IA agéntica y RGPD: la CNIL recuerda que la intervención humana debe ser real, no una validación de puro trámite
CNIL, nota de julio de 2026: los agentes de IA siguen plenamente sujetos al RGPD; minimización de datos, memoria compartimentada, interruptor de parada y control humano en acciones críticas.
- En una nota de julio de 2026, la CNIL recuerda que las IA agénticas siguen plenamente sujetas al RGPD.
- Cita al TJUE: la intervención humana debe ser real y pesar en la decisión final; una validación de puro trámite no basta.
- Aconseja memoria compartimentada, entorno aislado, humano en acciones críticas e interruptor de parada para cortar un agente.
En una nota publicada en julio de 2026, la CNIL examina cómo se aplica el RGPD a la IA agéntica, sistemas capaces de actuar de forma autónoma a partir de los correos, archivos o historiales de un usuario. Recuerda que estos sistemas siguen plenamente sujetos al reglamento. Señala que la autonomía puede llevar, en ciertos casos, a decisiones que entran en el régimen de decisiones individuales automatizadas del artículo 22, y que el principio de minimización se pone a prueba cuando un agente moviliza grandes cantidades de datos, las comparte entre agentes y las guarda en memoria.
La nota insiste en el control humano: citando al Tribunal de Justicia de la Unión Europea (sentencia SCHUFA), escribe que la intervención humana debe ser real, efectiva y ejercer influencia sobre la decisión final; una validación puramente formal o automática es insuficiente. Entre las vías: informar con claridad al usuario, dejarle elegir los datos accesibles, compartimentar la memoria de cada agente, aislar el espacio de despliegue (sandboxing), imponer intervención humana para las consecuencias críticas y prever un «kill switch» para interrumpir un proceso agéntico en cualquier momento.
Para AppH
- Estas vías describen una organización prudente que cualquier agencia puede adoptar: limitar los datos accesibles al asistente, separar los usos y conservar una forma sencilla de pararlo.
- El texto refuerza el principio de una validación humana real: en AppH, una persona de la agencia revisa el mensaje preparado y lo valida antes de cualquier envío, en lugar de hacer clic por costumbre.
En contra / el límite honesto
- Es una nota de reflexión sobre riesgos y vías, no una obligación nueva ni una sanción; no fija ninguna regla propia de las agencias de domiciliación.
- Aplicar estas recomendaciones exige organización (elección de datos, registros, procedimiento de parada); una herramienta por sí sola no hace conforme a una agencia.
Para una agencia pequeña, el mensaje es concreto: pocos datos, usos separados, un humano que decide de verdad y un botón de parada. Validar sin leer es exactamente lo que la CNIL dice que no se debe hacer.
Revisado por un humano de AppH