IA y datos del cliente: las reglas de confidencialidad que todo estudio debe fijar antes de usar estas herramientas
Guía editorial de la redacción. El secreto profesional no se suspende porque la herramienta sea cómoda: qué datos entran a la IA, con qué proveedores y bajo qué controles.
La pregunta ya no es si los estudios jurídicos usarán inteligencia artificial, sino qué información de sus clientes circulará por esas herramientas. Entre el deber de secreto profesional, la legislación de protección de datos personales y los contratos de confidencialidad con los clientes, el abogado chileno que adopta IA opera en un espacio con reglas reales -aunque a veces olvidadas en el entusiasmo de la adopción. Esta guía editorial ordena los riesgos y los controles mínimos.
El punto de partida: el secreto profesional no tiene excepción tecnológica
El deber de guardar la confianza del cliente es de los pilares de la profesión: la información que el cliente entrega para su defensa o asesoría está protegida, y esa protección no depende del soporte en que la información se procese. Introducir los antecedentes de un caso en una herramienta de IA es, jurídicamente, comunicarlos a un tercero -el proveedor del servicio- con las condiciones que su contrato establezca. Si ese tercero retiene los datos, los usa para entrenar sus modelos o los almacena en jurisdicciones sin garantías, el abogado ha expuesto el secreto sin que el cliente lo haya autorizado. La regla práctica es anterior a la tecnología: lo que no se le puede contar a un extraño, no se le puede pegar a una IA.
La nueva ley de protección de datos personales
Chile cuenta con una ley moderna de protección de datos personales que endurece los estándares sobre el tratamiento de la información: principios de licitud, finalidad, proporcionalidad, calidad de los datos y deberes de seguridad, con un organismo regulador y sanciones relevantes. El tratamiento de datos personales mediante herramientas de IA -que a menudo implica transferencias a encargados y a servidores en el extranjero- debe encuadrarse en esas reglas: base de licitud para el tratamiento, información a los titulares, contratos con los encargados y evaluación de los riesgos. El estudio jurídico es, en este escenario, responsable del tratamiento de los datos de sus clientes: no puede subcontratar la responsabilidad a un proveedor tecnológico.
Los contratos de confidencialidad con los clientes
Además del estatuto y la ley, están los contratos: las cartas de encargo y los acuerdos de confidencialidad de los clientes corporativos contienen con frecuencia restricciones expresas sobre dónde y cómo puede procesarse su información, incluidas prohibiciones de transferirla a terceros o fuera de ciertas jurisdicciones. Usar una herramienta de IA sobre esos documentos sin revisar el contrato es exponerse al incumplimiento directo. La práctica correcta es añadir a la revisión inicial de cada encargo la pregunta tecnológica: qué herramientas están permitidas para este cliente, cuáles prohibidas y cuáles exigen autorización previa.
Clasificar la información antes que la herramienta
La decisión práctica se simplifica con una clasificación previa de la información del estudio. Un primer nivel: información pública -jurisprudencia publicada, normas, doctrina-, que puede procesarse sin restricciones especiales. Un segundo nivel: información interna del despacho sin datos de clientes -plantillas, guías, materiales de trabajo-, utilizable con herramientas aprobadas. Un tercer nivel: información de clientes y casos, que solo entra a las herramientas contratadas con garantías adecuadas -procesamiento sin retención, prohibición de entrenamiento con los datos, cifrado, jurisdicciones aceptables- y, cuando el cliente lo exija, con su autorización. La clasificación escrita convierte una decisión que hoy toma cada abogado a solas en una política del estudio.
Las herramientas empresariales y sus garantías
No toda IA es igual en su tratamiento de datos. Las versiones empresariales de las grandes plataformas ofrecen condiciones distintas de las gratuitas: no usar las entradas para entrenar modelos, retención limitada o nula, controles de acceso y registros de auditoría. El estudio debe documentar qué herramientas están autorizadas y bajo qué condiciones contractuales, y prohibir explícitamente las cuentas personales y gratuitas para trabajo de clientes. El abogado que usa su cuenta personal para resumir el expediente del cliente está, en la práctica, decidiendo por el estudio una transferencia de datos que nadie evaluó.
