La Agencia Española de Protección de Datos (AEPD) recibió en 2025 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior. Es un dato de protección de datos en general, no solo de inteligencia artificial, y las reclamaciones no son lo mismo que las filtraciones. Pero da una idea del clima: en 2025 llegaron a la autoridad más reclamaciones que el año anterior.
Para una pyme, la pregunta práctica es otra: ¿cuánto puede costar que información de clientes, de la plantilla o de la propia empresa acabe donde no debe por usar una herramienta de IA sin criterio? No existe una cifra única que valga para todos. Lo que sí hay son datos oficiales y encuestas que ayudan a dimensionar el riesgo y a decidir qué prevención conviene hacer primero. Esta pieza repasa qué dicen, cómo leerlos con cuidado y qué hacer con ellos.
Qué dicen los datos
Lo que ocurre con las reclamaciones y las sanciones. Según la AEPD (2025), en ese año recibió 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior, y el importe total de las sanciones impuestas en 2025 ascendió a 48.108.765 euros, según su Memoria 2025 presentada el 6 de mayo de 2026. La propia nota de la AEPD no desglosa cuánto corresponde a la IA.
Lo que puede costar una infracción grave. El portal Your Europe de la UE (2026) indica que el incumplimiento del Reglamento general de protección de datos (RGPD) puede dar lugar a multas de hasta 20 millones de euros o del 4 % del volumen de negocios mundial de la empresa, en determinadas infracciones. Es el tramo máximo, que se aplica a determinados incumplimientos, y otras infracciones tienen un tramo inferior.
Lo que ya pasa en los equipos. Según el Work Trend Index 2024 de Microsoft (encuesta a 31.000 trabajadores del conocimiento de 31 países), el 78 % de los usuarios de IA llevaba sus propias herramientas de IA al trabajo, lo que se conoce como BYOAI (traer tu propia IA). Es decir, muchas personas usan herramientas que la empresa quizá no conoce ni ha revisado.
Lo que falta en formación. Ese mismo año, según el Work Trend Index 2024 de Microsoft y LinkedIn, solo el 39 % de las personas que usan IA en el trabajo en todo el mundo había recibido formación en IA de su empresa.
Lo que recomienda la autoridad. El 27 de enero de 2026, la AEPD publicó el decálogo «Cuidado con lo que le confIAs». En el ámbito laboral destaca la importancia de seguir las políticas de información y seguridad de cada organización y de no incluir en las herramientas de IA información que revele datos confidenciales de la entidad, ni de su personal o clientes. Son recomendaciones, no obligaciones legales por sí mismas.
Qué cuesta de verdad una filtración (más allá de la multa)
La sanción es solo una parte, y muchas veces no la mayor. Cuando información de clientes o de la empresa sale por donde no debe, los costes se reparten en varios frentes. Aquí no ponemos cifras, porque dependen de cada caso:
- Costes directos. Investigar qué ha pasado y qué datos se han visto afectados, cerrar la vía de salida, restaurar sistemas, pagar asesoramiento jurídico y técnico y, cuando corresponde, avisar a la autoridad y a las personas afectadas.
- Tiempo de dirección y de equipo. Una filtración consume semanas de atención de las personas que mejor conocen el negocio, justo cuando hay otras cosas que hacer.
- Clientes y confianza. Un cliente que se entera de que sus datos se han expuesto puede dejar de confiar en ti, y recuperarlo no siempre es posible.
- Reclamaciones y posibles sanciones. Pueden llegar después, y su resultado depende de los hechos y de las medidas que hubiera antes del incidente.
- Contratos. Si tus clientes te han confiado información bajo cláusulas de confidencialidad, un incidente puede abrir una discusión contractual.
Una filtración no equivale por sí sola a una multa: lo que se sanciona son incumplimientos concretos de la normativa, y la cuantía depende de cada caso. Tu asesor o el delegado de protección de datos pueden valorar tu situación.
Cómo leerlos (y qué no dicen)
- Las reclamaciones no son filtraciones. El dato de la AEPD mide quejas recibidas por todo tipo de motivos, no solo incidentes de seguridad ni de IA.
