Los 10 simulacros (II): del 6 al 10

Escenario. Una aplicación dirigida a menores de entre 10 y 14 años utiliza cookies analíticas y publicitarias sin consentimiento válido. La autoridad de control requiere información sobre la app EduKids. El plazo es de 15 días.

Qué te pide. Que suspendas el tratamiento no necesario, que diseñes un banner con aceptar y rechazar al mismo nivel y que implementes una verificación de edad con consentimiento paterno para los menores de 14 años. La política de privacidad debe estar adaptada al público menor y el consentimiento debe quedar registrado.

La bifurcación clave. En el primer nodo eliges entre suspender el tratamiento no necesario y diseñar banner y verificación, mantener los términos sin verificación o recoger datos excesivos para verificar. La opción correcta es suspender y diseñar. En el segundo nodo, tras suspender, eliges entre un banner con verificación paterna para menores de 14 años, una verificación débil sin evidencia o el perfilado publicitario de menores. La opción óptima es el banner con verificación paterna; la verificación débil genera poca evidencia; el perfilado de menores es la peor opción.

Trampas. El consentimiento paterno es obligatorio para menores de 14 años. El banner debe ofrecer aceptar y rechazar al mismo nivel, sin premarcado. Recoger datos excesivos para verificar la edad incumple el principio de minimización. El perfilado publicitario de menores incrementa gravemente el riesgo y puede ser contrario al interés superior del menor.

Aprendizaje. Cuando hay menores implicados, la verificación de edad y el consentimiento paterno no son opcionales. La suspensión del tratamiento no necesario es una medida de diligencia que la autoridad valora. Y el interés superior del menor prevalece sobre cualquier interés comercial.

Escenario. Un cliente solicita la portabilidad de sus datos a un competidor. El plazo legal es de un mes. Es un escenario de ejercicio de derechos: la respuesta debe ser en formato estructurado, de uso común y legible por máquina, con seguridad en la transmisión.

Qué te pide. Que verifiques la identidad del solicitante, que prepares el formato adecuado (CSV o JSON, no PDF) y que garantices la seguridad de la transmisión. El destino de los datos no es causa de denegación: la portabilidad es un derecho del interesado, no una autorización del responsable.

La bifurcación clave. En el primer nodo eliges entre verificar identidad y preparar formato estructurado, denegar porque el cliente se va a un competidor o entregar los datos en PDF. La opción correcta es verificar y preparar. En el segundo nodo, tras verificar, eliges entre entregar CSV o JSON con seguridad, incluir datos de terceros o retrasar la entrega. La opción óptima es entregar en formato interoperable con seguridad; incluir datos de terceros es un error; el retraso injustificado incrementa el riesgo.

Trampas. El PDF no es un formato estructurado ni legible por máquina, así que no cumple el requisito. El destino de los datos no justifica una denegación. Los datos de terceros no están amparados por el derecho de portabilidad. El plazo es improrrogable salvo causa justificada.

Aprendizaje. La portabilidad no es una concesión del responsable: es un derecho del interesado. El formato importa tanto como el contenido. Y la seguridad en la transmisión es parte de la obligación, no un extra.

Escenario. El delegado de protección de datos de la organización ha dimitido. La autoridad de control requiere información sobre el nuevo nombramiento. El tratamiento es a gran escala, así que la designación es obligatoria.

Qué te pide. Que analices la obligación de designación, que designes a una persona cualificada e independiente, que comuniques el nombramiento a la autoridad y que garantices las condiciones para que ejerza sus funciones. Si externalizas el servicio, debes establecer garantías y supervisión.

La bifurcación clave. En el primer nodo eliges entre analizar la obligación y designar un delegado cualificado, alegar que no es obligatorio o externalizar sin garantías. La opción correcta es analizar y designar. En el segundo nodo, tras confirmar la obligación, eliges entre designar un delegado independiente y comunicarlo, designar a una persona con conflicto de intereses o externalizar sin garantías suficientes. La opción óptima es la designación independiente con comunicación; el conflicto de intereses es un error; la externalización sin garantías es aceptable pero menos sólida.

Trampas. La alegación de no obligación sin análisis previo incrementa el riesgo. Designar a una persona con conflicto de intereses incumple la exigencia de independencia. Externalizar el servicio sin garantías ni supervisión no exime de responsabilidad. La impugnación sin fundamento agrava la valoración.

