¿Prefieres escuchar? Pulsa play para la narración con IA

Un chatbot responde preguntas. Un agente de IA hace cosas. Lee tu bandeja de entrada, busca en la web, abre archivos, actualiza un registro del CRM, reserva una reunión, envía un correo o realiza una compra, a menudo en una cadena de pasos que ninguna persona aprueba uno por uno. Cada uno de esos pasos puede implicar datos personales.

Las autoridades de protección de datos se han dado cuenta. El 8 de octubre de 2026, la Information Commissioner's Office (ICO) del Reino Unido abrió una convocatoria de pruebas sobre IA agéntica y confirmó consultas sobre pruebas recientes de agentes en varios laboratorios de vanguardia. En julio, la CNIL francesa publicó una nota exploratoria sobre IA agéntica junto con el Consejo francés de IA y Digital. La AEPD española publicó sus propias orientaciones en febrero. Su mensaje es coherente, y la ICO lo resumió en una frase: «the fact AI agents act with autonomy is not an excuse for poor compliance» (que los agentes de IA actúen con autonomía no es excusa para un cumplimiento deficiente). Este artículo es solo información general y no constituye asesoramiento jurídico.

Por qué los agentes están ahora en el radar de los reguladores

Qué distingue a los agentes

Los agentes no rompen la lógica del RGPD, pero la tensan. Los reguladores señalan cuatro rasgos.

Las seis preguntas que se hacen los reguladores

La convocatoria de la ICO se articula en torno a seis temas. La CNIL y la AEPD cubren el mismo terreno, de modo que juntas funcionan como un mapa práctico.

1. Seguridad: ¿es deliberada la autonomía?

La ICO espera que el nivel de autonomía otorgado a un agente sea una decisión de diseño deliberada, respaldada por salvaguardas, permisos y umbrales de aprobación proporcionales a lo que el agente puede hacer con datos personales. Entre las medidas emergentes que cita figuran el acceso de mínimo privilegio, límites al uso de herramientas y la aprobación humana de las acciones de alto riesgo. También sugiere asignar cada agente a un responsable con nombre, con una finalidad y un conjunto de permisos definidos. La AEPD añade listas de servicios externos permitidos e «interruptores automáticos» que detienen a un agente cuando detectan actividad anómala.

2. Transparencia: ¿basta un aviso al principio?

Como el tratamiento de un agente puede cambiar a mitad de tarea, la ICO se pregunta si una explicación general antes de que empiece un flujo de trabajo cumple las obligaciones de transparencia. Admite que los avisos, notificaciones y pasos de aprobación por el camino añaden «fricción», pero sugiere que pueden ser necesarios. Señala además que, si un agente almacena o lee información en el dispositivo de una persona, las normas británicas de comunicaciones electrónicas (PECR) pueden exigir información clara y, en algunos casos, consentimiento. En la UE, el artículo 5, apartado 3, de la Directiva sobre privacidad y comunicaciones electrónicas (2002/58/CE) establece una regla similar para el almacenamiento de información o el acceso a la información en el dispositivo de un usuario.

3. Responsabilidad: ¿quién es el responsable del tratamiento?

Las cadenas de suministro agénticas incluyen a proveedores de modelos, constructores de agentes, proveedores de herramientas y desplegadores. La ICO dice haber visto a desarrolladores afirmar que son responsables solo del desarrollo, el mantenimiento y la seguridad, trasladando la responsabilidad aguas abajo. Su respuesta es que el concepto de responsable debe interpretarse de forma amplia, y que quien decide los protocolos, los permisos y los controles de acceso puede estar determinando los medios del tratamiento y, por tanto, ser responsable. La AEPD hace una observación afín: cada herramienta de terceros que llama un agente puede incorporar nuevos encargados, responsables independientes, corresponsabilidad, transferencias internacionales y nuevas obligaciones contractuales o de información.

4. Decisiones automatizadas: mira todo el flujo

Según el artículo 22 del RGPD, las personas tienen derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos o les afecten significativamente de modo similar. La ICO afirma que las organizaciones deben evaluarlo en todo el flujo agéntico, no decisión por decisión: la intervención humana en un punto de una cadena de decisiones automáticas no es necesariamente significativa. Los revisores deben tener autoridad para cambiar el resultado y formación suficiente para entender la lógica, las salidas, las limitaciones y los riesgos del sistema. La CNIL lo subraya citando la sentencia SCHUFA del Tribunal de Justicia de la UE (C-634/21): la intervención humana en la fase final no es automáticamente suficiente; debe ser real y efectiva.

5. Limitación de la finalidad: los nuevos usos necesitan justificación

Los agentes pueden dar pasos intermedios que nadie pidió y reutilizar datos de una tarea en otra. La ICO es clara: que un agente pueda detectar un nuevo uso de los datos personales no hace que ese uso sea compatible con la finalidad original. También advierte de que llamar «investigación» al desarrollo de producto no lo sitúa necesariamente dentro de las disposiciones sobre investigación científica; es poco probable que encaje el tratamiento destinado únicamente al desarrollo comercial interno de productos.

