Un agente de IA es un asistente que hace tareas en tu nombre, y antes de darle trabajo la empresa tiene que decidir qué puede ver y qué puede hacer. Si tu empresa paga Microsoft 365 Copilot, ChatGPT Business, Claude o Google Workspace con Gemini, ya tiene agentes, y en varias de esas herramientas vienen activados de serie. La Agencia Española de Protección de Datos (AEPD) propone cinco preguntas antes de delegar en ellos: qué puede ver, qué puede recordar, qué puede hacer en tu nombre, adónde envía los datos y si afecta a alguien más.
La AEPD publicó esas preguntas el 27 de octubre de 2026, en un decálogo para quien delega tareas en asistentes y agentes de IA. Está escrito para quien usa estos asistentes, pero en una empresa casi todas esas decisiones las toma quien administra Copilot, ChatGPT, Claude o Gemini, que es quien elige qué agentes se pueden usar, a qué datos llegan, cuándo piden permiso y qué queda registrado de lo que hacen.
Claves en 30 segundos
- Un agente de IA hace cosas en tu nombre, como enviar un correo, cambiar un documento o publicar un mensaje. Cuando se equivoca, el error ya es un correo enviado o un archivo compartido, como avisa el decálogo de la AEPD.
- Microsoft 365 Copilot, ChatGPT (Business y Enterprise), Claude (Team y Enterprise) y Gemini en Google Workspace ya incluyen agentes. En Copilot, el acceso a los agentes viene abierto de serie a todos los usuarios, y en Claude Team las tareas nuevas de Claude Cowork empiezan aprobando sus acciones solas.
- Los límites los pone el administrador: qué agentes se pueden instalar, a qué conectores llegan (las conexiones con el correo, las carpetas u otras aplicaciones), cuándo piden permiso y quién puede crearlos y compartirlos.
- La AEPD aconseja pedir confirmación antes de enviar, publicar, compartir, borrar, pagar, contratar o aceptar condiciones, y no conceder el «permitir siempre» salvo que haga falta de verdad.
- Revisar después qué ha hecho cada agente depende del plan. En ChatGPT y en Claude, el registro para cumplimiento solo existe en Enterprise.
Qué es un agente de IA y en qué se diferencia de un chat
Un chat de IA contesta a lo que le preguntas. Un agente recibe un encargo, decide los pasos y los ejecuta con las herramientas a las que tiene acceso, que en una empresa suelen ser el correo, el calendario, las carpetas compartidas, un navegador y las aplicaciones que se le conectan, que ChatGPT llama apps y Claude, conectores. Es lo que se llama IA agéntica, la que actúa por su cuenta dentro de los límites que se le ponen.
La AEPD lo explica así en su decálogo: «Cuando el asistente solo responde, un error es una respuesta equivocada. Cuando actúa, es un correo enviado, un archivo compartido, una compra, un contrato o un consentimiento dado en tu nombre». El decálogo separa lo que el agente puede leer de lo que puede hacer, porque «leer no es lo mismo que enviar, modificar o borrar».
Pongamos que se le pide al agente que revise el correo de la mañana y conteste lo urgente. Para eso necesita leer correos que pueden venir de desconocidos y poder enviar en tu nombre. El decálogo pone ese mismo caso («resume mis correos nuevos y responde a todos») como ejemplo de tarea que conviene evitar y, si hace falta, que pida confirmación antes de cualquier acción hacia fuera. Un correo, una web o un PDF pueden llevar instrucciones escondidas, incluso en texto blanco sobre fondo blanco, para que el agente haga algo distinto de lo que le pediste.
