L'autorité espagnole de protection des données (AEPD) a publié un guide de recommandations destiné aux utilisateurs d'assistants et d'agents d'intelligence artificielle (IA) pour une gestion sécurisée des données personnelles.

Le document, intitulé "Assistants et agents d'IA : Que l'IA agisse pour vous, pas sans vous", souligne que ces outils peuvent désormais agir au nom des utilisateurs, ce qui transforme une simple erreur de réponse en une action non désirée comme un achat ou un partage de fichier. L'AEPD préconise de n'accorder que les accès indispensables, d'exiger une confirmation avant toute action significative et de se méfier des instructions cachées pouvant tromper l'agent. Il est également conseillé de gérer la mémoire de l'assistant pour éviter la création de profils détaillés, de protéger les données de tiers et, dans un cadre professionnel, d'utiliser uniquement les outils autorisés par l'organisation. Un cas est cité où un agent a finalisé une vente et communiqué l'adresse de son utilisateur sans son accord.

Le guide précise que la responsabilité ne repose pas uniquement sur les utilisateurs. Les fournisseurs de ces outils devraient intégrer des contrôles clairs, tels que des permissions distinguant la consultation de l'action, une confirmation paramétrable pour les opérations à fort impact, un historique des actions de l'agent et un moyen de l'arrêter immédiatement. Ils doivent aussi informer sur les transferts de données et leur éventuelle utilisation pour l'entraînement de l'IA, tout en garantissant une voie simple pour l'exercice des droits.