La AEPD pide poner límites a los agentes de IA: el reto pendiente es acreditar en nombre de quién actúan 

Un usuario pide a su agente de inteligencia artificial que venda un objeto que ya no usa. Para no validar cada paso, le autoriza a actuar siempre, convencido de que le consultará antes de aceptar una oferta. No lo hace: cierra la venta, da la dirección del vendedor al comprador y este se presenta en su casa sin que nadie le haya avisado. Se plantean tres cuestiones jurídicas distintas: si existía autorización para contratar, si la comunicación de datos personales era lícita y quién debe responder y aportar evidencia de lo ocurrido 

No es ciencia ficción. Es uno de los casos reales que la Agencia Española de Protección de Datos (AEPD) cita al presentar su nuevo decálogo sobre asistentes y agentes de IA. Y resume bien la idea de fondo del documento: cuando la IA pasa de responder a actuar, el error deja de ser una respuesta equivocada y se convierte en un correo enviado, una compra o un consentimiento prestado en nombre de alguien que no lo ha decidido. 

El decálogo acierta en lo esencial: conceder a los agentes solo los accesos imprescindibles, exigir confirmación antes de enviar, pagar o contratar y desconfiar de las autorizaciones permanentes. Es decir, el valor jurídico del decálogo reside en traducir a decisiones operativas una exigencia de gobernanza: delimitar los accesos, restringir las autorizaciones permanentes y establecer confirmaciones antes de ejecutar actuaciones de mayor impacto. Su planteamiento sobre las instrucciones ocultas en correos, webs o documentos es especialmente lúcido. Como ningún control elimina del todo el riesgo de que el agente sea manipulado, la mejor defensa es limitar lo que puede hacer si llega a serlo. 

Leído en clave jurídica, dos principios básicos del RGPD, la minimización de datos (artículo 5.1.c) y la protección de datos desde el diseño y por defecto (artículo 25), exigen configurar permisos proporcionados a la tarea. Autorizar técnicamente al agente no legitima, por sí solo, todos los tratamientos que pueda realizar. Ya no importa solo a qué datos accede una herramienta, sino qué capacidad de actuar se le delega. 

El decálogo, además, no llega en el vacío. La Comisión Europea ya ha aclarado que los agentes de IA no constituyen una categoría jurídica autónoma: encajan en las definiciones de sistema de IA y de modelo de uso general del Reglamento (UE) 2024/1689, y les alcanzan sus obligaciones, incluidas las de transparencia cuando interactúan con personas. Desde el 2 de agosto, la Oficina de IA ejerce sus competencias sobre los modelos de uso general y determinados sistemas, mientras que las autoridades nacionales supervisan los restantes ámbitos.. En octubre, la Comisión anunció requerimientos de información a los proveedores de los modelos más avanzados tras varios incidentes en los que agentes de IA actuaron más allá de lo que pretendían sus responsables. 

El mensaje de Bruselas es que la IA debe permanecer bajo dirección, supervisión y control humanos, un principio que el decálogo de la AEPD traslada al día a día del usuario. Pero el Reglamento de IA ordena la cadena de quien desarrolla y despliega el sistema; no resuelve a quién vincula lo que un agente hace en nombre de un ciudadano. Y el riesgo no es solo el ataque externo. Como se analizaba recientemente en Facephi Observatory, un agente puede descontrolarse sin malicia alguna: si se le encarga un objetivo con una restricción, puede buscar por su cuenta el atajo que la sortea. Ninguna norma contiene intenciones, de modo que los límites han de fijarse antes de delegar y verificarse en cada operación, no solo en la configuración inicial. 

Pero el decálogo se dirige, como dice su título, a las personas usuarias, y ahí asoma su límite. La propia Agencia admite que aceptar todos los permisos por cansancio no es tener el control. Si la última línea de defensa es que cada ciudadano lea cada confirmación de su agente, corremos el riesgo de repetir la historia de los banners de cookies: consentimiento formal, control casi nulo. Debe identificarse quién determina los fines y medios del tratamiento y quién trata datos por cuenta de otro. Las categorías de responsable y encargado del RGPD no coinciden necesariamente con las de proveedor y responsable del despliegue del AI Act. 

