Cómo usar inteligencia artificial en un despacho de abogados sin vulnerar el secreto profesional ni el RGPD
La inteligencia artificial está transformando el trabajo de los despachos de abogados: permite investigar cuestiones jurídicas, analizar contratos, revisar expedientes y preparar borradores de escritos en menos tiempo.
Pero su utilización plantea una pregunta fundamental: ¿puede un abogado introducir documentación de sus clientes en una herramienta de IA sin comprometer el secreto profesional?
La respuesta depende de cómo se utilice la tecnología, qué información se trate y qué garantías ofrezca el proveedor.
En España, el uso profesional de inteligencia artificial debe respetar el secreto profesional, la normativa de protección de datos y las obligaciones aplicables al ejercicio de la abogacía. Por ello, antes de incorporar una herramienta a los procedimientos habituales del despacho, es importante conocer sus condiciones jurídicas y técnicas.
1. El secreto profesional del abogado: qué exige la legislación española
El secreto profesional constituye uno de los principios esenciales del ejercicio de la abogacía y una garantía de la relación de confianza entre el profesional y su cliente.
El artículo 542.3 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (LOPJ) establece el deber de los abogados de guardar secreto respecto de los hechos o noticias conocidos por razón de su actuación profesional.
Esta obligación se desarrolla en los artículos 21 y 22 del Estatuto General de la Abogacía Española, aprobado por el Real Decreto 135/2021.
El artículo 22.1 extiende su ámbito a los hechos, comunicaciones, datos, informaciones, documentos y propuestas conocidos, emitidos o recibidos durante el ejercicio profesional. El deber de secreto permanece incluso después de finalizar la relación con el cliente, sin límite temporal, conforme al apartado 5 del mismo artículo.
A su vez, el artículo 16 de la Ley Orgánica 5/2024, de 11 de noviembre, del Derecho de Defensa, refuerza la protección de las comunicaciones confidenciales entre abogado y cliente y reconoce distintas garantías vinculadas al secreto profesional, sin perjuicio de las excepciones legales.
Estas obligaciones también deben respetarse cuando el abogado emplea medios digitales, plataformas de almacenamiento o herramientas de inteligencia artificial.
¿Se puede utilizar IA con documentos de un cliente?
Sí, siempre que el tratamiento de la información resulte jurídicamente lícito y se adopten garantías suficientes para proteger su confidencialidad.
La legislación española no establece una prohibición general de utilizar inteligencia artificial en el ejercicio de la abogacía. Sin embargo, el profesional debe evaluar los riesgos del servicio antes de introducir información protegida.
En particular, conviene comprobar si el proveedor:
- Utiliza los documentos y consultas únicamente para prestar el servicio contratado o contempla otras finalidades.
- Permite el acceso a la información por parte de personal o terceros y bajo qué condiciones.
- Aplica medidas de seguridad y controles de acceso adecuados.
- Identifica los subencargados que intervienen en el tratamiento.
- Ofrece condiciones claras de conservación, devolución y eliminación de los datos.
Una herramienta de IA no deja de estar sometida al secreto profesional por ser tecnológica, ni garantiza su cumplimiento por el simple hecho de anunciarse como una solución jurídica.
La responsabilidad de seleccionar y utilizar adecuadamente estos servicios sigue correspondiendo, en el ámbito de sus obligaciones, al profesional y al despacho.
Especial atención a los procedimientos MASC
El artículo 9 de la Ley Orgánica 1/2025, de 2 de enero, establece un régimen específico de confidencialidad para los medios adecuados de solución de controversias (MASC).
Con carácter general, el proceso negociador y la documentación utilizada tienen carácter confidencial, con las salvedades y excepciones recogidas en el propio precepto.
Por ello, cuando se utilice IA para analizar propuestas de acuerdo, comunicaciones negociadoras o documentación de una mediación (véase nuestra guía sobre el requisito de procedibilidad MASC), deben mantenerse las garantías de confidencialidad aplicables a esa información.
2. RGPD e inteligencia artificial jurídica: cinco aspectos que debe comprobar un despacho
El Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), constituyen el marco general aplicable al tratamiento de datos personales.
Antes de contratar un proveedor de inteligencia artificial jurídica, conviene revisar cinco aspectos.
1. Responsabilidad del tratamiento y contrato de encargo — artículo 28 RGPD
Cuando un despacho determina los fines y medios del tratamiento de datos personales de sus clientes, actúa como responsable del tratamiento.
Si una plataforma tecnológica trata esos datos por cuenta del despacho y siguiendo sus instrucciones, actuará como encargada del tratamiento respecto de esas operaciones.
En tal caso, el artículo 28 RGPD exige un contrato u otro acto jurídico vinculante que regule, entre otros extremos:
- El objeto, duración, naturaleza y finalidad del tratamiento.
