Los delegados de protección de datos conocemos bien la escena. Uno está en su despacho cuando suena el teléfono y alguien anuncia que hay «un proyecto nuevo». Lo de nuevo suele ser una licencia poética: el proveedor está elegido, el contrato casi firmado, el formulario en producción y alguien ha decidido que sería conveniente incorporar inteligencia artificial porque ahora toda organización respetable debe tenerla. Entonces recuerdan que existe un DPD y lo convocan, no para que asesore, sino para que confirme que todo está bien. Y, si no lo está, que procure arreglarlo sin cambiar nada.
Con ese paisaje de fondo, la AEPD publicó el 14 de julio de 2026 sus Recomendaciones para fortalecer el cumplimiento de la normativa de protección de datos en la AGE. El documento no crea nuevas obligaciones ni impone un modelo organizativo cerrado, pero cuando la autoridad de control explica dónde debe situarse el DPD, cuándo debe intervenir, qué recursos necesita y cómo debe abordarse la inteligencia artificial, está dibujando un estándar de referencia que será difícil ignorar en auditorías, proyectos tecnológicos y procesos de contratación.
La idea central debería colgarse en algunas salas de reuniones: la protección de datos debe integrarse desde el principio. Antes de comprar la herramienta, antes de firmar el contrato, antes de crear la base de datos y, desde luego, antes de permitir que media organización empiece a introducir información en un sistema de inteligencia artificial. El DPD no está para acudir al final del proceso, levantar acta del desastre y añadir una frase jurídica que permita dormir tranquilos. La protección de datos desde el diseño obliga a preguntarse, cuando todavía hay margen de maniobra, qué datos se necesitan, para qué se utilizarán, quién accederá a ellos, dónde se almacenarán y qué riesgos pueden derivarse.
La Agencia recuerda además algo elemental: la responsabilidad del cumplimiento corresponde al responsable del tratamiento. El DPD informa, asesora y supervisa, pero no sustituye a la organización ni absorbe mágicamente sus obligaciones. Dicho de otra manera: puede señalar el iceberg, recomendar un cambio de rumbo y advertir de que el casco no parece preparado para determinadas alegrías náuticas, pero no gobierna el barco. Curiosamente, cuando todo va bien nadie parece recordar esta distribución de funciones; cuando algo sale mal, el teléfono del delegado adquiere la actividad de una centralita en tiempo de guerra.
También insiste la AEPD en la posición orgánica del DPD, su independencia, su visibilidad y sus recursos. Y no es una cuestión decorativa. Un delegado enterrado en el organigrama, sin acceso a la dirección y alimentado con información parcial es poco más que un elemento ornamental. La independencia no se consigue escribiendo la palabra independiente en una política interna: exige tiempo, autoridad técnica, acceso a la información y capacidad para emitir criterio sin que nadie le sugiera previamente cuál debería ser la conclusión. Tampoco puede encargarse a una persona la vigilancia de toda la organización, entregarle una silla, un correo electrónico y media tarde de los viernes, y llamar a eso gobernanza.
El documento acierta también al reclamar una visión multidisciplinar. Hoy la protección de datos se cruza con servicios en la nube, ciberseguridad, plataformas de terceros, sistemas automatizados e inteligencia artificial. El DPD necesita conocimientos jurídicos, por supuesto, pero también colaboración real con tecnología, seguridad, servicios jurídicos y transformación digital. No se trata de fabricar un delegado renacentista capaz de interpretar el RGPD, auditar una red, programar un modelo y reparar la impresora de la tercera planta. Se trata de reconocer que los riesgos actuales ya no caben en un único despacho.
Y llegamos a la inteligencia artificial, probablemente el apartado más interesante del documento. La AEPD deja claro que implantar IA no consiste simplemente en comprar licencias y dejar que el personal experimente. Requiere gobernanza, formación, criterios de uso y gestión continua de riesgos. De lo contrario aparecen las sorpresas: documentos internos introducidos en plataformas públicas, datos personales utilizados en consultas, informes generados con errores que nadie revisa y una dependencia creciente de herramientas que terminan sustituyendo no solo tareas, sino también criterio y conocimiento.
La Agencia llega incluso a mencionar el «sedentarismo intelectual de los trabajadores». La expresión tiene su gracia, pero el riesgo es serio. Una organización que delega sistemáticamente en herramientas automáticas la redacción, el análisis y la toma de decisiones puede terminar perdiendo habilidades y memoria interna. La inteligencia artificial ayuda, acelera y amplifica, pero también puede atrofiar cuando sustituye al juicio en lugar de complementarlo. Y una organización que deja de pensar por sí misma acaba dependiendo de aquello que piensa en su lugar.
De todo ello puede extraerse un decálogo bastante sencillo: dar visibilidad real al DPD, consultarlo desde el inicio, definir protocolos claros, coordinar privacidad, tecnología y ciberseguridad, crear mecanismos de gobernanza de la IA, formar antes de autorizar su uso, controlar las fugas de información, documentar las decisiones, implicar a la dirección e integrar la privacidad en la transformación digital. Nada especialmente revolucionario. Precisamente por eso resulta tan llamativo que todavía sea necesario repetirlo.
Estas recomendaciones deberían servir para que muchas organizaciones se hagan algunas preguntas incómodas. ¿Tiene el DPD acceso real a la dirección? ¿Conoce los proyectos antes de su puesta en marcha? ¿Dispone de medios? ¿Se ha regulado el uso de la inteligencia artificial? ¿Sabe la organización qué herramientas utiliza su personal y qué información introduce en ellas? Cuando la respuesta es negativa, el problema no suele ser la falta de una cláusula jurídica. Es la falta de gobernanza.
La protección de datos no cabe en una carpeta llena de políticas impecables. Está en la forma de tomar decisiones, en la asignación de responsabilidades y en la voluntad de escuchar antes de actuar. El DPD tiene un papel importante en ese proceso, pero no gobierna la nave. Es el vigía. Y el problema de los vigías no suele ser que vean tarde el iceberg, sino que, a veces, cuando gritan, quienes están en el puente consideran que conviene terminar antes la presentación.
Después vienen las prisas, los informes urgentes y la pregunta de siempre sobre quién era el responsable.
Y entonces llaman al viejo DPD.
