Por Samara Nacher Un abogado puede usar IA sin romper el secreto profesional, pero solo si controla dónde acaban los datos de sus clientes: plan de empresa o API con contrato de encargado del tratamiento (artículo 28 RGPD) y garantía de no entrenamiento, nunca una cuenta de consumo. Esa es la respuesta corta. El resto de este artículo explica por qué, con las normas exactas y una checklist de compra.
Los catálogos de herramientas ya existen. Confilegal acaba de publicar una guía muy útil de las principales IAs jurídicas especializadas que explica qué hace cada una. Lo que ningún catálogo responde es la pregunta previa: ¿bajo qué condiciones puede un despacho meter información de clientes en cualquiera de ellas, o en los cuatro generalistas que casi todos los despachos usan de verdad? Aquí va esa guía que falta.
Los cuatro generalistas: la línea que separa lo aceptable de lo prohibido
Antes que Vincent, Harvey o GenIA-L, en la mayoría de despachos hay ChatGPT, Claude, Gemini o Copilot. Y en los cuatro la línea divisoria es la misma: versión de consumo frente a versión de empresa o API. Las versiones de consumo entrenan con tus conversaciones por defecto o pueden hacerlo salvo que lo desactives; las de empresa y las API declaran no entrenar por defecto. Según la documentación oficial de cada proveedor a fecha de este artículo:
| Herramienta | Versión de consumo | Versión empresa / API |
|---|---|---|
 ChatGPT (OpenAI) | Free, Plus y Pro: entrenamiento activado por defecto, desactivable en los controles de datos | Business, Team, Enterprise y API: no entrena por defecto; ofrece DPA, residencia de datos en Europa para clientes elegibles y auditoría SOC 2 |
 Claude (Anthropic) | Free, Pro y Max: desde los términos del 28 de agosto de 2025, los chats pueden usarse para entrenar salvo que el usuario lo rechace (con retención de 5 años si acepta) | Claude for Work y API: no entrena por defecto; excepción: el feedback explícito (pulgar arriba o abajo) |
 Gemini (Google) | La app de consumo usa los chats para mejorar los modelos, con revisores humanos; desactivable, con retención de 72 horas incluso desactivado | Workspace: “los datos de tu empresa no se usarán para entrenar ni mejorar los modelos de Gemini ni para segmentar anuncios” |
 Microsoft 365 Copilot | (No hay versión de consumo equivalente en el despacho) | Los prompts, respuestas y datos de Microsoft Graph no se usan para entrenar los modelos fundacionales; EU Data Boundary para el tráfico europeo; DPA de Microsoft. Ojo a una excepción documentada: los modelos de Anthropic como subencargado quedan hoy fuera del EU Data Boundary |
Dos advertencias. Primera: estas condiciones cambian, y de hecho las de Anthropic cambiaron en agosto de 2025; verifica los términos vigentes del producto concreto antes de contratar. Segunda: que la versión de empresa “no entrene por defecto” no cierra el análisis jurídico. Lo abre. Vamos a ello.
El secreto profesional: el proveedor de IA es de los tuyos
El punto de partida es el artículo 542.3 de la Ley Orgánica del Poder Judicial: los abogados deben guardar secreto de todos los hechos o noticias que conozcan por razón de cualquiera de las modalidades de su actuación profesional. El Estatuto General de la Abogacía (Real Decreto 135/2021) lo desarrolla en sus artículos 21 a 23: el secreto es deber y derecho (art. 21), abarca todos los hechos, comunicaciones, datos, informaciones, documentos y propuestas (art. 22.1), es ilimitado en el tiempo (art. 22.5) y solo el cliente puede relevar de él, expresamente y solo en lo que a él le afecte (art. 22.6).
La pieza clave para la IA es el artículo 22.4: el profesional de la Abogacía deberá hacer respetar el secreto profesional a sus colaboradores y asociados, así como al personal correspondiente y “demás personas que cooperen con él en su actividad profesional”. El proveedor de IA que procesa tus prompts coopera en tu actividad profesional. El deber de hacerle respetar el secreto es tuyo, no suyo: si vuelcas un expediente en una herramienta que puede reutilizar esos datos para sus propios fines, el incumplimiento es del abogado.
