment un marchand ou une banque peut-il savoir qu'un agent IA dispose réellement de la permission d'une personne pour dépenser son argent et dans quelles limites ? L'AP2 définit des mandats signés, des enregistrements structurés et vérifiables cryptographiquement de ce que la personne a autorisé, comme un montant maximal, une catégorie d'achat ou une fenêtre de temps.
Le 28 avril 2026, Google a confié l'AP2 à la FIDO Alliance conjointement avec Mastercard, faisant passer le protocole d'une initiative pilotée par Google à un standard neutre vis-à-vis des éditeurs, gouverné de la même façon que les spécifications d'authentification sans mot de passe déjà existantes de la FIDO. L'objectif est que l'AP2 fonctionne à travers différentes plateformes IA et différents réseaux de paiement plutôt que d'être lié à l'écosystème d'une seule entreprise.
L'AP2 complète les protocoles d'achat comme l'ACP et l'UCP plutôt que de les remplacer : ces derniers standardisent le fonctionnement de l'achat et du paiement, tandis que l'AP2 standardise l'étape d'autorisation en dessous, la preuve que l'agent a bien le droit de payer. Les réseaux de cartes implémentent des mécanismes compatibles, comme les jetons agentiques (Agentic Tokens), pour transmettre cette autorisation jusqu'à la transaction réelle.
Cette couche d'autorisation est aussi celle où la réglementation européenne devient directement pertinente : déléguer un pouvoir de paiement à un agent soulève des questions au regard de la DSP2/DSP3 sur l'authentification forte du client, ce qui rend les mandats et leur vérifiabilité aussi importants pour les régulateurs que pour les marchands. Voir la fiche commerce agentique pour le contexte plus large.
Exemples
Une personne configure un agent de réservation de voyages avec un mandat l'autorisant à réserver des vols jusqu'à 500 € sans confirmation supplémentaire, mais exigeant une validation explicite au-delà de ce montant. L'AP2 permet au système de paiement de la compagnie aérienne de vérifier ce mandat avant d'accepter le paiement de l'agent.
Une banque reçoit une demande de paiement d'un agent qui affirme agir pour le compte d'un de ses clients. Parce que la demande porte un mandat AP2 signé par l'appareil du client lui-même, la banque peut la distinguer d'une tentative frauduleuse d'usurpation d'agent.
Foire aux questions
Quel problème l'AP2 résout-il que l'ACP et l'UCP ne résolvent pas ?
L'ACP et l'UCP standardisent le fonctionnement de l'achat et du paiement entre un marchand et un agent IA. L'AP2 standardise l'étape précédente : prouver que l'agent dispose bien de l'autorisation de la personne pour payer et dans quelles limites.
Qui gouverne l'AP2 aujourd'hui ?
Google a développé l'AP2, puis l'a confié à la FIDO Alliance le 28 avril 2026, conjointement avec Mastercard, en faisant un standard neutre vis-à-vis des éditeurs plutôt qu'une initiative propre à Google.
Qu'est-ce qu'un mandat dans l'AP2 ?
Un mandat est un enregistrement signé et vérifiable de ce qu'une personne a autorisé un agent à faire, comme un montant maximal, une catégorie d'achat ou une fenêtre de temps, qu'un marchand ou une banque peut vérifier avant d'accepter un paiement initié par un agent.
Quel est le lien entre l'AP2 et la réglementation européenne des paiements ?
Déléguer un pouvoir de paiement à un agent IA soulève des questions au regard de la DSP2/DSP3 sur l'authentification forte du client. Les mandats signés de l'AP2 sont conçus pour donner aux régulateurs et aux banques une trace vérifiable de ce que la personne a réellement autorisé, un point central de cette discussion réglementaire.
