El 18 de febrero de 2026, la Agencia Española de Protección de Datos publicó el documento «Inteligencia Artificial Agéntica desde la perspectiva de protección de datos», en su versión 1.2. Son setenta y seis páginas que abordan, de manera sistemática y por primera vez en España, una pregunta que hasta ahora se había tratado de forma fragmentaria: qué cambia en un tratamiento de datos personales cuando quien lo ejecuta deja de ser un empleado o un sistema reactivo y pasa a ser un agente de inteligencia artificial capaz de planificar tareas, invocar herramientas y actuar con autonomía en el entorno digital.
La Agencia acota su alcance con cuidado. El texto no analiza el cumplimiento de ningún tratamiento concreto ni pretende agotar la materia; aísla las peculiaridades que la tecnología agéntica introduce en cualquier tratamiento que la incorpore, y se describe a sí mismo como un estudio introductorio sobre un campo que evoluciona, en sus propias palabras, casi en tiempo real. Esa cautela no rebaja su utilidad. El documento es lo que dice ser: una orientación técnica, no una norma ni una guía de cumplimiento cerrada.
Las orientaciones se incorporan a un cuerpo de trabajo que la AEPD viene construyendo desde 2020, con la «Adecuación al RGPD de tratamientos que incorporan IA», la guía de «Gestión del riesgo y evaluación de impacto» de 2021, los «Requisitos para auditorías de tratamientos que incluyan IA», la nota sobre «Evaluación de la intervención humana en las decisiones automatizadas» de 2024 o la metodología de modelado de amenazas LIINE4DU del mismo año. Y llegan en un momento normativo cargado. El 26 de mayo de 2026 el Consejo de Ministros aprobó, en segunda vuelta, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo remitió a las Cortes. Ese texto, que se tramita como ley orgánica por afectar derechos fundamentales, diseña un modelo de supervisión repartido entre varias autoridades, en el que la AEPD asume la vigilancia de todo lo que afecte a la protección de datos. Las orientaciones de febrero anticipan, en la práctica, el criterio con el que esa autoridad evaluará los despliegues agénticos.
Un agente no es un tratamiento: es un medio para implementarlo
La decisión metodológica más importante del documento aparece pronto y condiciona todo lo demás. Para la AEPD, un agente de IA es un sistema que se apoya en modelos de lenguaje para cumplir objetivos, descomponiendo tareas complejas en subtareas encadenadas (la llamada cadena de razonamiento o pipeline) y percibiendo y actuando sobre el entorno mediante el acceso a servicios internos y externos. A esa definición, la Agencia suma las notas que la literatura técnica asocia a estos sistemas: autonomía, percepción del entorno en tiempo real, capacidad de acción más allá de la generación de texto, proactividad, planificación y memoria a corto y a largo plazo. Cuando varios de estos agentes colaboran, compiten o se reparten tareas bajo una capa de orquestación, se habla de arquitecturas multiagente.
Lo decisivo, sin embargo, no es la taxonomía. El agente no es un tratamiento de datos: es un medio para implementarlo, igual que una hoja de cálculo, un gestor documental o un empleado. Un mismo agente puede servir a distintos tratamientos, y un tratamiento puede combinarlo con otros sistemas y con operaciones realizadas por personas. De esa premisa la AEPD extrae una recomendación práctica: para evitar lo que denomina la «niebla tecnológica», el efecto de que la sola mención de la IA agéntica oscurezca el análisis, lo prudente es aterrizar primero las operaciones del agente en sus equivalentes humanos o empresariales, y solo después examinar lo que la tecnología añade.
El ejemplo que utiliza el documento es deliberadamente prosaico. Un agente que organiza un viaje para un empleado detecta el desplazamiento en la agenda, contacta con los servicios de alojamiento, comprueba el cambio de divisa, verifica el estado del transporte, adquiere los billetes y devuelve la planificación al interesado. El análisis de protección de datos (finalidad, minimización, legitimación, acceso a servicios de terceros) es, en su núcleo, idéntico al que correspondería si esas mismas gestiones las realizara un administrativo o una agencia de viajes contratada como encargada. La pregunta de partida no cambia por el hecho de que la ejecute un agente; lo que cambia, y es lo que el documento se dedica a analizar, son los riesgos y las obligaciones que la autonomía, la memoria persistente y la interconexión con múltiples servicios incorporan a ese sustrato.