- Los tipos de datos personales y categorías de interesados.
- Las instrucciones documentadas del responsable.
- Las obligaciones de confidencialidad y seguridad.
- Las condiciones para recurrir a subencargados.
- La devolución o supresión de los datos al finalizar el servicio, con las excepciones legalmente previstas.
La condición de responsable o encargado debe determinarse según las funciones efectivamente realizadas por cada entidad, y no únicamente por la denominación utilizada en el contrato.
2. Finalidad del tratamiento y utilización de datos para entrenar IA
Uno de los aspectos que más interesa comprobar es si los documentos, consultas y expedientes introducidos en la plataforma pueden utilizarse posteriormente para entrenar, ajustar o mejorar modelos de inteligencia artificial.
El artículo 5.1.b RGPD establece el principio de limitación de la finalidad, mientras que el artículo 6 exige que el tratamiento disponga de una base jurídica adecuada.
Por ello, el uso de información de clientes para finalidades adicionales debe examinarse de forma diferenciada y no puede considerarse automáticamente autorizado por el hecho de contratar una herramienta tecnológica.
Una política contractual de no utilización de documentos para entrenamiento es una garantía relevante para un despacho, especialmente cuando trabaja con información confidencial.
No obstante, esta garantía debe distinguirse de otras cuestiones, como la conservación temporal de información, los registros técnicos o las copias de seguridad.
No utilizar datos para entrenar modelos no significa necesariamente que esos datos no se almacenen durante la prestación del servicio.
3. Seguridad de la información — artículo 32 RGPD
El artículo 32 RGPD exige aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.
Entre las medidas que pueden resultar relevantes en una plataforma de IA jurídica se encuentran:
- Cifrado de la información durante su transmisión y almacenamiento.
- Autenticación multifactor y gestión de permisos.
- Separación lógica entre usuarios, despachos y expedientes.
- Mecanismos de recuperación y continuidad del servicio.
- Registro y supervisión de eventos de seguridad.
- Evaluaciones periódicas de la eficacia de las medidas implantadas.
Tecnologías como TLS 1.3 para las comunicaciones o AES-256 para el almacenamiento pueden formar parte de una arquitectura de seguridad robusta.
Sin embargo, el RGPD no exige universalmente esos algoritmos concretos ni considera que su utilización, por sí sola, garantice el cumplimiento normativo.
La idoneidad de las medidas debe valorarse atendiendo a la naturaleza de los datos y a los riesgos específicos del tratamiento.
¿Qué ocurre con los datos de salud o los antecedentes penales?
Los expedientes jurídicos pueden contener información especialmente sensible.
El artículo 9 RGPD establece un régimen específico para las categorías especiales de datos, entre ellas los datos de salud. Su tratamiento exige una base jurídica aplicable conforme al artículo 6 y alguna de las circunstancias previstas en el artículo 9.2, cuando proceda. Entre ellas se contempla, bajo sus condiciones, la necesidad de formular, ejercer o defender reclamaciones.
Los datos relativos a condenas e infracciones penales se encuentran sujetos al artículo 10 RGPD y al artículo 10 LOPDGDD, cuyo apartado 3 contempla un supuesto específico de tratamiento por abogados y procuradores en el ejercicio de sus funciones.
Estas disposiciones no habilitan indiscriminadamente al proveedor tecnológico para utilizar dicha información con finalidades propias.
4. Localización de los datos y transferencias internacionales
La ubicación de los servidores es un aspecto importante en la contratación de servicios tecnológicos, pero debe diferenciarse del régimen jurídico de las transferencias internacionales.
Los artículos 44 a 49 RGPD regulan las condiciones en que pueden realizarse transferencias de datos personales a terceros países u organizaciones internacionales.
Por tanto, el RGPD no obliga con carácter general a que toda la información permanezca exclusivamente en el Espacio Económico Europeo.
El alojamiento en infraestructura europea puede facilitar el control de los datos y reducir determinados riesgos operativos o jurídicos, pero no excluye automáticamente posibles accesos internacionales, la intervención de subencargados extranjeros o la aplicación de otras normas relevantes.
Antes de contratar un servicio, el despacho debería conocer dónde se almacenan los datos, desde dónde pueden ser tratados, qué proveedores intervienen y qué garantías se aplican cuando existen transferencias internacionales.
5. Conservación, supresión y trazabilidad
El artículo 5.1.e RGPD recoge el principio de limitación del plazo de conservación.
Por su parte, el artículo 17 regula el derecho de supresión en los supuestos legalmente previstos, mientras que el artículo 28.3.g establece obligaciones específicas para los encargados al finalizar la prestación de servicios.
Una solución jurídica debería ofrecer información clara sobre:
- Las posibilidades de eliminar o exportar expedientes.
- Los plazos de conservación de documentos y consultas.
