La AEPD publicó a comienzos de 2026 unas orientaciones sobre IA agéntica y protección de datos. No es de este mes, pero con agentes de IA cada vez más presentes en pymes sigue siendo la referencia más útil. La resumimos en una lista que puedes revisar con tu equipo.

Qué considera la guía un agente de IA

Según el análisis del despacho Écija, la guía define un agente de IA como un sistema que usa modelos de lenguaje para cumplir un objetivo, puede planificar, ejecutar acciones, guardar memoria persistente y actuar con cierta autonomía. Es decir, algo más que un cuadro de texto que responde.

¿Quieres que revisemos juntos qué datos pide tu agente de IA y para qué? Escríbenos.

La lista de revisión

  1. Minimización. El agente debe usar solo los datos estrictamente necesarios para su finalidad. Si no necesita el DNI, no se lo pidas.
  2. Nivel de autonomía definido. Qué puede hacer solo y qué debe consultar a una persona.
  3. Memoria bajo control. Evitar que guarde datos innecesarios o durante más tiempo del debido.
  4. Calidad de los datos. Que la información con la que responde sea coherente y esté actualizada.
  5. Terceros evaluados. Proveedores del modelo, de las API y de la nube: quién trata qué y con qué garantías.
  6. Roles claros. Quién es responsable del tratamiento y quién actúa como encargado.
  7. Documentación. Revisar la base legal, el registro de actividades de tratamiento y, cuando proceda, la evaluación de impacto.
  8. Decisiones automatizadas. Si el agente decide algo con efectos importantes para una persona, entra en juego el artículo 22 del RGPD.
  9. Uso no controlado. Evitar que empleados activen agentes por su cuenta sin que la empresa lo sepa (lo que la guía llama «BYOAgentic»).

Cómo lo aplicamos en un agente de atención al cliente

En un agente que atiende a clientes en una web, lo habitual es: pedir solo nombre y teléfono para devolver la llamada, avisar de que es una IA, no guardar más de lo necesario y tener una salida a una persona. Es un buen ejemplo de minimización: cuantos menos datos, menos riesgo.

Esta lista es informativa y no sustituye a un asesor de protección de datos. Para tu caso concreto, conviene consultarlo antes de activar nada.

Lecturas relacionadas

Preguntas frecuentes

¿Qué es la IA agéntica?
Según el análisis de la guía de la AEPD, son sistemas que usan modelos de lenguaje para cumplir un objetivo y pueden planificar, ejecutar acciones, guardar memoria y actuar con autonomía operativa.
¿La guía es obligatoria?
Son orientaciones de la autoridad de protección de datos, no una ley nueva. Interpretan cómo aplicar el RGPD a estos sistemas, así que conviene tenerlas en cuenta.
¿Qué es lo primero que debo revisar?
Qué datos recoge tu agente y si realmente los necesita. La minimización es el punto de partida de casi todo lo demás.
Fuentes

Resumen basado en el análisis de Écija; consulta la guía original de la AEPD.

¿Quieres aplicar la IA en tu negocio con cabeza?

En WhiteMoon te explicamos qué tiene sentido para ti y qué no. Sin compromiso.