La Agencia Española de Protección de Datos (AEPD) acaba de publicar su Memoria Anual 2025 y los datos son elocuentes. No se trata de un informe más: es una señal de alarma para cualquier despacho, asesoría, gestoría o firma de abogados que maneje datos de clientes, empleados o terceros. Las cifras rompen todos los registros anteriores, la supervisión se intensifica y la inteligencia artificial entra de lleno en el foco regulatorio. Ignorar este informe sería un error que puede salir muy caro.
¿Qué dice exactamente la Memoria 2025 de la AEPD?
El dato más llamativo es el volumen de reclamaciones recibidas: 30.931 en total, lo que supone el número más alto de la historia de la institución y un incremento del 64% respecto al año anterior. Para contextualizar la magnitud de este salto, conviene recordar que este nivel de crecimiento no tiene precedente en la serie histórica de la Agencia. Las reclamaciones no solo son más, sino que son más complejas: tienen que ver con fenómenos tecnológicos emergentes, con procedimientos transfronterizos que deben coordinarse con otras autoridades europeas y con el uso masivo de inteligencia artificial en los procesos de tratamiento de datos.
El volumen de sanciones también ha crecido de forma muy significativa. El importe total de las multas impuestas en 2025 asciende a 48.108.765 euros. Se han tramitado 326 procedimientos sancionadores que han terminado en multa, frente a los 281 del año anterior, y el importe medio de cada multa se sitúa en 148.000 euros, un 17% superior al registrado en 2024. No son cifras abstractas: son la consecuencia directa de incumplimientos que, en muchos casos, se habrían podido evitar con una gestión preventiva adecuada.
Las dos multas más grandes del ejercicio ilustran bien la magnitud de las infracciones que la Agencia está persiguiendo. AENA SME SA recibió una sanción de más de 10 millones de euros por incumplir el artículo 35 del RGPD, relativo a la evaluación de impacto en protección de datos, concretamente por el uso de sistemas biométricos en aeropuertos sin las garantías exigidas. XFERA MÓVILES SAU fue sancionada con 4 millones de euros por vulneraciones de los principios de integridad y confidencialidad recogidos en el RGPD. En total, doce expedientes han terminado con multas superiores al millón de euros.
Las áreas que más concentran la actividad sancionadora
Los seis ámbitos con mayor número de procedimientos sancionadores y de apercibimiento durante 2025 son: videovigilancia (81 procedimientos), servicios de internet (77), brechas de datos personales (46), administraciones públicas (41), comercio, transporte y hostelería (41) y sanidad (34). Hay que detenerse en este último dato: el sector sanitario registró un incremento del 278% respecto al ejercicio anterior, una señal inequívoca de que los centros de salud, clínicas y consultas médicas están bajo la lupa de la inspección.
El dato que más debe preocupar a cualquier empresa, incluidos los despachos profesionales, es el relacionado con las brechas de seguridad. Los procedimientos sancionadores vinculados a incidentes de seguridad se han disparado un 157%, pasando de 30 expedientes en 2024 a 77 en 2025. Estas brechas han generado multas por valor de casi 20 millones de euros, lo que representa el 40% del importe total sancionado en el año. Las brechas que más interesados han afectado están relacionadas con ataques de tipo ransomware y con intrusiones que han derivado en la exfiltración masiva de datos: en 2025 se ha superado la cifra de 200 millones de personas potencialmente afectadas por algún tipo de brecha notificada a la Agencia.
Dos tercios del importe total de las sanciones se concentran en tres categorías de infracciones: servicios de internet, comercio y hostelería, y brechas de seguridad. Es decir, si tu despacho opera online, gestiona información de empleados y clientes, y no tiene un protocolo robusto de seguridad de datos, está en el centro exacto de las prioridades inspectoras de la AEPD.
La inteligencia artificial entra en el foco regulatorio
Uno de los elementos más relevantes de la Memoria 2025 es la atención creciente que la AEPD dedica a la inteligencia artificial. Durante el ejercicio se ha desarrollado un trabajo continuado en relación con el denominado interplay entre el RGPD y el Reglamento europeo de Inteligencia Artificial (AI Act o RIA, en sus siglas en español), en el que la Agencia participa activamente como co-ponente. El presidente de la AEPD, Lorenzo Cotino, ha señalado de forma explícita que la institución va a iniciar actuaciones de oficio en aquellos casos en que la inteligencia artificial no esté cumpliendo la normativa.
Para los despachos profesionales, esto tiene una implicación directa y concreta: si están usando herramientas de IA, ya sea para la redacción de documentos, la gestión de consultas de clientes o cualquier otro proceso que implique tratamiento de datos personales, necesitan tener en orden su marco de cumplimiento normativo. El uso de IA no es una zona gris regulatoria: la AEPD tiene ya criterios formados y capacidad de actuar. En el blog de Pasión por el Despacho hemos analizado en profundidad cómo configurar ChatGPT para proteger la privacidad en entornos profesionales y cuáles son los riesgos concretos del uso inadecuado de estas herramientas. Te recomendamos esa lectura como punto de partida
La propia AEPD ha comenzado a implantar IA dentro de su propio funcionamiento, con licencias de herramientas generativas para su personal, acompañadas de políticas de gobernanza interna y formación específica. Ha desarrollado también pruebas de sistemas de supervisión automatizada y buscadores avanzados basados en inteligencia artificial, con el objetivo declarado de mejorar su capacidad de detección e inspección. La Agencia que supervisa es también la primera en aplicar IA con garantías: una señal inequívoca del rumbo regulatorio.
El ecosistema de cumplimiento crece: 126.000 delegados de protección de datos
El año 2025 cerró con 126.176 Delegados de Protección de Datos (DPD) registrados ante la AEPD, de los cuales 116.007 pertenecen al sector privado. Esto refleja una maduración progresiva del ecosistema de cumplimiento normativo en España, aunque también pone de manifiesto la existencia de una brecha entre la fortaleza del sistema normativo y la capacidad real de ejecución de la Agencia, que soporta un volumen de trabajo creciente sin un incremento proporcional de plantilla.
Para muchos despachos, la figura del DPD externo o del asesor especializado en protección de datos sigue siendo la vía más eficiente para mantener el cumplimiento sin asumir el coste de una persona dedicada. La Memoria 2025 refuerza la relevancia de esta figura: la resolución temprana de conflictos a través del DPD se identifica explícitamente como una prioridad de la propia Agencia para descongestionar la vía sancionadora.
¿Qué podemos esperar en 2026?
La propia Memoria avanza que a partir de 2026 se espera que muchas de las iniciativas puestas en marcha durante el ejercicio comiencen a dar frutos visibles. En términos prácticos, esto significa más capacidad de inspección automatizada, mayor supervisión en el ámbito de la inteligencia artificial, una actividad transfronteriza más intensa y una posible asunción de nuevas competencias derivadas del AI Act, el Reglamento de Servicios Digitales y otros instrumentos europeos.
La AEPD también ha lanzado en 2025 las denominadas consultas de alto valor estratégico, una herramienta que permite a las organizaciones conocer el criterio concreto de la Agencia sobre cuestiones específicas antes de que se produzca una actuación sancionadora. Es una vía preventiva que los despachos deberían conocer y considerar si están ante situaciones de incertidumbre normativa.
La tendencia es clara: el volumen de reclamaciones seguirá creciendo, la supervisión se hará más inteligente y el precio del incumplimiento seguirá al alza. Los despachos que entiendan la protección de datos no como un trámite administrativo sino como una dimensión estratégica de su gestión estarán mejor posicionados para adaptarse a este escenario.
