Cómo mapear los datos personales que pasan por un agente de IA

Describe el caso y su propósito

Escribe qué tarea resuelve, quién la inicia, para quién se realiza y qué resultado espera la organización. Separa el propósito del proveedor —por ejemplo, mejorar un producto— de la finalidad interna. Si el agente cambia de objetivo, documenta el nuevo uso antes de activarlo.

Localiza los puntos de entrada

Incluye correo, formularios, llamadas transcritas, adjuntos, bases de clientes y mensajes que el agente pudiera consultar. Registra si llegan datos identificativos, información laboral, económica o potencialmente sensible. Usa una muestra controlada para comprobar qué aparece de verdad en cada canal.

Sigue contexto y recuperación

Anota qué historial se incorpora a cada ejecución, qué búsqueda documental se realiza y cómo se decide qué fragmentos vuelven al modelo. Comprueba si un agente puede traer datos de otro cliente o conversación. El contenido recuperado también puede revelar información personal aunque no estuviera en la petición inicial.

Dibuja cada herramienta y destinatario

Para cada conexión, indica proveedor, operación, campos enviados, respuesta, ubicación del registro y credenciales utilizadas. Diferencia una consulta de lectura de una escritura o envío. No des por hecho que el modelo es el único proveedor: OCR, almacenamiento, analítica y soporte pueden intervenir.

Registra resultados y decisiones

Los borradores, inferencias, etiquetas, puntuaciones y resúmenes también pueden referirse a personas. Anota dónde se guardan, quién los usa y si se convierten en decisión o acción. La nota que parece auxiliar puede influir en una respuesta comercial, laboral o de atención posterior.

Identifica copias, registros y plazos

Localiza logs técnicos, historial de chat, copias de seguridad, telemetría y registros del sistema de destino. Para cada ubicación, confirma quién puede acceder y qué procedimiento interno determina conservación y eliminación. No supongas que borrar una conversación elimina las copias de la integración.

Asigna roles de gestión

Nombra a la persona responsable del proceso, al contacto técnico y a quien asesora sobre protección de datos. Registra qué decisiones corresponden a cada rol y quién atiende consultas o incidencias. La guía de AEPD orienta el análisis, pero la organización debe determinar los roles y obligaciones aplicables a su tratamiento.

Revisa cambios y usos secundarios

Repite el mapa si se añade una herramienta, cambia el modelo, se amplía el propósito o se habilita memoria entre conversaciones. Compara la versión nueva con la aprobada y registra el cambio. Una integración que parece pequeña puede ampliar acceso, retención o destinatarios de datos.

Convierte el mapa en revisión del caso

Entrega el recorrido, campos, proveedores, permisos, plazos y controles a las personas responsables para que evalúen el tratamiento concreto. Registra decisiones, dudas y acciones pendientes. El mapa técnico ayuda a la revisión, pero no decide por sí mismo la base jurídica ni sustituye asesoramiento profesional.

Fuentes y documentación

• AEPD — Inteligencia artificial agéntica desde la perspectiva de protección de datos — Orientación de la Agencia Española de Protección de Datos publicada en febrero de 2026. Es una guía de análisis; la aplicación a cada tratamiento debe revisarla la organización con sus responsables de privacidad.