La AEPD (Agencia Española de Protección de Datos) ha publicado nuevas recomendaciones sobre el uso de asistentes y agentes de inteligencia artificial, sistemas que ya no se limitan a generar textos o responder consultas, sino que pueden ejecutar acciones de forma autónoma: gestionar correos y calendarios, acceder a documentos, realizar reservas o interactuar con otras aplicaciones.
Para empresas y profesionales, este cambio supone un riesgo adicional: un agente de IA puede llegar a tener acceso simultáneo a distintas fuentes de información interna y utilizar datos personales para realizar tareas sin una intervención humana constante. La AEPD recomienda definir desde el inicio qué información puede utilizar el sistema y hasta dónde puede actuar.
Cuidado con dar acceso a todo el entorno de trabajo
Uno de los riesgos señalados por la AEPD es la falta de separación entre los distintos datos a los que puede acceder un agente. Utilizar un mismo sistema para diferentes procesos de la empresa puede provocar que información obtenida para una finalidad termine siendo utilizada en otra distinta o incluso comunicada a terceros.
Esto resulta especialmente relevante cuando el agente tiene acceso a correos electrónicos, expedientes, contratos, informes, bases de datos o documentación de clientes y trabajadores. La Agencia advierte de que deben limitarse los accesos a aquellos datos que sean realmente necesarios para cada tarea.
Los documentos pueden contener más información de la que vemos
La AEPD también llama la atención sobre los documentos y archivos no estructurados. Un agente puede procesar mensajes, informes, actas, fotografías o archivos que contengan datos personales que no sean necesarios para la tarea encomendada.
Además, los archivos pueden incorporar metadatos ocultos, como nombres de autores, ubicaciones, historiales de edición o identificadores técnicos. Si estos datos no se eliminan o filtran previamente, pueden terminar siendo tratados o compartidos por el sistema de IA sin que la empresa sea plenamente consciente de ello.
La memoria del agente también plantea riesgos
Otra cuestión destacada por la Agencia es la capacidad de estos sistemas para conservar información durante largos periodos. Una memoria persistente sin políticas claras de conservación y borrado puede provocar una retención excesiva de datos personales.
Por ello, las empresas deberían revisar no solo qué información se introduce en la herramienta, sino también durante cuánto tiempo se conserva, dónde se almacena y qué otros sistemas pueden acceder a ella.
La supervisión humana no elimina la responsabilidad de la empresa
La AEPD advierte además de que no basta con afirmar que existe una persona supervisando el funcionamiento de la IA. La supervisión humana no puede utilizarse para compensar deficiencias de diseño, falta de controles o una mala gestión de los permisos.
La responsabilidad sobre el tratamiento de los datos sigue correspondiendo a la organización. Por ello, antes de incorporar un agente de IA a los procesos internos, deben definirse claramente sus permisos, los datos que puede utilizar, las acciones que puede ejecutar y quién será responsable de su supervisión.
¿Qué deberían revisar empresas y autónomos?
Antes de permitir que un asistente de IA acceda al correo, documentos, agenda, CRM u otras herramientas corporativas, conviene analizar qué información necesita realmente y limitar sus permisos al mínimo imprescindible.
La recomendación de la AEPD es clara: aprovechar las posibilidades de estos sistemas, pero sin perder el control sobre los datos personales ni sobre las acciones que pueden realizar en nombre de la empresa.
