El decálogo publicado el 27 de octubre propone cinco preguntas antes de delegar y pide a los proveedores unos controles que, en parte, el RGPD ya les exige como responsables del tratamiento
La Agencia Española de Protección de Datos (AEPD) publicó el martes 27 de octubre el documento Asistentes y agentes de IA. Decálogo para personas usuarias y lo presentó con un caso real. Un usuario encargó a su agente de inteligencia artificial que vendiera un objeto y marcó la opción «permitir siempre». Creía que la herramienta seguiría pidiéndole autorización antes de aceptar una oferta, pero no lo hizo. El agente cerró el trato y facilitó la dirección del vendedor al comprador, que se presentó en el domicilio sin que el dueño supiera que se había concertado una cita.
La Agencia no identifica el servicio ni la plataforma donde se hizo la venta. Usa el episodio, según explica en la nota de prensa que acompaña al documento, para dejar claro que los riesgos de delegar en estas herramientas ya no son teóricos. Y para fijar la idea que recorre las diez recomendaciones. Cuando un asistente solo responde, su error es una respuesta equivocada. Cuando actúa, el error es «un correo enviado, un archivo compartido, una compra», y también puede ser un contrato firmado o un consentimiento dado en nombre de otro.
La distinción importa porque los dos productos ya se venden juntos, integrados en el móvil y en el ordenador. Un asistente contesta, resume o redacta. Un agente, tal como lo describe el decálogo, puede perseguir un objetivo, dividirlo en pasos y decidir por sí mismo cómo ejecutarlos. Por eso la AEPD advierte de que pedirle que organice una cena o que se encargue de todo el correo equivale a darle carta blanca.
El documento sigue a «Cuidado con lo que le confIAs», la guía en la que la Agencia aconsejaba qué no contarle a una IA. Aquella se ocupaba de lo que el usuario escribe. Esta se ocupa de lo que deja hacer.
Cinco preguntas antes de dar las llaves
El decálogo arranca con cinco preguntas que conviene hacerse antes de delegar: qué puede ver el asistente, qué puede recordar, qué puede hacer en nombre del usuario, adónde envía los datos y si la tarea afecta a terceros. Las recomendaciones posteriores se ordenan en torno a un principio que la nota resume así: el agente prepara y la persona aprueba.
En ajustes concretos, eso supone revisar hoy mismo los conectores activos y desconectar los que no se usan. También supone dejar en modo lectura lo que no necesita escritura, porque leer no es lo mismo que enviar, modificar o borrar, y limitar el acceso a una carpeta o a un calendario en lugar de abrir la cuenta entera. Además, conviene activar la confirmación previa para enviar, publicar, compartir, borrar, pagar, contratar o aceptar condiciones, y retirar cualquier autorización permanente cuyo alcance no se entienda del todo. La AEPD añade una advertencia con consecuencias jurídicas: el usuario puede ser responsable de las acciones que ha permitido ejecutar a su agente.
Hay recomendaciones más finas. La primera es leer de verdad lo que se aprueba (destinatario, importe, fecha y adjunto), porque un resumen puede ocultar lo esencial. La segunda, no escribir contraseñas, códigos de verificación ni números de tarjeta en la conversación. La tercera, borrar la memoria desde los controles del propio servicio y no pidiéndoselo al asistente en el chat, ya que eliminar una conversación, una memoria o una aplicación conectada no produce el mismo efecto. La cuarta, vigilar las tareas programadas, las que siguen funcionando cuando el usuario no está delante, y limitar cuánto duran y qué pueden hacer sin preguntar.
El texto blanco sobre fondo blanco
El punto séptimo es el más técnico, y probablemente el que mejor retrata el estado de la cuestión. Una web, un correo, un PDF o una invitación de calendario pueden contener instrucciones ocultas para que el agente haga algo distinto de lo que se le pidió, como enviar datos, abrir un enlace o aprobar una operación. Esas instrucciones pueden ser incluso invisibles, por ejemplo un texto escrito en blanco sobre fondo blanco. Es lo que en el sector se conoce como inyección de instrucciones (prompt injection): el agente lee ese contenido ajeno y lo trata como si fuera una orden de su usuario.
La AEPD admite que ninguna medida elimina por completo este riesgo. Su respuesta es reducir el daño posible, sin prometer un filtro que no existe. Cuanto más contenido ajeno maneje el agente, menos acceso y menos capacidad de actuar debe tener. La combinación peligrosa reúne tres elementos: contenido de desconocidos, acceso a información privada y capacidad de actuar. El ejemplo de la Agencia es cotidiano: pedirle que resuma los correos nuevos y responda a todos. Si la combinación es inevitable, el decálogo exige confirmación antes de cualquier acción hacia fuera. Y si el agente pide una contraseña, mete prisa para aprobar algo o propone un enlace inesperado, la instrucción es detener la tarea.
