Agentes de IA en su empresa según el RGPD y el Reglamento de IA de la UE

Revisado en septiembre de 2026. Es un resumen práctico, no asesoramiento jurídico. Para decisiones importantes, consulte a un abogado o a su delegado de protección de datos.

Transparencia: esto ya le afecta hoy

¿Es su agente de alto riesgo?

• Empleo: filtrar currículos, clasificar candidatos, evaluar el rendimiento, decidir ascensos o despidos
• Crédito: evaluar la solvencia de una persona
• Seguros: fijación de precios o evaluación de riesgos en seguros de vida y de salud
• Educación: admisiones, calificación, supervisión de estudiantes durante los exámenes
• Servicios esenciales: decidir el acceso a prestaciones públicas y servicios similares

Qué significa eso para un agente

• Una base jurídica para cada uso. El motivo por el que conserva datos de clientes no cubre automáticamente dárselos a un modelo de IA con un fin nuevo.
• Solo los datos que la tarea necesita. Un agente que responde preguntas sobre facturas no necesita el historial completo del cliente en cada prompt.
• Un contrato de encargo del tratamiento con cada encargado. Su proveedor del modelo de IA, su proveedor de alojamiento y su plataforma de mensajería tratan datos personales por cuenta de usted.
• Transferencias fuera de la UE. Si una solicitud llega a un proveedor de modelos fuera de la UE, es una transferencia internacional y necesita una base válida.
• Una EIPD cuando el riesgo es alto. Una tecnología nueva usada a gran escala, datos sensibles o una observación sistemática suelen exigir una evaluación de impacto relativa a la protección de datos.
• Personas en las decisiones importantes. Las personas tienen derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en ellas o les afecten significativamente de modo similar.
• Reglas de conservación para transcripciones y memoria. Los agentes guardan registros de conversación y archivos de memoria. Necesitan un plazo de conservación como cualquier otro registro.
• Los derechos de los interesados incluyen al agente. Cuando alguien pide acceso a sus datos o su supresión, los registros y la memoria del agente forman parte de la respuesta.

• Deje que un modelo local vea primero los datos personales. Un modelo pequeño en su propia máquina puede clasificar solicitudes, extraer campos y eliminar nombres o números de identificación antes de enviar nada a un modelo en la nube.
• Aloje el agente en la UE. La máquina que guarda transcripciones, memoria y credenciales queda sujeta al derecho de la UE.
• Elija condiciones de API adecuadas para datos empresariales. Revise las condiciones de conservación de datos y de entrenamiento de cada proveedor para el uso de la API, y si ofrece tratamiento de datos en la UE.
• Exija aprobación para las acciones con consecuencias. Enviar una factura, modificar un registro, responder a una reclamación: que el agente prepare y una persona confirme.
• Mantenga un registro de auditoría. Para cada acción: qué solicitud la originó, qué decidió el agente, qué herramienta llamó, qué cambió y quién la aprobó.
• Dé al agente credenciales limitadas. De solo lectura cuando sea posible, restringidas a los sistemas que necesita la tarea, fáciles de revocar.

Reglamento de IA

• Se informa a los usuarios cuando interactúan con el agente
• El contenido generado por IA se etiqueta cuando es obligatorio
• Ha comprobado si algún uso entra en un ámbito de alto riesgo
• Si es así, tiene un plan para diciembre de 2027

GDPR

• Sabe qué datos personales lee, almacena y envía el agente
• Cada uso tiene una base jurídica
• Hay contratos de encargo firmados con cada encargado
• Las transferencias fuera de la UE están cubiertas
• Se ha hecho una EIPD donde el riesgo lo exige
• Las decisiones con efectos significativos cuentan con intervención humana
• Las transcripciones y la memoria tienen un plazo de conservación
• Las solicitudes de acceso y supresión abarcan los datos del agente

Operaciones

• Cada acción del agente queda registrada
• Las acciones con consecuencias necesitan aprobación
• Las credenciales están limitadas y se pueden revocar
• Su política de privacidad nombra a los proveedores de IA que usa

• Alojado en la UE. Su Mac y todo lo que contiene permanecen en la Unión Europea, gestionados por una empresa de la UE.
• Un contrato de encargo del tratamiento, previa solicitud.
• Un cliente por Mac. Las transcripciones, la memoria y las credenciales de su agente están en un hardware que nadie más usa.
• Modelos locales en la misma máquina. Mantenga las solicitudes rutinarias, y los datos personales que contienen, fuera de servicios de IA de terceros.