Agentes de IA y RGPD: lo que los reguladores ya piden a las empresas

Qué cambia cuando la IA pasa a actuar

Un asistente conversacional responde a lo que usted le escribe. Un agente recibe un objetivo (“contesta las solicitudes de presupuesto”, “concilia las facturas de este mes”) y decide él mismo los pasos: abre el buzón, consulta el CRM, rellena un formulario y envía la respuesta. Para eso necesita cuentas, claves de API y permisos en los sistemas de la empresa.

La CNIL y el Consejo francés de la IA y lo Digital (CIANum) lo describen como un cambio de escala. Un agente puede reunir datos de muchas fuentes conectadas entre sí, conservar memoria de una sesión a otra y actuar sobre lo que encuentra. Los datos pasan por varios servicios y la persona a la que pertenecen pierde la pista de lo que se hace con ellos. Nota exploratoria CNIL/CIANum, julio de 2026

El RGPD no tiene un capítulo sobre agentes, ni le hace falta. Siguen valiendo las reglas de cualquier tratamiento: una finalidad definida, solo los datos necesarios, una seguridad adecuada y un responsable identificado. Art. 5.1 y 24 Lo que cambia es la dificultad de cumplirlas cuando es el propio sistema el que decide el camino.

El primer caso notificado a la AEPD: un agente con credenciales válidas

El 14 de septiembre de 2026, la AEPD explicó en su blog que había recibido la primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA, construido sobre un modelo de lenguaje conocido. Según la notificación, el agente buscó vulnerabilidades en ficheros genéricos y consiguió iniciar sesión. Ya dentro de la aplicación, siguió buscando fallos por su cuenta y quedó en condiciones de modificar datos personales y acceder a facturas.

La Agencia hace tres salvedades. La información procede de la organización que notificó y aún se está analizando. Que se usara un modelo de IA conocido no significa que el modelo o su proveedor se hayan visto comprometidos. Y una sola notificación no es una tendencia.

Aun así, extrae varias recomendaciones prácticas para quien trata datos:

• Incluya los ataques ejecutados o asistidos por IA en el análisis de riesgos de cada tratamiento, en lugar de dejarlos dentro de “malware” o “acceso no autorizado”.
• Revise los tiempos de respuesta. Un procedimiento pensado para un atacante humano puede quedarse lento frente a un agente.
• Refuerce la protección de identidades y credenciales. Un agente con una cuenta, una clave de API o un token con más permisos de los necesarios se mueve deprisa entre servicios.
• Mantenga la supervisión humana, pero apóyela en mecanismos de detección y contención que reaccionen a tiempo.

En este caso el agente era el atacante. Las lecciones valen igual para los agentes que instale su empresa: una cuenta con acceso a todo es tan peligrosa en manos de un agente propio que se equivoca como en las de uno ajeno.

Lo que dicen los reguladores

CNIL: solo los datos necesarios, una persona en las acciones críticas y todo registrado

La nota exploratoria de la CNIL y el CIANum, publicada el 20 de julio de 2026, no es una guía formal, pero baja al detalle. Estos son los puntos que interesan a quien va a poner un agente a trabajar:

• Aunque intervengan varios agentes, modelos y servicios de terceros, debe seguir siendo posible decir quién es el responsable del tratamiento y quién el encargado.
• El agente debe tratar solo los datos estrictamente necesarios para la tarea. Si recoge correos, historial de navegación o ficheros que la tarea no requiere, incumple el principio de minimización.
• Cada agente debe tener su propia memoria, sin acceso automático a la de los demás, y lo que guarda debe caducar pasado un tiempo.
• Las acciones críticas quedan en manos de una persona. La nota propone clasificar las acciones por riesgo (acceder a datos, borrar, transferir fuera del sistema), pedir validación antes de las más sensibles y disponer de un botón que detenga el agente en cualquier momento.
• Debe poder reconstruirse todo el proceso: a qué servicios llamó el agente, qué intercambió con ellos y en qué orden.
• A las personas les costará más ejercer sus derechos. Borrar un dato en un sitio no garantiza que haya desaparecido de la memoria de todos los agentes. Y quien quiera pedir la supresión puede no saber qué agente recogió sus datos ni a quién dirigirse.

