Součást série o stavbě cz-agents → pod kapotou

Třicet let čekání na HTTP 402

Stavový kód 402 Payment Required je ve specifikaci HTTP od devadesátých let s poznámkou „rezervováno pro budoucí použití“. Budoucnost nepřišla — místo nativních plateb jsme dostali formuláře s číslem karty, předplatná a reklamu. Pro člověka to jakžtakž funguje. Pro software, který má samostatně jednat, je to slepá ulička: agent neumí vyplnit captchu, projít 3-D Secure výzvou v mobilní aplikaci ani podepsat smlouvu o předplatném.

Agentní platba má přitom jednoduše popsatelné zadání: stroj potřebuje zaplatit malou částku, hned, bez člověka u klávesnice — ale s jeho předchozím souhlasem a v jeho mezích. A právě v tom „ale“ se skrývá celý problém. Není to technologická otázka, je to otázka identity, mandátu a odpovědnosti.

x402: platba jako součást HTTP požadavku

V květnu 2025 Coinbase zveřejnila otevřený protokol x402, který kód 402 konečně používá k tomu, k čemu byl určen (Coinbase, květen 2025). Princip je elegantní: klient požádá o placený zdroj, server vrátí 402 spolu s platebními podmínkami (částka, token, síť), klient připojí podepsanou platbu ve stablecoinu — typicky USDC nebo EURC přes standard EIP-3009, tedy bez nutnosti platit za plyn — a požadavek zopakuje. Žádná registrace, žádné klíče k API, žádná faktura. Platba za jednotlivý požadavek, klidně za zlomky centu.

V září 2025 oznámily Cloudflare a Coinbase založení x402 Foundation, aby protokol nezůstal firemní technologií jedné burzy (Cloudflare, 23. 9. 2025); na jaře 2026 pak protokol přešel pod neutrální správu nadace. Podle souhrnných dat z jara 2026 protokol zpracoval přes sto milionů transakcí, převážně na sítích Base a Solana, s průměrnou platbou v řádu desítek centů (Eco, 2026) — což je přesně segment, kde karty s fixními poplatky nemají šanci.

Slabiny jsou stejně viditelné jako přednosti. Platba ve stablecoinu je konečná — žádná reklamace, žádné vrácení peněz při sporu. Evropský podnikatel navíc řeší, jak transakce v USDC zaúčtovat, jak se na ně dívá nařízení MiCA a co s kursovým rizikem, byť u stablecoinů malým. A hlavně: x402 řeší přenos hodnoty, ne důvěru. Že agent zaplatil, ještě neznamená, že měl platit a že dostane, co si objednal.

Karty: tokenizovaný mandát místo čísla karty

Karetní asociace na agenty zareagovaly překvapivě rychle a obě stejnou logikou: nedávat agentovi kartu, ale token s omezeným mandátem.

Mastercard Agent Pay, představený 29. dubna 2025, staví na takzvaných Agentic Tokens — rozšíření stávající tokenizační služby MDES, která dnes pohání bezkontaktní mobilní platby. Token váže platební prostředek na konkrétního ověřeného agenta, konkrétní rozsah obchodníků a konkrétní pravidla souhlasu; agent tak nikdy nedrží samotné číslo karty (Mastercard, 29. 4. 2025).

Visa Intelligent Commerce následovala den nato, 30. dubna 2025: tokenizované karty „AI-Ready“, limity útraty nastavené spotřebitelem a sada API pro vývojáře agentů; mezi partnery Visa jmenovala Anthropic, OpenAI, Microsoft i Stripe (Visa, 30. 4. 2025). V říjnu 2025 Visa přidala Trusted Agent Protocol — rámec vyvinutý s Cloudflare, postavený na standardu HTTP Message Signatures, kterým se agent kryptograficky prokazuje obchodníkovi. Visa ho oznámila v době, kdy návštěvnost amerických e-shopů z nástrojů AI meziročně vzrostla o 4 700 % (Visa, 14. 10. 2025).

Karetní přístup má, co x402 chybí: vyřešenou identitu držitele, ochranu spotřebitele včetně zpětné platby (chargeback) a důvěru obchodníků budovanou desítky let. Daní za to jsou poplatky, které mikroplatby ekonomicky zabíjejí, a skutečnost, že celý systém zatím běží v pilotním režimu — je to mandátová vrstva přilepená na infrastrukturu navrženou pro lidi s plastovou kartou v ruce.

Banky: nejpomalejší, ale s regulátorem v zádech

Třetí tábor jsou banky a platby z účtu na účet. Tady se nejvíc ukazuje, že agentní platba „není jen technologie“. Evropská směrnice PSD2 vyžaduje silné ověření klienta (SCA) pokaždé, když se iniciuje platba — jenže v agentním scénáři člověk autorizoval agenta, zatímco transakci autorizoval agent. Regulace s touto delegací zatím nepočítá a právní rozbory se shodují, že bez explicitních mandátů s limity, ověření protistrany a auditního záznamu to neprojde (Taylor Wessing, únor 2026).

