IA y secreto profesional: qué datos del cliente no deben entrar nunca en un prompt y cómo trabajar con garantías

"¿Puedo pegar este escrito en la IA para que me lo mejore?" Es probablemente la pregunta práctica más repetida sobre inteligencia artificial en la abogacía. La respuesta corta: depende de qué contenga, de qué herramienta sea y de qué garantías contractuales la rodeen. La respuesta de fondo: el deber de secreto profesional y la normativa de protección de datos no se quedan en la puerta del chatbot.

El deber no desaparece por cambiar de herramienta

El Código Deontológico de la Abogacía Española impone al abogado el deber de secreto profesional sobre los hechos y datos que conozca por razón de su actuación profesional. Y el artículo 5 de la Ley Orgánica 3/2018 somete a responsables, encargados y a todas las personas que intervengan en cualquier fase del tratamiento de datos al deber de confidencialidad, precisando en su apartado segundo que esa obligación general es complementaria de los deberes de secreto profesional.

Traducción práctica: cuando el abogado introduce información de un cliente en una herramienta de IA, está realizando un tratamiento de datos y, en la mayoría de los casos, una comunicación a un tercero. Que la herramienta sea potente o cómoda no altera esa calificación jurídica.

Qué no debe entrar nunca sin salvaguardas

Salvo herramienta con garantías equivalentes a un encargo de tratamiento, no deben introducirse en un prompt:

• Identidades e identificadores: nombres, DNI, direcciones, teléfonos, matrículas, cuentas bancarias, del cliente o de cualquier tercero del asunto.
• El relato completo del caso si permite reconstruir quién es quién por contexto, aunque se hayan retirado los nombres propios.
• Estrategia procesal, valoraciones y comunicaciones abogado-cliente, el núcleo mismo del secreto profesional.
• Información privilegiada o sensible de empresas, que además puede tener relevancia mercantil o bursátil.

Anonimizar de verdad, no de cara a la galería

La salida habitual es anonimizar: sustituir nombres por iniciales o roles ("el demandante", "la empresa") y eliminar cualquier dato singularizador. Pero la anonimización solo funciona si es real: en un pueblo pequeño, un sector concreto o un asunto mediático, cuatro detalles bastan para reidentificar a las personas. Si queda duda razonable sobre la reidentificación, el dato sigue siendo personal y el riesgo, intacto.

La vía segura: herramientas con garantías

La alternativa profesional es trabajar con herramientas en las que el proveedor actúe como encargado de tratamiento con el contrato que exige el Reglamento General de Protección de Datos, con instrucciones documentadas, medidas de seguridad y sin uso de los datos para entrenar modelos ajenos. Es el criterio que recoge la guía de la CCBE sobre IA generativa para abogados y el que debería recoger la política interna de IA del despacho, cuyas claves desarrollamos en la guía sobre la política de IA generativa de la AEPD para despachos.

El otro frente: la fiabilidad del resultado

El secreto no es el único deber en juego. La IA generativa puede inventar jurisprudencia y referencias, y presentarlas con total verosimilitud. La profesión ya ha visto sanciones por presentar jurisprudencia falsa generada por IA, y la verificación de cada cita contra su fuente oficial es una obligación intransferible: el que firma el escrito responde de su contenido. Explicamos nuestro propio sistema de trabajo en cómo verificamos en Agente Lex.

Preguntas frecuentes

¿Puedo usar la IA para redactar si no incluyo datos personales? Si la anonimización es real y el contenido no revela estrategia ni confidencias, el riesgo se reduce mucho. Pero conviene documentar esa práctica en la política interna y revisar qué hace el proveedor con las conversaciones.

¿Le puedo pedir consentimiento al cliente? El consentimiento puede ser una base en algunos casos, pero debe ser informado y específico: el cliente debe entender qué herramienta es, dónde van sus datos y con qué finalidad. No es un comodín general.

¿Las versiones de pago de las herramientas generalistas ya son seguras? Depende del contrato y la configuración concretos: hay que verificar la existencia de encargo de tratamiento, la ubicación de los datos y la política de entrenamiento con datos del usuario. El precio de la suscripción, por sí solo, no es una garantía jurídica.

Seguimos el uso práctico y seguro de la IA en la abogacía en nuestra sección de IA jurídica.