6. Base jurídica: un clic no lo cubre todo

Según la ICO, ni las condiciones de servicio ni la instrucción de un usuario a un agente proporcionan una base jurídica para todo el tratamiento posterior. El contrato como base cubre solo lo objetivamente necesario para prestar el servicio solicitado, y distintas fases de un flujo pueden requerir bases distintas. El interés legítimo puede estar disponible, por ejemplo para entrenar modelos orquestadores, pero solo con una evaluación del interés legítimo documentada.

Derechos de los interesados en un mundo de agentes

Las solicitudes de derechos son donde los agentes causan más problemas prácticos. La CNIL señala que a una persona puede costarle averiguar qué agente recogió sus datos, dónde se almacenaron, si se transmitieron y a qué responsable dirigirse. Eso hace difícil llevar a cabo por completo la rectificación y la supresión.

La respuesta de la AEPD es la trazabilidad granular. Para atender una solicitud de acceso, rectificación, supresión, limitación, oposición o portabilidad, una organización debe poder localizar cada elemento relevante, incluidos los prompts y las salidas intermedias cuando contienen datos personales. Los controles de memoria que recomienda apuntan en la misma dirección: separar la memoria por operación de tratamiento, caso o usuario; mantener la memoria de la organización aparte de la del usuario; fijar plazos de conservación estrictos; y depurar con regularidad la memoria persistente. La CNIL añade una memoria dividida por agente y por proceso, con límites de tamaño y caducidad automática.

Dónde encaja el Reglamento de IA

El Reglamento de IA (Reglamento (UE) 2024/1689) se aplica a los sistemas agénticos como a cualquier otro sistema de IA. Una obligación ya está en vigor: desde el 2 de agosto de 2026, el artículo 50, apartado 1, exige a los proveedores diseñar los sistemas de IA que interactúan directamente con personas de modo que estas sean informadas de que tratan con una IA, salvo que sea evidente. Según el servicio lituano de protección de datos Duomenų apsaugos tarnyba, el Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744) no modificó esa disposición. Si tu agente escribe a los clientes con voz humana, se plantea la cuestión de la divulgación. Consulta nuestra guía sobre el artículo 50 del Reglamento de IA.

Vienen más novedades. Según la nota de la CNIL, el CEPD y la Comisión Europea preparan directrices sobre cómo interactúan el RGPD y el Reglamento de IA, previstas para finales de 2026. La CNIL también ha sugerido que el CEPD continúe su trabajo sobre modelos de IA y web scraping con recomendaciones específicas sobre IA agéntica.

Lista de comprobación práctica para organizaciones que despliegan agentes de IA

Una nota para los lectores de Brasil

El regulador de Brasil también se prepara para abordar los agentes. En julio de 2026, la ANPD y el Programa de las Naciones Unidas para el Desarrollo abrieron convocatorias de consultores para elaborar estudios técnicos, uno de ellos sobre «agentes de IA en el contexto de la protección de datos personales». Según Capital Digital, el estudio cartografiará hasta dónde han avanzado estas tecnologías y aportará insumos técnicos para futuras iniciativas regulatorias de la ANPD. Mientras tanto, la LGPD (Ley 13.709/2018) ya se aplica: su artículo 20 da a las personas derecho a solicitar la revisión de decisiones tomadas únicamente con base en un tratamiento automatizado, y ese derecho no desaparece porque decida un agente en lugar de un solo modelo.

Conclusión

Los agentes de IA son útiles precisamente porque actúan sin que se les dicte cada paso. Por eso también los reguladores les prestan atención: cuanta más autonomía tiene un sistema, más necesita saber una organización a qué puede acceder, qué recuerda, con quién habla y quién responde por él. Nada de esto requiere una nueva ley. Los principios conocidos del RGPD, licitud, transparencia, minimización, seguridad y responsabilidad proactiva, ya se aplican. Lo que cambia es la ingeniería necesaria para cumplirlos. Reserva una consulta gratuita con GDPRGard → y te ayudaremos a mapear los permisos, la memoria y los flujos de datos de tus agentes antes de que lleguen las directrices.

Fuentes

Las posiciones de la ICO, la CNIL y la AEPD expuestas arriba se resumen a partir de las fuentes enumeradas. Las afirmaciones sobre lo que la ICO «espera» o «sugiere» reflejan su convocatoria de pruebas y no son normas vinculantes. El análisis de cómo encajan es nuestro.

Compartir este artículo

Lee también:

⚠️ Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Para situaciones de cumplimiento complejas, consulte a un profesional cualificado en protección de datos. Los requisitos del RGPD y del Reglamento europeo de IA están sujetos a orientaciones normativas en constante evolución — verifique sus obligaciones actuales con su asesor jurídico.