IA EN DESPACHOS DE ABOGADOS: CUANDO EL INCUMPLIMIENTO YA TIENE RESPONSABLES
La inteligencia artificial se ha introducido en los despachos de abogados mucho más rápido que los procedimientos necesarios para gobernarla. Hoy resulta técnicamente sencillo cargar una demanda de cientos de páginas en un modelo, comparar contratos, transcribir reuniones, analizar expedientes, resumir documentación, buscar contradicciones entre declaraciones o conectar una base documental completa con un asistente de inteligencia artificial.
El problema no es la tecnología.
El problema aparece cuando el despacho no sabe exactamente **qué información está saliendo de sus sistemas, quién puede acceder a ella, dónde se procesa, cuánto tiempo permanece almacenada, qué proveedores y subproveedores intervienen y bajo qué condiciones contractuales se está tratando**.
Y en un bufete de abogados las consecuencias pueden ser especialmente graves.
No estamos hablando únicamente de nombres, teléfonos o correos electrónicos. Un despacho puede custodiar estrategias procesales, conflictos societarios, operaciones corporativas todavía confidenciales, historiales médicos, divorcios, herencias, procedimientos penales, datos financieros, investigaciones internas, secretos empresariales, comunicaciones privadas, documentación laboral o información relativa a infracciones y condenas.
La propia Agencia Española de Protección de Datos advertía el 25 de agosto de 2026 sobre lo que denomina el nuevo perímetro de riesgo de la IA generativa: el *prompt*. Introducir en una herramienta externa una reclamación, contrato, conversación, informe médico, estrategia procesal o expediente puede implicar tratamiento de datos personales, comunicación a terceros, problemas contractuales, afectación al secreto profesional o incluso una violación de seguridad dependiendo de las circunstancias.
La IA no ha eliminado las obligaciones que ya existían. Ha multiplicado los lugares donde pueden incumplirse.
## UN ABOGADO NO PUEDE TRATAR UN EXPEDIENTE COMO SI FUERA INFORMACIÓN ORDINARIA
El Estatuto General de la Abogacía Española establece que el secreto profesional comprende los hechos, comunicaciones, datos, informaciones, documentos y propuestas conocidos, emitidos o recibidos por el abogado durante su ejercicio profesional.
La obligación alcanza además a colaboradores, asociados, empleados y demás personas que cooperen con el profesional, y continúa incluso después de haber terminado la relación con el cliente.
Esta cuestión adquiere una dimensión completamente nueva con la inteligencia artificial.
Copiar el expediente de un cliente dentro de una herramienta generativa no equivale jurídicamente a escribirlo en un documento almacenado en el ordenador del despacho.
Existe un nuevo tratamiento tecnológico que debe analizarse.
¿Qué empresa recibe la información?
¿Actúa exclusivamente siguiendo instrucciones del despacho?
¿La utiliza para otras finalidades?
¿Existen subencargados?
¿Dónde están sus servidores?
¿Se producen transferencias internacionales?
¿Durante cuánto tiempo conserva las conversaciones?
¿Se emplea el contenido para mejorar modelos o servicios?
¿Puede solicitarse su eliminación?
¿Quién dentro de la organización tiene acceso?
¿Existe trazabilidad?
¿Se ha formalizado correctamente el encargo de tratamiento?
Estas preguntas deberían responderse antes de comenzar a utilizar la herramienta con información real de clientes.
El RGPD establece que, cuando un tratamiento se realiza por cuenta de un responsable, este debe utilizar únicamente encargados que ofrezcan garantías suficientes y debe existir el correspondiente marco contractual regulando el tratamiento.
Por tanto, utilizar IA profesionalmente no consiste simplemente en comprar una licencia.
Consiste en construir una arquitectura jurídicamente válida alrededor de esa tecnología.
## EL DESPACHO SIGUE SIENDO RESPONSABLE
Uno de los errores que previsiblemente generará más problemas durante los próximos años será considerar que contratar a una gran empresa tecnológica transfiere automáticamente la responsabilidad.
No es así.
