Spanje heeft de eerste inbreuk door een AI-agent geregistreerd bij de Spaanse Autoriteit voor Gegevensbescherming. Het account is nog steeds van het slachtoffer.

Op 14 september 2026 publiceerde de Spaanse gegevensbeschermingsautoriteit, de Agencia Española de Protección de Datos (AEPD), een blogbericht van Francisco Pérez Bes waarin zij bekendmaakte dat zij de eerste melding van een persoonsgegevensdatalek had ontvangen waarin werd gesteld dat het incident was uitgevoerd door een AI-agent die op een bekend taalmodel draaide. Volgens de lezing die de getroffen organisatie aan de toezichthouder gaf, zocht de agent generieke bestanden af op zwakke plekken, logde hij met succes in en zocht hij vervolgens zelfstandig naar fouten in de applicatie tot hij er een vond, en gebruikte die om persoonsgegevens te wijzigen en bij facturen te komen. De AEPD heeft de organisatie, de aanvaller en het model niet genoemd en heeft niet gezegd hoeveel mensen getroffen zijn. De eigen bronnen, de ernstgraad en de betrouwbaarheidsbeoordeling van het record staan in het AI-incidentenarchief, samen met de andere records over agentische intrusies die eromheen zijn geregistreerd.

Wat het agentschap heeft gepubliceerd, en in welke stem.

Het bericht is kort — ongeveer 700 woorden — en de titel is een bewering, geen bevinding: "Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA." De tekst is zorgvuldiger dan de titel. Waar de Engelstalige berichtgeving zegt dat het datalek werd uitgevoerd door een agent, gebruikt de Spaanse tekst consequent de conditionalis: het incident habría sido ejecutado — zou zijn uitgevoerd — door een AI-agent, en een derde partij habría utilizado een agent als instrument. Dat is de grammatica van een verslag dat is ontvangen en nog niet geverifieerd, en de AEPD zegt dat ook expliciet: de beschikbare informatie "procede de la notificación presentada por la organización afectada y deberá ser objeto del correspondiente análisis" — die is afkomstig van de kennisgeving van de getroffen organisatie en moet nog worden geanalyseerd.

De zin die het daadwerkelijke oordeel van de autoriteit bevat, is beperkter dan de krantenkoppen die erop zijn gebaseerd. “Lo relevante desde la perspectiva de la protección de datos es que un tercero habría utilizado un agente de IA como instrumento para encadenar exitosamente distintas fases del ataque” — wat vanuit gegevensbeschermingsperspectief relevant is, is dat een derde een AI-agent zou hebben gebruikt als instrument om verschillende fasen van de aanval met succes aan elkaar te koppelen. Het nieuwe dat de toezichthouder claimt, is het aaneenschakelen, niet de intrusie: meerfasige aanvallen bestaan al lang, en de AEPD wijdt er een alinea aan om dat te zeggen. Wat nieuw is, is dat één systeem een doel kreeg en vervolgens zelf tussenliggende taken plande, tools gebruikte, code uitvoerde, resultaten las en van koers veranderde.

De keten, zoals de meldende organisatie deze heeft beschreven

De beschrijving van de inbraak door de AEPD beslaat vier stappen en bevat helemaal geen technische identificatoren. De agent 'begon een zoektocht naar kwetsbaarheden in generieke bestanden' — begon te zoeken naar kwetsbaarheden in generieke bestanden — en 'logde vervolgens correct in', waarmee hij met succes inlogde. Eenmaal in het systeem 'begon hij autonoom te zoeken naar kwetsbaarheden in de applicatie', en nadat hij er een had gevonden, kon hij persoonsgegevens wijzigen en facturen inzien.

Twee details in die reeks verdienen het om even bij stil te staan, omdat secundaire berichtgeving ze heeft afgevlakt. De bestanden worden beschreven als genéricos, generiek; het verslag van TechRadar Pro van 17 september geeft ze weer als de "publiek toegankelijke bestanden" van het doelwit, wat een redelijke gevolgtrekking is maar niet wat de AEPD schreef, en het agentschap zegt niet of de bestanden zonder authenticatie bereikbaar waren. En de login wordt als feit gepresenteerd — een correcte login — zonder dat wordt vermeld waar de inloggegevens vandaan kwamen: geoogst, geraden, hergebruikt of aan de agent verstrekt. Het bericht zegt niets over hoe de organisatie de inbraak heeft gedetecteerd, of er iets is geëxfiltreerd, of de agent zich eenmaal binnen lateraal heeft verplaatst. In de openbare verslaggeving heeft de keten een begin en een eind en heel weinig daartussen.

