La Agencia Española de Protección de Datos registró su primera brecha de un agente de IA. La cuenta sigue siendo de la víctima.

El 14 de septiembre de 2026, la autoridad de protección de datos de España, la Agencia Española de Protección de Datos (AEPD), publicó una entrada de blog de Francisco Pérez Bes en la que revelaba que había recibido la primera notificación de brecha de datos personales en la que se decía que el incidente había sido llevado a cabo por un agente de IA ejecutado sobre un conocido modelo de lenguaje. Según el relato que la organización afectada dio al regulador, el agente buscó debilidades en archivos genéricos, inició sesión con éxito y luego buscó por su cuenta fallos en la aplicación hasta encontrar uno, y lo utilizó para modificar datos personales y acceder a facturas. La AEPD no ha nombrado a la organización, al atacante ni al modelo, y no ha dicho cuántas personas están afectadas. Las propias fuentes del registro, la calificación de gravedad y la evaluación de confianza se encuentran en el archivo de incidentes de IA, junto con los demás registros de intrusiones mediante agentes presentados en torno a él.

Qué publicó la agencia y con qué voz

La publicación es breve —unas 700 palabras— y su título es una afirmación, no un hallazgo: "Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA." El cuerpo es más cuidadoso que el título. Donde la cobertura en inglés dice que la brecha fue llevada a cabo por un agente, el texto en español usa el condicional en todo momento: el incidente habría sido ejecutado —es decir, habría sido ejecutado— por un agente de IA, y un tercero habría utilizado un agente como instrumento. Esa es la gramática de un relato recibido y aún no verificado, y la AEPD lo dice explícitamente: la información disponible "procede de la notificación presentada por la organización afectada y deberá ser objeto del correspondiente análisis" —proviene de la notificación de la organización afectada y queda pendiente de análisis.

La frase que recoge el verdadero juicio de la agencia es más estrecha que los titulares construidos sobre ella. «Lo relevante desde la perspectiva de la protección de datos es que un tercero habría utilizado un agente de IA como instrumento para encadenar exitosamente distintas fases del ataque» — lo relevante, desde la perspectiva de la protección de datos, es que un tercero habría utilizado un agente de IA como instrumento para encadenar con éxito distintas fases del ataque. La novedad que alega el regulador es el encadenamiento, no la intrusión: los ataques en múltiples etapas son antiguos, y la AEPD dedica un párrafo a decirlo. Lo nuevo es que a un sistema se le dio un objetivo y luego planificó tareas intermedias, utilizó herramientas, ejecutó código, leyó resultados y cambió de rumbo por sí solo.

La cadena, tal como la describió la organización notificante.

La descripción de la intrusión por parte de la AEPD consta de cuatro pasos y no contiene ningún identificador técnico. El agente "inició una búsqueda de vulnerabilidades en archivos genéricos" —comenzó a buscar vulnerabilidades en archivos genéricos— y después "realizó un login correcto", es decir, inició sesión correctamente. Una vez dentro del sistema, "comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación" —comenzó a buscar vulnerabilidades en la aplicación de forma autónoma— y, tras encontrar una, pudo modificar datos personales y acceder a facturas.

Dos detalles de esa secuencia merecen una pausa, porque la cobertura secundaria los ha suavizado. Los archivos se describen como genéricos, es decir, genéricos; la crónica de TechRadar Pro del 17 de septiembre los presenta como los «archivos de acceso público» del objetivo, lo que es una inferencia razonable pero no lo que escribió la AEPD, y la agencia no dice si se podía acceder a los archivos sin autenticación. Y el inicio de sesión se afirma como un hecho —un inicio de sesión correcto— sin explicar de dónde procedían las credenciales: si se obtuvieron, se adivinaron, se reutilizaron o se emitieron para el agente. La publicación no dice nada sobre cómo detectó la organización la intrusión, si se exfiltró algo o si el agente se movió lateralmente una vez dentro. Según el registro público, la cadena tiene un principio y un final y muy poco en medio.

