El plan de la CNIL para la protección de datos en IA: notas, auditorías y alianzas

IA agéntica y datos personales: la nota exploratoria de la CNIL

El 20 de julio de 2026, la autoridad francesa de protección de datos (CNIL) y el Conseil de l'IA et du Numérique publicaron una nota exploratoria sobre IA agéntica y datos personales. La nota aborda los desafíos que plantean los sistemas de IA que pueden actuar de forma autónoma en nombre de los usuarios, gestionando tareas, tomando decisiones e interactuando con servicios sin supervisión humana directa. El documento describe los riesgos que esto crea para la protección de datos, especialmente cuando los agentes ejecutan acciones a través de múltiples plataformas y acumulan datos personales en el proceso. Si bien la nota aún no establece reglas estrictas, señala dónde el regulador ve las brechas más urgentes.

Como señala un preprint reciente sobre el alcance dinámico de capacidades para agentes de IA empresarial, las arquitecturas de permisos se están fragmentando: diferentes agentes dependen de diferentes mecanismos de alcance, lo que dificulta la supervisión. La nota exploratoria de la CNIL puede interpretarse como un llamado a compartir estándares antes de que la fragmentación se vuelva estructural.

De las directrices a las herramientas: el proyecto de auditoría PANAME

La CNIL no se detiene en las notas escritas. El 26 de febrero de 2026, puso en marcha PANAME, un proyecto conjunto con ANSSI, PEReN e Inria. La herramienta está diseñada para auditar modelos de IA en cuanto al cumplimiento del RGPD, específicamente su nivel de confidencialidad y su conformidad con los principios de protección de datos. Una convocatoria abierta de participación invita a las organizaciones a probar la herramienta y ayudar a dar forma a su versión final.

PANAME marca un cambio de la orientación regulatoria abstracta hacia una aplicación técnica y práctica. Proporciona a los auditores una forma medible de evaluar si un modelo filtra datos de entrenamiento, respeta los límites de consentimiento o expone información personal mediante inferencia. El proyecto aún se encuentra en fase de prueba, pero ya apunta a lo que podría ser un cumplimiento de IA ejecutable dentro del marco regulatorio de la UE.

Coordinación europea e internacional

El 7 de julio de 2026, el Comité Europeo de Protección de Datos (CEPD) adoptó directrices finales sobre anonimización y web scraping en el contexto de la IA generativa, así como la versión final de sus directrices sobre blockchain. La CNIL contribuyó activamente a estos textos. Las directrices de anonimización son directamente relevantes para los pipelines de entrenamiento de IA que se basan en el scraping de datos públicos, una práctica que sigue siendo legalmente controvertida según el RGPD. La adopción de versiones finales sugiere que la UE avanza hacia límites más claros sobre cómo las empresas pueden recopilar y procesar datos para el entrenamiento de modelos.

Internacionalmente, la CNIL ha profundizado su asociación con la Comisión de Protección de Información Personal (PIPC) de Corea. Juntos produjeron un cartel de concienciación titulado “IA générative et vie privée” para ayudar a los usuarios a proteger sus datos personales al usar IA generativa. El cartel se publicó en mayo de 2026 y está dirigido a usuarios cotidianos, no solo a profesionales.

Impacto práctico: concienciación, jóvenes y aplicación

Más allá de las directrices de alto nivel, la CNIL ha invertido en comprender cómo las personas reales, especialmente los jóvenes, interactúan con la IA. Una encuesta realizada con el Groupe VYV en cuatro países europeos, publicada el 5 de mayo de 2026, encontró que casi 9 de cada 10 jóvenes en Francia utilizan IA conversacional, y casi la mitad discuten temas sensibles con estos bots. Los resultados plantean preguntas sobre los riesgos para la salud mental y la adecuación de las salvaguardas actuales de protección de datos para menores.

La CNIL también ha realizado seminarios web para profesionales sobre cómo utilizar la base legal del interés legítimo al desarrollar sistemas de IA y hacer scraping de datos. Una sesión del 2 de abril de 2026 cubrió exactamente este tema. Estos seminarios web, combinados con las campañas de concienciación y el proyecto PANAME, muestran a un regulador que está intentando cubrir todos los frentes: informar al público, formar a los desarrolladores y construir herramientas de ejecución simultáneamente.