Dónde están ya los agentes en las herramientas que paga tu empresa
Microsoft (Copilot), OpenAI (ChatGPT), Anthropic (Claude) y Google (Gemini) ya incluyen agentes en sus planes de empresa, cada uno con su nombre y su forma de activarlos. Copilot Cowork, de Microsoft, y Claude Cowork, de Anthropic, son productos distintos con un nombre parecido.
| Herramienta y agente | Qué puede hacer | Quién lo activa y cómo viene |
|---|---|---|
| Microsoft 365 Copilot: agentes de Copilot y Copilot Cowork | Copilot Cowork envía correos, crea documentos, programa reuniones y busca en toda la organización | De serie, todos ven los agentes que permite el administrador. A Copilot Cowork solo entra quien está en una política de gasto, una regla de facturación por uso |
| ChatGPT Business y Enterprise: Work, agentes de equipo y complementos | Work hace trabajos largos de varios pasos y los repite con un horario. Los agentes de equipo se conectan a apps y se comparten | En Business, las apps vienen activadas. En Enterprise, los agentes de equipo llegan apagados y se encienden por roles, que son grupos con los mismos permisos |
| Claude Team y Enterprise: Claude Cowork | Prepara hojas de Excel con fórmulas, presentaciones y documentos, usa los conectores y hace tareas programadas | Viene activado. En Team, las tareas nuevas aprueban sus acciones solas, tras unas comprobaciones automáticas. En Enterprise empiezan pidiendo aprobación |
| Google Workspace con Gemini: flujos de Workspace Studio | Los flujos, tareas automáticas que se describen con palabras, redactan correos, crean y actualizan archivos y crean tareas | El administrador enciende Workspace Studio por unidad organizativa, que suele ser un departamento |
Cada una tiene su letra pequeña, y la hemos contado por separado: qué cubre la licencia de Copilot Studio, cómo trabaja Claude Cowork y sus modos de permiso, los complementos que sustituyen a los GPT personalizados y el paso de los Gems de Gemini a skills.
Lo que la AEPD espera del proveedor, comprobado en cada herramienta
El decálogo termina con una lista de lo que debería ofrecer quien vende agentes, porque «la responsabilidad de los asistentes y agentes de IA no puede recaer solo en la persona usuaria»: permisos comprensibles que distingan consultar de actuar, confirmación configurable para las acciones de mayor impacto, un historial de lo que ha hecho el agente, una forma inmediata de detenerlo, gestión y borrado de la memoria, información clara sobre a quién se envían los datos y si se usan para entrenar la IA, y una vía sencilla para ejercer los derechos. Estas dos tablas cruzan seis de esos puntos con la documentación de empresa de cada fabricante. A quién se envían los datos depende, sobre todo, de las apps que se conecten, y se trata más abajo.
| Lo que pide la AEPD | Microsoft 365 Copilot | ChatGPT Business y Enterprise |
|---|---|---|
| Distinguir consultar de actuar | Copilot Cowork pide permiso antes de las acciones sensibles, como enviar un correo o publicar en Teams | En el chat, hasta cuatro niveles según la app, de preguntar antes de leer a permitirlo todo. En los agentes de equipo decide quien los crea |
| Confirmación configurable | Sí. En la conversación, «permitir siempre» dura solo la sesión. Las tareas automáticas piden aprobación antes de enviar, salvo lo que su creador autorice por adelantado | Sí. En los agentes de equipo, escribir pide permiso de serie («preguntar siempre») |
| Historial de lo que ha hecho | Sí, en Microsoft Purview, la consola de cumplimiento de Microsoft 365 | Solo en Enterprise y en el plan para centros educativos, y se guarda 30 días |
| Forma inmediata de pararlo | Cada persona cancela la acción, y el administrador puede sacarla de la política de gasto | El administrador puede apagar Work por roles |
| Memoria | Encendida de serie, en versión preliminar. Cada persona la borra en su configuración | En Business, el propietario puede apagarla para todos, y se borran las memorias guardadas |
| Si entrena la IA con tus datos | No con lo que se pregunta, lo que responde ni los datos de Microsoft 365 | No, de serie, ni en Business ni en Enterprise |