El Código Deontológico de la Abogacía Española (2019) añade una vuelta más en su artículo 5: el secreto se extiende a los integrantes del despacho colectivo y, matiz deontológico relevante, el consentimiento del cliente no excusa por sí solo de su preservación. Es decir, ni siquiera un “mi cliente me autoriza a usar ChatGPT” agota el problema.
Seamos honestos con lo que no hay: no nos consta jurisprudencia específica del Tribunal Supremo, el Constitucional, el TEDH o el TJUE sobre secreto profesional y uso de IA generativa. Lo que sí hay es una protección reforzada del secreto por analogía: el TJUE (Gran Sala, sentencia de 8 de diciembre de 2022, asunto C-694/20) lo ancló en el artículo 7 de la Carta de Derechos Fundamentales, y el TEDH (Michaud c. Francia, 6 de diciembre de 2012) reconoció la protección reforzada de los intercambios abogado-cliente bajo el artículo 8 del Convenio. Y hay guía profesional concreta: el CCBE, el consejo de la abogacía europea, publicó una guía sobre uso de IA generativa por abogados en octubre de 2025 y una guía técnica en marzo de 2026. Merecen una lectura antes de firmar nada.
RGPD: sin contrato del artículo 28 no entra ni un dato
En clave de protección de datos, el reparto de papeles es claro: el despacho es responsable del tratamiento de los datos de sus clientes y el proveedor de IA que los procesa por su cuenta es encargado del tratamiento. Eso activa el artículo 28 del RGPD: solo puedes elegir encargados que ofrezcan garantías suficientes (28.1) y necesitas un contrato de encargo (DPA) con el contenido mínimo del 28.3. Ya explicamos ese contrato en detalle en nuestra guía sobre el contrato de encargado del tratamiento.
Aquí está el argumento central contra las cuentas de consumo, y es de texto literal: el artículo 28.3.a) exige que el encargado trate los datos “únicamente siguiendo instrucciones documentadas del responsable”. Un proveedor que usa tus prompts para entrenar sus modelos con fines propios no está tratando únicamente bajo tus instrucciones. Deja de ser un mero encargado, y tú incumples a la vez el artículo 28 RGPD y el deber del artículo 22.4 del Estatuto. Por eso la versión de consumo con datos de cliente no es una imprudencia menor: es un doble incumplimiento, normativo y deontológico.
Dos capas más:
- Transferencias internacionales. Si el proveedor procesa en Estados Unidos, necesitas base para la transferencia (capítulo V del RGPD): decisión de adecuación o garantías adecuadas como las cláusulas contractuales tipo. La Decisión de Ejecución (UE) 2023/1795 (el EU-US Data Privacy Framework) solo cubre a las entidades autocertificadas en la lista oficial: comprueba la certificación concreta de tu proveedor en dataprivacyframework.gov, no la des por supuesta.
- Las capas se acumulan. Firmar el DPA cumple el RGPD, pero no releva del deber deontológico; y el consentimiento del cliente tampoco lo agota (art. 5 del Código Deontológico). Cumplir una norma no descuenta la otra.
Que los reguladores miran hacia los proveedores de IA generativa ya no es hipótesis: el Garante italiano cerró en diciembre de 2024 su investigación a OpenAI con una sanción de 15 millones de euros por, entre otras cosas, entrenar con datos personales sin base jurídica adecuada. La sanción no ha sobrevivido al control judicial: el Tribunal de Roma, tras suspenderla cautelarmente en marzo de 2025, la anuló por sentencia de 18 de marzo de 2026 por un motivo de competencia (con la sede europea de OpenAI en Irlanda, el mecanismo de ventanilla única del RGPD atribuye el caso a la autoridad irlandesa), sin pronunciarse sobre el fondo. El criterio material del regulador sobre el entrenamiento con datos personales sigue, por tanto, sin ser desmentido, y es exactamente el flanco que un despacho no puede permitirse.
AI Act: qué le toca al despacho (y el mensaje tranquilizador)
En el Reglamento (UE) 2024/1689, el despacho que usa IA es responsable del despliegue (art. 3.4); el fabricante es el proveedor. Las obligaciones dependen del rol, y las del despacho son hoy pocas y concretas:
- Alfabetización en IA (artículo 4, aplicable desde el 2 de febrero de 2025). Todo despacho que use cualquier sistema de IA debe adoptar medidas para promover la alfabetización en IA de su personal, proporcionadas a su contexto. Es una obligación de medios: formación documentada, no un título.
