El febrer de 2026 l'AEPD va publicar una guia sobre IA agèntica des de la perspectiva de protecció de dades. Val la pena llegir-ne la premissa, perquè desmunta la manera com la majoria d'empreses hi pensen.
Diu, en resum: fer servir un agent d'IA no és només substituir una eina tecnològica per una altra més avançada. Pot canviar la naturalesa mateixa del tractament, el seu abast i els riscos associats.
Per què això importa i no és paperassa
Pensa en la diferència real. Una eina que redacta un correu quan tu li ho demanes tracta les dades que tu li poses, quan tu li ho dius.
Un agent llegeix la bústia sola, decideix quins missatges són rellevants, consulta el CRM, potser mira el calendari i actua. Ningú li ha donat cada dada: se les ha anat a buscar. L'abast del tractament l'ha decidit el sistema, no tu.
Aquesta diferència és tot el que separa "he canviat d'eina" de "he creat un tractament nou que no tinc documentat enlloc".
Les tres preguntes que et deixen dormir
1. Quines fonts pot tocar l'agent? Escriu-les. Si la resposta és "les que necessiti", no tens un abast, tens un forat.
2. Què fa sol i què demana permís? Llegir i proposar és una cosa. Enviar, esborrar o pagar és una altra.
3. Queda registre del que ha fet? Si demà un client pregunta per què va rebre un correu, has de poder respondre.
El que la llei et demanarà si tractes dades a escala
L'AEPD exigeix una avaluació d'impacte (EIPD) abans de desplegar IA que tracti dades personals a gran escala. I els principis del RGPD no desapareixen perquè hi hagi un model pel mig: licitud, limitació de la finalitat, minimització, exactitud, terminis de conservació i confidencialitat.
La minimització és la que més xoca amb com es construeixen els agents. La temptació és donar-li accés a tot "per si de cas". El RGPD diu exactament el contrari.
Com ho muntem nosaltres
Amb l'abast escrit abans d'escriure codi: a quines taules entra, quines pot modificar, i què no toca mai. I amb una persona al final per a qualsevol cosa que surti a fora — un correu, un missatge, un pagament.
No és per prudència legal. És que un agent amb accés il·limitat és impossible de depurar el dia que fa alguna cosa rara, i sempre acaba fent alguna cosa rara.
Font: [guia de l'AEPD sobre IA agèntica](https://www.prodat.es/blog/nueva-guia-de-la-aepd-sobre-ia-agentica-implicaciones-en-materia-de-proteccion-de-datos/) (febrer de 2026) i la [guia d'adequació al RGPD](https://www.aepd.es/guias/adecuacion-rgpd-ia.pdf). Això no és assessorament legal.