| Lo que pide la AEPD | Claude Team y Enterprise | Gemini en Google Workspace |
|---|---|---|
| Distinguir consultar de actuar | En cada conector se decide qué acciones (leer, escribir, borrar) se permiten, cuáles piden aprobación y cuáles se bloquean | Los pasos que conectan con servicios de otras empresas vienen desactivados, y el administrador decide si se permiten |
| Confirmación configurable | Sí. Nunca borra un archivo para siempre sin pedir permiso, y el «permitir siempre» de los conectores que escriben viene desactivado | Los pasos que comparten datos con personas de fuera se aprueban a mano, uno a uno |
| Historial de lo que ha hecho | En Team y Enterprise, lo que hace Claude Cowork puede enviarse a las herramientas de seguridad. El registro para cumplimiento, solo en Enterprise (30 días) | En la herramienta de auditoría de la consola de Google, que guarda lo que ha hecho cada flujo |
| Forma inmediata de pararlo | El propietario apaga Claude Cowork. En Enterprise, para pararlo todo, también la opción que une chat y Claude Cowork y las tareas programadas | Una unidad organizativa sin Workspace Studio, para mover ahí a la persona cuyo flujo haya que parar |
| Memoria | Apagada hasta que cada persona la activa, aunque buscar en chats anteriores viene activado. Si el propietario la apaga, se borra la de todos | En cuentas de trabajo no hay memoria de conversaciones anteriores. El historial se guarda 18 meses de serie |
| Si entrena la IA con tus datos | No, de serie, en los planes de empresa | No fuera de tu organización sin permiso, salvo en las ediciones donde la app de Gemini es un servicio adicional y su actividad está activada |
En ChatGPT y en Claude, el propietario es la figura con más permisos de la cuenta de empresa, por encima del administrador. El registro de lo que hace cada agente, que la AEPD incluye entre lo que debería ofrecer el proveedor, en ChatGPT solo existe en Enterprise. En Claude Team se puede enviar lo que hace Claude Cowork a las herramientas de seguridad de la empresa, aunque Anthropic avisa de que eso no sustituye al registro para cumplimiento, que es de Enterprise. Y la memoria de Copilot viene encendida, y las reglas de borrado que la empresa configura en Microsoft Purview no le afectan. Si el administrador fija que las conversaciones con Copilot se borren a los tres meses, las memorias de cada persona no se borran con ellas, y el administrador no tiene ningún control para imponerles un plazo.
Las cinco preguntas antes de darle trabajo a un agente
Son las cinco del decálogo, traducidas a lo que se mira en una empresa.
- ¿Qué puede ver? Lo mismo que la persona que lo usa, más lo que le abran los conectores. En Copilot, cada tarea automática de Copilot Cowork funciona con los permisos de quien la creó y ve solo lo que esa persona puede ver. En Claude, activar un conector para el equipo no da acceso a nadie, porque cada persona tiene que identificarse en él, salvo que la empresa lo autorice una sola vez para todos. En Gemini, el asistente no llega a contenido de Workspace que el usuario no tenga permiso para ver.
- ¿Qué puede recordar? Depende de la memoria de cada herramienta, que va de encendida de serie (Copilot) a inexistente en cuentas de trabajo (Gemini). El decálogo aconseja borrar con los controles de memoria del servicio y no confiar solo en pedírselo al asistente en la conversación.
- ¿Qué puede hacer en mi nombre? Lo que le permitan los ajustes de confirmación. Hay que mirar qué acciones salen de la empresa sin que nadie las apruebe.
- ¿Dónde envía mis datos? A los servicios que tenga conectados. El decálogo avisa de que, cuando el agente usa una web o una aplicación de otra empresa, lo que se guarda allí queda al margen del asistente, y para borrarlo hay que dirigirse a esa empresa.
- ¿Afecta a alguien más? Casi siempre. El correo, la agenda y las carpetas de una empresa están llenos de datos de clientes y de compañeros, y según el decálogo, «que tú lo autorices no te da vía libre para utilizar la información de los demás».
Qué permisos dar, de menos a más
La AEPD recomienda dar «el acceso mínimo» y empezar «por tareas pequeñas y reversibles».