Aprendizaje. El delegado es obligatorio cuando el tratamiento es a gran escala. La independencia no es un adorno: es una condición estructural. Y la responsabilidad del responsable no se delega en el delegado ni en el proveedor externo.

Escenario. Una PYME de 85 empleados del sector servicios quiere implantar un asistente basado en un modelo de lenguaje externo para automatizar respuestas a clientes y redactar informes internos. El proveedor es una empresa estadounidense y los datos se procesan en sus servidores. La dirección quiere implantarlo en dos semanas.

Qué te pide. Que realices una evaluación de impacto antes del despliegue, que determines el rol del proveedor como encargado del tratamiento, que negocies un contrato con cláusulas de protección específicas, que prohíbas contractualmente el reentrenamiento con datos personales, que evalúes las transferencias internacionales y que actualices las cláusulas informativas y el registro de actividades. Si el asistente puede generar decisiones que afecten significativamente a los interesados, debes prever salvaguardas para las decisiones automatizadas.

La bifurcación clave. En el primer nodo eliges entre realizar la evaluación de impacto completa antes del despliegue, implantar directamente porque “es solo un chatbot” o implantar con un aviso genérico en la web. La opción correcta es la evaluación completa. En el segundo nodo, tras identificar el alto riesgo, eliges entre negociar contrato con cláusulas tipo y prohibición de reentrenamiento, aceptar los términos estándar del proveedor sin negociación o desplegar solo para uso interno sin datos de clientes. La opción óptima es la negociación completa; aceptar los términos estándar es la peor; el uso interno limitado es una reducción de alcance válida pero que debe completarse con evaluación si se amplía.

Trampas. Los términos estándar de los proveedores de IA suelen permitir el reentrenamiento con los datos enviados, lo que no es compatible con el marco de protección de datos sin base jurídica específica. Aceptar los términos sin negociación equivale a renunciar al control sobre el tratamiento. Un aviso genérico del tipo “usamos IA para mejorar el servicio” no cumple los requisitos de transparencia: hay que informar de la identidad del responsable, los fines, los destinatarios, las transferencias, los plazos y los derechos. Las transferencias a Estados Unidos requieren garantías adecuadas; sin ellas, el tratamiento no es lícito.

Aprendizaje. La evaluación de impacto es previa al despliegue cuando el tratamiento es de alto riesgo. El proveedor del modelo actúa como encargado y requiere contrato con cláusulas específicas. La prohibición de reentrenamiento debe ser contractual y verificable. La transparencia debe ser específica, no genérica. Y las transferencias internacionales requieren garantías adecuadas.

Escenario. Una organización de 120 empleados del sector financiero quiere desplegar un agente de IA agéntica que accede autónomamente a una base de datos de 50.000 clientes, mantiene memoria persistente de las interacciones, genera respuestas automáticas y puede ejecutar acciones como enviar correos, modificar datos y generar informes. El modelo de lenguaje es un servicio externo de un proveedor estadounidense.

Qué te pide. Que realices una evaluación de impacto antes del despliegue, que definas el nivel de autonomía del agente, que verifiques la Regla de 2 que la herramienta cita a partir de las Orientaciones de la AEPD sobre IA Agéntica (V1.2, febrero 2026), que compartimentes la memoria por tratamiento, que establezcas una política de retención y borrado, que garantices la supervisión humana efectiva en decisiones críticas, que implementes trazabilidad y que evalúes las transferencias internacionales.

La Regla de 2, tal como la recoge la herramienta. No se deben combinar simultáneamente tres elementos: el tratamiento automático de información incontrolada, el acceso a información sensible y la realización de acciones automáticas. Si el agente reúne los tres a la vez, el nivel de riesgo es inaceptable sin controles adicionales.

La bifurcación clave. En el primer nodo eliges entre realizar la evaluación de impacto completa, definir el nivel de autonomía y aplicar la Regla de 2, aceptar la propuesta del proveedor de autonomía total o desplegar en modo observación sin evaluación. La opción correcta es la primera. En el segundo nodo, tras la evaluación, eliges entre un nivel de autonomía de tipo “el agente propone y el humano aprueba”, con memoria compartimentada y retención de 30 días; un nivel de “el agente opera y el humano observa”, con memoria indefinida; o una autonomía total con compartimentación de memoria. La opción óptima es la primera; la memoria indefinida incumple el principio de limitación de conservación; la autonomía total con datos financieros vulnera la Regla de 2.

