Protección de datos personales y uso de agentes de inteligencia artificial
Durante años, la discusión sobre inteligencia artificial y protección de datos personales se concentró en saber qué información entregamos a los modelos, para qué se utiliza y dónde se almacena. La aparición de los agentes de inteligencia artificial cambia esta preocupación: ya no hablamos solo de sistemas que procesan información, sino de herramientas capaces de recibir un objetivo, ejecutar acciones, interpretar resultados y decidir qué hacer después.
La advertencia ya no es teórica. En septiembre de 2026, la Agencia Española de Protección de Datos informó haber recibido la primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de inteligencia artificial. Según la información difundida, el sistema buscó vulnerabilidades, logró ingresar a una aplicación y continuó explorando de manera autónoma hasta modificar datos personales y acceder a facturas.
México cuenta con un marco jurídico para atender vulneraciones de seguridad. La Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados exige medidas de seguridad, análisis de riesgos y atención de incidentes. Sin embargo, una amenaza que actúa a velocidad de máquina plantea un desafío distinto: un agente puede automatizar acciones, probar distintas rutas y ajustar su estrategia conforme obtiene resultados.
Por ello, también debe revisarse la capacidad de las nuevas instituciones mexicanas. Tras la desaparición del INAI, las funciones fueron redistribuidas entre Transparencia para el Pueblo, la Secretaría Anticorrupción y Buen Gobierno y las autoridades garantes de las entidades federativas. La pregunta ya no es solo quién tiene la competencia, sino si esas instituciones cuentan con capacidades técnicas, presupuestales y humanas para enfrentar amenazas vinculadas con inteligencia artificial.
La cuestión es especialmente relevante en los estados. No basta con administrar solicitudes ARCO, recibir recursos o verificar avisos de privacidad. Una autoridad garante contemporánea necesita comprender ciberseguridad, registros digitales, servicios en la nube, modelos de lenguaje y agentes autónomos.
El caso español debe observarse en México como una advertencia. Será necesario fortalecer equipos especializados, desarrollar protocolos para incidentes relacionados con agentes de IA y mejorar la coordinación entre autoridades.
La inteligencia artificial no elimina las obligaciones tradicionales de protección de datos, pero sí modifica la velocidad y la escala de una vulneración. El verdadero examen para las nuevas autoridades será demostrar que pueden proteger nuestros datos cuando una amenaza digital ya no avanza al ritmo de una persona, sino al de una máquina.