- Leer lo que la tarea necesita. Una carpeta o un calendario concretos, con permiso para consultar y sin permiso para cambiar nada.
- Preparar sin enviar. El agente deja un borrador de correo, un documento o un resumen, y una persona lo revisa antes de que salga.
- Actuar con confirmación. El agente puede enviar, publicar, compartir, borrar, pagar, contratar o aceptar condiciones, pero pregunta antes cada vez. En ChatGPT, que las acciones de escritura del agente estén en «preguntar siempre»; en Claude, «necesita aprobación» en cada conector; en Copilot, la aprobación de Copilot Cowork; y en Workspace Studio, la opción de exigir aprobación cada vez que un paso comparte datos fuera.
- Lo que conviene no conceder. El «permitir siempre» cuando no se entiende su alcance, el aprobar todo para que deje de preguntar (Copilot Cowork tiene un botón que aprueba de golpe todo lo pendiente) y, sobre todo, las tareas como la del correo de la mañana, que juntan correos de desconocidos, acceso a información privada y permiso para enviar en tu nombre. Si hace falta juntar las tres cosas, el decálogo pide que el agente confirme antes de cualquier acción hacia fuera.
Los límites tienen que estar en los permisos, además de en la instrucción que se le da al agente, porque, según la AEPD, «los límites que escribas en la instrucción orientan al agente, pero no sustituyen a los permisos y las confirmaciones».
Quién crea y comparte agentes en la empresa
Para crear un agente no hace falta programar:
- En Copilot, con Agent Builder, el creador de agentes que viene dentro de Copilot. Si el agente tiene que hacer acciones en otros servicios, se pasa a Copilot Studio.
- En ChatGPT, desde la sección de agentes de equipo, y los complementos, con Plugin Creator.
- En Claude, con skills, que son instrucciones que se guardan y se reutilizan.
- En Gemini, describiendo en Workspace Studio lo que tiene que hacer el flujo.
Cada herramienta deja decidir quién puede crearlos y quién puede repartirlos:
- En Copilot, el administrador elige si se pueden instalar agentes de Microsoft, de la propia empresa o de otras compañías, y quién puede compartir los que se hacen con Agent Builder.
- En ChatGPT Enterprise, el administrador da por separado el permiso de usar agentes, el de crearlos y el de publicarlos en el directorio de la empresa, el catálogo donde los ve todo el equipo.
- En Claude, el propietario puede impedir que las personas creen skills y decide si se comparten entre compañeros. En Enterprise, si no lo ha cambiado, las skills que publica cualquiera llegan a toda la organización tras pasar un análisis automático de seguridad, sin esperar su aprobación.
- En Workspace Studio, el acceso se da por unidad organizativa.
Los detalles de Copilot Studio, incluido si cualquier empleado puede crear un agente, están en nuestra guía de Copilot Studio.
Quién crea y comparte agentes conviene escribirlo en la política de uso de IA de la empresa, junto con qué agentes están autorizados y qué no pueden hacer sin permiso. La AEPD pide a quien usa agentes en el trabajo que use «solo los asistentes autorizados por tu organización» y que conecte únicamente «las cuentas, aplicaciones y datos que esta haya autorizado».
Si un agente se equivoca o lo engañan
La AEPD da el orden de lo que hay que hacer: «Si algo falla, detenlo, desconecta las aplicaciones afectadas, cambia las contraseñas, comprueba qué se ha enviado y avisa a quien pueda verse afectado». Para pararlo, en cada herramienta sirve lo de la fila «Forma inmediata de pararlo» de las tablas, y para comprobar qué ha hecho, lo de la fila «Historial de lo que ha hecho».
Contra las instrucciones escondidas en un correo o en una web, el decálogo advierte de que «ninguna medida elimina por completo este riesgo», y OpenAI dice lo mismo de sus propias medidas en su documentación. La empresa puede recortar lo que el agente hace si alguien consigue engañarlo.
