La Agencia Española de Protección de Datos (AEPD) ha publicado un decálogo para personas usuarias de asistentes y agentes de Inteligencia Artificial, herramientas que ya pueden actuar en nuestro nombre, desde gestionar el calendario hasta completar compras o reservas.
Para aprovechar su potencial con seguridad, la Agencia recomienda decidir desde el principio qué se les confía y hasta dónde pueden actuar, y plantearse antes de delegar cinco preguntas: ¿qué puede ver?, ¿qué puede recordar?, ¿qué puede hacer en mi nombre?, ¿dónde envía mis datos? y ¿afecta a alguien más?
Las diez recomendaciones son:
1. Revisar a quién se le dan las llaves. Elegir servicios identificados, que permitan ejercer los derechos del usuario en la UE e informen de adónde se envían los datos; desconfiar de los de origen desconocido y priorizar los que procesan en el propio dispositivo.
2. Conceder accesos, no cheques en blanco. Dar el acceso mínimo (sólo lectura, sólo una carpeta o calendario) y revisar periódicamente lo que está conectado.
3. Dar lo mínimo y proteger lo delicado. No escribir contraseñas, códigos ni tarjetas en la conversación y eliminar datos innecesarios de los documentos antes de compartirlos.
4. Decidir qué puede recordar el asistente. Usar los controles de memoria e historial del servicio, recurrir a conversaciones temporales para asuntos delicados y separar usos personal, familiar y profesional. Para conocer o eliminar lo que se conserva, existen los derechos de acceso y supresión.
5. Indicar también lo que no debe hacer el agente. Señalar a quién puede escribir, cuánto puede gastar y cuándo debe parar y preguntar. Empezar por tareas pequeñas y reversibles.
6. Confirmar lo importante. Activar la confirmación previa para enviar, pagar, contratar o aceptar condiciones, leer lo que se aprueba y recordar que el usuario puede ser responsable de lo que el agente ejecute.
7. Desconfiar también de lo que lee. Webs, correos o PDF pueden contener instrucciones ocultas para manipular al agente. La mejor protección es limitar lo que puede hacer si lo engañan.
8. Proteger también los datos de los demás. Autorizar el acceso al correo del usuario o a sus contactos no da vía libre para usar la información de terceros (familiares, clientes, pacientes…).
9. Proteger la cuenta y el dispositivo. Contraseña única, verificación en dos pasos o clave de acceso, e instalar solo complementos y conectores de origen conocido. No dejar sesiones abiertas en dispositivos que utilizan otras personas.
10. Supervisar al agente, saber pararlo y retirarle los accesos. Delegar no es desentenderse: revisar el historial de actividad, vigilar las tareas programadas y saber qué hacer si algo falla, incluido reclamar ante la AEPD si no se respetan los derechos del usuario.
En el ámbito laboral, la AEPD recuerda que sólo deben utilizarse asistentes autorizados por la organización, sin conectar correo o documentos profesionales a cuentas personales de IA. Los datos de clientes, pacientes, alumnos o ciudadanos siguen siendo responsabilidad de la organización; ante la duda, se debe consultar al Delegado de Protección de Datos.
Qué se puede esperar de los proveedores de IA
La responsabilidad no puede recaer sólo en la persona usuaria. Los proveedores deberían ofrecer permisos comprensibles, confirmación configurable para acciones de mayor impacto, historial de actividad, una forma inmediata de detener al agente, gestión y borrado de la memoria, información clara sobre destinatarios de los datos y uso para entrenar la IA, y una vía sencilla para ejercer derechos.
Fuente: AEPD