Cuando el despacho determina las finalidades y medios del tratamiento será normalmente responsable del tratamiento, mientras que determinados proveedores tecnológicos podrán actuar como encargados del tratamiento si procesan la información exclusivamente siguiendo sus instrucciones.
El hecho de que la infraestructura pertenezca a una multinacional tecnológica no libera al despacho de sus obligaciones.
La legislación española establece expresamente como sujetos sometidos al régimen sancionador, entre otros, a responsables y encargados del tratamiento. La LOPDGDD también contempla específicamente las obligaciones relacionadas con los encargados y los contratos que regulan esos tratamientos.
Esto convierte la selección de proveedores de IA en una decisión jurídica además de tecnológica.
Un despacho debería conocer, como mínimo, qué datos introduce, qué finalidad persigue, qué proveedor interviene, qué garantías proporciona, qué política de conservación aplica y qué medidas técnicas impiden usos no autorizados.
## PROHIBIR CHATGPT EN UN DOCUMENTO INTERNO NO ES UNA POLÍTICA DE CUMPLIMIENTO
Otra práctica habitual consiste en publicar una circular interna prohibiendo a los trabajadores subir datos confidenciales a determinadas herramientas.
Eso puede formar parte de una política de seguridad.
Pero difícilmente puede considerarse suficiente por sí solo.
Si cientos de empleados continúan pudiendo acceder desde sus equipos corporativos a herramientas generativas externas, conectar extensiones, instalar aplicaciones, compartir archivos o autorizar conectores, mientras la organización carece de sistemas de supervisión y formación adecuados, el cumplimiento existe sobre el papel, pero no necesariamente en la infraestructura.
El principio de responsabilidad proactiva del RGPD exige adoptar medidas apropiadas y poder demostrar que realmente funcionan.
Y aquí aparece una cuestión fundamental: **la IA debe gobernarse técnicamente, no solamente mediante documentos jurídicos**.
Control de accesos, clasificación documental, anonimización cuando proceda, sistemas empresariales aprobados, registro de actividad, permisos, prevención de fuga de información, gestión de identidades, segmentación, políticas de conservación y supervisión humana deben formar parte del sistema.
## LOS CLIENTES TIENEN DERECHOS
El cliente de un despacho no pierde sus derechos porque sus datos estén siendo tratados dentro de una solución de inteligencia artificial.
Mantiene los derechos reconocidos por el RGPD: información, acceso, rectificación, supresión cuando corresponda, limitación del tratamiento, oposición y portabilidad en los supuestos legalmente previstos.
También puede solicitar información relativa al tratamiento de sus datos y conocer las categorías de destinatarios correspondientes.
Cuando concurran los requisitos establecidos legalmente, también existen garantías frente a determinadas decisiones basadas exclusivamente en tratamientos automatizados.
Y hay otra cuestión especialmente importante: **el derecho a reclamar una indemnización cuando exista un daño derivado de una infracción del RGPD**.
El Tribunal de Justicia de la Unión Europea ha reiterado que una infracción por sí sola no genera automáticamente una indemnización: debe existir infracción, daño y relación causal. Pero el daño puede ser material o inmaterial y determinados supuestos de pérdida de control o temor fundado a un uso indebido de los datos pueden adquirir relevancia indemnizatoria.
Esto significa que una sanción administrativa de protección de datos puede no ser el único coste económico para un despacho.
Puede existir además responsabilidad frente al propio cliente.
## HASTA 20 MILLONES DE EUROS O EL 4 % DEL NEGOCIO MUNDIAL
El régimen sancionador del RGPD es suficientemente conocido, aunque muchas empresas todavía no parecen haber interiorizado su alcance.
Para determinadas infracciones particularmente graves, entre ellas las relacionadas con principios fundamentales del tratamiento, derechos de los interesados o determinadas transferencias internacionales, las multas pueden alcanzar **20 millones de euros o el 4 % del volumen de negocio anual global del ejercicio anterior**, aplicándose la cantidad que resulte superior en los términos establecidos por el Reglamento.
