La lectura práctica del récord de reclamaciones ante la Agencia Española de Protección de Datos (AEPD) es sencilla: cada vez más personas saben que pueden quejarse por cómo se tratan sus datos, y eso incluye a tus clientes y a tus empleados. No es motivo para dejar de usar IA, pero sí para tener ordenado qué datos personales pasan por tus herramientas, quién las usa y qué contrato tienes con quien las ofrece.
Las grandes empresas tienen un delegado de protección de datos y un equipo jurídico que revisa cada herramienta nueva. Una pyme normalmente no, y el resultado es que alguien del equipo empieza a pegar correos de clientes en un asistente de IA porque «así va más rápido», y la dirección se entera meses después. Este artículo te da una lectura de las cifras y una lista corta de revisión para evitar ese escenario.
¿Qué cifras ha publicado la AEPD y qué significan para una pyme?
Según la Memoria 2025 de la AEPD, presentada el 6 de mayo de 2026, la Agencia recibió en 2025 un total de 30.931 reclamaciones. Es la cifra más alta de su historia y un 64 % más que el año anterior. El importe total de las sanciones impuestas en 2025 ascendió a 48.108.765 euros. Los datos están en la nota de prensa de la propia AEPD, que enlazamos al final.
Conviene leerlos con calma. Una reclamación es la queja que presenta una persona ante la Agencia; que se presente no significa que acabe en sanción. Y la nota no desglosa cuántas de esas reclamaciones tienen que ver con la IA: son cifras de protección de datos en general. Lo que sí dicen es que el ciudadano reclama más y que la autoridad actúa. Para un gerente, la conclusión no es «la IA es peligrosa», sino «si alguien se queja de mí, tengo que poder explicar qué hago con sus datos».
¿Quiere decir esto que usar IA con datos personales es un riesgo especial?
No por sí mismo. Usar un agente de IA para atender mensajes, preparar presupuestos o ordenar pedidos es tratar datos personales como cualquier otro programa, y se rige por las mismas normas de protección de datos. Lo que cambia es la facilidad: con una herramienta de IA es muy fácil copiar mucha información personal en un clic, o dar acceso a un sistema a más datos de los necesarios, sin que nadie lo decida de forma consciente.
La AEPD publicó el 27 de enero de 2026 un decálogo titulado «Cuidado con lo que le confIAs». En el ámbito laboral recuerda seguir las políticas de información y seguridad de cada organización y no incluir en las herramientas de IA información que revele datos confidenciales de la entidad, ni de su personal o clientes. Son recomendaciones de la Agencia, no obligaciones legales por sí mismas, pero marcan el criterio con el que conviene trabajar.
¿Qué cinco cosas revisar en tu uso de IA con datos personales?
Esta es una lista de revisión que puedes hacer en una tarde con tu equipo. No sustituye el consejo de un asesor o de un delegado de protección de datos, pero te dice dónde mirar.
- Qué datos entran en cada herramienta. Anota, para cada uso de IA, qué información personal maneja: nombres, teléfonos, datos de salud, nóminas, currículums. Si no hace falta un dato para la tarea, que no entre.
- Quién usa qué, y con qué cuenta. Pregunta a tu equipo qué herramientas de IA utiliza de verdad, incluidas las que usa por su cuenta. Define por escrito cuáles están permitidas, para qué tareas y con cuentas de la empresa, no personales.
- Con quién compartes los datos. Si un proveedor trata datos personales por tu cuenta, hace falta saber qué hace con ellos, dónde los guarda y si los usa para otros fines. Pide que te lo expliquen y que quede en el contrato; tu asesor te dirá qué debe incluir.
- Qué has contado a las personas afectadas. Tus clientes y empleados tienen derecho a saber que sus datos se tratan y con qué finalidad. Mira si tu política de privacidad y tus avisos reflejan los usos que haces hoy de la IA y no los de hace dos años.
- Qué pasa si alguien reclama o se equivoca el agente. Decide quién recibe una queja, quién la investiga y cómo se corrige. Para eso hace falta poder ver qué hizo el agente y con qué información; si no queda registro, no hay manera de explicarlo.
Si la revisión te saca de dudas, perfecto. Si descubres usos que nadie había autorizado, no es una catástrofe: es la señal de que el momento de ordenarlo es ahora, no cuando llegue una reclamación.
¿Qué hace el agente de IA y qué sigue haciendo una persona en este tema?
Un agente de IA bien configurado puede ayudar a cumplir: registrar los accesos, limitar qué datos ve para cada tarea, avisar cuando un mensaje contiene información delicada y dejar constancia de lo que ha hecho. También puede preparar borradores de respuesta a una solicitud de un cliente para que los revise una persona.
Lo que no hace, ni debe hacer, es decidir qué es legal, interpretar una norma o contestar solo a una reclamación formal. Esas decisiones son de la persona responsable y, cuando la situación lo requiere, de tu asesor o abogado. Los límites del agente son una parte del diseño y no una nota al pie. Sobre el marco general, tienes IA y RGPD: implanta inteligencia artificial cumpliendo la ley, y para el caso concreto de asistentes conversacionales, RGPD y chatbots: qué datos personales puede tratar un agente.
Cómo hacerlo sin paralizar el trabajo
La mejor manera de no frenar a nadie es dar alternativas en lugar de prohibiciones. Si tu equipo usa un asistente por cuenta propia porque nadie le ha dado otro mejor, prohibirlo sin más solo conseguirá que lo siga usando a escondidas. Es más eficaz:
- Ofrecer una herramienta aprobada para las tareas más comunes.
- Explicar con ejemplos qué sí se puede pegar y qué no.
- Revisar de vez en cuando un par de usos reales y comentarlos sin buscar culpables.
- Poner un nombre: una persona a quien preguntar cuando haya dudas.
Si trabajas con herramientas con servidores fuera de la Unión Europea, o si el uso afecta a decisiones sobre personas, como contratar, evaluar o despedir, consulta antes con un profesional. Para lo primero, mira IA y exportación de datos fuera de la UE: qué exige el RGPD.
Fuentes
- AEPD: La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior (Memoria 2025, presentada el 6 de mayo de 2026).
- AEPD: La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA (27 de enero de 2026).
Conclusión
El récord de reclamaciones ante la AEPD no dice que la IA sea el problema; dice que la ciudadanía reclama más y que conviene estar preparado. Para una pyme, estar preparado significa saber qué datos pasan por cada herramienta, quién las usa, con qué contrato, qué se ha informado a las personas y cómo se responde si alguien se queja. Es un trabajo de orden, no de miedo, y se hace una vez y se revisa de vez en cuando.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.