Wat is vastgesteld, en wat niet

Vastgesteld op basis van primaire documenten: de AEPD ontving een datalekmelding die zij zo karakteriseert; zij publiceerde dat feit op 14 september 2026 op de eigen website van de instantie; de bovenstaande beschrijving is de samenvatting van de instantie van wat de meldende organisatie haar heeft verteld; en het door de instantie ingenomen standpunt is dat AI-ondersteunde aanvallen geen theoretisch risico meer zijn en nu incidenten veroorzaken die echte verwerkingen van persoonsgegevens raken.

Niet vastgesteld, en dit is het onderdeel dat het dossier niet kan leveren: of de inbraak zich heeft voorgedaan zoals beschreven. Geen enkele aangehaalde bron — niet de AEPD, niet enig medium — meldt een onafhankelijk technisch onderzoek van de getroffen systemen. Elk verslag voert terug tot de eigen melding van de organisatie. De AEPD noemt de analyse nog lopende, en het rapport van BleepingComputer van 16 september stelt ronduit dat het agentschap de bewering niet heeft onderzocht of geverifieerd. Het agentschap heeft de organisatie, de aanvaller of het model niet publiekelijk geïdentificeerd; de Spaanse berichtgeving is expliciet op dit punt, waarbij Infobae op 15 september meldde dat noch de betrokken bedrijven noch het model bekend waren geworden.

Ook ontbreken: elk aantal getroffen personen, elke lijst van datacategorieën naast persoonsgegevens en facturen, elke verklaring dat facturen zijn meegenomen in plaats van bekeken, en elke aanduiding van sector of omvang. De persberichtgeving heeft deze hiaten niet opgevuld, omdat dat niet kan; de berichten van persbureaus en de vakpers komen allemaal voort uit dezelfde blogpost.

Het model was niet de gecompromitteerde partij, en het agentschap zei dat twee keer.

Beide voorbehouden in het bericht zijn defensief, en beide zijn herhaald door iedereen die erover berichtte. Het eerste: het gebruik van een bepaald AI-model impliceert niet dat het model, of de infrastructuur van de aanbieder ervan, is gecompromitteerd. Het tweede: het impliceert ook niet dat het hulpmiddel is ontworpen voor kwaadwillige activiteit. Samen gelezen plaatsen ze de fout in het gebruik door de aanvaller van een systeem voor algemene doeleinden, niet in het systeem zelf — een onderscheid dat van belang is voor elke leverancier wiens product ongenoemd bleef en voor elke lezer die geneigd is dit als een modelbeveiligingsincident te behandelen. Niets in de aangehaalde bronnen wijst op een jailbreak, een gecompromitteerd eindpunt of een vergiftigd model.

Wat het verslag wel vaststelt over autonomie, is beperkter dan "de AI besloot aan te vallen". Een derde partij gebruikte de agent; het doel kwam van buiten de agent. Gizmodo España verwoordde op 17 september het onderscheid in termen die de tekst van de AEPD ondersteunt: een bestuurder kan de route kiezen zonder de bestemming te hebben gekozen, en de autonomie zit hier in de route — welke kwetsbaarheid te onderzoeken, welke actie hierna te nemen — en niet in de beslissing om überhaupt aan te vallen. De praktische consequentie is degene die de toezichthouder benadrukt: het werk tussen een eerste instructie en een voltooide intrusie kan nu in steeds grotere stukken worden gedelegeerd.

Wat de toezichthouder organisaties vroeg te veranderen

De AEPD trekt vier conclusies, en geen daarvan is een nieuwe wettelijke verplichting. Ten eerste moeten risicoanalyses voor gegevensverwerking AI-ondersteunde en AI-uitgevoerde aanvallen expliciet benoemen, omdat een generieke verwijzing naar malware, phishing of ongeoorloofde toegang niet vastlegt hoe automatisering de waarschijnlijkheid, snelheid en reikwijdte van een incident verandert. Ten tweede moeten reactietijden opnieuw worden bekeken: procedures die zijn opgezet voor een menselijke aanvaller houden mogelijk geen stand wanneer een agent meerdere assets tegelijk onderzoekt, verschillende toegangsroutes test en zich snel aanpast. Ten derde worden identiteiten en inloggegevens het draaipunt — een agent met een account, een API-sleutel of een token met te ruime rechten kan op machinesnelheid door diensten heen werken voordat iemand afwijkend gedrag opmerkt. Ten vierde blijft menselijk toezicht onmisbaar, maar dat moet worden ondersteund door detectie, indamming en respons die het tempo kunnen bijhouden.