- Una multa máxima no es una multa típica. El tope de 20 millones o del 4 % es un límite legal para determinadas infracciones graves. No indica lo que le tocaría a una pyme concreta, y no debe leerse como una previsión.
- La encuesta de Microsoft es autodeclarada y la encarga una empresa que vende herramientas de IA. Se refiere a trabajadores del conocimiento, no a toda la población ocupada, y es de 2024. Sirve para entender un comportamiento, no para medir cuántas filtraciones hay.
- Sobre el «coste medio de una brecha». Existen informes anuales de consultoras y aseguradoras que estiman el coste medio de una brecha de datos. No ponemos aquí ninguna de esas cifras porque su metodología, la muestra de empresas y los países cambian mucho de un informe a otro, y rara vez desglosan a las pymes españolas. Si vas a citar alguna, consulta el informe original, fíjate en qué entiende por «coste» y a qué empresas se refiere.
- Ningún dato aquí demuestra que la IA cause más filtraciones. Lo que muestran es que las herramientas se usan, que la formación no está tan extendida y que la autoridad pide prudencia.
Qué hacer con esto: la prevención, por orden de esfuerzo
No podemos calcular cuál de estas medidas ahorra más dinero, porque depende de cada empresa. Sí podemos ordenarlas por lo poco que cuestan y lo pronto que actúan: las que operan antes del incidente suelen ser las más baratas.
- Escribe una regla de una página. Qué herramientas de IA se pueden usar, para qué tareas y qué información no se pega nunca (datos personales de clientes o de plantilla, contratos, precios pactados, claves de acceso). En cómo redactar una política interna de uso de IA tienes una base.
- Haz una lista de herramientas autorizadas. Si la gente ya usa herramientas por su cuenta, es mejor ofrecer una alternativa revisada que prohibir sin más. Antes de autorizar una, comprueba qué hace con los datos y qué dice su contrato; ¿es seguro darle mis datos a un agente de IA? te ayuda con las preguntas.
- Forma al equipo por puestos. Con casos reales de cada área: qué se puede pegar y qué no, cómo anonimizar, qué hacer si alguien se equivoca. Si algo sale mal, que la persona avise de inmediato sin miedo a represalias es una de las mejores defensas.
- Limita los accesos. Que cada persona vea solo la información que necesita para su trabajo.
- Revisa los contratos con los proveedores de herramientas. Con tu asesor: qué datos tratan, dónde, durante cuánto tiempo y quién responde si algo falla.
- Prepara un plan para cuando ocurra. Quién avisa a quién, qué se corta, qué se documenta y cuándo se consulta al asesor y al delegado de protección de datos. Un plan de una página, probado una vez, evita improvisar bajo presión.
- Deja constancia. Registra qué se decidió, qué formación se dio y qué se revisó. En cómo documentar el uso de IA para pasar una auditoría de datos hay una guía sencilla.
Si en tu empresa se manejan datos de la plantilla, mira también las líneas rojas del uso de IA con datos de empleados.
Fuentes
- AEPD (2025): La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
- Your Europe, portal de la Unión Europea (2026): Protección de Datos conforme al reglamento RGPD - Your Europe
- Microsoft y LinkedIn (2024): 2024 Work Trend Index: AI at Work Is Here. Now Comes the Hard Part
Conclusión
Los datos disponibles no permiten fijar un precio exacto para una filtración, pero sí dibujar el riesgo: más reclamaciones ante la autoridad, multas máximas elevadas en las infracciones más graves, muchas personas usando herramientas de IA por su cuenta y una formación todavía desigual. La prevención más sensata es también la más sencilla: reglas claras, herramientas revisadas, un equipo formado por puestos y un plan para cuando algo falle. Consulta con tu asesor y con tu delegado de protección de datos lo que aplica a tu empresa.
En MG Solutions formamos a equipos de empresa en IA, por puesto y con casos reales de tu negocio, y también implantamos agentes de IA a medida.
Puedes ver cómo es el programa en formación en IA para empresas.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.