Confidencialidad · Despachos · IA · RGPD · España
IA en tu despacho de abogados sin romper el secreto profesional: qué puedes subir y qué nunca debe salir
Tu equipo ya usa IA. La pregunta ya no es si permitirlo, sino cómo ponerle marco para que el secreto profesional y el RGPD queden cubiertos. Aquí tienes la guía práctica.
abogados ya usan IA sin protocolo formal
de riesgo según dónde se procesan los datos
coste de empezar con opciones on-premise básicas
encargo de tratamiento mínimo exigible al proveedor de IA
Hay un socio en tu despacho que lleva meses sospechando que los asociados pasan borradores de contratos, actas de negociación y escritos con datos de clientes por ChatGPT. No lo ha prohibido porque sabe que la herramienta ahorra horas, pero tampoco lo ha ordenado porque nadie le ha explicado cuándo eso es un problema legal y cuándo no. Si te reconoces en esa escena, este artículo es para ti.
No vamos a hablar de lo que la IA puede hacer por un despacho (eso lo cubre la pieza de revisión de contratos con RAG). Vamos a ir al hueso de la pregunta que más preocupa a quien firma la responsabilidad: ¿dónde acaban los datos de mis clientes cuando los subo a una herramienta de IA, qué obligaciones tengo con el RGPD y qué opciones existen cuando el cliente exige que sus datos no salgan de España?
El secreto profesional no prescribe con la tecnología.: Las obligaciones deontológicas del abogado se aplican igual con IA que con papel. La herramienta cambia; la responsabilidad, no.
Dónde se procesan tus datos según cómo usas la IA
El problema: El error más frecuente en los despachos es tratar todas las herramientas de IA como si fueran iguales. Un abogado que usa la versión gratuita de un chatbot y otro que accede vía API al mismo modelo están en situaciones jurídicas completamente distintas. Sin entender esa diferencia, es imposible saber qué riesgo se está asumiendo.
La solución: Existen básicamente tres escenarios. El primero es la cuenta gratuita o de consumidor: el texto que introduces puede usarse para entrenar modelos futuros, los datos viajan a servidores del proveedor (habitualmente en EE. UU. u otras jurisdicciones), y no existe ningún acuerdo formal de tratamiento de datos. Subir aquí un contrato con datos de un cliente es, en la práctica, cederlos a un tercero sin base legal ni contrato. El segundo escenario es el acceso vía API o plan empresarial con DPA: el proveedor se compromete contractualmente a no usar los datos para entrenar modelos, se puede firmar un encargo de tratamiento conforme al RGPD y, en muchos casos, los datos se procesan en regiones europeas o con garantías adecuadas. El tercer escenario es el despliegue propio u on-premise: el modelo corre en servidores del despacho o en una nube privada contratada en España o la UE. Los datos no salen del perímetro controlado. Es la opción más segura y también la que requiere más inversión técnica. Para la mayoría de despachos medianos, la combinación realista es API con DPA para tareas de baja sensibilidad y on-premise o proveedor europeo para expedientes con datos especialmente protegidos.
Regla práctica:: Si no has firmado un documento llamado «Acuerdo de encargo de tratamiento» o «DPA» con tu proveedor de IA, estás en el escenario de la cuenta de consumidor, independientemente de lo que pagues.
Qué documentos no deben salir nunca del despacho
El problema: No todo el trabajo de un despacho tiene el mismo nivel de sensibilidad, pero la tendencia natural es tratar todos los documentos igual: o se sube todo o no se sube nada. Esa política de «todo o nada» lleva al peor resultado posible: que se suba todo sin control porque prohibirlo resulta inasumible en términos de productividad.
La solución: Lo más útil es establecer una clasificación interna de tres niveles. Nivel rojo (nunca sale del despacho sin infraestructura propia): expedientes penales con datos de víctimas o investigados, documentos con datos de salud, negociaciones bajo acuerdo de confidencialidad con cláusula de exclusividad de medios, información sobre operaciones corporativas no públicas que puedan constituir información privilegiada, y cualquier documento que el cliente haya indicado expresamente que no debe compartirse con terceros tecnológicos. Nivel ámbar (puede procesarse con API + DPA firmado y, preferiblemente, con datos seudonimizados o anonimizados antes de subir): contratos en fase de revisión sin datos de persona física identificada, escritos judiciales en los que se pueden reemplazar nombres por identificadores, e investigación jurídica general sobre jurisprudencia o doctrina. Nivel verde (puede usarse con cualquier herramienta, incluso gratuita): plantillas internas sin datos reales, consultas sobre legislación abstracta, formación interna y simulacros de argumentación. La clave no está en la herramienta que se usa, sino en qué se introduce en ella. Un protocolo sencillo que distinga estos tres niveles y se comunique al equipo es más eficaz que cualquier prohibición general.