Otras obligaciones vinculadas, entre otras materias, con protección desde el diseño, encargados, seguridad, evaluaciones de impacto o brechas están sometidas a otro nivel sancionador del RGPD que puede alcanzar 10 millones de euros o el 2 % del volumen de negocio mundial.
Pero para un despacho existe además una capa adicional que no tienen otras empresas.
La responsabilidad deontológica.
## VULNERAR EL SECRETO PROFESIONAL PUEDE TERMINAR EN SUSPENSIÓN O EXPULSIÓN
El Estatuto General de la Abogacía califica como infracción muy grave la vulneración del deber de secreto profesional cuando la conducta concreta no esté específicamente tipificada de otra forma.
Las sanciones para las infracciones muy graves pueden incluir la suspensión del ejercicio profesional durante más de un año y hasta dos años o incluso la expulsión del Colegio, atendiendo a las circunstancias y al principio de proporcionalidad.
Por tanto, subir irresponsablemente determinados expedientes de clientes a sistemas externos no debería analizarse únicamente desde la perspectiva del RGPD.
Puede existir simultáneamente un problema de protección de datos, secreto profesional, responsabilidad contractual, deontología profesional y, en determinados supuestos especialmente graves, responsabilidad civil o penal.
El artículo 199 del Código Penal contempla precisamente la revelación de secretos conocidos por razón del oficio o profesión y establece un régimen especialmente severo para el profesional que divulgue secretos ajenos incumpliendo su obligación de sigilo o reserva. Evidentemente, no cualquier utilización incorrecta de una herramienta de IA constituye automáticamente un delito: para llegar al ámbito penal deben concurrir los elementos exigidos por el tipo correspondiente.
Pero ignorar esta dimensión sería un error.
## EL PUNTO CRÍTICO: CUANDO LA DIRECCIÓN YA HA SIDO INFORMADA
Existe una diferencia jurídica y empresarial enorme entre no haber detectado todavía una vulnerabilidad y **haber sido informado formalmente de ella y decidir no actuar**.
Imaginemos que un equipo de protección de datos, ciberseguridad, cumplimiento o auditoría comunica a la dirección del despacho que una automatización está enviando expedientes de clientes a un proveedor sin garantías suficientes.
O que determinadas herramientas están procesando datos sensibles sin los controles correspondientes.
O que existen claves compartidas.
O accesos indiscriminados.
O conexiones mediante APIs y herramientas *no-code* que están extrayendo documentación.
O que un proveedor mantiene información en condiciones que no habían sido evaluadas.
Desde ese momento existe constancia de conocimiento.
Y eso importa.
El RGPD incluye entre los factores que deben valorarse al determinar una sanción cuestiones como la intencionalidad o negligencia de la infracción, el grado de responsabilidad del responsable o encargado y las medidas adoptadas para mitigar los daños.
Un correo electrónico, un informe de auditoría, un acta de comité o una comunicación del Delegado de Protección de Datos pueden convertirse años después en elementos esenciales para demostrar **qué sabía la organización, quién lo sabía y desde qué fecha**.
Por eso, cuando una incidencia normativa relevante llega a la dirección, deja de ser únicamente una cuestión informática.
Se convierte en una cuestión de gobierno corporativo.
## LOS ADMINISTRADORES TAMPOCO PUEDEN MIRAR HACIA OTRO LADO
En los despachos organizados mediante sociedades mercantiles entra además en juego la Ley de Sociedades de Capital.
La norma establece que los administradores deben desempeñar su cargo con la diligencia de un ordenado empresario y cumplir los deberes establecidos legal y estatutariamente teniendo en cuenta la naturaleza de su cargo y sus funciones.
La misma ley establece que los administradores pueden responder frente a la sociedad, los socios y los acreedores por daños causados mediante actos u omisiones contrarios a la ley, los estatutos o los deberes inherentes a su cargo cuando concurran los presupuestos legalmente establecidos.
Además, los miembros del órgano de administración que hayan intervenido en un acto lesivo pueden responder solidariamente, salvo quienes acrediten determinadas circunstancias, entre ellas que desconocían su existencia o que, conociéndola, hicieron todo lo conveniente para evitar el daño o se opusieron expresamente.
