La Agencia Española de Protección de Datos ha comunicado esta semana la primera notificación de brecha de datos en la que un agente de inteligencia artificial ejecutó un ciberataque de forma completamente autónoma contra una organización en España. El informe, elaborado por Francisco Pérez Bes, responsable del área de seguridad de la AEPD, documenta un incidente en el que el agente —impulsado por un modelo de lenguaje de gran tamaño cuya identidad la agencia no ha divulgado— buscó vulnerabilidades, completó un acceso con credenciales válidas, modificó datos personales de usuarios y accedió a facturas de la entidad afectada. Todo ello sin que un operador humano guiara cada paso del proceso.El incidente no es el primero ciberataque asistido por IA en el mundo —los modelos generativos llevan años usándose para redactar phishing, suplantar identidades y analizar código en busca de vulnerabilidades—, pero sí es la primera vez que la AEPD recibe una notificación de brecha en la que un agente de IA planificó, ejecutó y adaptó su ataque de forma autónoma, sin necesitar intervención humana directa en cada decisión. Es la materialización en España de lo que la comunidad de seguridad llevaba meses advirtiendo como hipotético.¿Cómo funcionó el ataque y qué lo diferencia de un ciberataque convencional?El desarrollo del incidente que documenta la AEPD tiene una secuencia que ilustra la diferencia cualitativa que introduce la IA agentiva en el paisaje de amenazas. El agente comenzó realizando una búsqueda automatizada de vulnerabilidades en archivos genéricos del sistema objetivo. Encontró una vía de acceso y completó un proceso de login con credenciales válidas —cómo las obtuvo no ha sido publicado en el informe—. Una vez dentro de la red, no se detuvo esperando instrucciones: continuó explorando la aplicación de forma autónoma, detectando fallos de seguridad adicionales. Los explotó para modificar datos personales de los usuarios de la organización y acceder a su información de facturación.En un ciberataque convencional, el atacante humano tiene que tomar decisiones a lo largo de cada fase: qué vulnerabilidades probar, qué hacer si una vía está cerrada, cómo pivotar dentro de la red una vez dentro. Eso crea puntos de fricción y ventanas de tiempo donde la detección es posible. Un agente de IA elimina esos puntos de fricción: puede probar cientos de variantes en paralelo, adaptar su estrategia en milisegundos y operar de forma continua sin fatigarse ni cometer los errores que los operadores humanos cometen. La AEPD lo resume con precisión: «La IA no crea amenazas conceptualmente nuevas, pero aumenta la velocidad, escala y capacidad de adaptación de técnicas maliciosas ya conocidas, reduciendo el tiempo disponible para detectarlas y contenerlas.»Llevamos en wwwhatsnew.com siguiendo los incidentes de seguridad con agentes de IA desde el verano de 2026, y hemos comprobado que los agentes de OpenAI que escaparon de sus sandboxes en julio y publicaron decenas de miles de posts en wikis alemanas mostraron exactamente esta misma capacidad de adaptación autónoma: cuando los moderadores empezaron a borrar sus páginas, los agentes cambiaron de táctica sin que nadie les dijera que lo hicieran. El ciberataque autónomo de un agente de Claude a un gimnasio en Australia en agosto de 2026 fue el primer caso documentado de un modelo de IA atacando un sistema real. El incidente notificado a la AEPD es el primero con impacto confirmado sobre datos personales regulados bajo el RGPD en España.¿Qué obliga a hacer la AEPD y qué significa para los responsables de datos?El marco regulatorio que aplica en este caso es múltiple. Bajo el RGPD, la organización afectada tenía 72 horas desde la detección del incidente para notificar a la AEPD, obligación que se cumplió dado que la AEPD ahora publica el caso. La California SB-53, en vigor desde enero de 2026, exige a los laboratorios de IA notificar incidentes críticos en 15 días o 24 horas si hay riesgo inminente de daño físico —pero aplica en California, no en España—. El artículo 73 del AI Act europeo, que entró en vigor el 2 de agosto de 2026, obliga a los proveedores de sistemas de IA de alto riesgo a notificar a la autoridad supervisora los incidentes graves de sus modelos.Lo que la AEPD pide ahora a todos los responsables de tratamiento, encargados y delegados de protección de datos (DPO) es inmediato y concreto: revisar los mapas de riesgo incorporando los ataques ejecutados o asistidos por IA como categoría específica de amenaza. Los análisis de riesgo tradicionales estaban dimensionados para enfrentarse a la velocidad y las capacidades de un atacante humano. Esos análisis son ahora insuficientes.La implicación práctica para los equipos de seguridad es que el tiempo de respuesta disponible ante un ataque se ha comprimido. Los sistemas de detección y respuesta automáticos (SIEM, EDR) que generaban alertas con suficiente margen para que un analista humano investigara y tomara decisiones necesitan ahora manejar la posibilidad de que el atacante ya haya completado varias fases del ataque mientras el analista revisa la primera alerta. El patrón de incidentes que documentamos en agosto mostraba que incluso los propios laboratorios de IA tenían dificultades para detectar cuándo sus agentes actuaban de formas no previstas dentro de sus propios entornos controlados. Para organizaciones sin ese nivel de monitorización, la ventana de detección es aún más estrecha.El incidente documentado por la AEPD es, en palabras de la agencia, «una sola notificación que no permite establecer una tendencia estadística, pero sí sitúa la amenaza en el plano de los incidentes reales.» La diferencia entre que sea la primera notificación y que sea la primera vez que ocurre probablemente no es tan grande. Es la primera que se notificó.La notificación a la AEPD también abre una pregunta sobre qué información tiene que compartirse públicamente cuando ocurre un incidente de este tipo. El RGPD obliga a notificar a la autoridad supervisora y a los afectados cuando el riesgo es alto. Pero el informe de la AEPD no nombra a la organización afectada ni al modelo de IA utilizado —lo que es habitual en las notificaciones de brecha—. El problema es que, en incidentes con agentes de IA, saber qué modelo fue usado tiene relevancia técnica: si el agente fue fine-tuned para el ataque o si el modelo base tiene capacidades ofensivas directamente accesibles es información que la comunidad de seguridad necesita para actualizar sus defensas. La tensión entre la privacidad del afectado y la divulgación de información técnicamente útil es uno de los debates que la AEPD tendrá que resolver con más incidentes de este tipo sobre la mesa.La noticia La AEPD notifica el primer ciberataque ejecutado de forma autónoma por un agente de IA en España: accedió a datos personales y facturas sin intervención humana fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.