La Agencia Española de Protección de Datos ha publicado el 27 de octubre de 2026 un decálogo sobre asistentes y agentes de inteligencia artificial. La novedad es una guía de recomendaciones para herramientas que, además de responder, pueden operar con el correo, los archivos, las reservas o los pagos. No se trata de una nueva norma ni de una resolución sancionadora.
El permiso para consultar no equivale al permiso para actuar
La AEPD aconseja ajustar los accesos a cada tarea y reservar la confirmación previa para actuaciones como enviar información, compartir documentos, borrar archivos o contratar. También advierte de que escribir límites en una conversación no sustituye los permisos técnicos ni las confirmaciones.
El documento aborda las instrucciones ocultas en correos, páginas o documentos: un agente puede recibir contenido ajeno que intente desviarlo de su encargo. La Agencia señala que ninguna medida elimina por completo ese riesgo y recomienda reducir lo que la herramienta puede hacer si resulta engañada.
Qué conviene revisar en una empresa
En el trabajo, la guía recomienda utilizar únicamente los asistentes autorizados por la organización y no conectar documentación o correo profesional a cuentas personales de IA. Recuerda, además, que esos archivos pueden contener datos de clientes, compañeros u otras personas.
Como pauta práctica de implantación, conviene separar tres decisiones antes de activar un agente:
- Qué puede consultar: identificar las carpetas, cuentas y datos estrictamente necesarios, en lugar de abrir todo el entorno profesional.
- Qué puede ejecutar: distinguir la preparación de un borrador de su envío o de la aceptación de condiciones, con revisión previa de las actuaciones relevantes.
- Cómo se controla y se detiene: comprobar el historial de actividad, la retirada de accesos y la gestión de la memoria del servicio.
Esta comprobación ayuda a concretar el alcance de la herramienta, pero no equivale por sí sola a una evaluación completa de cumplimiento ni sustituye el análisis de los datos y del servicio utilizados.
Fuentes: nota oficial de la AEPD de 27 de octubre de 2026 y decálogo para personas usuarias, consultado íntegramente.
En Adara Legal podemos ayudarte en este asunto. Si estás incorporando estas herramientas a tu organización, puedes consultar nuestros servicios de asesoramiento societario y empresarial.