La CNIL y la IA agéntica: 8 pistas para proteger los datos cuando usas agentes
Después de la AEPD en febrero, la autoridad francesa de protección de datos ha publicado su propia nota sobre agentes de IA. No crea obligaciones nuevas, pero deja ver qué van a mirar los supervisores europeos.
Qué es esta nota
La CNIL la publicó el 20 de julio de 2026 junto al consejo francés de IA y digital. Es una nota exploratoria: plantea pistas y preguntas, no exigencias. Aun así, es útil porque dice qué esperan encontrar los supervisores cuando revisen un tratamiento de datos hecho con agentes.
Las 8 pistas
- Trazabilidad: poder reconstruir todo el recorrido de una decisión: qué datos personales se usaron, qué agentes intervinieron, qué servicios externos se llamaron y en qué orden.
- Control del usuario: que cada persona pueda decidir a qué datos accede el agente, sobre todo si son sensibles.
- Memoria con límites: separar la memoria por agente y por proceso, con un tamaño máximo y borrado automático.
- Filtros en cada paso: revisar lo que entra y lo que sale no solo en la primera petición del usuario, sino cada vez que un agente llama a un modelo.
- Supervisión según el riesgo: clasificar las acciones por riesgo y pedir aprobación humana para las de más riesgo.
- Contención: ejecutar los agentes en entornos aislados y dar al usuario un botón de parada.
- Evaluación: incluir la protección de datos y la seguridad en las pruebas independientes de los agentes.
- Decisiones automatizadas: aclarar, sector por sector, cuándo un agente activa el artículo 22 del RGPD.
Cómo encaja con la guía de la AEPD
La AEPD publicó el 18 de febrero de 2026 sus orientaciones sobre IA agéntica, un documento de 81 páginas. Coinciden en lo esencial: controlar la memoria, mantener la supervisión humana y diseñar asumiendo que habrá errores. La AEPD considera que la medida más importante es una gobernanza propia para los sistemas agénticos que cubra todo su ciclo de vida, y pide implicar al delegado de protección de datos.
Si trabajas en España, la guía de la AEPD es tu referencia principal. La nota de la CNIL sirve como lista de comprobación adicional.
Qué viene después
El Comité Europeo de Protección de Datos y la Comisión preparan unas directrices conjuntas sobre cómo encajan el RGPD y el AI Act, previstas para finales de 2026. La CNIL propone que incluyan recomendaciones específicas para quien desarrolla agentes y para quien los usa.
Qué hacer ahora
- Comprueba si puedes reconstruir lo que hizo cada agente en una operación concreta. Si no puedes, empieza por los registros.
- Revisa qué recuerda cada agente y durante cuánto tiempo.
- Marca las acciones que necesitan aprobación humana: pagos, borrados, envíos fuera de la empresa.
- Asegúrate de que alguien puede parar un agente en minutos, y de que sabe cómo hacerlo.
- Si el agente decide sobre personas, analiza con tu delegado de protección de datos si aplica el artículo 22 del RGPD.
Preguntas frecuentes
¿La nota de la CNIL obliga a las empresas españolas?
No. Es una nota exploratoria de la autoridad francesa. Para tratamientos en España, la referencia es la AEPD, aunque las ideas son muy parecidas.
¿Qué es el botón de parada?
Una forma sencilla y rápida de detener un agente cuando hace algo que no debe, sin depender de que esté disponible el equipo técnico.
Contenido informativo, no asesoramiento jurídico.
¿En qué punto está tu Data Governance?
Diagnóstico gratis con tus gaps prioritarios y las plantillas del camino de Data Governance.