Elena lleva su correduría de seguros desde una habitación libre de su casa. Son las nueve de la noche y usa un asistente de IA para redactar tres presupuestos de seguro de coche antes de acostarse. Escribe la fecha de nacimiento de un conductor, una frase sobre un golpe que un cliente le mencionó por teléfono, y un número de DNI para comprobar su historial de siniestros. Entonces se detiene. ¿Puede hacer esto?
No es la única que se lo pregunta. Una encuesta reciente de Zapier encontró que el 76% de los dueños de pequeños negocios ya automatizan alguna parte de su trabajo, desde herramientas sencillas basadas en reglas hasta IA que actúa con muy poca intervención humana. La misma encuesta encontró que la mayoría no tiene ninguna norma escrita sobre qué significa eso para los datos de sus clientes que pasan por ahí. La adopción fue más rápida que la de escribir nada.
La norma que ya tienes
Esta es la parte que se pierde en la conversación sobre IA: no existe una ley aparte para "escribir cosas en un chatbot." Si operas en la UE, el RGPD ya te dice qué hacer con la fecha de nacimiento, el DNI o un dato de salud de un cliente, y lo dice desde 2018, ya sea que lo guardes en una hoja de cálculo, en papel o en una herramienta de IA. Escribir los datos de un cliente en un asistente de IA es tratar datos personales, en el mismo sentido legal que pegarlos en Excel. La pregunta nunca fue "¿se puede usar IA?" Es "¿estoy haciendo lo que ya tenía que hacer, con una herramienta nueva?"
Lo que dijo realmente el regulador español sobre los agentes
En febrero de 2026, la AEPD, la agencia española de protección de datos, publicó una guía específica sobre la IA "agéntica": la IA que actúa por su cuenta, envía un mensaje, actualiza un registro, redacta un documento, en lugar de limitarse a responder una pregunta. Entre el lenguaje técnico hay una prueba realmente útil, cercana a lo que algunos llaman la "regla de dos." Hay tres cosas que hacen arriesgado a un agente de IA: que toque datos sensibles, que actúe solo sin que nadie lo revise antes, y que trate la información de una forma que no puedas ver ni reconstruir después. Una de esas tres, por sí sola, es normal. Dos a la vez es la combinación que preocupa al regulador.
Aplicándolo a Elena: su herramienta de presupuestos sí toca datos sensibles, el DNI, el detalle del golpe. Pero ella sigue leyendo y enviando cada presupuesto en persona. Una casilla marcada, no dos. Está bien. Si activara el envío automático para que los presupuestos salieran sin que ella los mirara, esa sería la segunda casilla, y ahí sí entraría en la combinación que preocupa a la guía.
Ya tienes la mayor parte del papeleo
Esta es la parte tranquilizadora. Si tratas datos de clientes en la UE, desde 2018 estás obligada a mantener un Registro de Actividades de Tratamiento, un documento que nombra qué datos personales tratas y por qué. La mayoría de los pequeños negocios que se dieron de alta correctamente ya tienen uno, aunque sea una página que nadie ha abierto en un año. El verdadero hueco no es la falta de un marco nuevo. Es una línea que falta: ¿nombra ese registro las herramientas de IA que ahora tocan esos datos? Si no, esa es la actualización real que hay que hacer, no un documento nuevo desde cero.
También conviene saber quién responde. Un proveedor de IA con un contrato de encargo de tratamiento en regla actúa como tu encargado, hace el trabajo siguiendo tus instrucciones. Tú sigues siendo la responsable del tratamiento. Esa responsabilidad no pasa a la herramienta solo porque sea ella quien escribe.
La única página que necesitas
No hace falta un departamento de cumplimiento para esto. Hacen falta cinco líneas, escritas esta misma noche.
- Qué herramientas están realmente aprobadas. No "IA" en general, las aplicaciones concretas que tú o quien trabaje contigo podéis usar para el trabajo con clientes.
- Qué no debe entrar nunca. Números de DNI completos, datos de salud, cualquier cosa que te hayan contado en confianza, salvo que haya una razón real y hayas pensado si es necesaria.
- Quién responde si algo sale mal. En un negocio de una sola persona, eres tú. Escríbelo igual; una norma sin nombre tiende a ignorarse.
- Dónde revisa una persona antes de que algo salga. Para la mayoría de los pequeños negocios, ahora mismo, la respuesta honesta es todo.
- Una línea en tu papeleo del RGPD que nombre la herramienta. Si no sabes dónde está ese documento, esa es la tarea real de esta semana, no la política de cinco líneas.
Los límites, con honestidad
Esto no es asesoría legal, y una política de una página no lo cubre todo. Los datos de salud, la información sobre menores y cualquier dato biométrico llevan normas adicionales que merecen una conversación real con una asesoría, no una entrada de blog. Y la "supervisión humana significativa" que pide la AEPD, para un agente realmente autónomo con memoria que llega a varios de tus sistemas, es un proyecto más grande que cinco líneas: límites de acceso, registros de actividad, mantener separado lo que puede tocar el dato de un cliente y el de otro. Eso es trabajo de verdad, que vale la pena hacer bien cuando llegue el momento, no simular con una lista. La guía en sí tiene solo unos meses; todavía nadie ha pasado una inspección de pequeño negocio bajo ella, así que trata esto como adelantarte mientras es sencillo, no como una casilla marcada para siempre.
Ya escribimos sobre qué pasa realmente con los datos de tus clientes que escribes en una herramienta de IA, que merece la pena leer junto a esto si no lo has hecho: ese artículo cubre a dónde van los datos, este cubre quién responde por ellos.
La tarea de esta noche: escribe las cinco líneas. Luego busca tu Registro de Actividades de Tratamiento y añade una que nombre la herramienta que más usas. Quince minutos, y sabrás exactamente dónde estás en lugar de adivinarlo a las nueve de la noche.