Tu agente no puede hacer las tres cosas a la vez.

Dentro del expediente

Setenta y seis páginas de la Agencia Española de Protección de Datos sobre IA agéntica y casi nadie cuenta lo más útil. El grueso del documento está en los tratamientos más que en los modelos. Yo la leí entera y me quedo con dos cosas, una regla que se puede comprobar en cualquier demo y una advertencia que casi todo el mundo se va a saltar Fuente primaria ↗.

El administrativo que no ocupa mesa

El primer movimiento de la guía es desmontar lo que llama la «niebla tecnológica», y lo hace con un ejemplo doméstico. Un agente detecta un viaje en la agenda de un empleado y se ocupa de todo, compara hoteles, mira el cambio de divisa, compra los billetes y reenvía la documentación al viajero. Pues bien, el análisis de protección de datos de esa gestión es idéntico al que harías si la llevara un administrativo interno o una agencia de viajes contratada. Las preguntas de siempre, de la finalidad al plazo de conservación, no cambian porque el medio tenga un nombre nuevo Fuente primaria ↗.

Lo que cambia es el usuario que entra en la casa. El administrativo olvida y a las siete se va a casa con sus llaves. El agente puede conservar entre sesiones lo que entra en su memoria, y las credenciales que se le dan pueden persistir más de lo prudente si nadie fija su caducidad.

Dos memorias que nadie calendula

La guía separa dos memorias, y la distinción vale el documento entero. La memoria de trabajo es la que usa el agente para funcionar, del contexto del caso a los perfiles que se van construyendo solos. La memoria de gestión son los registros de todo lo que hizo, con qué herramientas y sobre qué datos. La primera puede acumular copias que nadie decidió conservar. La segunda puede ser una medida de protección, porque permite auditar, o un instrumento de vigilancia sobre el propio empleado, si recoge más de lo imprescindible Fuente primaria ↗.

Hay un detalle que en el expediente 15 ya me preocupaba y que ahora firma una autoridad. La copia del expediente que queda dentro de la herramienta corre el riesgo de quedarse sin plazo de conservación decidido por nadie, y la guía pone nombre a eso, memoria por defecto, y la mete en la lista de lo que hay que evitar. Y como la memoria guarda datos personales, el borrado tiene que existir de verdad, porque los derechos de acceso y supresión también se ejercen contra lo que el agente recuerda Fuente primaria ↗.

La regla de 2

Si solo pudieras quedarte con una página del documento, yo elegiría la de la figura 13. La AEPD recupera una regla vieja de seguridad para aplicaciones en navegadores y la adapta a agentes. Hay tres circunstancias que no deberían darse a la vez, y son que el agente procese información que no controlas, como un correo que llega o una página que consulta, que pueda acceder a información sensible y que ejecute acciones automáticas Fuente primaria ↗.

De las tres, como mucho dos. Y cada pareja admisible exige su contrapartida. Si lee cosas que no controlas y además toca datos sensibles, no puede actuar solo. Si toca datos sensibles y actúa solo, la información interna y externa necesita garantías de integridad y seguridad. Y si lee sin control y actúa solo, lo sensible o los datos personales se los tienes que negar. El ejemplo de la propia guía, traducido a despacho, es un agente que contesta correos. Si cualquiera puede escribirle, si ve el buzón entero y si responde sin que nadie apruebe, esa configuración no se debería permitir.

Esta regla me gusta por una razón de oficio, y es que las tres preguntas se hacen en una demo. Verificar las garantías ya es otro trabajo, pero las respuestas delatan enseguida si la configuración que te están vendiendo respeta el mínimo.

El supervisor no es el colchón

La parte que más se va a ignorar es una amenaza con nombre propio en la guía, que consiste en desplazar toda la responsabilidad al usuario o a la supervisión humana. Cuando algo falla, la tentación es señalar a la persona que estaba al final del proceso. La AEPD lo corta de raíz. Esa persona tiene una responsabilidad con límites, y su presencia no sustituye la diligencia del responsable en el diseño del tratamiento y en la elección del medio Fuente primaria ↗.