Si el agente ha sacado o dejado a la vista datos de clientes o de empleados, puede ser lo que la ley llama una brecha de datos, y entonces puede haber un plazo para avisar a la AEPD. Qué hacer en las primeras horas lo contamos en qué hacer si un agente de IA filtra datos de tu empresa.
Preguntas frecuentes
¿Qué es un agente de IA y para qué sirve?
Es un asistente de IA que, además de contestar, ejecuta tareas en nombre de quien lo usa con las herramientas a las que tiene acceso, como el correo, los documentos o un navegador. En una empresa sirve para trabajos de varios pasos que se repiten, como preparar un informe con datos de varias fuentes, contestar correos con un borrador que revisa una persona o dejar tareas programadas.
¿Qué diferencia hay entre un chatbot y un agente de IA?
El chatbot responde y el agente actúa. Por eso al agente se le dan permisos, y conviene que pida confirmación antes de enviar, publicar, borrar o pagar, como recomienda la AEPD.
¿Hace falta programar para crear un agente de IA?
Para los agentes que vienen dentro de las herramientas de empresa, no. En Gemini, por ejemplo, un flujo de Workspace Studio se crea describiendo lo que tiene que hacer, y en ChatGPT los complementos nuevos se crean con Plugin Creator. Si el agente tiene que hacer acciones en otros servicios, en Copilot hay que pasarlo a Copilot Studio, porque el creador de agentes no las permite, y algunos casos piden un desarrollo a medida.
¿Puede un empleado conectar un agente a su correo del trabajo con una cuenta personal?
El decálogo de la AEPD lo desaconseja: «No instales agentes por tu cuenta en el equipo de trabajo ni conectes el correo o los documentos profesionales a una cuenta personal de IA». Los datos de los clientes siguen siendo responsabilidad de la empresa, recuerda el decálogo. Si ya está pasando, es shadow AI, el uso de herramientas de IA que la empresa no ha aprobado, y en nuestro artículo sobre shadow AI contamos cómo ordenarlo sin prohibir.
¿Qué hago si un agente ha hecho algo que no debía?
Pararlo, desconectar las aplicaciones que usaba, cambiar las contraseñas, comprobar qué ha enviado o cambiado y avisar a quien pueda verse afectado, que es el orden que da la AEPD. Si hay datos personales de por medio, puede tocar avisar a la AEPD, y lo explicamos en qué hacer si un agente de IA filtra datos de tu empresa.
Una reflexión antes de cerrar
Los agentes llegan a las empresas por la puerta de herramientas que ya están pagadas, y en varias vienen activados de serie. Quien administra Microsoft 365, ChatGPT, Claude o Google Workspace puede empezar mirando tres cosas: qué agentes se pueden instalar, cuándo piden confirmación y si su plan guarda registro de lo que hacen. Si quieres revisarlo con nosotros o formar al equipo en Copilot, ChatGPT, Claude o Gemini, escríbenos.
Dónde lo dicen la AEPD y cada fabricante
- AEPD: nota de prensa del decálogo para delegar tareas en asistentes y agentes de IA y el decálogo en PDF.
- Microsoft: gestión de agentes en el centro de administración, ajustes de agentes, Agent Builder, uso de Copilot Cowork, acceso a Copilot Cowork, gobierno de Copilot Cowork, memoria de Copilot, auditoría en Purview y protección de datos de empresa.
- OpenAI: controles de administración de complementos y apps, agentes de equipo, Work y Codex, Compliance Platform, memoria en Business, privacidad de empresa y retirada de los GPT personalizados.
- Anthropic: Claude Cowork en Team y Enterprise, la experiencia unificada en Enterprise, primeros pasos con Claude Cowork, conectores, skills de la organización, memoria, registros de auditoría y uso de los datos para entrenar.
- Google: guía de Workspace Studio para administradores, aprobación de los flujos que comparten datos fuera, la app de Gemini y su historial, memoria de Gemini, registro de eventos de Gemini y privacidad de la IA en Workspace.
