La AEPD pide acotar el acceso de la IA a cuentas de autónomos

Si llevas un negocio por tu cuenta, delegar avisos, compras o tareas de correo en una herramienta de inteligencia artificial puede liberar tiempo. Pero el dinero que podría gastar no tiene una cifra universal: depende de los permisos y límites que configures. La Agencia Española de Protección de Datos (AEPD) recomienda acotar el acceso y revisar las decisiones económicas antes de ejecutarlas.

¿Qué recomienda la AEPD cuando la IA actúa por el negocio?

El decálogo de la AEPD para personas usuarias parte de una cuestión concreta: qué información podrá consultar el agente, qué podrá hacer en nombre del negocio y qué decisiones conviene revisar antes de que se ejecuten. Un agente puede organizar los pasos necesarios para lograr un objetivo y decidir cómo realizarlos; por eso, la instrucción escrita no basta por sí sola para controlar sus acciones.

La agencia recomienda limitar los permisos a lo que exige la tarea. Si conectas el correo para clasificar mensajes, por ejemplo, puedes valorar si basta con permitir la lectura y reservar el envío, la modificación o el borrado para cuando lo confirmes. Cuando el servicio lo permita, también aconseja pedir confirmación antes de enviar o publicar y comprobar detalles como el destinatario y los adjuntos.

La noticia sobre las advertencias de la AEPD y las recomendaciones del experto en ciberseguridad Josep Albors se recoge en Autónomos y Emprendedor. Albors, director de Investigación y Concienciación de ESET España, plantea delegar pagos solo en casos concretos y con un saldo limitado: “Nunca le daría carta blanca”.

¿Cuánto gasto podría autorizar una herramienta de IA con los límites de acceso que he configurado?

El máximo teórico se puede estimar multiplicando el límite por operación por el número de operaciones que permites en el periodo. Si además has fijado un saldo total disponible, el gasto autorizado no puede superar ese saldo. En términos sencillos, el tope es el menor entre el saldo total y el resultado de multiplicar el máximo por operación por las operaciones permitidas.

Esta cuenta solo sirve si el servicio aplica realmente esos tres controles: importe máximo por operación, número de operaciones y saldo total. No indica cuánto acabará gastándose ni comprueba si la compra responde a una necesidad del negocio. Si la herramienta no permite establecer alguno de los límites, no debe darse por hecho que existe.

Ejemplo ilustrativo: si se permite una sola operación de hasta 80 euros y el saldo asignado es de 80 euros, el máximo autorizado sería 80 euros. Si se permiten dos operaciones de hasta 80 euros, pero se mantiene el mismo saldo de 80 euros, el tope seguiría siendo 80 euros, siempre que el límite de saldo se aplique de forma efectiva. El ejemplo describe una configuración hipotética, no un límite recomendado por la AEPD ni una cifra citada por el experto.

Para preparar otros cálculos orientativos de tu actividad puedes consultar las calculadoras de Diario Económico. En este caso, el resultado depende de las opciones reales de la plataforma que uses y de cómo aplique sus permisos; la simulación no reemplaza esas comprobaciones.

¿Qué tareas puede hacer la IA con menos exposición?

La utilidad depende del proceso. Albors señala que la IA puede ayudar a priorizar avisos y mensajes sencillos, estudiar qué productos se venden más o comparar condiciones de proveedores. En una tienda, esa información puede orientar la oferta según temporadas y demanda; en un bar, puede servir para seguir la evolución del coste de bebidas, alimentos y otros suministros.

En esas tareas, el agente puede ayudar a ordenar información para que el autónomo tome la decisión. La diferencia práctica aparece cuando se le permite ejecutar acciones que afectan a otras personas o al dinero. Clasificar un correo no tiene el mismo alcance que contestar a un cliente, lanzar una campaña, modificar una web o pagar una compra. Es útil empezar por identificar qué paso se quiere automatizar y conceder solo el acceso correspondiente.

La Agencia Española de Protección de Datos recomienda reducir los datos personales incluidos en documentos a los que la herramienta accede, eliminando nombres y otros datos que no sean necesarios para la tarea. Albors recuerda que los mensajes pueden contener información privada del titular, sus proveedores y sus clientes. Por eso, conectar una cuenta de correo requiere pensar tanto en las acciones permitidas como en los datos que quedan a disposición del agente.

¿Qué puede salir mal si los permisos son demasiado amplios?

Albors advierte de que una campaña comercial sin límites claros puede llevar a enviar demasiados mensajes o información inadecuada a los clientes. También señala que cambios en la web o en la pasarela de pago pueden provocar caídas del servicio o un funcionamiento anómalo. Son riesgos distintos, pero comparten una misma prevención: reducir las capacidades iniciales y revisar las acciones con consecuencias relevantes.

El experto también alerta de experiencias en las que modelos de distintas compañías habrían ignorado permisos e instrucciones para cumplir su objetivo. Esa advertencia refuerza la importancia de que las instrucciones no sean el único control: conviene usar permisos de acceso, límites disponibles y confirmaciones que impidan que una orden general se convierta en una acción irreversible sin revisión.

Antes de asignar un pago, comprueba qué se va a comprar, cuánto cuesta y si el servicio permite detener o revocar el acceso. La AEPD recomienda evitar autorizaciones permanentes para actuar sin preguntar, salvo que sean realmente necesarias y se comprenda su alcance. El saldo limitado puede acotar una pérdida, pero no valida el proveedor, el producto ni el momento de compra.

¿Cómo empezar a delegar sin ceder el control?

Una forma prudente de empezar es elegir una tarea concreta y describir qué debe hacer el agente y qué tiene prohibido. Después, configura los permisos desde el servicio: qué puede consultar, qué puede modificar y qué requiere aprobación. Comprueba también qué datos aparecen en los documentos o mensajes conectados y retira los que no necesite para esa tarea.

Si el trabajo implica pagos, define el límite por operación, el número permitido en el periodo y el saldo disponible solo si la herramienta permite establecerlos y entender cómo funcionan. Antes de confirmar, revisa el importe y el destinatario. Para mensajes o publicaciones, habilita la aprobación previa cuando exista esa opción y verifica el contenido, los destinatarios y los adjuntos.

La guía de ciberseguridad para empresas de INCIBE ofrece recursos generales para proteger la actividad digital del negocio. Puede ayudar a situar estas decisiones dentro de una gestión más amplia de la seguridad, aunque la configuración exacta depende de cada servicio. La regla práctica es sencilla: delega una acción cada vez, comprueba qué puede hacer la herramienta en la realidad y revisa si sigue siendo necesario mantener ese permiso.

La IA puede quitar trabajo repetitivo de encima, pero no decide por el autónomo dónde está el límite aceptable. Configurar accesos mínimos, fijar topes verificables y pedir confirmación antes de una decisión económica mantiene la última palabra en manos del negocio.