Para que una supervisión cuente, la guía aconseja mirar la competencia y la autoridad para cambiar el resultado. Y también independencia, tiempo y medios para ejercer el criterio. Un humano que no puede frenar la entrega solo es decoración con coste.

Lo que la guía no es

Convendría leerla con sus propios límites puestos delante. Es un estudio introductorio que no analiza tratamientos concretos ni certifica producto alguno. Dice expresamente que la tecnología y su panorama de amenazas cambian casi en tiempo real, y que usar agentes no implica por sí solo ni evaluar impacto ni dejar de hacerlo, porque eso depende del tratamiento. Compartir el PDF no te deja en cumplimiento. Leerlo entero, tampoco. En situación te pone tener contestadas las preguntas de siempre para las herramientas que usas de verdad.

Lo que yo tendría escrito mañana

Una página por herramienta de uso real, ahora con vocabulario nuevo. Debe decir qué información lee y con qué permisos cuenta, hasta cuándo vive en memoria y en registros, qué puede ejecutar sin aprobación y qué acciones irreversibles deberían pasar por una mano humana. Y un cortacircuito que lo pare cuando haga algo raro, porque la guía también propone eso, interruptores que corten bucles y accesos masivos antes de que hagan daño Fuente primaria ↗.

Esa página ya está escrita, en forma de plantilla de una hoja, y la publico como propuesta dirigida a la Agencia para complementar su guía. propuesta abierta a la AEPD (PDF, 8 páginas) ↗.

La pregunta de si tu despacho cumple no la responde este documento ni ningún otro. La responde el inventario. Y el inventario, con administrativo o con agente, se escribe igual.

Preguntan por la agéntica y responde el inventario de siempre, el de qué lee tu agente y quién puede pararlo.

Lo que me preguntan cuando cierro el portátil.

¿Qué es la regla de 2 de la AEPD para agentes de IA?

Es un límite mínimo recogido en las orientaciones de febrero de 2026, adaptado de una regla de seguridad para aplicaciones en navegadores. Un agente puede estar en una de estas situaciones, ya sea procesar información que no controlas, como correos o páginas web, acceder a información sensible o ejecutar acciones automáticas. De las tres, como mucho dos pueden concurrir, y cada pareja exige su garantía. El ejemplo de la propia guía es un agente que responde correos. Si cualquiera puede escribirle, ve todo el buzón y contesta solo, esa configuración no se debería permitir.

¿Dice la guía que no puedo usar agentes con datos personales?

No. El ejemplo que utiliza es un viaje de empresa, y el análisis de protección de datos es el mismo si lo organiza un administrativo, una agencia externa o un agente. Lo que cambia es que el medio nuevo puede añadir destinatarios de datos, memorias que pueden conservar copias sin un plazo bien definido y decisiones automatizadas. Por eso recomienda revisar el cumplimiento del tratamiento cuando se incorpora IA agéntica, no descartarla.

¿Qué debería tener escrito un despacho que ya usa agentes?

Lo mínimo es una página por herramienta de uso real, con qué información lee, con qué permisos cuenta, hasta cuándo sobrevive en memoria y en registros, y quién puede detener una acción o revertirla. La guía añade controles concretos que se pueden pedir al proveedor según el riesgo, como catálogos de servicios permitidos, puntos de aprobación humana que pueden incluir acciones irreversibles según el riesgo y cortacircuitos que interrumpan ejecuciones anómalas.

El expediente detrás del artículo.

Inteligencia artificial agéntica desde la perspectiva de protección de datos, V1.2 ↗Agencia Española de Protección de Datos · febrero · 2026
Orientaciones de la autoridad de controlPrincipios de protección de datos ↗Agencia Española de Protección de Datos · Guía
Orientación institucional

Fuentes consultadas hasta el 1 de octubre de 2026. Las recomendaciones y ejemplos son elaboración editorial y no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.