¡LOS ARTÍCULOS 32 Y 33 DE TODA LA VIDA DEL RGPD!

        Hace unos días escribía sobre la necesidad de dar peso real a los roles de CDO y DPD dentro de las organizaciones, más allá del cumplimiento formal. Esta misma semana, la actualidad me ha dado un argumento que no esperaba tener tan pronto.

        Ayer se hizo público que la AEPD ha comunicado la primera brecha de datos personales en España ejecutada mediante un agente de IA autónoma, aunque probablemente manejada e instruida por un humano. No hubo una IA que decidiera atacar por su cuenta — fue un tercero quien la usó como instrumento. Pero ese matiz no resta gravedad al fondo del asunto: un agente autónomo fue capaz de encadenar reconocimiento, acceso y explotación sin intervención humana directa en cada paso, comprimiendo en minutos lo que antes podía llevar días.

        Y aquí viene la parte que más me ha hecho sonreír, con cierta ironía: con todo el revuelo regulatorio en torno a la IA —reglamentos europeos, marcos de gobernanza, comités de ética a medio construir—, para responder a este caso a la AEPD le ha bastado con los de toda la vida: los artículos 32 y 33 del RGPD, seguridad del tratamiento y notificación de brechas. Ni una línea de un "reglamento de IA" ha hecho falta para activar el expediente. Si bien, es importantísimo recordar la necesidad de un marco regulatorio como medida preventiva, paliativa y sancionadora para estos mismos casos — una cosa es que el RGPD baste para reaccionar cuando el daño ya está hecho, y otra muy distinta es no necesitar reglas específicas que ayuden a prevenirlo antes de que ocurra.

        Esto es precisamente el tipo de escenario donde la diferencia entre tener un DPD y un CDO con autoridad real —o tenerlos solo sobre el papel— se convierte en la diferencia entre detectar un incidente a tiempo o enterarse cuando ya es tarde. La propia AEPD lo señala: la supervisión humana debe complementarse con mecanismos automáticos de detección, contención y respuesta.

        No se trata de sembrar alarma. Pero sí es una señal clara de hacia dónde se dirige el riesgo, y de por qué estos roles necesitan estar integrados en la gobernanza real de una organización, no relegados a una casilla de cumplimiento normativo.

#GobernanzaDeDatos #Ciberseguridad #InteligenciaArtificial #RGPD