Agentes de IA: la AEPD pide no pulsar «permitir siempre» sin pensarlo

La Agencia Española de Protección de Datos (AEPD) publicó el martes 27 de octubre un decálogo para quien delega tareas en asistentes y agentes de IA, y uno de sus consejos más claros es no conceder autorizaciones permanentes del tipo «permitir siempre» sin entender su alcance. Está escrito para personas usuarias y no crea obligaciones legales nuevas, pero retrata bien el riesgo de cualquier empresa que conecta un agente al correo o a los pagos.

El documento se titula «Asistentes y agentes de IA: Decálogo para personas usuarias» y lleva como lema «Que la IA actúe por ti, no sin ti». Según la nota de prensa de la Agencia, el paso de responder a actuar cambia la naturaleza de los errores: «Cuando el asistente solo responde, un error es una respuesta equivocada. Cuando actúa, es un correo enviado, un archivo compartido, una compra, un contrato o un consentimiento dado en tu nombre».

La AEPD propone hacerse cinco preguntas antes de delegar: qué puede ver, qué puede recordar, qué puede hacer en mi nombre, dónde envía mis datos y si afecta a alguien más. Y cita un caso conocido: un usuario pidió a su agente vender un objeto, eligió «permitir siempre» y el agente cerró el trato y dio su dirección al comprador sin que el vendedor lo supiera.

Lo que dice el decálogo

El núcleo son los permisos. «Leer no es lo mismo que enviar, modificar o borrar», advierte el texto, que pide dar el acceso mínimo (una carpeta o un calendario, no toda la cuenta) y activar la confirmación previa para enviar, compartir, borrar, pagar o contratar. Sobre la opción del titular es explícito: «No concedas autorizaciones permanentes para actuar sin preguntarte (“permitir siempre”) salvo que sean realmente necesarias y comprendas su alcance».

También advierte de lo que en el sector llamamos inyección de prompts: una web, un correo o un PDF pueden esconder instrucciones para el agente, incluso en texto blanco sobre fondo blanco. Y no promete milagros: «Ninguna medida elimina por completo este riesgo; por eso la mejor protección es limitar lo que el agente puede hacer si consigue ser engañado».

Para el ámbito laboral, el decálogo pide usar solo los asistentes autorizados por la organización. «No instales agentes por tu cuenta en el equipo de trabajo ni conectes el correo o los documentos profesionales a una cuenta personal de IA», dice, y recuerda que los datos de clientes, pacientes, alumnos o ciudadanos siguen siendo responsabilidad de la organización.

Cómo llevarlo a la empresa

No es una norma ni se dirige al responsable de TI, pero buena parte de sus consejos se traduce sin esfuerzo a política corporativa, más ahora que los incidentes de seguridad con IA agéntica llegan a las empresas de EMEA y que una parte relevante del uso de IA empresarial elude la seguridad corporativa. Lo que sigue son recomendaciones de MuySeguridad a partir del texto, no indicaciones de la Agencia:

• Permisos mínimos por defecto: solo lectura y acceso acotado a carpetas o calendarios concretos, con las autorizaciones permanentes desactivadas si la consola de administración lo permite.
• Confirmación humana obligatoria en pagos, compras, correos a terceros y aceptación de condiciones, con una persona que revise destinatario, importe y adjunto.
• Inventario de conectores y complementos: cuáles hay, quién los autorizó, con qué permisos y cómo se revocan. Y hay que saber de antemano cómo detener un agente.
• Una política frente a la IA en la sombra, pactada con el delegado de protección de datos: lista de asistentes aprobados, prohibición de conectar el correo corporativo a cuentas personales y una alternativa autorizada, porque sin ella la prohibición dura poco.
• Separar leer de actuar: un agente que procesa correo entrante o webs externas no debería poder enviar ni pagar sin confirmación.

El apartado final, dedicado a los proveedores, sirve como cuestionario antes de contratar. Según la AEPD, «la responsabilidad de los asistentes y agentes de IA no puede recaer solo en la persona usuaria», y quien los ofrece debería dar permisos que distingan consultar de actuar, confirmación configurable, historial de acciones, una forma inmediata de detenerlo, borrado de la memoria e información sobre si los datos se usan para entrenar la IA. Cada punto es una pregunta para el comercial de turno.

La publicación coincide con la llegada de productos para vigilar agentes, como la Open Agent Safety Platform de NVIDIA, que os contamos a principios de mes.