Cómo montar un agente de IA que cumpla con el RGPD: guía práctica

TL;DR: Sí, puedes usar agentes de IA cumpliendo RGPD. Las claves: elegir proveedores con servidores en Europa (Azure, AWS Frankfurt, Google EU), firmar un DPA, configurar retención de datos y añadir supervisión humana para decisiones importantes. En casos sensibles, modelos self-hosted como Mistral ofrecen control total.

"¿Dónde van mis datos si uso un agente de IA?"

Es la pregunta que más escuchamos de empresas españolas cuando hablamos de automatización con IA.

Y es legítima.

En 2025, la AEPD multó a Google con 10 millones de euros por obstaculizar el derecho de supresión de datos. Meta pagó 1.200 millones de euros por transferir datos de europeos a Estados Unidos sin base legal adecuada.

El mensaje es claro: el RGPD ya aplica a sistemas de IA. No hace falta esperar al AI Act.

La buena noticia: cumplir no es tan complicado si sabes qué mirar. Esta guía te explica cómo.

Qué dice el RGPD sobre agentes de IA

El RGPD (vigente desde 2018) no menciona "inteligencia artificial" explícitamente, pero sus principios aplican a cualquier sistema que procese datos personales. Incluyendo agentes.

Los 3 pilares que debes conocer

El artículo 22: decisiones automatizadas

Este es el artículo más relevante para agentes de IA:

"El interesado tiene derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos sobre él."

Traducción: Si tu agente toma decisiones que afectan a personas (aprobar créditos, filtrar candidatos, denegar servicios), necesitas supervisión humana real.

No basta con un botón de "revisar" que nadie usa. El Tribunal Superior de Justicia de Galicia (2023) dejó claro que un humano que solo ratifica automáticamente al algoritmo también incumple.

AI Act: qué viene en agosto 2026

El Reglamento Europeo de IA entrará en vigor completamente en agosto de 2026. Si tu agente toma decisiones sobre personas (empleados, clientes, proveedores), probablemente entre en la categoría de alto riesgo, lo que implica:

• Evaluación de impacto (DPIA) obligatoria
• Documentación técnica completa
• Logs de auditoría inmutables
• Supervisión humana genuina

Soluciones técnicas: cómo cumplir RGPD

Hay dos caminos principales, y no son excluyentes.

Opción 1: Proveedores cloud con servidores en Europa

Los grandes proveedores ya ofrecen garantías de residencia de datos en la UE:

Importante: La configuración por defecto suele ser "Worldwide". Debes seleccionar explícitamente la región EU en el dashboard de cada proveedor.

Ejemplo de configuración correcta (Azure)

Incorrecto - tus datos pueden acabar en cualquier servidor del mundo:

endpoint: "https://api.openai.com/v1"

Correcto - datos se quedan en servidores europeos:

endpoint: "https://tu-recurso.openai.azure.com"
deployment: "gpt-5.2"

Opción 2: Modelos self-hosted

Para datos especialmente sensibles (financieros, médicos, RRHH), puedes ejecutar modelos en tu propia infraestructura:

Cuándo tiene sentido:

• Datos de empleados (nóminas, evaluaciones)
• Información financiera de clientes
• Historiales médicos
• Cualquier dato donde el cliente exija que "no salga de sus servidores"

Requisitos técnicos:

• Servidor con GPU (mínimo 16GB VRAM para modelos pequeños)
• Docker + Ollama para deployment sencillo
• Equipo técnico para mantenimiento

En nuestra experiencia, la combinación Azure EU para el día a día + modelo local para casos sensibles cubre la mayoría de escenarios empresariales.

Checklist: 7 pasos para cumplir RGPD con tu agente

1. Elige proveedor con DPA (Data Processing Agreement)

El DPA es un contrato obligatorio entre tú y cualquier proveedor que procese datos personales. Debe especificar:

• Qué datos procesa
• Dónde (país/región)
• Por cuánto tiempo
• Qué medidas de seguridad aplica

Todos los proveedores serios lo ofrecen. Si tu proveedor no tiene DPA, es una red flag.

2. Configura región EU explícitamente

No confíes en la configuración por defecto. Entra al dashboard de tu proveedor y selecciona una región europea (Frankfurt, Irlanda, Suecia, etc.).

3. Define política de retención de datos

¿Cuánto tiempo guardas las conversaciones del agente?

Automatiza el borrado. No guardes datos "por si acaso".