Los controles operativos mínimos
La política se vuelve real con controles concretos: lista de herramientas autorizadas y prohibidas, reglas de anonimización -quitar nombres, RUT, cifras identificables- cuando la tarea no requiere los datos, prohibición de cargar documentos completos de expedientes en herramientas no evaluadas, registro de los usos relevantes y revisión periódica de la política. La capacitación del equipo no es accesoria: la mayoría de las filtraciones por IA no provienen de ataques sino de usos bien intencionados e ignorantes de las reglas. Y los incidentes deben tener un protocolo: qué hacer cuando alguien descubre que cargó lo que no debía.
Cuando la información ya salió: la respuesta ante el incidente
Ninguna política elimina el error humano: tarde o temprano alguien pegará en una herramienta lo que no debía. La diferencia entre un estudio preparado y uno improvisado está en la respuesta. El primer paso es cortar el sangrado: suspender el uso de la herramienta para ese caso y documentar qué información se expuso, cuándo y ante qué proveedor. El segundo es activar los mecanismos contractuales disponibles -solicitud de eliminación de datos al proveedor, revisión de si la cuenta era empresarial o personal- y evaluar, con el nivel de decisión del estudio, si el incidente debe comunicarse al cliente afectado. La tentación de ocultar el error agrava el problema: el deber de lealtad con el cliente incluye informarle los riesgos que comprometen su confianza. El tercer paso es convertir el incidente en regla: cada error de este tipo debe terminar en un ajuste del protocolo, no solo en una disculpa interna.
El equilibrio razonable
Nada de esto es un argumento contra la IA en la práctica jurídica: es el argumento para adoptarla bien. Los estudios que fijan reglas claras usan estas herramientas más, no menos, porque eliminan la incertidumbre de cada decisión individual. El secreto profesional sobrevivió a la fotocopiadora, al correo electrónico y a la nube; sobrevivirá a la inteligencia artificial si la profesión le aplica la misma disciplina: saber con quién se comparte la información del cliente, bajo qué condiciones, y con qué autorización.
El encargo tecnológico en la carta de encargo
La práctica avanzada es tratar el tema de frente con el cliente: la carta de encargo moderna declara qué herramientas de IA usa el estudio, bajo qué garantías, y obtiene la conformidad del cliente para ese uso dentro del alcance definido. Esa transparencia convierte un riesgo latente en un acuerdo explícito, diferencia al estudio frente a los que operan en la zona gris, y responde anticipadamente la pregunta que los departamentos jurídicos ya incluyen en sus licitaciones.
Preguntas frecuentes
¿Se puede introducir información de un cliente en una herramienta de IA?
Solo si la herramienta ofrece garantías contractuales adecuadas -procesamiento sin retención ni entrenamiento con los datos, seguridad y jurisdicciones aceptables- y el encargo del cliente no lo prohíbe; en caso contrario, se requiere autorización del cliente o anonimización previa.
¿Qué dice la ley chilena de protección de datos sobre el uso de IA?
Que el tratamiento de datos personales -incluido mediante herramientas de IA- debe tener base de licitud, respetar los principios de finalidad, proporcionalidad y seguridad, y sujetar a los encargados a contratos que garanticen esos estándares, siendo el estudio responsable del tratamiento.
¿Cuál es el mayor riesgo práctico de la IA en un estudio jurídico?
Que los abogados usen cuentas personales o herramientas no evaluadas para procesar información confidencial de clientes, sin que el estudio lo sepa ni lo haya autorizado: la filtración por uso bien intencionado, no por ataque.
Fuentes y límites
- Guía editorial de la redacción basada en la práctica profesional y en el marco general de la legislación chilena de protección de datos personales; no constituye análisis de un caso concreto ni asesoramiento jurídico.
