Cómo usa la AEPD la IA generativa: once pautas que un despacho puede aplicar

La Agencia Española de Protección de Datos no solo supervisa cómo otros tratan los datos personales con inteligencia artificial: también ha explicado cómo la usa ella misma. Entre noviembre de 2025 y enero de 2026 publicó tres documentos sobre el uso interno de la IA generativa y, en febrero de 2026, unas orientaciones sobre la IA agéntica.

Estos documentos se refieren a los procesos administrativos de la propia Agencia. No son una norma para los despachos. Pero vienen de la autoridad de control, y sus pautas son fácilmente trasladables a cualquier organización que maneje información confidencial, como un despacho de abogados.

Los documentos

Según la nota de prensa de noviembre, la política se presenta como la primera de este tipo en el sector público. La propia Agencia aclara que no supone una verificación, evaluación ni certificación conforme al Reglamento de inteligencia artificial.

Las once pautas del resumen de enero de 2026

El resumen se dirige a los órganos de decisión y a los equipos que implantan casos de uso de IA generativa. Advierte de que su lista no es exhaustiva. Estas son sus pautas, agrupadas:

Sobre lo que se introduce en la herramienta

1. Evitar que los usuarios introduzcan información personal, sensible o confidencial en sistemas no autorizados para tratarla.
2. Informar a los usuarios de que no deben introducir datos privados, información no pública ni datos personales en esos sistemas.
3. Formar a los usuarios en técnicas para formular consultas sin detalles que comprometan la privacidad o la confidencialidad.

Sobre la configuración

1. Configurar los sistemas con minimización y conservación limitada de datos, incluidos los metadatos y la memoria del sistema.
2. Llevar los casos de uso con información personal o confidencial preferentemente a sistemas internos o específicos que garanticen el control de la organización.
3. Actualizar las evaluaciones de impacto en protección de datos cuando los sistemas cambien de forma significativa.

Sobre los resultados

1. Revisar y validar manualmente los resultados antes de usarlos o publicarlos.
2. Mantener mecanismos eficaces de control humano cuando la decisión pueda afectar a derechos o libertades.
3. No incluir contenido generado por IA en documentos oficiales sin revisión y validación humana.
4. Hacer comprensibles las decisiones automatizadas y prever avisos de revisión humana obligatoria.

Sobre los proveedores

1. Evaluar antes de contratar el uso que el proveedor hace de los metadatos, los registros y los datos para entrenamiento, e incluir cláusulas de no reutilización de datos y de cumplimiento del Reglamento general de protección de datos, del Reglamento de IA y del Esquema Nacional de Seguridad.

Cómo trasladarlas a un despacho

Para un despacho, la traducción es directa:

• Secreto profesional: la primera pauta coincide con el deber de confidencialidad. Ningún dato de un cliente debería entrar en una herramienta no autorizada por el despacho.
• Escritos: la séptima y la novena pautas equivalen a una regla básica: ningún escrito sale del despacho sin que un abogado haya revisado lo que generó la herramienta. Los tribunales ya han sancionado citas inexistentes, como recogimos en el repaso de las sanciones por jurisprudencia falsa.
• Contratos con proveedores: la undécima pauta ofrece una lista de puntos para negociar con el proveedor de la herramienta.
• Política interna: el conjunto de las pautas es un buen esqueleto para la política de IA que defendíamos en el editorial sobre la política de IA en el despacho.

Para el abogado que ejerce solo, las mismas ideas encajan con sus obligaciones generales de protección de datos, que repasamos en la guía de protección de datos para el abogado autónomo.

La IA agéntica

Las orientaciones de febrero de 2026 se refieren a sistemas que no solo responden, sino que actúan de forma autónoma para conseguir sus objetivos. Según la nota de la Agencia, plantean nuevos retos de protección de datos, y el documento propone medidas para responsables y encargados. Quien esté valorando herramientas de este tipo en el despacho debería leer el documento completo antes de implantarlas.

Más análisis en IA jurídica.