IA en despachos de abogados: secreto profesional, RGPD y lo que una política interna no puede resolver

Aviso: este artículo explica el marco general del RGPD y las implicaciones deontológicas del uso de herramientas de IA en despachos de abogados. No es asesoramiento jurídico ni una valoración de su caso concreto. Cualquier decisión sobre licitud de un tratamiento o sobre las obligaciones deontológicas aplicables corresponde consultarla con su asesoría legal y con su colegio profesional.

En muchos despachos de abogados, la situación es la siguiente: algún abogado del equipo usa ChatGPT u otra herramienta de IA para redactar escritos, resumir jurisprudencia o analizar contratos. Lo hace desde su cuenta personal, fuera de cualquier sistema corporativo. El socio director no lo sabe, o lo sospecha pero no tiene evidencia concreta.

Esta situación no es excepcional. Es la norma en organizaciones de cualquier tamaño donde el uso de IA ha crecido más rápido que las decisiones formales sobre cómo gestionarlo. Y en un despacho de abogados, las implicaciones son especialmente serias, porque se superponen dos marcos normativos distintos que no siempre apuntan en la misma dirección.

Por qué el secreto profesional es una categoría aparte

El primer error habitual es tratar el uso de IA en un despacho como un problema de protección de datos y nada más. El RGPD es relevante, pero no es el único marco que aplica.

El secreto profesional del abogado protege la información que le confía su cliente en el marco de la relación profesional. Lo que lo distingue de la protección de datos es su fundamento: el secreto profesional protege por la naturaleza de la información, no por si esa información identifica a una persona concreta.

Esto tiene una consecuencia práctica importante. Si un abogado toma un contrato de su cliente, elimina todos los nombres, fechas y referencias identificativas, y lo envía a un sistema de IA externo, ese documento sigue estando bajo el ámbito del secreto profesional. No ha dejado de ser información confidencial que le fue confiada en el contexto de una relación profesional. El hecho de que ya no identifique a nadie no cambia su naturaleza jurídica desde el punto de vista deontológico.

Las obligaciones deontológicas relativas al secreto profesional varían según el colegio y la jurisdicción. Lo que sí es general es que el uso de herramientas externas que impliquen compartir información de clientes, aunque sea de forma anonimizada, puede plantear preguntas que conviene resolver con el órgano deontológico competente antes de desplegar cualquier herramienta de IA de forma sistemática.

Qué añade el RGPD encima de todo esto

El RGPD aplica en paralelo al régimen deontológico, no en lugar de él. Cuando un despacho procesa datos personales de sus clientes con herramientas de IA externas, entran en juego varias obligaciones propias del reglamento.

Base de licitud

Toda operación con datos personales necesita una base que la justifique. En el contexto de un despacho, la base más habitual es la ejecución del contrato de servicios jurídicos o el interés legítimo. Pero esa base legitima el tratamiento necesario para prestar el servicio, no cualquier uso adicional de los datos. Usar los datos del cliente para alimentar un sistema de IA externo puede no estar cubierto por la misma base, dependiendo de cómo esté redactado el contrato de servicios y la información que se dio al cliente.

Contrato con el encargado del tratamiento

Cuando un despacho usa una herramienta de IA externa para procesar datos personales de sus clientes, esa herramienta actúa como encargado del tratamiento. El RGPD exige un contrato escrito que regule esa relación: qué puede hacer el proveedor con los datos, durante cuánto tiempo los conserva, qué obligaciones asume en caso de brecha de seguridad. Sin ese contrato, el despacho no está en situación de cumplimiento.

Transferencia internacional

Los principales proveedores de IA procesan los datos en Estados Unidos. Eso convierte cada uso de la herramienta con datos personales de clientes en una transferencia internacional, sujeta a las reglas de transferencia internacional del RGPD. Los proveedores suelen ofrecer cláusulas contractuales tipo como mecanismo de cobertura. Conviene verificar con su asesoría qué mecanismo ampara la transferencia en cada caso y si es suficiente para el tipo de datos que maneja su despacho.

Transparencia hacia el cliente

El RGPD exige que los clientes sean informados de cómo se tratan sus datos. Si el despacho usa IA con información del cliente y eso no está recogido en la cláusula de protección de datos que se entrega al cliente, hay una brecha de transparencia independientemente de si el tratamiento es lícito o no.

Lo que una política interna no puede resolver

La respuesta más habitual cuando un despacho detecta este problema es redactar una política de uso de herramientas de IA: qué está permitido, qué no, qué procedimiento hay que seguir.

La política es necesaria. No es suficiente.

La razón es la misma que en cualquier otro tipo de organización: si el uso de una herramienta de IA es técnicamente posible, va a seguir ocurriendo. No por mala fe, sino porque el abogado tiene un plazo, la herramienta está disponible en su navegador y le ahorra tiempo. La política desplaza la responsabilidad al profesional cuando algo va mal. No cambia lo que ocurre.

Desde el punto de vista deontológico, esto tiene una dimensión adicional. Si el despacho establece una política que prohíbe el uso de IA con documentos de clientes, y luego un miembro del equipo infringe esa política, la responsabilidad no desaparece por el hecho de que existiera la norma. El deber de custodia de la información del cliente es del despacho, no del empleado que cometió el error.

El control real requiere medidas técnicas que hagan que la política sea efectiva, no solo declarativa.

Qué necesita tener documentado su despacho

Antes de autorizar el uso de herramientas de IA con información de clientes, hay un conjunto mínimo de documentación que debería estar en orden. Esta lista no es exhaustiva ni sustituye a una revisión legal específica, pero representa el punto de partida razonable para cualquier despacho.

Inventario de herramientas en uso

No solo las que se han autorizado formalmente: las que realmente están usando los miembros del equipo. Esto incluye herramientas de cuenta personal a las que se accede fuera de los sistemas corporativos. Sin ese inventario, el resto de la documentación se construye sobre una base que no refleja la realidad.

Registro de actividades de tratamiento actualizado

Cada uso sistemático de IA con datos de clientes debería aparecer en el registro como una actividad de tratamiento diferenciada, con la finalidad, las categorías de datos, los destinatarios y el mecanismo de transferencia internacional si procede.

Contratos de encargo del tratamiento con cada proveedor

Uno por proveedor. Si el despacho usa varias herramientas de IA, necesita un contrato con cada una que procese datos personales de clientes.

Cláusula de información actualizada

La información de protección de datos que se entrega a los clientes debe reflejar el uso de herramientas de IA externas si se da.

Consulta deontológica documentada

Para los aspectos relativos al secreto profesional, una consulta al colegio profesional correspondiente con su respuesta escrita. Es la única forma de tener certeza sobre qué está permitido en su jurisdicción y bajo las normas de su colegio.

Medida técnica que haga efectiva la política

Sin esto, lo anterior es documentación que describe cómo deberían ser las cosas, no un control que asegure que así son.

El punto de partida

Lo más frecuente en los despachos que abordan este problema es que no saben con exactitud qué herramientas están usando realmente sus profesionales ni con qué información. Esa es la primera pregunta que hay que responder, porque sin ella el resto del proceso no se puede hacer bien.

Para entender el marco completo antes de empezar, el punto de partida es: ChatGPT en empresas y el RGPD, qué es legal y qué necesitas documentar.

---

El Diagnóstico de exposición de datos en IA responde a esa primera pregunta: qué herramientas están en uso, por qué vía sale la información y con qué frecuencia. Un informe de hechos técnicos, sin veredictos legales, para que la conversación con su asesoría y con su colegio profesional parta de datos reales en lugar de suposiciones.