En febrero de 2026, la Agencia Española de Protección de Datos publicó una guía sobre inteligencia artificial agéntica, una tecnología que empieza a incorporarse de forma progresiva en empresas y administraciones. Su importancia radica en que no se trata solo de una nueva herramienta, sino de una forma distinta de ejecutar tratamientos de datos personales.
La guía no pretende resolver casos concretos, sino ofrecer un marco para entender qué cambia cuando un tratamiento se apoya en agentes de IA.
La guía describe los agentes de IA como sistemas que utilizan modelos de lenguaje para alcanzar objetivos, adaptándose al entorno y actuando en función de las circunstancias.
A diferencia de otros sistemas más simples, estos no se limitan a responder solicitudes. Pueden organizar tareas, dividirlas en fases, acceder a diferentes fuentes de información y ejecutar acciones en sistemas digitales.
En otras palabras, no estamos ante herramientas pasivas, sino ante sistemas capaces de intervenir activamente en procesos organizativos.
Uno de los puntos centrales del documento es que el uso de IA agéntica puede modificar cómo se configura un tratamiento.
Cuando estos sistemas se integran, pueden cambiar:
Por ello, su incorporación exige revisar el cumplimiento normativo, incluso en tratamientos ya existentes.
Además, los agentes pueden acceder tanto a información interna como a fuentes externas, lo que puede implicar el uso de datos personales que no estaban inicialmente previstos.
La guía insiste en que los riesgos no derivan solo de los modelos de lenguaje, sino de la interacción entre múltiples componentes. Es precisamente esa complejidad la que genera nuevas vulnerabilidades.
Entre las más relevantes destacan:
La AEPD distingue aquí dos planos fundamentales:
Ambas pueden contener datos personales y requieren tratamientos diferenciados.
Uno de los puntos más interesantes de la guía es el enfoque sobre el riesgo. La AEPD subraya que la IA agéntica cambia la naturaleza del tratamiento, por lo que exige un análisis específico.
Como herramienta orientativa, recupera la llamada “regla de 2”, que establece que no deberían coincidir simultáneamente tres elementos:
Aunque es una simplificación, sirve como alerta para identificar configuraciones especialmente peligrosas.
No obstante, la propia AEPD advierte que el análisis debe ir más allá, incorporando factores como la calidad de los datos, la presencia de sesgos o el respeto al principio de minimización.
El uso de estos sistemas exige prestar atención a varias cuestiones:
Lejos de limitarse a identificar riesgos, la guía propone un conjunto amplio de medidas. Entre las más relevantes:
Todo ello bajo una idea clave: la protección de datos debe integrarse desde el diseño.
La IA agéntica introduce riesgos reales, derivados de su autonomía, su capacidad de integración y su elevada complejidad técnica.
No obstante, también puede convertirse en una poderosa aliada para reforzar la protección de datos, siempre que su implementación se lleve a cabo de forma adecuada.
La clave está en el enfoque: no se trata solo de usar la tecnología, sino de entenderla, controlarla y establecer hasta qué límites debe operar.
Porque, en este nuevo escenario, el mayor riesgo no es la inteligencia artificial… sino utilizarla sin comprenderla.