ICO: consulta abierta hasta el 20 de noviembre

El 8 de octubre de 2026, el ICO abrió una consulta pública de seis semanas sobre IA agéntica, dirigida tanto a quienes desarrollan estos sistemas como a quienes los usan. Las preguntas abarcan seguridad, transparencia, responsabilidad proactiva, decisiones automatizadas, lealtad y limitación de la finalidad, y licitud del tratamiento. Con las respuestas preparará sus futuras orientaciones y para el código de conducta sobre IA y decisiones automatizadas que está preparando.

El ICO aplica el RGPD del Reino Unido, que ya no es el de la UE, pero los principios en juego son los mismos. Richard Nevinson, director de regulación tecnológica del ICO, lo resumió así: que los agentes de IA actúen con autonomía “no es excusa para cumplir mal”.

Qué están viendo las empresas

Un estudio de Censuswide para IBM, con 3221 directivos de empresas de mil o más empleados en ocho países de Europa y Oriente Medio (entre ellos, España), muestra en qué punto están las empresas. El 80 % afirma que en el último año un incidente relacionado con la IA llegó al consejo de administración o a la alta dirección. Solo el 40 % cambió después sus políticas de gobernanza de la IA. El 35 % ya tiene agentes de IA en producción, y solo el 37 % dice que su gobernanza está pensada para crecer al ritmo de esos agentes.

Antes de conectar un agente a los datos de la empresa

Conteste por escrito a estas preguntas antes de que el agente tenga su primera cuenta. Las respuestas son la base de la documentación que la AEPD puede pedirle.

¿Para qué sirve y quién responde de él?

Escriba la tarea en una frase y el nombre de la persona que responde del agente. La finalidad tiene que estar definida antes del tratamiento. Que el agente descubra un uso nuevo para los datos no lo autoriza: ese uso tiene que ser compatible con la finalidad inicial. Art. 5.1.b y 6.4

¿A qué datos y sistemas accede?

Dele al agente una cuenta propia, nunca la de un empleado, y solo con los permisos que la tarea necesita. Por defecto solo deben tratarse los datos necesarios para cada finalidad, y eso abarca cuántos datos se recogen, hasta dónde llega el tratamiento, cuánto tiempo se conservan y quién accede a ellos. Art. 25.2 Un agente que contesta solicitudes de presupuesto no necesita leer la carpeta de recursos humanos.

¿Qué puede hacer sin preguntar?

Separe lo que el agente hace por su cuenta (leer, resumir, preparar un borrador) de lo que necesita aprobación (enviar algo a clientes, borrar, pagar, compartir datos con terceros). Si el agente decide solo algo que produce efectos jurídicos en una persona o la afecta de forma igualmente significativa, como rechazar una candidatura o un crédito, entra en el régimen de las decisiones automatizadas, con derecho a intervención humana. Art. 22 La CNIL entiende que esa intervención tiene que ser real e influir en la decisión final: pulsar “aprobar” sin mirar no cuenta.

¿Puede reconstruir lo que ha hecho?

Active registros que muestren qué datos leyó el agente, qué acciones realizó, a qué servicios llamó y cuándo. Sin ellos no podrá atender una solicitud de acceso, investigar un error ni notificar una brecha con los hechos correctos. Los registros también le ayudan a demostrar que aplicó medidas de seguridad adecuadas. Art. 32

¿Necesita una EIPD?

Probablemente sí, si el agente va a tratar datos de clientes o empleados en volumen. El CEPD considera el uso innovador de nuevas soluciones tecnológicas uno de los criterios que inclinan la balanza hacia una evaluación de impacto, y cuando se dan dos criterios, por regla general, la evaluación es necesaria. Art. 35; Directrices WP248 rev.01 Y un agente reúne con facilidad otros criterios de la lista: datos a gran escala, datos de personas vulnerables, combinación de fuentes.

¿Qué dice el contrato con el proveedor?

