La Agencia Española de Protección de Datos (AEPD) publica este documento para ayudar a organizaciones públicas y privadas a comprender los riesgos y obligaciones que implica el uso de sistemas de IA agéntica cuando tratan datos personales.
¿Qué es la IA agéntica?
Un agente de IA es un sistema basado en modelos de lenguaje capaz de actuar de manera relativamente autónoma para alcanzar objetivos, interactuar con herramientas, acceder a datos, ejecutar acciones y tomar decisiones siguiendo una cadena de razonamiento. La IA agéntica supone un paso más allá de los asistentes conversacionales tradicionales porque puede planificar, actuar y coordinar tareas complejas, incluso mediante varios agentes colaborando entre sí.
Principales preocupaciones para la protección de datos
La AEPD identifica cuatro características que generan riesgos específicos:
- Interacción con el entorno: acceso a información corporativa, bases de datos y servicios externos.
- Integración de servicios: conexión con múltiples aplicaciones y sistemas.
- Memoria: almacenamiento de información de usuarios y tratamientos previos.
- Autonomía: capacidad para actuar y tomar decisiones con menor supervisión humana.
Riesgos más relevantes
El documento alerta sobre diversos riesgos asociados al tratamiento de datos personales mediante agentes de IA:
- Acceso excesivo o inapropiado a información personal.
- Retención de datos durante más tiempo del necesario.
- Falta de transparencia sobre cómo razona el sistema.
- Dificultades para ejercer derechos como acceso, rectificación o supresión.
- Sesgos y perfilado automático de personas.
- Exfiltración accidental de información sensible («shadow leaks»).
- Ataques mediante prompt injection que alteren el comportamiento del agente.
- Dependencia de servicios externos y vulnerabilidades en la cadena de suministro tecnológica.
Cumplimiento del RGPD
La AEPD insiste en que el uso de IA agéntica no elimina las obligaciones ya existentes del Reglamento General de Protección de Datos (RGPD). Los responsables deben garantizar:
- Base jurídica adecuada para el tratamiento.
- Principio de minimización de datos.
- Transparencia hacia los afectados.
- Registro de actividades de tratamiento.
- Gestión adecuada de transferencias internacionales.
- Evaluaciones de impacto cuando existan riesgos elevados.
- Supervisión de decisiones automatizadas, especialmente las contempladas en el artículo 22 del RGPD.
Recomendaciones de la AEPD
La guía propone un amplio conjunto de medidas organizativas y técnicas:
- Implantar una gobernanza específica para los sistemas de IA.
- Involucrar al Delegado de Protección de Datos desde el diseño.
- Aplicar el principio de protección de datos desde el diseño y por defecto.
- Limitar los datos accesibles por los agentes.
- Compartimentar y controlar la memoria.
- Establecer plazos estrictos de conservación.
- Mantener supervisión humana efectiva.
- Definir claramente el nivel de autonomía permitido.
- Garantizar trazabilidad y auditoría de las actuaciones del agente.
- Realizar pruebas continuas, validación y monitorización.
- Formar a usuarios y responsables sobre los riesgos y limitaciones de la IA.
Mensaje principal
La conclusión de la AEPD es que la IA agéntica ofrece un enorme potencial para mejorar procesos en empresas y administraciones, pero su despliegue debe hacerse con una gestión rigurosa de riesgos. La organización no debe confiar ciegamente en la tecnología ni rechazarla por desconocimiento, sino comprender sus capacidades y limitaciones para garantizar la protección de los derechos y libertades de las personas.
Idea clave para administraciones educativas: la guía es especialmente relevante para sistemas que puedan gestionar expedientes de alumnos, orientación educativa, atención a familias, recursos humanos o servicios administrativos, ya que exige mantener supervisión humana, minimización de datos y trazabilidad de todas las actuaciones realizadas por los agentes de IA.
Origen: orientaciones-ia-agentica.pdf
