La AEPD orienta sobre IA agéntica: qué revisar antes de dejar que toque datos de clientes

El 18 de febrero de 2026, la Agencia Española de Protección de Datos (AEPD) publicó un documento de orientaciones sobre inteligencia artificial agéntica desde la perspectiva de la protección de datos. No es una norma ni una sanción: es un texto de orientación, no vinculante, que explica qué son estos sistemas, qué normativa les aplica, qué vulnerabilidades específicas presentan y qué medidas caben para mitigarlas. Para un autónomo o una micropyme que esté valorando poner un agente de IA a gestionar su correo, su CRM o sus reservas, es un punto de referencia útil antes de dar el paso.

La diferencia con la IA que ya conocemos está en la palabra «agéntica». No hablamos de una herramienta que responde a una pregunta y se detiene, sino de un sistema que actúa por su cuenta: encadena tareas, toma decisiones intermedias y ejecuta acciones sobre datos reales sin que una persona apruebe cada paso. Cuando esos datos son personales —los de tus clientes o los de tus empleados—, la actuación autónoma del agente deja de ser un detalle técnico y pasa a ser una cuestión de cumplimiento.

Qué publicó la AEPD y cuándo

La nota de prensa y las orientaciones se difundieron el 18 de febrero de 2026. El documento aborda, según la propia Agencia, cuatro bloques: qué es la IA agéntica, la normativa aplicable, las vulnerabilidades específicas de estos sistemas —incluida la relativa a la «memoria» del agente— y las medidas de mitigación asociadas.

Conviene subrayar su naturaleza: son orientaciones, no una obligación nueva. No crean por sí mismas deberes que antes no existieran ni sustituyen a la normativa. Lo que hacen es traducir esa normativa al caso concreto de los agentes autónomos, que hasta ahora quedaba en una zona menos explorada. Por eso su valor práctico es el de una guía de trabajo, no el de un texto legal que haya que «cumplir» como tal.

A quién le importa esto

A cualquier profesional o empresa pequeña que use —o esté a punto de usar— un agente de IA que toque datos personales. Los ejemplos son los de siempre en un negocio de tamaño reducido: un agente conectado al correo que redacta y envía respuestas a clientes; uno enganchado al CRM que actualiza fichas o segmenta contactos; uno que gestiona una agenda de reservas o citas. En todos esos casos el agente está manejando información de personas identificables, y, según el principio general del RGPD, el responsable de ese tratamiento suele ser el negocio que decide usarlo, no el proveedor del agente ni el propio sistema.

El punto que marca la diferencia frente a un software tradicional es la autonomía. Si la herramienta se limita a ejecutar lo que tú le ordenas paso a paso, el control es tuyo. Si el agente decide por sí mismo qué datos consulta, qué combina y qué acción emprende, hace falta saber de antemano bajo qué reglas juega.

Cómo usar el documento a modo de checklist

La utilidad más directa de las orientaciones es servir de lista de comprobación antes de activar un agente. A partir de los bloques que trata el documento, hay tres preguntas que un autónomo debería poder responder:

• Base legal. ¿Qué ampara que el agente actúe de forma autónoma sobre esos datos? La actuación por cuenta propia del sistema necesita una base legal que la sostenga, igual que cualquier otro tratamiento.
• Información al interesado. ¿Qué se le comunica a la persona cuyos datos se tratan? El cliente o el empleado afectado debe poder saber que hay un sistema de este tipo interviniendo.
• La «memoria» del agente. ¿Qué recuerda el sistema, durante cuánto tiempo y con qué controles? La AEPD identifica la memoria del agente como una vulnerabilidad específica: lo que el sistema retiene de interacciones anteriores puede reaparecer, cruzarse o filtrarse de formas no previstas. Saber qué guarda y poder limitarlo es parte del control.

Estas tres preguntas no agotan el documento, pero son la forma más rápida de aterrizarlo en un negocio pequeño. Si no tienes respuesta clara a alguna de ellas, esa es exactamente la zona que el texto de la Agencia pretende ayudarte a revisar.

Qué no dice y qué queda pendiente

Hay que ser honestos con el alcance. Al tratarse de orientaciones, el documento acompaña y explica, pero no zanja: no funciona como una lista cerrada de requisitos que baste con marcar. Tampoco es una autorización previa ni un sello de conformidad; que un uso encaje con la guía no equivale a una validación oficial.

Estas orientaciones no traen cifras, plazos ni un régimen sancionador nuevo, de modo que aquí no los encontrarás. Lo que sí queda es un texto de referencia disponible en la web de la AEPD, que sigue vigente como material de consulta para quien esté decidiendo si mete un agente de IA en el circuito de sus datos de clientes. Para el detalle completo de cada bloque, la fuente que manda es el propio documento de la Agencia.

Esto es información, no asesoramiento

Este contenido es información general elaborada a partir de la nota de prensa citada de la AEPD. No es asesoramiento jurídico ni sustituye la valoración de un profesional que conozca tu caso concreto. Ante cualquier discrepancia, prevalecen el documento oficial de la Agencia y el criterio de tu asesor. Si vas a poner un agente de IA a tratar datos personales de tus clientes o empleados, consulta la fuente original y, si tienes dudas, a un especialista en protección de datos antes de activarlo.