La conclusión es importante.
**Recibir una advertencia documentada y no hacer nada puede modificar radicalmente la posición jurídica de quienes tenían capacidad de decisión.**
No significa que cualquier administrador pase automáticamente a responder personalmente de cualquier multa impuesta al despacho. Esa conclusión sería jurídicamente incorrecta.
Significa que una omisión consciente, cuando existía deber de actuar y como consecuencia se produce un daño, puede abrir vías adicionales de responsabilidad que deberán analizarse en cada caso.
## ¿Y EL DIRECTOR DE TECNOLOGÍA?
La responsabilidad del CTO, CIO o departamento informático merece una precisión similar.
El responsable de Tecnología no recibe automáticamente una sanción del RGPD porque una herramienta del despacho incumpla la normativa.
Hay que estudiar quién determina realmente las finalidades y medios del tratamiento, qué facultades tiene cada persona y qué conducta concreta ha desarrollado.
Pero Tecnología tampoco puede convertirse en un refugio donde nadie sea responsable.
Si el departamento recibe una advertencia formal sobre una vulnerabilidad, dispone de capacidad técnica para detenerla y conscientemente mantiene el sistema funcionando sin elevar la incidencia ni adoptar medidas, su actuación podrá ser analizada desde diferentes ámbitos: laboral, contractual, civil y, en situaciones excepcionales y dependiendo de los hechos, incluso penal.
La posición cambia completamente cuando el técnico ha advertido documentalmente de la situación y la dirección decide continuar.
Por eso la trazabilidad de las decisiones es fundamental.
Debe quedar identificado quién detectó el riesgo, quién lo comunicó, quién tenía competencias para decidir, qué decisión se tomó y por qué.
## EL DELEGADO DE PROTECCIÓN DE DATOS TAMPOCO ES EL RESPONSABLE FINAL DEL NEGOCIO
Existe otra confusión recurrente.
El Delegado de Protección de Datos asesora, supervisa y desarrolla las funciones que le atribuye el RGPD, pero no sustituye al responsable del tratamiento ni a los órganos de dirección.
De hecho, la LOPDGDD establece expresamente que al Delegado de Protección de Datos no le resulta aplicable el régimen sancionador administrativo de su Título IX.
El DPD puede advertir.
Puede documentar.
Puede recomendar detener un tratamiento.
Pero corresponde a la organización adoptar las decisiones necesarias.
Convertir al responsable de privacidad en el destinatario final de todos los riesgos mientras la dirección continúa tomando decisiones comerciales sería precisamente lo contrario de un sistema serio de gobernanza.
## UNA BRECHA NO SE RESUELVE BORRANDO EL CHAT
Cuando se produce una violación de seguridad de datos personales, el responsable debe evaluar inmediatamente sus consecuencias.
Cuando pueda existir riesgo para los derechos y libertades de las personas, el RGPD establece la obligación de notificarla a la autoridad de control sin dilación indebida y, cuando sea posible, dentro de las 72 horas siguientes desde que se tuvo conocimiento.
En determinadas situaciones de alto riesgo deberá comunicarse además a los afectados.
Eliminar una conversación de una plataforma, borrar un archivo o pedir al empleado que no vuelva a hacerlo no constituye una investigación de brecha.
Debe averiguarse qué información salió, qué personas estaban afectadas, qué proveedor la recibió, qué posibilidades existen de acceso posterior, durante cuánto tiempo permaneció disponible y si puede eliminarse efectivamente.
Y todo ello debe documentarse.
## EL REGLAMENTO EUROPEO DE IA AÑADE UNA NUEVA CAPA
A todo lo anterior se suma progresivamente el Reglamento Europeo de Inteligencia Artificial.
A 11 de septiembre de 2026, las obligaciones de alfabetización en IA están vigentes desde febrero de 2025 y buena parte del marco general del Reglamento es ya aplicable. Tras los cambios europeos aprobados en 2026, determinadas obligaciones específicas para sistemas de alto riesgo se incorporarán posteriormente, incluyendo las correspondientes al anexo III desde diciembre de 2027.