El proveedor del agente trata datos por encargo suyo, así que es encargado del tratamiento y necesita un contrato con el contenido del art. 28. Compruebe tres cosas: si los datos se usan para entrenar modelos, dónde se almacenan y a qué otros servicios llama el agente. Cada uno de esos servicios es un subencargado y necesita su autorización. Art. 28.2 y 3

¿Dónde queda registrado?

Añada el tratamiento al registro de actividades de tratamiento, con la finalidad, las categorías de datos, los destinatarios y las medidas de seguridad. Art. 30 La plantilla del registro de actividades de tratamiento trae una hoja lista para ello.

Si el agente se equivoca o lo usan contra usted

Un agente que envía datos al cliente equivocado, borra registros o deja a la vista la ficha de un empleado provoca una brecha de datos personales como cualquier otra. Si hay riesgo para las personas, tiene 72 horas desde que tuvo conocimiento de ella para notificarla a la AEPD. Art. 33.1 Si aún no lo sabe todo, notifique con lo que tenga y complete la información después. Art. 33.4

Lo que distingue un incidente con un agente es la velocidad: en un minuto puede haber realizado cientos de acciones. Incluya en el plan de respuesta cómo se desconecta el agente, quién revoca sus credenciales y dónde están los registros. La guía de las 72 horas y el kit de respuesta a brechas de datos sirven tal cual para estos casos: basta con añadir el agente a la lista de sistemas y el paso de detenerlo.

Preguntas frecuentes

Si el agente es de un gran proveedor, ¿la responsabilidad es del proveedor?

No. Si es su empresa la que decide usar el agente, para qué y sobre qué datos, su empresa es la responsable del tratamiento. El proveedor es encargado del tratamiento y responde de lo que le imponen el contrato y el art. 28.

¿Las condiciones del servicio del proveedor me dan una base jurídica?

No. La base jurídica le corresponde a usted y depende de la finalidad: ejecución de un contrato con el cliente, interés legítimo, consentimiento u otra. Las condiciones del servicio regulan su relación con el proveedor, no el tratamiento de los datos de sus clientes. Art. 6.1

¿Ha publicado la AEPD orientaciones sobre agentes de IA?

Sí. En febrero de 2026 publicó Inteligencia artificial agéntica desde la perspectiva de protección de datos, unas orientaciones para responsables y encargados del tratamiento que repasan el reparto de responsabilidades, el registro de actividades, los derechos, las decisiones automatizadas y las medidas para controlar la memoria y la autonomía del agente. El 27 de octubre de 2026 añadió un decálogo para personas usuarias de asistentes y agentes de IA, pensado sobre todo para particulares. Junto con la nota de la CNIL y las recomendaciones del blog de la AEPD citadas arriba, son las referencias más concretas que hemos encontrado en la UE hasta el 29 de octubre de 2026.

Fuentes

• AEPD, Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA, 14 de septiembre de 2026
• AEPD, Inteligencia artificial agéntica desde la perspectiva de protección de datos (PDF), febrero de 2026 y nota de prensa de 18 de febrero de 2026
• AEPD, Asistentes y agentes de IA: decálogo para personas usuarias (PDF) y nota de prensa de 27 de octubre de 2026
• CNIL, IA agentique et données personnelles: note exploratoire CNIL/CIANum, 20 de julio de 2026 y texto completo (PDF) (en francés)
• ICO, Agentic AI call for evidence, del 8 de octubre al 20 de noviembre de 2026 (en inglés)
• ICO, comunicado de 8 de octubre de 2026 sobre los agentes de IA (en inglés)
• IBM, comunicado de 15 de octubre de 2026 sobre el estudio “The New Realities of AI Governance” (en inglés)
• Reglamento (UE) 2016/679 (RGPD), art. 5, 6, 22, 24, 25, 28, 30, 32, 33 y 35 (EUR-Lex)
• Grupo del Artículo 29 (asumidas por el CEPD), Directrices WP248 rev.01 sobre la evaluación de impacto relativa a la protección de datos

Actualizado: 29 de octubre de 2026. Este artículo es información general y no sustituye al asesoramiento jurídico sobre un caso concreto.