La AEPD lo sabe, y por eso cierra recordando que la responsabilidad no puede recaer solo en el usuario: quien ofrece agentes capaces de actuar debería ofrecer también permisos comprensibles, un historial de lo que el agente ha hecho y una forma inmediata de detenerlo. Es necesario, pero el reparto queda incompleto. El decálogo habla de dos actores, el usuario y el proveedor del asistente, cuando en cada operación hay un tercero. 

Cada acción de un agente aterriza en algún sitio: el banco que ejecuta una transferencia, el comercio que cobra, la administración que tramita una solicitud. Esa entidad decide si ejecuta lo que el agente le pide, y es ella la que, si algo sale mal, tendrá que acreditar ante auditores y supervisores que actuó con la diligencia debida. 

Para ella, la pregunta ya no es solo quién es su cliente, sino qué agente actúa, en nombre de quién, con qué mandato y dentro de qué límites. Es lo que el sector empieza a llamar Know Your Agent (KYA), la evolución natural del Know Your Customer. No sustituye la verificación de las personas, sino que añade una capa sobre ella: verificar con solidez a quien delega, registrar la delegación de forma que tenga valor probatorio y conservar la trazabilidad de cada operación. No basta con identificar al agente cuando entra en un sistema; hay que saber, en cada interacción, a quién sirve. 

El propio decálogo deja una pista valiosa. Cuando toca identificarse o pagar, recomienda que sea la persona, y no el agente, quien introduzca sus datos en el espacio seguro habilitado para ello. Es decir, el regulador sitúa en el momento de la identidad el punto en el que el ser humano tiene que reaparecer. Su premisa, «el agente prepara y la persona aprueba», es impecable, pero solo funciona si se puede demostrar que quien aprobó fue de verdad la persona y no el propio agente pulsando el botón de confirmar. 

Las preguntas jurídicas que se abren son de calado. La AEPD advierte de que el usuario puede responder de lo que ha permitido hacer a su agente, y el Código Civil ofrece un punto de partida: el mandatario no puede traspasar los límites del mandato (artículo 1714) y, en lo que se exceda, el mandante solo queda obligado si lo ratifica expresa o tácitamente (artículo 1727). Pero un agente de IA no es un mandatario con personalidad jurídica, y una autorización permanente puede ensanchar esos límites hasta hacerlos irreconocibles. ¿Puede un agente prestar un consentimiento válido en los términos del RGPD, que lo exige libre, específico, informado e inequívoco? ¿Quién carga con la prueba cuando la operación se disputa? Ninguna tiene aún respuesta cerrada, y todas dependen de lo mismo: poder demostrar quién decidió qué y dentro de qué límites. 

El decálogo es una buena noticia porque abre una conversación que el mercado no puede aplazar. La seguridad jurídica de las operaciones delegadas no puede descansar solo en la prudencia del usuario ni en la configuración del proveedor; necesita también entidades capaces de verificar, en cada operación, quién está detrás de un agente y qué le autorizó a hacer. El valor jurídico del decálogo reside en traducir a decisiones operativas una exigencia de gobernanza: delimitar los accesos, restringir las autorizaciones permanentes y establecer confirmaciones antes de ejecutar actuaciones de mayor impacto.  

La Agencia resume su propósito en una fórmula que cualquiera suscribiría: que la IA actúe por ti, no sin ti. Jurídicamente, esa aspiración exige que cada actuación del agente pueda atribuirse a una persona identificada, ampararse en un mandato acreditado y documentarse con evidencia que pueda hacerse valer ante un supervisor o un tribunal. Significa mantener un control adecuado al riesgo de cada operación. Debe poder demostrarse qué autorizó la persona, qué hizo el agente y qué verificó quien recibió la solicitud, sin recoger más datos de los necesarios. Es, en el fondo, el principio de responsabilidad proactiva del RGPD trasladado a la IA agéntica: no basta con cumplir, hay que poder demostrarlo. Y cuando quien ejecuta es un agente, lo primero que habrá que acreditar es en nombre de quién actuaba. 

La autonomía del agente no debe diluir la responsabilidad de quienes lo diseñan, despliegan o utilizan. El RGPD protege los datos personales y el AI Act regula los sistemas de IA y sus operadores. La clave jurídica es poder probar en nombre de quién actuó el agente y si respetó lo autorizado.