Antes de conectar un agente de IA al correo de la empresa, lo que dice la AEPD

El 27 de octubre de 2026 la Agencia Española de Protección de Datos publicó «Asistentes y agentes de IA. Decálogo para personas usuarias». El documento le habla de tú a quien delega tareas en estas herramientas, y su subtítulo resume la idea entera, «Que la IA actúe por ti, no sin ti». Es una guía de recomendaciones, no una norma, y no cita artículos del RGPD ni del Reglamento de IA.

Sin embargo, una empresa haría mal en leerlo como un asunto de consumidores. El decálogo trae un apartado para el trabajo y otro con lo que se puede esperar del proveedor. Leídos desde el otro lado de la mesa, esos dos apartados son una lista de lo que una organización debería tener resuelto antes de que alguien conecte un agente al correo corporativo.

La llave que nadie entregó

La AEPD escoge bien la imagen de su primer punto. Un asistente con acceso al correo, la agenda, los archivos o los pagos, dice, es «una llave a buena parte de tu vida digital». Cambie vida digital por empresa y el asunto se vuelve otro. En un buzón corporativo hay contratos, datos de clientes, instrucciones de pago y el historial entero de una relación comercial, y la llave de ese buzón no la estaría entregando la dirección. La estaría entregando una persona con buena fe y ganas de ahorrarse media hora, desde un botón que dice «conectar».

Nadie cambia la cerradura de una oficina porque un trabajador hizo una copia de la llave para ayudarse. Primero hay que saber que la copia existe.

La regla para el trabajo

Partamos por el texto. Bajo el título «Si lo usas en el trabajo», la agencia recomienda utilizar solo los asistentes autorizados por la organización y conectar únicamente las cuentas, aplicaciones y datos que esta haya autorizado. Agrega que no se instalen agentes por cuenta propia en el equipo de trabajo ni se conecte el correo o los documentos profesionales a una cuenta personal de IA. Y explica por qué, «los datos de clientes, pacientes, alumnos o ciudadanos siguen siendo responsabilidad de tu organización, y tú lo eres del uso que haces de ellos».

Llama poderosamente la atención lo que esa recomendación da por supuesto. Le dice al trabajador que use lo autorizado, y eso solo funciona si alguien autorizó algo. Si la empresa no tiene una lista, el trabajador recibe una regla que apunta a un vacío, y lo más probable es que resuelva por su cuenta. De ahí sale la primera tarea, que es decidir y publicar internamente qué asistentes se pueden usar, con qué cuentas y sobre qué datos, y decir a quién se le consulta en caso de duda. La AEPD señala a la persona delegada de protección de datos.

Las cuatro puertas

Antes de delegar, el decálogo propone cinco preguntas. Cuatro de ellas describen las puertas por las que el agente entra y sale de la información, y conviene convertir cada una en una decisión de la empresa.

Lo que ve. La agencia separa con claridad leer de enviar, modificar o borrar, y pide dar el acceso mínimo, una carpeta o un calendario antes que toda la cuenta. Para una empresa esto se traduce en definir, por tipo de agente, qué permisos se conceden y quién los revisa, de nuevo cuando la herramienta incorpora funciones.

Lo que recuerda. La memoria construye poco a poco un perfil, y la agencia advierte que para eliminar información hay que usar los controles del servicio y no confiar solo en pedírselo en la conversación, porque borrar un chat, borrar una memoria y eliminar una aplicación conectada no tienen el mismo efecto. Es un punto que conviene probar antes de contratar. ¿Puede su empresa comprobar qué guardó el servicio de un trabajador que se fue?

Lo que hace. Aquí está el corazón del documento. «Cuando el asistente solo responde, un error es una respuesta equivocada. Cuando actúa, es un correo enviado, un archivo compartido, una compra, un contrato o un consentimiento dado en tu nombre.» Por eso pide activar la confirmación previa para enviar, publicar, compartir, borrar, pagar, contratar o aceptar condiciones, y no conceder autorizaciones permanentes salvo que sean realmente necesarias.

A dónde envía. Los servicios tienen que estar claramente identificados y decir adónde se envían los datos. Un área de compras reconocerá en esto una pregunta de siempre, hecha ahora sobre un producto que suele instalarse sin pasar por compras.

La quinta pregunta, si afecta a alguien más, cruza a las otras cuatro. En un correo corporativo hay datos de clientes y compañeros que no decidieron relacionarse con esa herramienta, y el decálogo es directo, que usted lo autorice no le da vía libre para utilizar la información de los demás.