Lo que el proveedor debería ofrecer y lo que ya está obligado a ofrecer
El decálogo cierra con un apartado dirigido a quienes comercializan estas herramientas. La responsabilidad, sostiene la Agencia, no puede recaer solo en el usuario. Quien ofrece agentes capaces de actuar debería ofrecer también una serie de controles: permisos comprensibles que distingan consultar de actuar, confirmación configurable para las acciones de mayor impacto, un historial de lo que el agente ha hecho y una forma inmediata de detenerlo. La lista incluye además la gestión y el borrado de la memoria, información clara sobre a quién se envían los datos y si se usan para entrenar la IA, y una vía sencilla para ejercer los derechos.
El condicional es de la AEPD, pero buena parte de esa lista no es una aspiración. Cuando el proveedor actúa como responsable del tratamiento, el Reglamento General de Protección de Datos (RGPD) ya le obliga a varias de esas cosas. El artículo 25.2 impone la protección de datos por defecto: la configuración de partida solo debe tratar los datos necesarios para cada fin, y esa obligación alcanza a la cantidad de datos recogidos, a la extensión del tratamiento, al plazo de conservación y a la accesibilidad. El artículo 13 exige informar de los fines y de los destinatarios de los datos, lo que obliga a decir si las conversaciones sirven para entrenar modelos. El artículo 12.2 obliga a facilitar el ejercicio de los derechos, y el 17 reconoce el de supresión, que en la práctica es lo que significa borrar la memoria.
Otra parte de la lista no aparece en ningún precepto del RGPD: el botón de parada, el historial de acciones y la confirmación configurable. Son medidas de diseño que encajan en el deber genérico del artículo 25.1 de aplicar medidas técnicas apropiadas, pero la norma no las enumera. El documento deja trazada esa frontera sin decirlo. Lo primero es exigible hoy. Lo segundo, de momento, es un criterio para elegir proveedor.
Pero el caso de la venta cae justo en esa frontera. El usuario no sufrió una configuración por defecto abusiva, porque eligió él la opción. Lo que falló fue la comprensión de su alcance. Ahí el RGPD tiene algo que decir: su artículo 12.1 exige que la información sobre el tratamiento se dé de forma concisa, transparente e inteligible, con un lenguaje claro y sencillo. Si el usuario entiende un permiso al revés, el proveedor parte de una posición difícil para defender que cumplió ese estándar.
En el trabajo, el agente no es una herramienta personal
El particular que usa un agente para sus asuntos queda, en principio, fuera del RGPD gracias a la exclusión de las actividades exclusivamente personales o domésticas del artículo 2.2.c. El decálogo matiza esa tranquilidad. En el correo, la agenda o las fotos hay datos de familiares, compañeros, clientes o pacientes que no han decidido relacionarse con esa IA, y haberlo autorizado uno mismo no da vía libre para usar la información de los demás.
En la oficina el margen se estrecha más. La AEPD pide utilizar solo los asistentes autorizados por la organización, no instalar agentes por cuenta propia en el equipo de trabajo y no conectar el correo ni los documentos profesionales a una cuenta personal de IA. Los datos de clientes, pacientes, alumnos o ciudadanos siguen siendo responsabilidad de la organización, y el trabajador responde del uso que hace de ellos. Ante la duda, la Agencia remite al delegado de protección de datos.
Para las empresas, la consecuencia práctica pasa por el artículo 87.3 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Ese precepto obliga a los empleadores a fijar criterios de utilización de los dispositivos digitales, con participación de los representantes de los trabajadores, y a informar de ellos a la plantilla. Ese protocolo es el lugar natural para decir qué asistentes están autorizados y qué conectores están vetados. Una empresa sin esa lista deja la decisión a cada empleado. Y un agente vinculado a una cuenta personal que lee el correo corporativo saca los datos del perímetro que el artículo 87 dibuja hacia un servicio que la empresa ni ha contratado ni controla.
El decálogo no es vinculante. La Agencia lo enmarca en su estrategia de cultura de la privacidad y de innovación con garantías. Pero la lista de controles que reclama a los proveedores puede convertirse en la vara de medir el día que llegue a la AEPD una reclamación contra un agente que actuó sin que su usuario lo supiera. Hasta entonces, la protección depende del usuario, al que el documento advierte de que «delegar no es desentenderse», y de una última recomendación: si un servicio no ofrece esos controles, tenerlo en cuenta al decidir qué se le confía.