El reparto de responsabilidades: responsable, encargado y comunicaciones de datos
Quien determina los fines y medios del tratamiento es su responsable, independientemente de que el medio elegido sea un agente de IA u otro medio cualquiera (art. 24 RGPD). Hasta aquí, nada nuevo. La dificultad surge porque los sistemas agénticos rara vez operan de forma local y aislada: lo habitual es que accedan a servicios de terceros (modelos de lenguaje, capas de orquestación, almacenamiento) para cumplir su propósito, y cada uno de esos accesos puede generar una relación jurídica distinta.
El documento despliega esa casuística siguiendo el esquema de las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de responsable y encargado. Si el agente consulta un servicio externo para obtener información no personal, como el horario de un transporte o una cotización, y la implementación impide que ese servicio vincule la consulta a un usuario concreto, no se origina relación alguna de protección de datos. Si el agente envía a un tercero información que sí se vincula a una persona usuaria para prestar el servicio, por ejemplo, para conservar el contexto de las interacciones, ese tercero actúa como encargado del tratamiento (art. 28 RGPD). Cuando el agente accede a registros de administraciones o entidades para recabar datos de los interesados, la relación será de responsable a responsable; pero si accede a los servicios de un proveedor contratado por la propia organización, será de responsable a encargado. Y cuando el agente entero se contrata como servicio a otra entidad que trata datos de los usuarios o de los afectados, esa entidad es encargada, con todo lo que ello implica respecto de la cadena de subencargados.
La consecuencia operativa es exigente. En aplicación del principio de responsabilidad proactiva, el responsable debe diseñar y documentar los flujos de datos del tratamiento e identificar, para cada sistema interviniente, qué terceros participan y en qué rol. No basta con firmar un contrato de encargo genérico. La AEPD recuerda que la contratación de servicios en Internet se caracteriza por términos que cambian unilateralmente, funcionalidades que se discontinuan y condiciones que se alteran sin previo aviso, de modo que la evaluación del cumplimiento, incluidos el artículo 28, las transferencias internacionales del Capítulo V o los plazos de conservación, no puede ser un trámite estático, sino una revisión que acompañe todo el ciclo de vida del servicio.
Los principios del artículo 5 bajo presión: minimización, exactitud y limitación
La autonomía que hace útil a un agente es también la que tensiona los principios del artículo 5 del RGPD. Un agente diseñado para «ser eficaz» sin más criterio tenderá a la fuerza bruta de datos: descargará conjuntos completos cuando le bastaría con un dato, conservará en memoria información de casos pasados que no necesita y arrastrará a la inferencia categorías que no debería tener en cuenta. La Agencia insiste en que la minimización (art. 5.1.c) ha de incorporarse desde el diseño del tratamiento y trasladarse a la configuración del agente, y que opera en dos niveles de granularidad: el del tratamiento en su conjunto y el de cada operación concreta.
El ejemplo que ofrece el documento ilustra claramente la diferencia. Si, en el marco de un tratamiento, es necesario comprobar si un empleado figura en la lista de invitados de un evento, descargar la lista completa implica tratar, de forma colateral, los datos de todos los demás invitados. Cabe preguntarse si la misma finalidad se alcanza preguntando al organizador por esa persona concreta, o incluso sin exponer a nadie mediante estrategias de conocimiento cero. Que la operación la ejecute un humano o un agente es indiferente para el principio; lo que importa es cómo se diseña el tratamiento y qué instrucciones se imparten.