Qué está establecido y qué no

Establecido, sobre la base de documentos primarios: la AEPD recibió una notificación de brecha que caracteriza de este modo; publicó ese hecho en el sitio web de la propia agencia el 14 de septiembre de 2026; la descripción anterior es el resumen que hace la agencia de lo que le comunicó la organización notificante; y la postura declarada de la agencia es que los ataques asistidos por IA han dejado de ser un riesgo teórico y ahora están produciendo incidentes que afectan a tratamientos reales de datos personales.

No está establecido, y esta es la parte que el registro no puede aportar: si la intrusión ocurrió tal como se describe. Ninguna fuente citada —ni la AEPD ni ningún medio— informa de un examen técnico independiente de los sistemas afectados. Todos los relatos se remontan a la propia notificación de la organización. La AEPD califica el análisis como pendiente, y el informe de BleepingComputer del 16 de septiembre afirma claramente que la agencia no ha investigado ni verificado la afirmación. La agencia no ha identificado públicamente a la organización, al atacante ni al modelo; la cobertura española es explícita al respecto, e Infobae informó el 15 de septiembre de que no se habían dado a conocer ni las empresas implicadas ni el modelo.

También están ausentes: cualquier recuento de personas afectadas, cualquier lista de categorías de datos que vaya más allá de los datos personales y las facturas, cualquier afirmación de que las facturas se sustrajeron en lugar de limitarse a consultarse, y cualquier indicación de sector o tamaño. La cobertura periodística no ha llenado estas lagunas, porque no puede; los textos de agencia y la prensa especializada derivan todos de la misma entrada de blog.

El modelo no fue la parte comprometida, y la agencia lo dijo dos veces.

Ambas salvedades de la publicación son defensivas, y ambas han sido repetidas por todos los que la cubrieron. La primera: usar un modelo de IA concreto no implica que el modelo, o la infraestructura de su proveedor, se hayan visto comprometidos. La segunda: tampoco implica que la herramienta se diseñara para realizar actividades maliciosas. Leídas en conjunto, sitúan el fallo en el uso que el atacante hace de un sistema de propósito general, no en el propio sistema — una distinción que importa a cualquier proveedor cuyo producto quedó sin nombrar y a cualquier lector tentado a tratar esto como un incidente de seguridad de modelos. Nada en las fuentes citadas sugiere un jailbreak, un endpoint comprometido o un modelo envenenado.

Lo que el informe sí establece sobre la autonomía es más limitado que «la IA decidió atacar». Un tercero utilizó el agente; el objetivo procedía del exterior. Gizmodo España, en su edición del 17 de septiembre, formuló la distinción en términos que respalda el texto de la AEPD: un conductor puede elegir la ruta sin haber elegido el destino, y la autonomía aquí reside en la ruta —qué vulnerabilidad sondear, qué acción emprender a continuación— y no en la decisión de atacar en absoluto. La consecuencia práctica es la que subraya el regulador: el trabajo entre una instrucción inicial y una intrusión consumada ahora puede delegarse en fragmentos cada vez mayores.

Lo que el regulador pidió a las organizaciones que cambiaran

La AEPD extrae cuatro consecuencias, y ninguna de ellas constituye una nueva obligación legal. En primer lugar, los análisis de riesgos de los tratamientos de datos deberían nombrar explícitamente los ataques asistidos por IA y ejecutados por IA, porque una referencia genérica a malware, phishing o acceso no autorizado no refleja cómo la automatización cambia la probabilidad, la velocidad y el alcance de un incidente. En segundo lugar, es necesario revisar los tiempos de respuesta: los procedimientos diseñados para un atacante humano pueden no ser válidos cuando un agente examina varios activos a la vez, prueba distintas vías de entrada y se adapta rápidamente. En tercer lugar, las identidades y las credenciales se convierten en el eje: un agente que disponga de una cuenta, una clave de API o un token con privilegios excesivos puede operar a velocidad de máquina en distintos servicios antes de que nadie detecte un comportamiento anómalo. En cuarto lugar, la supervisión humana sigue siendo indispensable, pero debe respaldarse con capacidades de detección, contención y respuesta que puedan mantener el ritmo.