Datos que nunca salen sin infraestructura propia
Solo con DPA firmado y datos seudonimizados
Apto para cualquier herramienta, sin datos reales
¿Tu despacho usa ChatGPT con documentos de cliente sin saber dónde acaban?
¿No sabes si tu despacho tiene el DPA firmado con cada herramienta que usa tu equipo? En 45 minutos lo averiguamos juntos.
Cómo cubrir el RGPD con un proveedor de IA: el encargo de tratamiento
El problema: Cuando un despacho sube datos personales a una herramienta de IA, el proveedor pasa a actuar como encargado del tratamiento. Esto no es una opción: es lo que establece la normativa de protección de datos cuando un tercero procesa datos por cuenta del responsable. Sin el contrato adecuado, el despacho incumple el RGPD, con independencia de lo que diga la política de privacidad del proveedor.
La solución: El documento que necesitas es el Acuerdo de Encargo de Tratamiento, conocido en inglés como DPA (Data Processing Agreement). Los proveedores de IA que ofrecen planes empresariales o acceso API suelen tenerlo disponible, a veces como un anexo que se acepta al contratar el plan, otras veces como un documento que hay que solicitar expresamente. Antes de firmar o aceptar uno, conviene verificar al menos tres cosas: que el proveedor se compromete a no usar los datos para entrenar sus modelos, que identifica claramente en qué región se almacenan y procesan los datos (preferiblemente la UE o con garantías equivalentes), y que incluye obligaciones de seguridad y notificación de brechas. Una vez firmado, el DPA debe quedar registrado en el registro de actividades de tratamiento del despacho, junto con una descripción de las categorías de datos que se transfieren y el fin del tratamiento. Si tu despacho aún no tiene ese registro actualizado o no sabes si el proveedor que usa tu equipo ofrece DPA, ese es el primer punto a revisar. Te recomendamos consultar con tu Colegio de Abogados, ya que algunos tienen guías o incluso acuerdos marco con proveedores tecnológicos que facilitan este trámite.
Atención:: Aceptar los términos de servicio de un proveedor de IA NO equivale a tener un DPA firmado. Son documentos distintos con efectos jurídicos distintos.
Qué opciones existen cuando el cliente exige que nada salga de España
El problema: Cada vez más clientes corporativos, especialmente en sectores regulados como banca, seguros o energía, incluyen cláusulas en sus contratos de servicios legales que prohíben el tratamiento de su información fuera de España o, como mínimo, fuera de la Unión Europea. Para un despacho que ya ha apostado por la IA, esto no puede ser un veto absoluto: tiene que ser una restricción que se gestiona con la arquitectura adecuada.
La solución: Hay tres caminos practicables. El primero es usar proveedores de nube con región de datos en España o la UE y DPA conforme al RGPD: algunos de los grandes proveedores permiten seleccionar la región de procesamiento y ofrecen garantías documentadas. Esto resuelve la mayoría de los casos cuando la exigencia del cliente es «dentro de la UE». El segundo camino, para exigencias de «solo en España» o para clientes que no admiten procesamiento en nube de terceros, es el despliegue local de modelos de lenguaje abiertos: existen modelos que pueden correr en los servidores del propio despacho o en un servidor dedicado alojado en un centro de datos español, con un rendimiento razonable para tareas como análisis de contratos, extracción de cláusulas o redacción de borradores. Esta opción requiere inversión inicial en infraestructura y soporte técnico, pero elimina cualquier transferencia de datos a terceros. El tercer camino, más sencillo para empezar, es implementar una capa de seudonimización antes de que el texto llegue al modelo: los datos identificativos se reemplazan por tokens antes de enviarse a la IA y se restauran en el documento final. Así, lo que el modelo procesa nunca contiene datos personales reales. Para profundizar en cómo aplicar estas arquitecturas a la revisión documental, la pieza sobre revisión de contratos con RAG detalla los patrones técnicos más habituales. Y si quieres asegurarte de que la infraestructura que soporta estas soluciones está correctamente protegida, el checklist de ciberseguridad es un buen punto de partida para auditar el estado actual del despacho.