La memoria persistente añade una capa propia. La AEPD distingue entre la memoria que da funcionalidad al agente (semántica, episódica y procedimental) y la memoria de gestión formada por los registros de operación, y advierte de que ambas pueden convertirse en nodos de acumulación de datos de los afectados, de terceros ajenos al tratamiento y de los propios empleados que interactúan con el sistema. Cuando un mismo agente sirve a varios tratamientos sin compartimentación, sus componentes, y en particular los modelos de lenguaje y sus logs, registran la actividad de todos ellos, con el consiguiente riesgo de perfilado y de impacto en caso de brecha. De ahí que el documento dedique un apartado completo a la compartimentación de la memoria por tratamiento, por caso y por usuario, así como a las políticas de conservación y depuración.
El resto del régimen del RGPD también se ve afectado. La incorporación de un agente puede ampliar las categorías de datos tratadas y los sujetos afectados, lo que obliga a revisar el registro de actividades de tratamiento (art. 30) y, si aparecen destinatarios nuevos, por ejemplo, un servicio de IA generativa de un tercero al que se remiten datos, a informar de ello a los interesados (art. 13 y considerando 39 RGPD). Si surgen tratamientos ulteriores con finalidad distinta de la original, el deber de información previa se impone antes de iniciarlos. Y si el despliegue genera transferencias internacionales adicionales, han de cubrirse con las garantías del Capítulo V o, en su defecto, rediseñarse. El tratamiento de categorías especiales (art. 9) merece atención reforzada, porque la deriva de la cadena de razonamiento puede acabar infiriendo datos sensibles que ni se solicitaron ni eran necesarios.
Decisiones automatizadas y grados de autonomía: el artículo 22 y lo que queda fuera
El nivel de autonomía del agente es una decisión de diseño del responsable, y el documento la ordena en una escala que va desde el agente que propone y el humano que ejecuta, pasando por la colaboración y por el agente que opera mientras el humano aprueba, hasta el agente que opera y el humano se limita a observar. Esa gradación tiene consecuencias: determina qué garantías son exigibles.
La AEPD precisa un punto que, en la práctica, se confunde con frecuencia: automatizar un tratamiento no equivale a adoptar decisiones automatizadas en el sentido del artículo 22 del RGPD. Un agente que rastrea eventos y elabora resúmenes para empleados según los intereses que estos han declarado automatiza operaciones, pero no decide nada que produzca efectos jurídicos o significativamente similares sobre una persona. Cuando sí existe una decisión de esa naturaleza, entran en juego las condiciones del artículo 22.2, las salvaguardas del 22.3, las limitaciones del 22.4 para categorías especiales y la protección reforzada de los menores del considerando 71, además del deber de ofrecer información significativa sobre la lógica aplicada. La Agencia recuerda, con apoyo en las Directrices del Grupo del Artículo 29 de 2017, que el umbral del artículo 22 se alcanza cuando la decisión puede afectar significativamente a las circunstancias o al comportamiento del interesado, tener un impacto duradero o, en los casos extremos, provocar su exclusión o discriminación.
Buena parte del riesgo, sin embargo, queda fuera del artículo 22. Que un agente envíe un correo, transfiera un fichero o modifique un registro puede comprometer la confidencialidad o la integridad de datos personales sin que haya, técnicamente, una «decisión» en el sentido del precepto. Por eso, el documento insiste en prever, desde el diseño, la reversibilidad de determinadas acciones y en calibrar la intervención humana, que solo es una garantía real si es efectiva. La AEPD remite aquí a su propia nota de 2024 sobre la evaluación de la intervención humana y advierte del sesgo de automatización: la tendencia del supervisor a aceptar, sin análisis crítico, lo que propone un sistema que parece consistente, sobre todo cuando opera con un alto grado de autonomía y se comporta como una caja negra. Una supervisión que no dispone de competencia, formación, independencia, información, recursos y tiempo no supervisa; legitima.
La gestión del riesgo y la «regla de 2»
Incorporar un agente cambia, como mínimo, la naturaleza del tratamiento, y puede reducir o aumentar los riesgos preexistentes o generar otros nuevos. El responsable debe, por tanto, abrir un nuevo ciclo de gestión del riesgo (arts. 24 y 35 RGPD), para el que la AEPD recomienda su metodología de modelado de amenazas LIINE4DU y reserva la evaluación de impacto para los supuestos que lo requieran, revisando las evaluaciones ya superadas cuando se modifique el tratamiento.