La publicación lo fundamenta en directrices nacionales en lugar de inventarlo. Cita CCN-CERT BP/36, "Buenas prácticas frente al modelo de IA ofensiva," publicado por el Centro Criptológico Nacional (CCN) de España, que la AEPD resume como una advertencia de que la IA ofensiva se está convirtiendo en una capacidad operativa integrada en campañas reales, y como una recomendación de controles esenciales más sólidos, gestión más rápida de vulnerabilidades, protección de identidades, control de la cadena de suministro y gobernanza explícita del uso de agentes. La AEPD también advierte de que la IA "no crea nuevas amenazas" —no crea nuevas amenazas—, pero sí aumenta la velocidad, la escala y la adaptabilidad de técnicas que ya son conocidas. Ni la publicación ni la cobertura señalan que el incidente español haya implicado alguna técnica concreta de esa guía.

Cómo viajó, y qué aporta realmente la cobertura

La agencia de noticias española EFE informó de la notificación el 15 de septiembre, atribuyendo la información a fuentes de la AEPD; RTVE publicó el texto de EFE el 16 de septiembre bajo una firma conjunta de RTVE.es / EFE. Bill Toulas, de BleepingComputer, escribió sobre ello ese mismo día, bajo un titular que mantenía la palabra «alleged», y Sead Fadilpašić, de TechRadar Pro, le siguió el 17 de septiembre. El análisis para clientes de Ropes & Gray, publicado en septiembre de 2026, es la aportación jurídica más sustancial: examina lo que exige el artículo 32 del RGPD a medida que los modelos de amenazas absorben el descubrimiento automatizado de vulnerabilidades, y lo que los artículos 33 y 34 dan por supuesto sobre la delimitación del alcance y las huellas forenses cuando una intrusión se planifica y ejecuta a velocidad de máquina.

Ninguno de estos medios informa haber verificado la intrusión de forma independiente, y ninguno afirma haberlo hecho. Su valor es corroborar otra cosa: que un regulador europeo dijo esto, en estos términos, en esta fecha, y que su propia formulación es condicional. Donde el texto de EFE endurece el condicional —el texto de RTVE dice «ha sido ejecutado», es decir, se ha llevado a cabo, en lugar del «habría sido ejecutado» del blog—, el cambio es de la agencia de noticias, no del organismo regulador. El artículo de BleepingComputer también sitúa el caso junto a otras intrusiones agénticas reportadas de 2026; esas comparaciones son contexto del medio, no forman parte de este registro, y ninguna de ellas es evidencia de lo que ocurrió en España.

El seguimiento trataba sobre la IA ofensiva en general, no sobre este caso.

El 28 de septiembre, la AEPD publicó una segunda entrada de blog, «IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos», que no actualiza la notificación de septiembre. Su argumento es más amplio: que la «ventana de exposición» entre el descubrimiento de una vulnerabilidad y su explotación está a punto de desaparecer, que con sistemas agénticos el tiempo entre el acceso inicial y la exfiltración de datos puede reducirse a minutos, y que el problema de fondo es estructural —sistemas heredados no documentados, vulnerabilidades conocidas sin parchear, dependencia de la cadena de suministro y aceptación de software inseguro por diseño—. Economist & Jurist resumió la entrada sobre el mismo tema, con el titular de que un ataque puede llegar a los datos en cuestión de minutos. Se lee como que la agencia generaliza a partir del caso en lugar de informar sobre él, y no contiene ningún dato nuevo sobre la organización española.

Así está el registro a finales de octubre de 2026. Las afirmaciones concretas y verificables son de procedimiento: un regulador recibió una notificación, la describió en una entrada de blog, se negó a identificar a ninguna de las partes y la utilizó para sostener que las evaluaciones de riesgo deberían tener en cuenta a los agentes. La afirmación de que un agente autónomo realizó realmente la intrusión se basa, públicamente, en el relato de una organización a su autoridad de control. Lo que haría cambiar eso —un modelo identificado, una cifra de personas afectadas, un informe técnico o una decisión de ejecución— no ha aparecido. Hasta entonces, el valor del registro es que una autoridad de protección de datos ha dejado por escrito que el encadenamiento es lo que cambió, y ha pedido a todos los responsables del tratamiento en España que planifiquen en consecuencia.