Caso real: resultados en semanas
Antes
- Varios abogados usaban herramientas de IA gratuitas para revisar contratos y redactar escritos, sin protocolo ni conocimiento de los socios
- Sin DPA firmado con ningún proveedor y sin registro de actividades de tratamiento actualizado para incluir el uso de IA
- Un cliente de gran cuenta amenazó con resolver el contrato de servicios al descubrir que sus documentos habían pasado por un chatbot de uso público
Después
- Protocolo interno de clasificación de documentos en tres niveles implantado en menos de tres semanas, con formación al equipo
- DPA firmado con el proveedor de API y despliegue local de un modelo abierto para los expedientes de nivel rojo
- El cliente conflictivo renovó el contrato tras recibir documentación que acreditaba que sus datos no salían de la infraestructura española
El coste del proyecto de implantación (auditoría, configuración técnica, formación y documentación RGPD) se situó entre 4.000 y 7.000 €. El despacho estima que el ahorro en tiempo de revisión documental supera las 15 horas semanales en el equipo, y que la retención del cliente en riesgo equivalía a más de 40.000 € anuales en honorarios.
Caso ilustrativo basado en proyectos reales. Datos anonimizados.
Preguntas frecuentes sobre ia despachos abogados confidencialidad
¿Puedo usar ChatGPT con el plan de pago para procesar documentos de clientes?
El plan de pago estándar no es suficiente por sí solo: necesitas el plan empresarial o la API con un DPA firmado que garantice que los datos no se usan para entrenar modelos y que se procesan en regiones con garantías adecuadas. Antes de subir cualquier documento con datos de clientes, verifica que tienes ese acuerdo firmado y documéntalo en tu registro de actividades de tratamiento.
¿El secreto profesional del abogado prohíbe usar IA con datos de clientes?
No lo prohíbe de forma absoluta, pero sí obliga a garantizar que los datos del cliente no quedan expuestos a terceros sin las garantías necesarias. Usar IA con un DPA adecuado, datos seudonimizados o infraestructura propia puede ser perfectamente compatible con el secreto profesional. Te recomendamos consultar las guías específicas de tu Colegio de Abogados, ya que algunos han publicado criterios orientadores al respecto.
¿Qué es un DPA y cómo consigo uno con mi proveedor de IA?
Un DPA (Data Processing Agreement) o Acuerdo de Encargo de Tratamiento es el contrato que regula cómo el proveedor de IA trata los datos que le entregas, con qué fines y qué garantías ofrece. Los proveedores con planes empresariales o API suelen tenerlo disponible en su web o lo facilitan al solicitar el plan corporativo. Si no lo encuentras, pídelo expresamente antes de subir ningún dato de cliente.
¿Hay modelos de IA que pueda instalar en los servidores del propio despacho?
Sí. Existen modelos de lenguaje de código abierto que pueden desplegarse en servidores propios o en un servidor dedicado alojado en España, lo que elimina cualquier transferencia de datos a terceros. El rendimiento es inferior al de los grandes modelos en la nube para tareas creativas, pero es suficiente para análisis de contratos, extracción de cláusulas o borradores de escritos. La inversión inicial en infraestructura y soporte técnico es la principal barrera.
¿Con qué frecuencia debo revisar el protocolo de uso de IA en el despacho?
Al menos una vez al año y siempre que incorpores una nueva herramienta, cambies de proveedor o recibas una exigencia contractual nueva de un cliente relevante. El entorno regulatorio y las capacidades técnicas evolucionan rápidamente, y un protocolo desactualizado puede darte una falsa sensación de seguridad.
Pon marco a la IA de tu despacho antes de que el problema llegue del cliente
Rubén Rodríguez analiza contigo en una sesión gratuita qué herramientas usa tu equipo, qué documentación RGPD falta y qué arquitectura encaja con tus clientes más exigentes. Sin tecnicismos y sin vender humo.
Rubén Rodríguez · Consultor IT e IA para pymes · Barcelona
