Agencia Española de Protección de Datos (AEPD) recibe su primera notificación de una brecha vinculada a un agente de IA

Un hito relevante para la supervisión de los riesgos asociados a la inteligencia artificial acaba de conocerse en España. El pasado 14 de septiembre, la Agencia Española de Protección de Datos (AEPD) informó de su primera notificación de una brecha de datos personales cuyo ataque habría sido ejecutado mediante un agente de IA.

Según los antecedentes difundidos, se habría identificado vulnerabilidades provocados por un agente de inteligencia artificial que habría modificado datos personales y consultado facturas de una empresa. La información permanece bajo revisión y las autoridades han señalado que todavía no se pueden establecer conclusiones definitivas ni atribuir responsabilidades.

El interés de esta noticia va más allá del incidente. Permite observar cómo las autoridades Españolas, en el contexto normativo actual, se enfrentan a situaciones en las que la IA participa en la ejecución de acciones capaces de afectar a personas (titulares de datos) y organizaciones.

Para quienes seguimos y promovemos la transformación digital de la industria legal, esta noticia plantea una pregunta muy concreta: ¿están preparados nuestros procesos para responder a estos escenarios?

Para indagar una respuesta conviene distinguir los marcos jurídicos que rigen a Espña. La notificación de una brecha, como la del caso en cuestión, se sitúa en el ámbito de la protección de datos personales. El Reglamento (UE) 2016/679, conocido como Reglamento General de Protección de Datos (RGPD) y aplicable desde el 25 de mayo de 2018, exige medidas de seguridad adecuadas al riesgo. Sus artículos 32, 33 y 34 regulan, respectivamente, la seguridad del tratamiento, la notificación de brechas a la autoridad y su comunicación a las personas afectadas cuando corresponda. En España, este marco se complementa con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. La intervención de una IA no elimina estas obligaciones. Sin embargo, recibir una notificación tampoco acredita por sí mismo un incumplimiento ni equivale a una sanción por infringir el Reglamento europeo de IA.

En paralelo, España ya está en una etapa de cumplimiento efectivo del Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial, que entró en vigor el 1 de agosto de 2024. Su aplicación ha sido progresiva:

• 2 de febrero de 2025: comenzaron a aplicarse las prohibiciones iniciales y las obligaciones de alfabetización en IA.

• 2 de agosto de 2025: comenzaron a aplicarse las reglas de gobernanza y las obligaciones para modelos de IA de propósito general, con sus disposiciones transitorias.

• 2 de agosto de 2026: fecha general de aplicación, incluidas las obligaciones de transparencia correspondientes.

• 2 de diciembre de 2027 y 2 de agosto de 2028: fechas posteriores previstas, según el calendario actualizado, para determinados sistemas de alto riesgo y aquellos integrados en productos regulados.

Todo este ecosistema normativo obliga a cada organización a identificar qué obligaciones le corresponden según su papel, los sistemas que utiliza y sus usos concretos.

Para empresas y despachos, esto lleva la conversación al funcionamiento diario: conocer qué herramientas se utilizan, a qué información acceden, qué acciones pueden ejecutar y quién las supervisa. También implica preparar respuestas ante incidentes y documentar las decisiones adoptadas. El cumplimiento necesita traducirse en procesos que las personas puedan aplicar.

La realidad en otras latitudes del mundo es distinta. En Chile, por ejemplo, el caso ofrece una perspectiva especialmente interesante para la discusión regulatoria ya que no se cuenta con un na normativa expresa que regule la Inteligencia Artifical. No obstante, se discute activamente en el congreso un proyecto de ley que mira de cerca la regulación europea. A ello se suma la implementación de la Ley N.º 21.719, publicada el 13 de diciembre de 2024, que modifica la Ley N.º 19.628 y crea la Agencia de Protección de Datos Personales. Su artículo primero transitorio establece un calendario que sitúa la entrada en vigor de la reforma el 1 de diciembre de 2026. Sin embargo, el 1 de septiembre de 2026, el Gobierno anunció una iniciativa para postergar esa entrada en vigor hasta el 1 de diciembre de 2027, con el propósito de contar con las condiciones institucionales, regulatorias y operativas necesarias. Esta eventual prórroga debe distinguirse de una modificación ya aprobada: el anuncio de un proyecto no cambia por sí solo la fecha legal.

La experiencia española aporta un caso concreto para mirar ese debate, aunque todavía no exista una resolución que permita extraer conclusiones sobre eventuales responsabilidades. También invita a discutir las capacidades necesarias para hacer funcionar una regulación: autoridades con conocimiento técnico, organizaciones capaces de identificar riesgos y profesionales que conecten derecho, tecnología y operaciones.

Para la abogacía, ahí existe una oportunidad de desarrollo: acompañar la adopción de IA desde el diseño de los procesos, ayudar a definir límites y responsabilidades, y preparar a las organizaciones para responder cuando algo falla. La discusión legislativa puede tomar tiempo; desarrollar esas capacidades puede y debe empezar hoy.