Evropa přitom základy položila jinde: nařízení o okamžitých platbách přineslo od 9. října 2025 povinné okamžité eurové převody a ověření jména příjemce proti IBAN (Verification of Payee) pro banky v eurozóně; na banky mimo eurozónu — tedy i ty české — dopadne povinnost VoP až 9. července 2027 (ECB / RedCompass Labs, 2025). Okamžité vypořádání a ověřená identita příjemce jsou přesně ty stavební kameny, které agentní platby potřebují — jen na nich zatím nikdo nepostavil agentní mandátovou vrstvu.

Že to jde i v regulovaném rámci, ukázaly první vlaštovky: v březnu 2026 oznámily Santander a Mastercard první evropskou platbu provedenou agentem AI od začátku do konce uvnitř regulovaného bankovního prostředí — ovšem v kontrolovaném režimu, výslovně nikoli jako komerční nasazení (Santander, 2. 3. 2026). V červnu 2026 pak Worldline, ING a Mastercard provedly první evropskou agentní platbu v ostrém produkčním prostředí (Mastercard, 2. 6. 2026).

Co agentní platba reálně potřebuje

Když tyto tři tábory položíte vedle sebe, vyplyne společný seznam — a je vidět, že žádný tábor ho nepokrývá celý:

  1. Identita agenta. Kdo to vlastně platí? x402 zná jen podpis peněženky; Visa a Mastercard budují registry ověřených agentů. Bez identity nelze řešit spory.
  2. Mandát a limity. Člověk musí umět říct „tento agent smí utratit nejvýš tolik, na tyto účely“ — a systém to musí vynutit strojově, ne smluvně.
  3. Vypořádání. Stablecoin se vypořádá v sekundách a globálně; karta v řádu dní přes clearingové mezivrstvy; okamžitá SEPA v sekundách, ale jen v Evropě.
  4. Řešení sporů. Konečnost on-chain platby je pro mikroplatby výhoda (nízké náklady), pro větší nákupy riziko. Chargeback je drahý, ale existuje.
  5. Regulace. SCA, AML, MiCA, odpovědnost za jednání agenta. Tohle žádný protokol „neodprogramuje“ — proto banky postupují nejpomaleji a proto je jejich cesta nakonec nejspíš nevyhnutelná pro větší částky.

Můj pracovní závěr: nebude jeden vítěz. x402 si vezme mikroplatby mezi stroji (API, data, výpočetní čas), karty si vezmou spotřebitelské nákupy přes agenty a banky velké a regulované toky. Rozhodující bitva se nevede o přenos peněz, ale o vrstvu mandátů a identity — a tam si dnes každý tábor staví vlastní plot.

Český kontext: SPAYD jako pragmatický mezikrok

A co u nás? Česko má od listopadu 2012 vlastní otevřený standard SPAYD (QR Platba), který Česká bankovní asociace přijala jako jednotný formát pro zakódování platebních údajů do QR kódu (ČBA, 14. 11. 2012). Není to agentní platba — člověk stále musí QR kód naskenovat a platbu v bankovní aplikaci potvrdit. Ale je to zajímavý mezistupeň: stroj připraví platbu, člověk ji autorizuje.

Přesně na tomto principu stojí i můj nástroj payQR — otevřený generátor SPAYD a EPC (SEPA) platebních QR kódů pod licencí MIT, který umí používat i agent AI přes MCP. Agent přečte fakturu, deterministicky sestaví platební QR kód, ukáže vám ho — a poslední slovo, otisk prstu v bankovní aplikaci, zůstává vám. Žádná delegovaná autorizace, žádný mandát, žádné regulační šedé zóny. V terminologii výše: identita je vaše, mandát je „jedna platba, kterou vidím před sebou“, vypořádání je okamžitá česká platba, spor neřešíte, protože jste nic nepodepsali předem.

Je to záměrně skromná odpověď. Ale dokud Evropa nedořeší, jak má vypadat strojový mandát podle PSD2 (a nástupnické PSD3), je „agent navrhuje, člověk schvaluje“ jediný vzor, který dnes v českém bankovnictví funguje bez výjimek a bez čekání. Plně autonomní platby přijdou — Santander i ING už ukázaly, že to v regulovaném rámci technicky jde. Otázka není zda, ale kdo bude držet vrstvu důvěry: nadace spravující otevřený protokol, dvě karetní asociace, nebo banky s regulátorem za zády. Na odpověď si ještě pár let počkáme — a do té doby je dobré rozumět všem třem táborům.

Zdroje: Coinbase x402 (květen 2025) · Cloudflare x402 Foundation (září 2025) · Mastercard Agent Pay (duben 2025) · Visa Intelligent Commerce (duben 2025) · Visa Trusted Agent Protocol (říjen 2025) · Santander × Mastercard (březen 2026) · Worldline × ING × Mastercard (červen 2026) · ECB k nařízení o okamžitých platbách · Taylor Wessing k agentní AI v platbách (únor 2026) · ČBA standard QR Platba (listopad 2012)