El correo reúne lo que no conviene reunir

Hay un pasaje que merece atención aparte. El decálogo pide evitar que una misma tarea junte contenido procedente de desconocidos, acceso a la información privada y capacidad de actuar en nombre de la persona. La razón está en su punto 7, porque una web, un correo, un PDF o una invitación de calendario pueden traer instrucciones ocultas, incluso invisibles, para que el agente haga algo distinto de lo pedido, y la agencia admite que ninguna medida elimina por completo ese riesgo. Su ejemplo de lo que hay que evitar es «resume mis correos nuevos y responde a todos».

Ahora bien, a nuestro juicio un buzón corporativo trae esas tres condiciones de fábrica. Recibe mensajes de cualquiera, guarda información interna y, si el agente puede responder, actúa en nombre de la empresa. Por eso la pregunta de fondo no es si el agente es confiable, sino qué podría hacer si alguien lo engaña. La AEPD lo dice en una frase que podría ir al inicio de cualquier política interna, la mejor protección es limitar lo que el agente puede hacer si consigue ser engañado. En la práctica, si se conecta al correo, que sea con lectura y con confirmación humana antes de toda acción hacia fuera.

Lo que se le puede pedir al proveedor

«La responsabilidad de los asistentes y agentes de IA no puede recaer solo en la persona usuaria», escribe la agencia, y enumera los controles que debería ofrecer quien presta el servicio. Son permisos comprensibles que distingan consultar de actuar, confirmación configurable para las acciones de mayor impacto, un historial de lo que el agente ha hecho, una forma inmediata de detenerlo, gestión y borrado de la memoria, información clara sobre a quién se envían los datos y si se usan para entrenar la IA, y una vía sencilla para ejercer los derechos.

La lista está pensada para orientar a una persona que elige un servicio, pero nada impide usarla como pliego de requisitos. Si un proveedor no ofrece historial de actividad, por ejemplo, tampoco habrá con qué responder cuando alguien pregunte qué hizo el agente con su cuenta.

Lo que agregamos nosotros sobre el RGPD

El decálogo no hace esta conexión, así que la que sigue es nuestra y depende de cómo esté montado cada servicio. Cuando una empresa despliega un agente sobre datos personales, sigue siendo la que debe responder por ese tratamiento, y hay cuatro artículos del RGPD que vale la pena tener a la vista. El artículo 5.1.c exige datos limitados a lo necesario, que es el acceso mínimo con otro nombre. El artículo 28.1 obliga a elegir encargados que ofrezcan garantías suficientes, si el proveedor trata datos por cuenta de la empresa. El artículo 32 pide medidas de seguridad acordes al riesgo. Y el artículo 33.1 fija el plazo de notificación a la autoridad de control, de ser posible a más tardar 72 horas después de tener constancia de la violación, salvo que sea improbable que suponga un riesgo para las personas.

Esto último importa porque el punto 10 del decálogo ya prevé el fallo. Si algo sale mal, recomienda detener el agente, desconectar las aplicaciones afectadas, cambiar las contraseñas, comprobar qué se ha enviado y avisar a quien pueda verse afectado, en el trabajo a la organización. Si el trabajador no sabe a quién llamar, ese plazo empieza a gastarse en silencio. Ya contamos que la AEPD mira con atención lo que hay detrás de los sistemas de IA en el empleo, y su papel dentro del mapa europeo está en quién fiscaliza la protección de datos.

Cómo se vería resuelto

Una empresa que haya hecho este trabajo debería poder mostrar una lista de asistentes autorizados con sus permisos, una regla escrita sobre correo y cuentas personales, los requisitos exigidos al proveedor, un aviso claro para los incidentes y el registro de quién conectó qué. Es la evidencia que busca cualquier revisión seria, como explicamos al contar qué revisa un auditor en un programa de cumplimiento.

«Delegar no es desentenderse», escribe la agencia en su último punto. Una llave se entrega en un segundo, y saber cuántas copias andan por la casa es un trabajo que no termina nunca. Lo razonable es empezar a contarlas antes de que alguien abra una puerta que nadie sabía que estaba abierta.

En Normatic AI cada control interno queda con responsable, fecha y evidencia, y eso incluye también decidir quién tiene las llaves.

Este artículo comenta un documento de recomendaciones de la AEPD, sin valor normativo propio, y agrega una lectura propia del RGPD. No constituye asesoría legal. Para decisiones concretas sobre su organización, consulte con un profesional.