Cómo localizar datos de una persona cuando interviene un agente de IA

Inventaría ubicaciones y proveedores

Lista aplicaciones internas, proveedor del modelo, automatizador, almacenamiento, analítica, soporte y copias que participan. Registra para cada componente qué información recibe y conserva. Un diagrama que omite logs o servicios auxiliares no permite buscar de forma completa cuando surge una consulta.

Relaciona datos con un identificador de caso

Conserva una referencia interna que conecte correo, ejecución del agente, actividad del CRM y acción final sin duplicar información innecesaria. Asegura que el equipo autorizado puede usar esa referencia para localizar registros y que no se expone a otros usuarios.

Define quién recibe y deriva solicitudes

Acordad un canal conocido, persona responsable y plazo interno de escalado. Quien detecta una solicitud debe poder derivarla sin interpretar por su cuenta la respuesta legal. Documenta qué equipo revisa la identidad y consulta a privacidad cuando exista duda sobre alcance.

Prepara búsquedas reproducibles

Documenta cómo consultar cada sistema, qué identificadores admite y qué permisos hacen falta. Prueba la búsqueda con un caso ficticio y un usuario autorizado. Comprueba que una búsqueda parcial no se presenta como resultado completo si quedan proveedores o copias pendientes de revisar.

Revisa resultados e inferencias

Busca no solo el dato original, sino también resúmenes, etiquetas, puntuaciones y respuestas generadas vinculadas a la persona. La persona responsable determina cuáles son pertinentes y qué actuación corresponde. No permitas que el agente decida por sí solo si un registro se elimina o modifica.

Conserva evidencias de gestión

Registra fecha de recepción, sistemas revisados, responsable y resultado de cada paso con acceso restringido. Evita copiar documentos completos en tickets generales. Usa el procedimiento aprobado para mantener evidencia suficiente sin crear otro repositorio descontrolado.

Alinea conservación y eliminación

Para cada sistema, confirma qué configuración y procedimiento aplican a conversaciones, logs, cachés y respaldos. Una acción de borrado puede tener límites distintos según el proveedor. La empresa debe documentar cómo gestiona cada ubicación y comunicar las limitaciones al equipo que tramita casos.

Ensaya un recorrido completo

Simula una solicitud ficticia, localiza un dato en el sistema principal y una salida en el registro del agente. Mide tiempo, huecos de acceso y ambigüedades. Corrige el mapa y repite la prueba después de añadir un conector o cambiar retención.

Deriva la decisión a quien corresponda

Las guías de la AEPD informan sobre derechos y sistemas agénticos, pero no sustituyen la evaluación del tratamiento ni la respuesta profesional a la solicitud. Presenta los hallazgos al responsable de privacidad, que determinará la actuación aplicable a cada expediente.

Fuentes y documentación

• AEPD — Inteligencia artificial agéntica desde la perspectiva de protección de datos — Orientación de la Agencia Española de Protección de Datos publicada en febrero de 2026. Es una guía de análisis; la aplicación a cada tratamiento debe revisarla la organización con sus responsables de privacidad.
• AEPD — Derechos de las personas en materia de protección de datos — Información general sobre los derechos de protección de datos; la gestión concreta corresponde a la organización según el caso.