Lo más aprovechable de este bloque es la traslación a los agentes de IA de la llamada «regla de 2», un umbral de mínimos nacido en el ámbito de la ciberseguridad de los navegadores y reformulado posteriormente para estos sistemas. La regla advierte de que un agente que reúna simultáneamente tres capacidades, esto es, procesar información no controlada (susceptible de contener un ataque), acceder a información sensible y ejecutar acciones de forma automática, se sitúa en una zona de riesgo inaceptable. Solo son admisibles, en consecuencia, las configuraciones que renuncian a una de las tres: si el agente trata entradas no controladas y accede a datos sensibles, no debe ejecutar acciones automáticas sin supervisión; si accede a datos sensibles y actúa, debe hacerlo con garantías de integridad de la información; y si procesa entradas no controladas y actúa, no debe tener acceso a datos sensibles. El caso de uso que la propia AEPD propone, un agente que responde correos de forma automática, lee mensajes capaces de esconder un ataque, accede sin restricción a información del usuario y encadena acciones, describe con precisión la configuración que no debería autorizarse.
Sobre ese mínimo de ciberseguridad, el documento cataloga amenazas que sí inciden directamente en la protección de datos. Entre las que proceden del propio tratamiento autorizado figuran la falta de gobernanza, que la Agencia bautiza como «BYOAgentic», el despliegue de flujos agénticos por usuarios deslumbrados por su facilidad y al margen de las políticas de la organización; la ausencia de políticas de acceso a la información; la retención excesiva; el perfilado de los empleados usuarios, o los errores compuestos, ese fenómeno por el que la precisión decae a medida que la tarea acumula pasos y un dato incompleto se procesa como completo. Entre las que proceden de tratamientos no autorizados destacan la inyección de prompts (directa, indirecta, de cero clics o por envenenamiento de la memoria y de los repositorios RAG) y la exfiltración silenciosa por «shadow-leak», la reconstrucción de información confidencial a partir de respuestas que, aisladas, parecen inocuas. La interdependencia de los componentes convierte, además, cualquiera de ellos en un posible punto único de compromiso capaz de afectar a todos los tratamientos que comparten el sistema.
Lectura comparada: la AEPD frente al ICO, la CNIL y el EDPB
El documento cobra sentido en el contexto europeo, porque su valor relativo depende de lo que han hecho otros reguladores. A junio de 2026, el balance es el de una autoridad que se ha adelantado. El Information Commissioner’s Office británico publicó en enero de 2026, dentro de su serie Tech Futures, un informe sobre las implicaciones de la IA agéntica para la protección de datos, pero el propio texto aclara que no constituye «guidance» ni expectativas regulatorias formales: es un ejercicio de prospectiva que identifica riesgos y reconoce que la supervisión humana se vuelve más difícil cuando los agentes operan con autonomía. El Comité Europeo de Protección de Datos, por su parte, dispone del Dictamen 28/2024 sobre el tratamiento de datos en el contexto de modelos de IA y de un informe de su Support Pool of Experts sobre los riesgos de los grandes modelos de lenguaje, pero ninguno aborda específicamente la dimensión agéntica; su trabajo más reciente en la materia es el Dictamen conjunto con el Supervisor Europeo de Protección de Datos sobre el paquete Ómnibus Digital de la Comisión, centrado en la definición de dato personal y en el interés legítimo para el desarrollo de IA. La CNIL francesa ha publicado recomendaciones detalladas sobre la cadena de actores en el desarrollo de sistemas de IA y herramientas para determinar si un modelo trata datos personales, pero no ha publicado un documento dedicado a los agentes.
