El 2 de agosto de 2026 será de aplicación el Reglamento 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (RIA). El Reglamento prohíbe ciertos usos de la Inteligencia Artificial (IA), cataloga ciertos sistemas de IA como de Alto riesgo, estableciendo exigentes requisitos para estos sistemas, e impone obligaciones de transparencia en relación a los sistemas de IA que clasifica como de riesgo limitado.
En la medida en que, para el entrenamiento, el despliegue y el uso de los sistemas de IA se traten datos personales, se deberán aplicar en paralelo el RIA y el Reglamento 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). De hecho, la Agencia Española de Protección de Datos (AEPD) ya ha advertido de que el hecho de utilizar herramientas de IA, “sería un añadido más para ratificar la necesidad de efectuar” Evaluaciones de Impacto en Protección de datos porque este uso afectaría como un riesgo más a los tratamientos efectuados “por su carácter de tecnología novedosa”.
Así pues, el cumplimiento del RIA no exime de cumplir los preceptos que correspondan respecto a la normativa vigente en materia de protección de datos de carácter personal.
En el año 2020, la AEPD ya publicó una Guía de adecuación al RGPD de tratamientos que incorporan inteligencia artificial, actualmente en revisión, en el que se señalaron los aspectos más relevantes en la relación IA-RGPD que deben ser tenidos en cuenta desde el diseño y en la implementación de tratamientos que incluyan IA.
En febrero de este mismo año, con el fin de abordar las cuestiones de protección de datos que pueden surgir cuando responsables y encargados de tratamiento deciden utilizar sistemas de IA Agéntica para implementar tratamientos de datos personales, la AEPD ha publicado orientaciones sobre Inteligencia Artificial Agéntica desde la perspectiva de Protección de Datos.
Un agente de IA es un sistema que utiliza modelos de lenguaje para cumplir un objetivo. Son sistemas autónomos que pueden operar sin intervención humana, pueden llevar a cabo acciones (interactuar con usuarios, enviar información, ejecutar contratos, etc.), son proactivos y pueden planificar y razonar. Todo ello, percibiendo el entorno (interpretan contextos dinámicos). Además, puede tener memoria (acumular experiencia) y ajustan su comportamiento a medida que se usan, es decir, son adaptables.
Otra de sus características definitorias es que tienen capacidad para realizar llamadas a servicios, que pueden ser locales (bases de datos del usuario) o remotos (páginas web).
El documento no analiza el cumplimiento de un tratamiento concreto que se lleve a cabo total o parcialmente mediante IA, sino que explica cómo gestionar las peculiaridades que surgen en un tratamiento por el hecho de llevarse a cabo por medio de IA Agéntica.
Además, realiza una lista no exhaustiva de las vulnerabilidades y amenazas que se pueden presentar debido a la utilización en las organizaciones de sistemas de IA Agénticas. La no exhaustividad radica en que la rápida evolución de las herramientas de IA tiene como consecuencia una transformación continua, casi en tiempo real, de dichas vulnerabilidades y amenazas.
Sin embargo, sí que enfatiza en un concepto clave para poder cumplir con la normativa de protección de datos: el conocimiento.
Sin conocer la cadena de razonamiento de la IA (pasos lógicos en los que el agente descompone un problema hasta llegar a la solución), no se podrá entender el ciclo de vida del dato, la fuente del dato, cuándo, dónde, por quién y con qué finalidad y legitimidad trata el dato, etc.
Cuanto más complejo es el ciclo de vida del dato y más intervinientes participan en él (por ejemplo, mediante la interacción de diferentes sistemas de IA con posibilidad de realizar llamadas a páginas web), más necesario es el conocimiento para detectar vulnerabilidades y aplicar las medidas técnicas y organizativas de seguridad.
Se debe conocer al detalle su arquitectura. Por ejemplo, la IA puede implicar la interacción con numerosos servicios internos y externos, lo que expondría a los datos personales en una cadena de procesamiento en la que intervendría no solo el responsable, sino múltiples entidades bajo las políticas de privacidad, de cookies, de condiciones de servicio y contractuales de cada herramienta de terceros.
Asimismo, la conexión con el exterior presenta también vulnerabilidades: para obtener información podría estar utilizando fuentes no adecuadas, obsoletas, parciales, sesgadas o desinformadas. En cuanto a la información local que se envía al exterior, una libertad excesiva en la invocación de herramientas que recogen información interna podría provocar una comunicación de información innecesaria.
Con respecto a los derechos de los interesados, desconocer cómo funciona el almacenamiento y operaciones de datos personales, daría como resultado una merma en su ejercicio. La configuración de los sistemas ha de estar técnicamente preparada desde el diseño para permitir gestionar el ejercicio de derechos de los sujetos de datos.
Además, cabe señalar que el conocimiento del sistema puede cumplir propósitos ajenos a protección de datos, como el control de los secretos comerciales o la propiedad intelectual e industrial.
En todo caso, el conocimiento de las herramientas y de como interactúan con el medio, permitirán cumplir con todos los principios del tratamiento. Sin ese conocimiento, no será posible informar correctamente a los interesados sobre el tratamiento de sus datos y desde luego, no será posible saber si los datos tratados se limitan a la finalidad para la que fueron recabados, son los mínimos necesarios, son exactos (sobre todo, cuando los datos se recaban de fuentes ajenas al responsable o el encargado), se conservan más allá de lo necesario o si se han establecido las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos.
La AEPD indica que el Registro de Actividades del Tratamiento (RAT) se vuelve a convertir en una herramienta fundamental para la gestión de cumplimiento de la normativa de protección de datos. En él se identificarán los fines del tratamiento, las categorías de interesados y de las categorías de datos personales, las categorías de destinatarios, las transferencias internacionales. Además, la AEPD recuerda que el RGPD sólo establece el contenido mínimo del RAT, pero no el máximo, por lo que tanto Responsables como Encargados deberán determinar qué información adicional podrían necesitar incluir con relación a los sistemas de IA Agéntica que utilizan para implementar tratamientos.
Por último, en lo que a conocimiento se refiere, la Guía incluye un apartado recordando la importancia de la alfabetización sobre sistemas de IA para la eficiencia y eficacia de su implantación en tratamientos: su conocimiento, en particular de sus limitaciones y debilidades, permiten una efectiva protección de datos.
