Secreto profesional e IA: dónde puede vivir un borrador y dónde no

Un abogado pega en un chat el borrador de una demanda para que le «pula el tono». Tarda diez segundos y el resultado es bueno. La pregunta que casi nadie se hace en ese momento es dónde ha ido a parar el borrador: qué servidor lo ha recibido, cuánto tiempo lo conserva y si alguien, algún día, puede leerlo.

No es una pregunta técnica. Es una pregunta de secreto profesional, y tiene una respuesta jurídica clara aunque la tecnología cambie cada trimestre: no existe una excepción tecnológica. Lo que el abogado tiene que guardar, lo guarda igual si lo escribe en un cuaderno que si lo escribe en un cuadro de texto de una aplicación.

Este artículo es el complemento práctico de nuestra guía sobre IA en despachos. Allí explicamos qué sirve y qué es humo. Aquí tratamos solo una cosa: dónde puede vivir un borrador y dónde no.

Qué dice la norma, sin adornos

El deber viene de varios sitios a la vez. El artículo 542.3 de la Ley Orgánica del Poder Judicial obliga a los abogados a guardar secreto de los hechos o noticias que conozcan por razón de cualquier modalidad de su actuación profesional. El Estatuto General de la Abogacía Española lo recoge como deber y derecho del profesional, y alcanza a hechos, comunicaciones, datos, documentos y propuestas. La Ley Orgánica 5/2024, del Derecho de Defensa, refuerza la confidencialidad de las comunicaciones entre abogado y cliente.

Ninguna de estas normas distingue entre soportes. Tampoco el Reglamento europeo de inteligencia artificial (Reglamento (UE) 2024/1689) crea un permiso especial: no prohíbe con carácter general usar IA en el trabajo jurídico, pero tampoco convierte en lícito todo lo que no prohíbe. Y cuando la herramienta procesa datos personales —un borrador de demanda siempre los contiene— entran el RGPD y la LOPDGDD: base jurídica, finalidad, minimización, seguridad, transferencias internacionales y, sobre todo, la relación con el proveedor.

La responsabilidad, además, no se delega. Si el borrador se filtra, el despacho responde ante su cliente, no el proveedor del chat.

Cuatro lugares donde puede acabar un borrador

La distinción útil no es «IA sí / IA no». Es dónde queda el texto después de pulsar enviar. En la práctica hay cuatro situaciones, de peor a mejor.

1. Una herramienta de consumo, con la cuenta personal. Es la más frecuente y la peor. Las condiciones son las del usuario particular: el proveedor puede conservar las conversaciones, revisarlas para mejorar el servicio y, según el producto y la configuración, usarlas para entrenar modelos. El despacho no ha firmado nada y no puede acreditar nada. Aquí no debe entrar ningún dato de un cliente, ni siquiera «anonimizado a mano», que casi siempre deja algún rastro.

2. Una herramienta profesional contratada, pero sin revisar. Mejora el punto de partida —suele excluir el entrenamiento con tus datos—, pero «suele» no es un contrato. Si nadie ha leído las condiciones, no sabes cuánto conserva, quién tiene acceso interno ni dónde se procesa.

3. Un proveedor con encargo de tratamiento firmado. Aquí hay un contrato de encargado del tratamiento conforme al artículo 28 del RGPD, ubicación de los datos conocida, plazos de conservación definidos y compromiso expreso de no entrenar con el contenido. Es el mínimo razonable para trabajar con asuntos reales.

4. Un entorno aislado por despacho. Los datos de cada despacho viven separados de los de los demás, con acceso trazable y retención configurable. Es lo que corresponde a material especialmente sensible: expedientes penales, litigios de familia, operaciones con deber de comunicación en materia de blanqueo.

La frontera práctica pasa entre el 2 y el 3. Por debajo, el borrador no tiene un lugar propio; por encima, sí.

Cinco preguntas que debe contestar tu proveedor

No hace falta ser técnico. Hace falta pedir las respuestas por escrito.

1. ¿Se usa mi contenido para entrenar modelos? La respuesta aceptable es no, y debe estar en el contrato, no en una página de preguntas frecuentes que puede cambiar.
2. ¿Dónde se procesa y se almacena? Dentro del Espacio Económico Europeo o, si no, con qué garantía de transferencia internacional.
3. ¿Cuánto tiempo se conserva y puedo borrarlo? Una retención indefinida es un riesgo. Además, el borrado debe ser real, también en copias de seguridad dentro de un plazo razonable.
4. ¿Quién, dentro del proveedor, puede ver mis conversaciones? «Nadie, salvo para soporte con mi autorización» es una respuesta; «para mejorar el servicio» no lo es.
5. ¿Hay encargo de tratamiento firmado y lista de subencargados? Sin eso, el despacho no cumple el artículo 28 del RGPD aunque el proveedor sea excelente.

Si alguna respuesta es «no lo sabemos» o «depende», has encontrado el nivel 1 o 2 con mejor marketing.

El cruce con la obligación de conservar

Hay un matiz que se olvida. La Ley 10/2010 obliga a conservar durante diez años la documentación de diligencia debida, como explicamos en nuestro artículo sobre KYC en despachos. Eso significa que algunos datos del cliente no se pueden borrar a petición, y que el despacho necesita saber qué vive dónde. Una herramienta de IA que absorbe esos documentos sin política de retención crea una copia más que proteger, durante diez años, fuera de tu control. Las obligaciones del RGPD siguen aplicándose a esa copia.

Una regla que cabe en una tarjeta

Antes de pegar nada en una herramienta de IA, el abogado debería poder contestar en cinco segundos a tres cosas: ¿con qué contrato trabaja esta herramienta?, ¿cuánto tiempo guarda el texto?, ¿puedo demostrárselo a mi cliente? Si la respuesta a alguna es «no sé», el borrador no entra.

Y el despacho debería escribirlo. Una política de una página —qué herramientas están autorizadas, para qué tipo de material y con qué revisión— evita más problemas que cualquier sanción posterior. Y el Reglamento de IA exige además alfabetización suficiente del personal que usa estos sistemas: una política escrita es la forma más barata de empezar a acreditarlo.

Cómo lo planteamos en Mandato

Nosotros partimos de la misma pregunta. En Mandato la IA trabaja dentro del expediente, con los documentos del propio asunto, y lo que produce se presenta como propuesta que el abogado revisa. Dónde viven los datos y con qué garantías está publicado en la página de seguridad, que es exactamente el sitio donde debería estar. No te pedimos que nos creas: te pedimos que apliques las cinco preguntas de arriba a cualquier proveedor, incluido nosotros.