La inteligencia artificial está dejando de ser una herramienta que solo responde preguntas. Ahora también puede consultar el correo, gestionar el calendario, completar formularios o actuar en nombre de una persona. Ese salto ofrece oportunidades para una pyme, pero también cambia la forma de entender la privacidad y la seguridad.
📰 Qué ha publicado la AEPD
El 27 de octubre de 2026, la AEPD publicó un decálogo para delegar tareas en asistentes y agentes de IA sin perder el control sobre los datos personales.
La diferencia es importante: un asistente que redacta una propuesta no tiene el mismo nivel de riesgo que uno que puede enviarla, compartir un archivo, aceptar una oferta o completar una reserva. Cuando la herramienta actúa, un error puede convertirse directamente en una operación realizada en nombre de la empresa.
🧭 Las cinco preguntas antes de delegar
La Agencia propone revisar cinco aspectos antes de conceder acceso a un asistente o agente:
- Qué información puede ver.
- Qué datos puede recordar.
- Qué acciones puede realizar en nombre de la persona.
- Dónde se envían y procesan los datos.
- Si la actividad afecta también a otras personas.
Estas preguntas sirven tanto para una herramienta contratada por la empresa como para una aplicación que un empleado utiliza por su cuenta con información profesional.
🔐 Menos permisos y más supervisión
La recomendación más sencilla es conceder solo los permisos imprescindibles para cada tarea. No conviene aceptar una autorización permanente sin entender su alcance, especialmente cuando permite leer conversaciones, acceder a documentos o enviar mensajes.
- Separar la consulta de datos de la capacidad de actuar.
- Solicitar confirmación antes de enviar, compartir, comprar o contratar.
- Revisar y retirar accesos que ya no sean necesarios.
- Disponer de una forma rápida de detener el agente.
La supervisión debe ser real. No basta con revisar el resultado final si la herramienta ha podido modificar datos, enviar información o comprometer a terceros durante el proceso.
La IA puede preparar el trabajo, pero las acciones con consecuencias deben seguir bajo control humano.
📧 El correo y los documentos también contienen datos de terceros
Una bandeja de entrada puede incluir datos de clientes, proveedores, empleados y colaboradores que nunca han decidido relacionarse con una herramienta de IA. Por eso, conectar el correo profesional no es una decisión exclusivamente individual.
La empresa debe definir qué asistentes están autorizados, qué cuentas pueden utilizarse y qué información queda fuera. No es recomendable conectar documentos profesionales a una cuenta personal de IA sin una autorización y unas reglas claras.
🧠 La memoria puede crear un perfil innecesario
Los asistentes pueden conservar conversaciones, preferencias, rutinas y datos utilizados en tareas anteriores. Con el tiempo, esa memoria puede acumular más información de la que la empresa pretendía compartir.
Conviene revisar la configuración de historial y memoria, establecer periodos de conservación y eliminar la información que ya no sea necesaria. La AEPD recuerda que las medidas de seguridad deben adaptarse al riesgo del tratamiento.
⚠️ Instrucciones ocultas y errores difíciles de ver
Un correo, una web o un documento pueden contener instrucciones ocultas destinadas a que el agente haga algo distinto de lo que pidió la persona. También puede interpretar mal una orden, compartir un archivo equivocado o ejecutar una acción demasiado amplia.
- Limitar qué aplicaciones y carpetas puede utilizar.
- Evitar permisos globales cuando basta con un acceso concreto.
- Registrar las acciones realizadas por el agente.
- Revisar conectores y complementos antes de instalarlos.
- Probar el sistema con datos no sensibles antes de usarlo en producción.
🏢 Cómo llevarlo a una pyme
El decálogo puede convertirse en una política interna breve. La empresa debería mantener un inventario de herramientas autorizadas, responsables, permisos, tipos de datos y acciones permitidas.
Si la organización gestiona muchos contactos, documentos o procesos, una solución de gestión para agencias y consultorías puede ayudar a centralizar la información y separar los accesos. También conviene revisar nuestra guía sobre protección de datos antes de usar IA.
💬 ¿Tu empresa sabría detener y revisar un agente de IA si empezara a actuar de forma inesperada?
La innovación aporta valor cuando la empresa conserva el control sobre sus datos, sus decisiones y las acciones que se realizan en su nombre.
También te puede interesar: cómo proteger el correo profesional como cuenta crítica.
La AEPD publica un decálogo para usar agentes de IA sin perder el control