Frente a ese panorama, las orientaciones de la AEPD destacan por dos motivos. Primero, por adoptar la perspectiva específica de la protección de datos, y no la de la ciberseguridad ni la de la gobernanza general, y aplicarla a la arquitectura propia de los sistemas agénticos: la memoria, la cadena de razonamiento, la orquestación multiagente. Segundo, por su orientación operativa: frente al tono prospectivo del informe británico, el texto español ofrece un catálogo articulado de vulnerabilidades, amenazas y, sobre todo, medidas concretas (compartimentación de la memoria, listas blancas de servicios, cortacircuitos y límites duros de pasos, seudonimización mediante tokens de un solo uso, política de cero retención por componente) que un responsable puede mapear sobre su propio despliegue. Una cautela obligada: no confundir el registro. El documento es una orientación introductoria, no una guía vinculante, y la propia AEPD se cuida de presentarlo así. Pero en una materia en la que la mayoría de las autoridades todavía tantea, haber publicado un análisis de esta densidad es, por sí solo, una ventaja.
Qué cambia, para quién y cuándo
Para los responsables y encargados que ya emplean o planean emplear agentes, el documento sirve como una lista de comprobación implícita. Antes de desplegar, hay que revisar el registro de actividades, rediseñar y documentar los flujos de datos, decidir y justificar el grado de autonomía, configurar las políticas de acceso y de memoria, prever la reversibilidad de las acciones de impacto y articular una supervisión humana que sea algo más que un sello. La figura del delegado de protección de datos sale reforzada: la AEPD le exige comprender los fundamentos técnicos de estas herramientas, no solo su marco jurídico, e integrarse en las decisiones de diseño desde el inicio. Es una exigencia que conecta con un debate que ya abordamos en LAW21 al analizar la responsabilidad por errores de agentes autónomos de IA y los límites del secreto profesional cuando median chatbots.
El encuadre regulatorio refuerza la urgencia. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, remitido a las Cortes el 26 de mayo de 2026, confirma a la AEPD como autoridad de vigilancia del mercado en lo relativo a la protección de datos dentro de un modelo que orbita en torno a la AESIA, y obliga a marcar los contenidos sintéticos. A ello se suma la entrada en vigor, en agosto de 2026, de las obligaciones de transparencia del artículo 50 del Reglamento (UE) 2024/1689, que afectan directamente a los resultados que muchos agentes generan o difunden. Los despliegues agénticos que se diseñen este año nacerán, por tanto, bajo el escrutinio simultáneo de tres marcos, el RGPD, el Reglamento de IA y la futura ley orgánica, y de varias autoridades coordinadas.
La otra cara: el agente como tecnología de protección de datos
El documento no queda registrado en el inventario de riesgos. Su parte más interesante va justo en sentido contrario. La AEPD sostiene que una implementación pensada desde el diseño puede convertir al propio agente en una tecnología para mejorar la privacidad. Un sistema bien configurado puede racionalizar tratamientos hasta entonces dispersos, introducir en las fases intermedias de la cadena de razonamiento modelos pequeños de lenguaje que categoricen, higienicen y minimicen los datos que circulan, anonimizar la información que se entrega a un operador humano para evitar sesgos en su decisión, o acceder a datos sensibles necesarios sin exponerlos a persona alguna. Cabe incluso usar un agente para vigilar de forma continua el cumplimiento de los contratos y términos de servicio cambiantes de los proveedores, una tarea inviable de forma manual. Vista así, la protección de datos desde el diseño se parece menos a una restricción que se soporta y más a una capacidad que la organización puede aprovechar.
Queda en pie la tensión que recorre todo el texto. La AEPD describe una tecnología cuyo análisis está, en sus palabras, todavía en desarrollo, y cuyo panorama de amenazas se transforma con rapidez, y responde con una orientación que, por definición, no es vinculante y envejecerá pronto. La utilidad del documento no está, por tanto, en fijar reglas, sino en ofrecer un método: aterrizar las operaciones del agente en sus equivalentes conocidos, identificar lo que la autonomía añade y exigir evidencias en lugar de confiar en la apariencia de buen funcionamiento. Si el Proyecto de Ley Orgánica y el artículo 50 del Reglamento de IA acaban endureciendo estas expectativas, y todo apunta a que lo harán, las organizaciones que hayan interiorizado ese método llegarán con ventaja. Las que hayan despachado la IA agéntica como una caja negra que parece funcionar descubrirán que la apariencia de cumplimiento no es cumplimiento.