- Transparencia (artículo 50, aplicable desde el 2 de agosto de 2026). Al despacho le afecta en dos supuestos: si despliega un chatbot de cara a clientes en su web (asegurarse de que informa de que es una IA) y si publica texto generado por IA para informar al público sobre asuntos de interés público sin revisión humana. La excepción del artículo 50.4 es la que salva la práctica diaria: el texto revisado por una persona que asume la responsabilidad editorial queda fuera de la obligación de etiquetar. Un dictamen o un escrito procesal revisado y firmado por el abogado es precisamente ese supuesto. Un blog jurídico publicado sin revisión, no. El uso interno (investigación, borradores, análisis documental con revisión posterior) no genera obligación del artículo 50 para el despacho. Repasamos el detalle en qué cumple tu proveedor y qué te obliga a ti del artículo 50 y en qué cambió el 2 de agosto.
Y el mensaje tranquilizador, que conviene decir con el texto delante: el uso jurídico típico no es alto riesgo. El punto 8.a) del Anexo III se refiere a sistemas destinados a ser utilizados “por una autoridad judicial, o en su nombre” para ayudarla a investigar e interpretar hechos y Derecho, o a usos similares en resolución alternativa de litigios. Un abogado privado que investiga jurisprudencia, redacta escritos o analiza documentos para su cliente no encaja en ese literal. Además, aunque una herramienta rozara el Anexo III, el artículo 6.3 excluye usos que sean una tarea de procedimiento limitada o que mejoren el resultado de una actividad humana previamente realizada. Las obligaciones plenas de alto riesgo, por lo demás, no son exigibles hasta el 2 de diciembre de 2027 (Anexo III) y el 2 de agosto de 2028 (Anexo I), según el calendario vigente tras el paquete Ómnibus.
Checklist de compra: 7 puntos antes de contratar una IA en el despacho
- DPA del artículo 28 RGPD firmado. Sin contrato de encargo, no entra ni un dato de cliente. Revisa también la lista de subencargados: Copilot, por ejemplo, usa modelos de OpenAI y Anthropic como subencargados.
- No entrenamiento pactado por contrato, no por toggle. Exige el compromiso en el plan de empresa, y localiza las excepciones (en Claude, el feedback con pulgares; en cualquier proveedor, lo que digan los términos vigentes).
- Ubicación de datos y transferencias. Residencia en la UE o EU Data Boundary; si hay transferencia a EE. UU., base documentada (DPF con certificación comprobada, o cláusulas tipo). Vigila las excepciones, como los modelos de Anthropic dentro de Copilot, hoy fuera del EU Data Boundary según la documentación de Microsoft.
- Trazabilidad de fuentes. Las herramientas jurídicas verticales del catálogo de Confilegal citan sobre corpus editorial; en los generalistas, exige citas verificables y un protocolo interno de verificación antes de que nada llegue a un escrito.
- Certificaciones de seguridad. SOC 2 Type II o ISO 27001 como suelo; ISO 42001 (gestión de IA) como plus emergente. Pídelas por escrito, no las supongas.
- Cumplimiento interno del AI Act. Plan de alfabetización del personal (art. 4), aviso en el chatbot si lo hay, y revisión humana documentada de todo lo que se publique (art. 50.4).
- Retención y borrado. Plazo de retención de los prompts, configuración disponible y derecho de supresión operativo frente al proveedor.
Conclusión
La pregunta correcta no es “qué IA jurídica es mejor”, sino “bajo qué condiciones puede entrar un dato de cliente en esa IA”. Las condiciones caben en tres líneas: contrato del artículo 28 con no entrenamiento, base para la transferencia si los datos salen de la UE, y minimización de lo que se pega en el prompt. A eso se suman los deberes propios del despacho como responsable del despliegue: alfabetización y transparencia.
Si tu despacho o tu empresa ya usa IA y no sabe qué obligaciones ha asumido, nuestra auditoría de IA inventaría los usos, los clasifica por riesgo y te dice qué te toca cumplir; puedes empezar por la calculadora gratuita de esa misma página. Y si ya sabes que hay que actuar, la adaptación de IA lo pone en marcha con documentos revisados por nuestro equipo legal.