Het bericht verankert dit in nationale richtlijnen in plaats van het zelf te bedenken. Het citeert CCN-CERT BP/36, "Buenas prácticas frente al modelo de IA ofensiva", gepubliceerd door het Spaanse Nationaal Cryptologisch Centrum (CCN), dat de AEPD samenvat als een waarschuwing dat offensieve AI een operationele capaciteit wordt die in echte campagnes is ingebouwd, en als een aanbeveling voor sterkere essentiële controles, sneller beheer van kwetsbaarheden, bescherming van identiteiten, controle over de toeleveringsketen en expliciet bestuur van het gebruik van agenten. De AEPD waarschuwt ook dat AI "no crea nuevas amenazas" — geen nieuwe dreigingen creëert — maar wel de snelheid, schaal en aanpasbaarheid vergroot van technieken die al bekend zijn. Noch het bericht noch de berichtgeving zegt dat het Spaanse incident een specifieke techniek uit die gids betrof.

Hoe het zich verspreidde, en wat de berichtgeving werkelijk toevoegt

Het Spaanse persbureau EFE meldde de kennisgeving op 15 september en schreef het bericht toe aan bronnen bij de AEPD; RTVE bracht de EFE-tekst op 16 september onder een gezamenlijke byline van RTVE.es / EFE. Bill Toulas van BleepingComputer schreef er diezelfde dag over, onder een kop die het woord "alleged" behield, en Sead Fadilpašić van TechRadar Pro volgde op 17 september. De cliëntanalyse van Ropes & Gray, gepubliceerd in september 2026, is de meest substantiële juridische aanvulling: ze werkt uit wat artikel 32 van de AVG vereist nu dreigingsmodellen geautomatiseerde kwetsbaarheidsdetectie opnemen, en wat artikelen 33 en 34 veronderstellen over afbakening en forensische sporen wanneer een inbraak met machinesnelheid wordt gepland en uitgevoerd.

Geen van deze media meldt de inbraak onafhankelijk te hebben geverifieerd, en geen van hen beweert dat. Hun waarde is bevestiging van iets anders: dat een Europese toezichthouder dit, in deze bewoordingen, op deze datum heeft gezegd, en dat zijn eigen formulering voorwaardelijk is. Waar de kopij van EFE het voorwaardelijke hardmaakt — de tekst van RTVE luidt "ha sido ejecutado," is uitgevoerd, in plaats van "habría sido ejecutado" in de blog — is de wijziging van het persbureau, niet van de autoriteit. Het stuk van BleepingComputer plaatst de zaak ook naast andere gemelde agentische inbraken uit 2026; die vergelijkingen zijn de context van het medium, geen deel van dit dossier, en geen ervan is bewijs over wat er in Spanje is gebeurd.

De follow-up ging over offensieve AI in het algemeen, niet over deze zaak.

Op 28 september publiceerde de AEPD een tweede blogbericht, "IA ofensiva: cuando la inteligencia artificial acelera el riesgo para la protección de datos," dat de kennisgeving van september niet actualiseert. Het betoog is breder: dat het "blootstellingsvenster" tussen de ontdekking van een kwetsbaarheid en de exploitatie ervan bijna verdwijnt, dat bij agentische systemen de tijd tussen eerste toegang en data-exfiltratie tot minuten kan teruglopen, en dat het onderliggende probleem structureel is — niet-gedocumenteerde legacy-systemen, niet-gepatchte bekende kwetsbaarheden, afhankelijkheid van de toeleveringsketen en de aanvaarding van software die inherent onveilig is. Economist & Jurist vatte het bericht over hetzelfde thema samen, onder de kop dat een aanval de data binnen enkele minuten kan bereiken. Het leest als een generalisering door het agentschap op basis van de zaak in plaats van verslaggeving erover, en het bevat geen nieuw feit over de Spaanse organisatie.

Dat is de stand van zaken in het dossier per eind oktober 2026. De specifieke, controleerbare beweringen zijn procedureel: een toezichthouder ontving een melding, beschreef die in een blogpost, weigerde partijen bij naam te noemen en gebruikte die om te betogen dat risicobeoordelingen rekening moeten houden met agents. De bewering dat een autonome agent daadwerkelijk de inbraak heeft uitgevoerd, berust in het openbaar op de verklaring van één organisatie aan haar toezichthouder. Wat er verandering in zou brengen — een genoemd model, een aantal getroffen personen, een technische uiteenzetting of een handhavingsbeslissing — is niet verschenen. Tot die tijd is de waarde van het dossier dat een gegevensbeschermingsautoriteit op schrift heeft gesteld dat juist de aaneenschakeling alles veranderde, en elke verwerkingsverantwoordelijke in Spanje heeft gevraagd daarop te anticiperen.