Primera brecha por un agente de IA en España: qué supone para ti

Una notificación de brecha recibida por la autoridad española de protección de datos describe un ataque en el que fue un agente de IA quien buscó los puntos débiles y los aprovechó. Los hechos aún no están verificados, pero la lección para quien usa agentes con archivos de empresa no depende de ellos: decide a qué puede acceder cada agente y exige que una persona dé su visto bueno antes de cualquier acción que modifique algo.

Qué comunicó la AEPD

El 14 de septiembre de 2026, la Agencia Española de Protección de Datos (AEPD) publicó una entrada en su blog sobre la primera notificación que ha recibido de una brecha de datos personales causada por un ataque que «habría sido ejecutado mediante un agente de inteligencia artificial que utilizó un conocido modelo de lenguaje». Según la notificación, el agente rastreó archivos genéricos en busca de vulnerabilidades y logró iniciar sesión. Una vez dentro, buscó por su cuenta puntos débiles en la aplicación, lo que le permitió modificar datos personales y acceder a facturas.

Hay tres detalles que importan tanto como la propia noticia:

• La AEPD indica que la información «procede de la notificación presentada por la organización afectada» y que todavía debe analizarse. No identifica a la organización, el sector ni el modelo.
• Presuntamente, fue un tercero quien utilizó el agente como instrumento del ataque. No se trata del asistente de una empresa que se haya descontrolado.
• La AEPD subraya que el uso de un modelo concreto no significa que el modelo o su proveedor se hayan visto comprometidos, y que una sola notificación no permite establecer una tendencia estadística.

Por qué importa para los agentes que usas

La mayoría de las organizaciones usará agentes con sus propios archivos, de forma autorizada, en lugar de enfrentarse a uno como atacante. Las recomendaciones de la AEPD sirven para ambas situaciones. Según la agencia, los fundamentos de siempre siguen siendo decisivos: «conocer los tratamientos, minimizar los datos, limitar los accesos, corregir vulnerabilidades, controlar a los proveedores y estar preparados para responder». También advierte: «Un agente que obtiene una cuenta, una clave API o un token con permisos excesivos puede operar a la velocidad de una máquina». Y añade que la supervisión humana sigue siendo esencial, pero necesita mecanismos de detección y respuesta capaces de seguir ese ritmo.

Es un argumento sobre el acceso, no sobre los modelos. Un agente que solo llega a la carpeta que necesita, y que no puede cambiar nada hasta que una persona lo aprueba, limita los daños cuando el contenido que recibe es malicioso o cuando se filtran sus credenciales.

Una prueba sacada de las propias orientaciones de la AEPD

En febrero de 2026, la AEPD publicó unas orientaciones sobre inteligencia artificial agéntica desde la perspectiva de protección de datos. Incluyen la «Regla de 2», una regla de ciberseguridad formulada por primera vez para el navegador Chromium en 2021 y adaptada después a los agentes de IA por otros, entre ellos Meta. Las tres propiedades son procesar entradas no fiables, acceder a información sensible y actuar de forma automática. El ejemplo de las orientaciones es un agente de correo electrónico que reúne las tres, y el veredicto es claro: «Tendríamos una configuración del agente que no se debería permitir». Cuando un agente procesa entradas no fiables y accede a datos sensibles, añade el texto, debe impedirse sin supervisión humana cualquier acción automática con efectos dentro o fuera de la organización. La propia AEPD presenta la regla como un mínimo y un punto de partida para el análisis, no como una evaluación completa de protección de datos.

Aplícala a un agente que trabaja con documentos. Los archivos que llegan de fuera de la organización son entradas no fiables: un documento puede contener instrucciones dirigidas al modelo. La carpeta que lee el agente puede contener datos personales. Así que la propiedad que hay que eliminar es la tercera: actuar por su cuenta.

Cómo encajan los agentes del Marketplace en la prueba

Los agentes del Marketplace se ejecutan en Claude a través del conector de Kiteworks, sobre una carpeta que tú eliges y con los permisos de conector de la persona que los ejecuta. La mayoría solo lee e informa. Cuando un agente escribe, sus instrucciones exigen una confirmación previa. Sharing Auditor guarda un informe solo después de que confirmes dónde, y no tiene ninguna herramienta para cambiar el uso compartido. Invoice Organizer cambia el nombre de los archivos solo después de que apruebes los nombres propuestos. Antes de un piloto, lee la ficha de cada agente para saber qué lee, qué puede escribir y qué no puede ver.

Dos agentes ayudan además con los fundamentos que la AEPD cita en primer lugar. Sharing Auditor muestra qué árboles de carpetas de un alcance están compartidos y dónde empieza el uso compartido, para que sepas a qué podría llegar a través de ellos un agente, o cualquier otra persona. Sensitive Content Scanner detecta términos sensibles y datos personales habituales en una carpeta, lo que te indica qué ámbitos conviene mantener lejos de los agentes que procesan documentos externos. Los dos informan; ninguno modifica un recurso compartido ni un archivo.

Preguntas antes de conectar un agente

• ¿Qué carpetas leerá el agente y contienen datos personales que no necesita?
• ¿De dónde procede el contenido que recibe y podría haber escrito parte de él alguien ajeno a la organización?
• ¿Qué puede modificar y queda cada cambio a la espera de la aprobación de una persona con nombre y apellidos?
• ¿De quién son las credenciales que usa y con qué rapidez podrías revocarlas?
• ¿Tiene ya en cuenta tu análisis de riesgos los ataques asistidos por IA, como la AEPD pide a los responsables del tratamiento?
• ¿Quién revisa el informe del agente y dónde queda registrada la decisión?

Si quieres poner a prueba un agente con estas preguntas antes de un piloto, escribe a sales@kiteworks.com o inicia una conversación. No necesitas configurar Claude ni MCP para preguntar. Consulta el catálogo de agentes para ver los límites declarados de cada agente.