Aquí también conviene evitar interpretaciones simplistas.
No cualquier sistema de IA utilizado por un abogado es automáticamente un sistema de alto riesgo.
Pero aunque una herramienta concreta no pertenezca a esa categoría, siguen plenamente vigentes el RGPD, la LOPDGDD, el secreto profesional, las obligaciones contractuales, la seguridad de la información y las restantes normas aplicables.
Además, el Reglamento de IA establece ya una obligación especialmente significativa para las organizaciones: adoptar medidas para favorecer un nivel suficiente de alfabetización en inteligencia artificial entre las personas que utilizan estos sistemas por cuenta de la organización.
En otras palabras: **permitir utilizar IA profesionalmente sin formar adecuadamente a quien la utiliza se está convirtiendo también en un problema regulatorio**.
## EL MAYOR RIESGO NO ES EL EMPLEADO QUE UTILIZA MAL LA IA
Durante los próximos años veremos probablemente organizaciones intentando atribuir determinadas incidencias al abogado, administrativo o empleado que decidió introducir documentación en una herramienta no autorizada.
En algunos casos será correcto: especialmente cuando existan instrucciones claras, formación suficiente y sistemas corporativos adecuados y el trabajador decida incumplir deliberadamente las normas.
Pero en otros será mucho más difícil sostener ese argumento.
Si la empresa permite acceso indiscriminado a herramientas externas, carece de controles técnicos, no dispone de formación, no tiene inventario de sistemas de IA, desconoce sus proveedores, no ha clasificado la información y además la dirección había recibido advertencias previas, entonces el problema difícilmente podrá reducirse a “un empleado utilizó mal ChatGPT”.
El fallo será organizativo.
## LA IA EN LOS DESPACHOS HA DEJADO DE SER UN ASUNTO INFORMÁTICO
Durante años Tecnología fue considerada por muchos despachos una función de soporte.
Eso se ha terminado.
Cuando una herramienta tecnológica puede acceder a miles de expedientes, contratos, procedimientos judiciales y secretos empresariales, la arquitectura tecnológica pasa a formar parte del sistema jurídico de protección del cliente.
Dirección, Tecnología, ciberseguridad, protección de datos, cumplimiento y abogados responsables de cada área deberían trabajar bajo una única estructura de gobernanza.
Inventario de herramientas de IA.
Clasificación de datos.
Proveedores autorizados.
Contratos.
Control de subencargados.
Gestión de permisos.
Registro de actividad.
Evaluaciones de riesgo.
Procedimientos ante brechas.
Formación.
Supervisión.
Auditorías periódicas.
Protocolos para suspender procesos.
Y, sobre todo, una regla básica: **cuando alguien detecte una vulnerabilidad grave, tiene que existir capacidad real para detener el sistema antes de que el problema continúe creciendo**.
La inteligencia artificial ofrece a los despachos una oportunidad extraordinaria. Puede reducir miles de horas de tareas documentales, mejorar la búsqueda de información, encontrar contradicciones imposibles de detectar manualmente y transformar profundamente la productividad jurídica.
Pero ninguna mejora de productividad justifica perder el control sobre la información confiada por los clientes.
La verdadera diferencia entre los despachos que integrarán correctamente la inteligencia artificial y aquellos que terminarán enfrentándose a problemas regulatorios no estará en quién utilice más IA.
Estará en quién sea capaz de **gobernarla**.
Porque existe una frontera jurídica especialmente peligrosa.
La que separa cometer un error de haber sido advertido de ese error.
Después de esa frontera, continuar sin tomar medidas deja de ser simplemente un problema tecnológico.
Empieza a convertirse en una decisión.
## Las rimas de la IA
El cliente entrega secretos buscando protección;
la máquina no elimina nuestra obligación.
Si el riesgo fue advertido y nadie quiso actuar,
ya no hablamos de un fallo: hablamos de responsabilidad.
Transparencia: Elaborado con asistencia de inteligencia artificial y revisado editorialmente por la redacción. Imagen generada o manipulada con IA.