4. Implementa cifrado

• En tránsito: TLS 1.2 o superior (HTTPS para todas las llamadas API)
• En reposo: AES-256 para bases de datos y logs

Esto ya viene por defecto en la mayoría de proveedores cloud, pero verifica.

5. Documenta en DPIA

La Evaluación de Impacto de Protección de Datos es obligatoria para sistemas de IA que procesan datos personales a gran escala. Debe incluir:

• Descripción del tratamiento (qué datos, dónde, cómo)
• Evaluación de riesgos (qué puede salir mal)
• Medidas mitigadoras (qué haces para evitarlo)

Si el riesgo residual es alto, debes consultar a la AEPD antes de implementar.

6. Añade supervisión humana para decisiones importantes

Si tu agente puede:

• Aprobar o denegar solicitudes
• Evaluar candidatos
• Cambiar precios personalizadamente
• Bloquear cuentas

...necesitas un proceso donde un humano con autoridad pueda revisar y revertir la decisión del agente.

Patrón recomendado: El agente evalúa cada solicitud y actúa según su nivel de confianza:

7. Informa al usuario

El usuario debe saber que está interactuando con un agente de IA. Un simple aviso basta:

"Este chat está asistido por inteligencia artificial. Un humano revisará las solicitudes importantes."

Errores comunes que hemos visto

"Uso la API directa, así que no necesito DPA"

Incorrecto. Si la API procesa datos de tus usuarios (nombres, emails, consultas), necesitas DPA con el proveedor. Da igual si es API directa o SDK.

"Tengo configurado Europa, pero uso el endpoint global"

Revisar la URL del endpoint. Si apunta a api.openai.com en lugar de a una región específica de Azure/AWS, tus datos pueden estar viajando a EEUU.

"El agente solo responde preguntas, no toma decisiones"

Si el agente recomienda productos, filtra información o prioriza resultados de forma personalizada, está tomando decisiones que pueden afectar al usuario. Evalúa si necesitas supervisión humana.

"Uso un modelo local, así que RGPD no me aplica"

Incorrecto. Si procesas datos personales, el RGPD aplica independientemente de dónde esté el modelo. Lo que cambia es que tú eres el único responsable (y eso puede ser una ventaja o un riesgo, según cómo lo gestiones).

FAQ

¿Puedo usar ChatGPT para datos de clientes?

Depende de la configuración. ChatGPT (versión web) no está diseñado para uso empresarial con datos sensibles.

Para empresas, usa ChatGPT Enterprise o OpenAI API con región Europa y zero data retention activado.

¿Qué pasa si mis datos van a EEUU?

Tras la invalidación del Privacy Shield (Schrems II), las transferencias a EEUU requieren garantías adicionales: cláusulas contractuales tipo (SCCs) + medidas suplementarias.

La opción más segura es evitar la transferencia eligiendo regiones EU.

¿Necesito hacer DPIA para un chatbot de soporte?

Probablemente sí, si:

• Procesa datos personales (nombre, email, historial)
• Atiende a más de unos pocos usuarios
• Puede influir en decisiones sobre el usuario

Mejor hacer la DPIA y documentar que el riesgo es bajo, que no hacerla y recibir una inspección.

¿El AI Act me afecta ya?

Las prohibiciones y requisitos de alfabetización ya están en vigor (febrero 2025). Los requisitos completos para sistemas de alto riesgo entran en agosto 2026.

Si tu agente evalúa personas (empleados, candidatos, clientes), empieza a preparar la documentación ahora.

¿Cuánto cuesta cumplir RGPD con IA?

El coste principal no es tecnológico sino organizativo:

• Elegir proveedor EU: Coste similar o +10-20% vs global
• Self-hosting: Inversión inicial en infraestructura (~500-2000€/mes según escala)
• DPIA: Tiempo interno o consultor externo (~1.500-5.000€)
• Procesos de supervisión humana: Depende del volumen

El coste de no cumplir puede llegar al 4% de la facturación anual o 20 millones de euros.

Conclusión

Implementar agentes de IA cumpliendo RGPD no es opcional, pero tampoco es un obstáculo insuperable.

Las claves:

1. Elige proveedores con servidores EU y DPA claro

2. Configura explícitamente la región europea

3. Documenta todo en una DPIA

4. Añade supervisión humana donde haga falta

5. Informa al usuario de que habla con IA

El cumplimiento normativo no es solo evitar multas. Es confianza. Tus clientes quieren saber que sus datos están protegidos. Demostrarlo es una ventaja competitiva.

¿Estás evaluando implementar un agente de IA y tienes dudas sobre compliance? Podemos ayudarte con el diagnóstico inicial. Hablemos.