Trampas. El nivel de autonomía no lo decide el proveedor: es una decisión de diseño del responsable. La memoria indefinida incumple el principio de limitación de conservación. La autonomía total con datos financieros sensibles y sin supervisión humana efectiva vulnera la Regla de 2 y el régimen de las decisiones automatizadas. Corregir un error puntual sin corregir la causa raíz es un error sistémico: el siguiente error de contexto es cuestión de tiempo, y la reiteración agrava la valoración.

Aprendizaje. El nivel de autonomía es una decisión de diseño del responsable, no del proveedor. La Regla de 2 es un umbral mínimo: no se combinan a la vez información incontrolada, datos sensibles y acciones autónomas. La memoria del agente debe estar compartimentada por tratamiento y tener plazos de borrado definidos. La supervisión humana efectiva requiere competencia, autoridad, medios y tiempo. La evaluación de impacto es obligatoria para tratamientos de alto riesgo con IA. Y la trazabilidad permite auditar, explicar y repetir las decisiones del agente.

Los simulacros 6 a 10 cubren situaciones muy distintas (menores, portabilidad, delegado, IA generativa, IA agéntica), pero comparten el mismo esqueleto de criterio que ya viste en los cinco primeros. Lo que cambia es el escenario; lo que se repite es la lógica:

• Evaluar antes de actuar. En el 6 suspendes el tratamiento no necesario antes de rediseñar; en el 9 y el 10 la evaluación de impacto es previa al despliegue. La evaluación no es un trámite: es el paso que te permite decidir con criterio.
• Transparencia sobre ocultación. En el 7 respondes con motivación y en formato interoperable; en el 8 comunicas el nombramiento a la autoridad; en el 9 actualizas las cláusulas informativas. La transparencia es siempre el camino que más baja el riesgo.
• Documentar sobre improvisar. En el 6 produces el banner, la verificación y el registro de consentimiento; en el 7 produces el fichero en formato estructurado y el registro de la transmisión; en el 8 produces el análisis de obligación y el registro del nombramiento; en el 9 produces la evaluación de impacto y el contrato con cláusulas específicas; en el 10 produces la evaluación de impacto, la política de memoria y el protocolo de supervisión. La evidencia es el hilo conductor de todos ellos.
• Cumplir plazos en paralelo, no en serie. En el 6, suspender y rediseñar el banner son actuaciones paralelas. En el 8, analizar la obligación y preparar el nombramiento también. En el 9, negociar el contrato y preparar las cláusulas informativas van a la vez. Esperar a tener todo para empezar a cumplir es la trampa más común.
• No delegar la responsabilidad. En el 8, la responsabilidad del responsable no se delega en el delegado externo. En el 9 y el 10, no se delega en el proveedor del modelo. La supervisión es obligatoria y el nivel de autonomía se decide desde el diseño, no se acepta del proveedor.
• Minimización y proporcionalidad. En el 6, no se recogen datos excesivos para verificar la edad. En el 9, se limita el alcance a lo necesario. En el 10, la memoria se compartimenta y tiene retención definida. La minimización no es una formalidad: es un principio operativo.

Si interiorizas estos seis patrones, tienes el criterio completo del simulador. Los diez escenarios son variaciones sobre los mismos principios.

• Simulacro 6: menores y cookies. Consentimiento paterno, banner con aceptar y rechazar al mismo nivel, minimización y no perfilado de menores.
• Simulacro 7: portabilidad. Formato estructurado y legible por máquina, seguridad en la transmisión, no denegar por el destino, no incluir datos de terceros.
• Simulacro 8: delegado de protección de datos. Obligación a gran escala, independencia, comunicación del nombramiento, supervisión del externo.
• Simulacro 9: IA generativa con modelo externo. Evaluación de impacto previa, contrato con cláusulas específicas, prohibición de reentrenamiento, transparencia específica, garantías para transferencias.
• Simulacro 10: IA agéntica. Nivel de autonomía como decisión de diseño, Regla de 2, memoria compartimentada con retención definida, supervisión humana efectiva, trazabilidad.
• Patrón común: evaluar antes de actuar, transparencia sobre ocultación, documentar sobre improvisar, plazos en paralelo, no delegar la responsabilidad, minimización y proporcionalidad.

En la siguiente lección verás la diferencia entre el modo estándar y el modo experto: qué cambia en cada uno, cuándo conviene usar cada uno y por qué el modo experto no es “más fácil” sino “más exigente”. Es una lección corta, pero te ayuda a elegir el modo adecuado según tu objetivo: aprender, evaluarte o ponerte a prueba con presión.