Hay una diferencia enorme entre un chatbot que responde preguntas y un sistema de inteligencia artificial que toma decisiones, ejecuta tareas y actúa de forma autónoma sin que nadie le dé instrucciones para cada paso. Eso es la IA agéntica. Y en febrero de 2026, la AEPD publicó su primera guía oficial sobre cómo afecta esta tecnología a la protección de datos.
El momento no es casual. Los sistemas de IA agéntica están ya en uso en muchas empresas españolas, a menudo sin que los responsables sean conscientes de lo que están tratando ni de las obligaciones que eso genera.
Qué es exactamente la IA agéntica y por qué cambia las reglas
Un asistente de IA convencional espera que le hagas una pregunta y te da una respuesta. La IA agéntica funciona de otra manera: recibe un objetivo, planifica los pasos para conseguirlo, accede a sistemas externos, toma decisiones intermedias y ejecuta acciones. Sin supervisión humana en cada punto.
Eso tiene implicaciones directas en protección de datos porque estos sistemas, para hacer su trabajo, acceden a información personal. Un agente de IA que gestiona emails de clientes, que consulta bases de datos internas para resolver incidencias, o que evalúa solicitudes y toma decisiones sobre ellas, está tratando datos personales de una forma que el RGPD regula con mucho detalle. Y lo hace de forma autónoma, lo que hace más difícil rastrear qué datos ha procesado, con qué finalidad y si el resultado es discriminatorio o erróneo.
Lo que la AEPD exige según su guía de febrero de 2026
La guía identifica cuatro áreas de riesgo específicas de la IA agéntica: la falta de transparencia sobre qué hace el sistema con los datos, la dificultad de garantizar la minimización de datos cuando el agente accede a más información de la estrictamente necesaria, los riesgos de seguridad derivados de que el sistema interactúe con entornos digitales externos, y la complejidad de atender los derechos de los interesados cuando el tratamiento lo ha realizado una máquina de forma autónoma.
Frente a eso, la AEPD establece que quien usa un sistema de IA agéntica es responsable del tratamiento de datos que ese sistema realiza. No vale decir que fue el algoritmo. La empresa que despliega el agente tiene que hacer una evaluación de riesgo antes de ponerlo en marcha, garantizar que opera con el principio de minimización de datos, y ser capaz de explicar qué ha hecho el sistema si un interesado ejerce sus derechos.
Qué empresas están usando ya IA agéntica sin saberlo
Más de las que creen. Si usas una herramienta que gestiona automáticamente respuestas a clientes consultando tu CRM, un sistema que categoriza solicitudes de soporte y las asigna sin intervención humana, o cualquier plataforma de automatización que toma decisiones basadas en datos de personas, estás usando IA agéntica en alguna medida.
El primer paso es identificarlo. El módulo de AI Act de SIGNA360 incluye el inventario de sistemas de IA donde puedes clasificar exactamente qué herramientas usas, cuáles son agénticas, qué datos tratan y qué nivel de riesgo tienen. Es el punto de partida que exige tanto la guía de la AEPD como el propio reglamento europeo.
