Cuando un cliente, un candidato o un empleado descubre que una decisión que le afecta —una tarifa distinta, un descarte en un proceso de selección, una respuesta automática que le deniega algo— pasó por un agente de IA, la pregunta que surge casi siempre es la misma: ¿qué puedo exigir saber, y puedo corregir el dato si está mal? La respuesta está en dos derechos del RGPD que ya existían antes de que la IA generativa se pusiera de moda —el derecho de acceso y el derecho de rectificación— pero que cobran una dimensión distinta cuando quien participó en la decisión no fue una persona, sino un sistema automatizado.
Este artículo explica qué implican estos dos derechos en el contexto concreto de un agente de IA, y qué debe tener preparado tu empresa para responder sin bloquear el proceso ni improvisar. Como en todo lo relacionado con protección de datos, esto no sustituye asesoría legal: si gestionas una reclamación con implicaciones serias, consulta con un abogado o con tu delegado de protección de datos antes de responder formalmente.
Dos derechos distintos que conviene no confundir
El derecho de acceso (artículo 15 RGPD) permite a cualquier persona pedir confirmación de si se están tratando sus datos, y si es así, obtener una copia de esos datos junto con información sobre la finalidad del tratamiento. El derecho de rectificación (artículo 16) permite corregir datos inexactos o incompletos. Ninguno de los dos es, en sí mismo, el derecho a impugnar una decisión automatizada como tal —eso es el artículo 22, un derecho distinto que tratamos en detalle en qué es el derecho a no ser objeto de una decisión automatizada. Aquí nos centramos en los dos primeros, que son los que con más frecuencia llegan antes: la persona quiere entender qué se sabe de ella y corregirlo, incluso antes de plantearse impugnar nada.
Qué debe poder entregar tu empresa ante una solicitud de acceso
Cuando un agente de IA ha participado en una decisión, el derecho de acceso se vuelve más exigente que en un tratamiento de datos convencional. No basta con entregar los campos de una base de datos; la persona tiene derecho a conocer también la lógica aplicada de forma comprensible y las consecuencias previsibles de ese tratamiento para ella, cuando la decisión tiene un componente automatizado con efectos relevantes. En la práctica, esto significa que tu empresa debería poder mostrar:
- Qué datos de entrada usó el agente para llegar a esa decisión o recomendación concreta.
- Una explicación en lenguaje llano —no el código ni el modelo— de qué criterios pesaron en el resultado.
- Si hubo o no revisión humana antes de que la decisión se hiciera efectiva, y quién la realizó.
Si tu empresa no puede reconstruir esta información porque el agente no deja registro de sus decisiones, el problema no es solo de cumplimiento normativo: es que tampoco puedes auditar tu propio sistema cuando algo falla. Por eso, cualquier agente de IA que participe en decisiones sobre personas debería diseñarse desde el principio con trazabilidad, no añadírsela después de la primera reclamación.
Rectificación: cuando el error está en el dato, no en el agente
La mayoría de las solicitudes de rectificación no cuestionan cómo razona el agente, sino que señalan un dato de entrada equivocado: una fecha de nacimiento mal introducida, un historial de pagos desactualizado, una dirección antigua que sigue en el sistema. El matiz importante aquí es que corregir el dato no es suficiente si la decisión ya se tomó con el dato erróneo y tuvo consecuencias: la rectificación debe ir acompañada, cuando corresponda, de una revisión de la decisión original a la luz del dato correcto.
Un agente bien diseñado facilita esto si permite volver a ejecutar el mismo caso con los datos corregidos y comparar el resultado, en lugar de limitarse a actualizar el registro hacia adelante y dejar la decisión anterior intacta.
Plazos y canal: gestionar la solicitud sin parar el proceso
El RGPD fija un plazo general de un mes para responder a estas solicitudes, ampliable en casos complejos. Para no llegar a ese límite de forma improvisada cada vez, conviene tener definido de antemano:
- Un canal identificable para que cualquier persona pueda ejercer estos derechos, sin tener que adivinar a quién escribir.
- Un procedimiento interno que sepa localizar, para un caso concreto, qué agente intervino, con qué datos y con qué resultado.
- Un criterio claro sobre cuándo la solicitud requiere revisar también la decisión, no solo el dato.
Sin este procedimiento, cada solicitud se convierte en una investigación desde cero, lo que además de ser lento genera el tipo de respuesta tardía o incompleta que suele derivar en queja ante la Agencia Española de Protección de Datos.
Dónde se cruza esto con selección de personal y scoring de clientes
Los casos más habituales donde este derecho aparece en la práctica son la selección de personal —candidatos que piden saber por qué fueron descartados por un cribado automático, algo que tratamos con detalle en agentes de IA en recursos humanos— y el scoring de clientes para conceder condiciones comerciales o crédito. En ambos, la combinación de un dato incorrecto y una decisión automática sin revisión humana suficiente es la que genera más riesgo, tanto legal como reputacional.
Qué no exige este derecho
Conviene también acotar expectativas: el derecho de acceso no obliga a entregar el código fuente del sistema, ni a revelar información que afecte a los derechos de terceros o a secretos comerciales del proveedor tecnológico. La obligación es explicar la lógica y las consecuencias de forma comprensible, no hacer público el código ni el modelo. Una respuesta bien construida distingue entre lo que la persona necesita para entender y corregir su situación y lo que simplemente no le corresponde conocer.
Conclusión
El derecho de acceso y el derecho de rectificación no son un trámite burocrático más cuando hay un agente de IA de por medio: son la garantía de que una persona pueda entender y corregir una decisión que le afecta, y de que tu empresa pueda demostrar que su sistema funciona como dice funcionar. Diseñar los agentes con trazabilidad desde el principio evita que la primera solicitud real se convierta en una crisis interna.
En MG Solutions diseñamos agentes de IA con registro de decisiones y puntos de revisión humana pensados precisamente para poder responder a este tipo de solicitudes sin sobresaltos. Si quieres revisar cómo está preparado tu proceso actual, reserva tu primera reunión sin compromiso.