Proteger los datos de tus clientes al usar IA: guía práctica

Todo abogado que usa IA generativa hoy carga, en alguna medida, información de clientes. La pregunta ya no es si usarla, sino bajo qué reglas. Esta guía traduce la prudencia profesional en protocolo operativo: qué cuenta como dato protegido, cómo anonimizar de verdad, qué tareas pueden pasar a la herramienta y cuáles no, con anclaje en la Ley 21.719 de protección de datos personales. El marco general de uso de IA en el despacho está en la guía de política interna de uso de IA y el detalle de la ley, en la cobertura de la Ley 21.719 y su postergación.

Qué cuenta como dato protegido en la práctica

Más de lo que la intuición sugiere: nombres y RUT, desde luego, pero también montos, fechas, direcciones, descripciones de hechos, cargos, estrategias procesales y cualquier combinación que permita identificar a una persona o empresa. La prueba operativa es simple: si alguien con contexto de la industria podría adivinar de quién se trata leyendo el texto, el dato está identificado. Los datos sensibles (salud, vida sexual, datos biométricos, opiniones políticas o sindicales) reciben protección reforzada por la ley y merecen la cautela máxima: no van a una herramienta externa bajo ninguna forma.

Anonimización real, no cosmética

Cambiar "Juan Pérez" por "el señor P." no anonimiza nada si el resto del texto describe la única empresa del rubro en la comuna. Anonimizar de verdad exige tres pasadas: sustituir identificadores directos (nombres, RUT, direcciones, teléfonos), generalizar indirectos (montos exactos por rangos, fechas exactas por meses, ubicaciones por regiones), y releer el conjunto preguntándote si alguien podría armar el rompecabezas. Cuando la duda persiste, el asunto no se lleva a la herramienta: se trabaja el punto jurídico en abstracto. La anonimización deficiente es peor que la ausencia de anonimización, porque genera falsa confianza.

Clasificar antes de teclear: tres categorías

La regla más simple del estudio moderno: clasifica la tarea antes de abrir la herramienta. Tareas verdes (sin datos de clientes): redacción de modelos, explicación de conceptos, lluvia de argumentos, lenguaje claro. Tareas amarillas (datos anonimizados y verificados): resumen de documentos, extracción de cláusulas, revisión de borradores con terceros involucrados. Tareas rojas (prohibidas en herramientas externas): datos sensibles, estrategia procesal identificable, información privilegiada de empresas, cualquier cosa cuya filtración dañaría al cliente. Esta clasificación debe estar escrita en la política del estudio, no solo en la cabeza del socio.

Las condiciones mínimas de la herramienta

Antes de usar cualquier servicio de IA con contenido de trabajo, verificar cuatro puntos: si el proveedor usa las entradas para entrenar modelos (y si existe opción de excluirlo), dónde se almacenan los datos y por cuánto tiempo, qué medidas de seguridad declara, y si ofrece un acuerdo de procesamiento de datos adecuado a la Ley 21.719. Las versiones gratuitas de muchas herramientas entrenan con lo que les escribes; las versiones empresariales suelen no hacerlo. La diferencia de precio es, literalmente, la diferencia de riesgo.

Los errores que ya costaron caro

La experiencia internacional ya entregó lecciones concretas: abogados sancionados por citar fallos inventados, pero también casos de filtración de información confidencial por pegar contratos completos en herramientas gratuitas, y filtraciones internas por compartir conversaciones de IA con estrategia procesal. En Chile, la Ley 21.719 elevó el estándar de cuidado y las sanciones, y el deber de confidencialidad del abogado sigue intacto: la herramienta nueva no crea excusas nuevas.

El protocolo de los cinco minutos

La mejor defensa contra el error de las 11 de la noche —ese momento en que la urgencia empuja a pegar el contrato entero en la herramienta más a mano— es un protocolo tan simple que funcione cansado. Antes de cada uso con contenido de un asunto: uno, ¿esta tarea es verde, amarilla o roja según la política? Dos, si es amarilla, ¿la anonimización pasó las tres pasadas? Tres, ¿la herramienta que voy a usar está en la lista autorizada? Cuatro, ¿lo que salga va a quedar registrado en el expediente con su fecha y su advertencia de verificación pendiente? Cuatro preguntas, cinco minutos, y el riesgo residual baja a niveles manejables. El protocolo que exige media hora no se cumple; el de cinco minutos, sí.

Preguntas frecuentes

¿Puedo usar IA para resumir un contrato de un cliente?

Solo con anonimización verificada y en una herramienta autorizada por la política del estudio. El contrato completo con datos identificables no se pega en un servicio externo sin consentimiento y sin garantías contractuales.

¿Qué hago si ya pegué datos sensibles en una IA?

Documenta qué se envió, evalúa el riesgo, notifica según la política interna y, si corresponde, al responsable de protección de datos y al cliente. El silencio agrava cualquier incidente.

¿Necesito consentimiento del cliente para usar IA en su asunto?

Depende del uso: para trabajo en abstracto, no; para procesar sus datos identificables en herramientas externas, la práctica prudente es informarlo y, cuando el dato es sensible o el riesgo alto, obtenerlo expresamente.

¿La IA del estudio grande es más segura que la gratuita?

Generalmente sí: las versiones empresariales ofrecen exclusiones de entrenamiento, cifrado y acuerdos de procesamiento. Pero la herramienta segura con malas prácticas sigue siendo insegura; la regla de clasificación vale igual.

Fuentes y límites

Guía profesional de la redacción con referencia a la Ley 21.719 de protección de datos personales (texto oficial en LeyChile). No sustituye asesoría en cumplimiento ni la política interna de cada estudio. Información, no asesoramiento jurídico.