Agentes de IA y RGPD: privacidad de datos en empresas

Un agente es un medio de tratar datos, no una base legal

Cuando un agente consulta correos, tickets, expedientes o historiales de clientes, la empresa debe analizar el tratamiento conforme al RGPD y a la Ley Orgánica 3/2018 (LOPDGDD). La tecnología no crea por sí sola una base jurídica ni autoriza a reutilizar datos para cualquier finalidad. La empresa debe identificar quién determina fines y medios, quién actúa por cuenta de quién y qué proveedores intervienen.

En febrero de 2026 la AEPD publicó orientaciones específicas sobre IA agéntica desde la perspectiva de protección de datos. Son orientaciones, no una nueva ley ni sustituyen el análisis de cada tratamiento. Señalan riesgos prácticos de la autonomía y la conexión con herramientas: acceso excesivo, memoria innecesaria, datos obsoletos, comunicaciones a terceros, cambios no autorizados y uso para fines secundarios.

Diseña el acceso según la tarea

Imagina un agente de atención que consulta el CRM para redactar un seguimiento de una factura. Puede necesitar el identificador de la cuenta, el estado de pago y la plantilla autorizada; no necesariamente el historial completo de mensajes, datos de salud o contactos de todo el cliente. Un diseño prudente limita los permisos por persona y finalidad, restringe las acciones de escritura y define qué registros se guardan y cuándo se eliminan.

Antes del piloto:

• Describe los fines y las categorías de datos que el agente usa, genera, conserva o envía a terceros.
• Determina la base jurídica y ofrece la información de privacidad que corresponda.
• Revisa el contrato con cada proveedor, sus instrucciones, subencargados y transferencias internacionales.
• Aplica permisos mínimos, límites de memoria, retención y mecanismos para corregir o borrar datos.
• Prueba errores de acceso, datos inexactos y solicitudes que exceden la finalidad; registra quién puede detener el agente.

Un proveedor que reutiliza datos para un propósito propio, como entrenamiento, requiere un análisis separado: no presupongas que queda cubierto por contratar un servicio. Tampoco introduzcas datos especialmente protegidos en un agente sin revisar las condiciones específicas del artículo 9 del RGPD y las garantías pertinentes.

Integra privacidad y seguridad en la arquitectura

La guía de integración segura con CRM y ERP ayuda a separar herramientas y permisos. Compleméntala con la guía de seguridad frente a prompt injection, ya que una instrucción maliciosa puede intentar desviar al agente para que consulte o revele información. Si el tratamiento puede entrañar alto riesgo para las personas, analiza la EIPD y la evaluación de derechos fundamentales.

Fuentes oficiales

• Reglamento General de Protección de Datos (UE) 2016/679.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
• AEPD: Orientaciones sobre IA agéntica desde la perspectiva de protección de datos (febrero de 2026).
• AEPD: tratamientos que incluyen inteligencia artificial.

Contenido informativo; no sustituye el análisis del responsable, del DPD ni de asesoría jurídica.