- La gestión de copias de seguridad.
- Los registros técnicos necesarios para seguridad y funcionamiento.
- Las obligaciones de conservación o bloqueo legal que puedan resultar aplicables.
Es importante distinguir la eliminación de un documento del entorno activo de su eventual permanencia temporal en copias de seguridad, sometida a políticas de conservación y supresión.
Adicionalmente, cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, deberá valorarse la necesidad de una evaluación de impacto relativa a la protección de datos conforme al artículo 35 RGPD.
3. Reglamento Europeo de IA: el abogado sigue siendo responsable de su trabajo profesional
El Reglamento (UE) 2024/1689, conocido como Reglamento Europeo de Inteligencia Artificial o AI Act, establece un marco regulatorio para los sistemas de IA en la Unión Europea.
Sus obligaciones varían según la naturaleza, finalidad y clasificación del sistema.
En particular, el artículo 14 establece requisitos de supervisión humana aplicables a los sistemas de IA de alto riesgo, conforme al calendario de aplicación del Reglamento.
El mero hecho de utilizar una plataforma de inteligencia artificial en un despacho de abogados no determina automáticamente que esta tenga la consideración de sistema de alto riesgo.
Con independencia de esa clasificación, el profesional debe revisar las respuestas y documentos generados por IA antes de incorporarlos a su trabajo jurídico.
Una herramienta puede facilitar la investigación normativa, localizar jurisprudencia o preparar borradores, pero no sustituye la valoración jurídica individualizada del abogado.
En la práctica, es importante comprobar:
- La existencia y exactitud de las fuentes citadas.
- La vigencia de la legislación aplicable.
- La correspondencia entre la jurisprudencia utilizada y los hechos del asunto.
- La coherencia de los argumentos.
- La adecuación del resultado al encargo profesional.
Además, el artículo 4 del Reglamento Europeo de IA contempla medidas de alfabetización en materia de inteligencia artificial para proveedores y responsables del despliegue, atendiendo al contexto de utilización y a las personas que operan los sistemas.
4. Cloud europeo u On-Premise: ¿qué arquitectura conviene a un despacho?
La forma en que se despliega una plataforma de inteligencia artificial influye en el control de la información, las necesidades de mantenimiento y las medidas de seguridad disponibles.
En Raimundo AI ofrecemos dos modalidades de despliegue: una infraestructura cloud alojada en la Unión Europea y una solución mediante servidor instalado en la sede del despacho. Para una comparativa exhaustiva de funcionalidades y modelos de servicio, consulte nuestra comparativa de IA jurídica para despachos.
Cloud Soberano Europeo
La infraestructura se aloja en centros de datos ubicados en la Unión Europea.
Permite el acceso desde dispositivos autorizados sin necesidad de que el despacho mantenga infraestructura propia para ejecutar el servicio.
Nuestra infraestructura en Cloud Soberano Europeo incorpora medidas como cifrado en tránsito y en reposo, controles de acceso, separación de información entre despachos y mecanismos de autenticación reforzada.
Puede resultar adecuada para profesionales y firmas que buscan una solución de IA jurídica accesible y gestionada, siempre que las condiciones del servicio respondan a sus necesidades concretas de seguridad y cumplimiento.
Servidor dedicado On-Premise
El despliegue On-Premise utiliza infraestructura física instalada en la sede del despacho.
En nuestra modalidad On-Premise, permitimos realizar localmente determinadas operaciones de lectura y razonamiento sobre documentos, con conectividad limitada para servicios auxiliares.
Puede ser una alternativa para organizaciones con requisitos específicos de custodia, políticas internas restrictivas o necesidades particulares de control de la infraestructura.
No obstante, una instalación local no implica automáticamente el cumplimiento del RGPD ni del secreto profesional.
También deben evaluarse cuestiones como el control de accesos, las copias de seguridad, el mantenimiento, las conexiones externas y la gestión de incidentes.
La elección entre cloud y On-Premise debe basarse en las características del despacho y en una valoración documentada de los riesgos.
5. Checklist: antes de utilizar IA con documentación confidencial
Antes de introducir información real de un expediente en una plataforma de inteligencia artificial, un despacho debería poder responder a estas preguntas:
- ¿Conocemos las condiciones de tratamiento de datos? Deben estar identificados los proveedores, sus funciones y las obligaciones contractuales correspondientes.
- ¿Sabemos si nuestros documentos se utilizan para entrenar modelos? Las finalidades del tratamiento deben estar claramente definidas.
- ¿Existen medidas de seguridad adecuadas? Es conveniente comprobar el cifrado, los permisos, la autenticación y el aislamiento de información.
- ¿Conocemos dónde se tratan y conservan los datos? Deben identificarse las ubicaciones relevantes, los posibles subencargados y las transferencias internacionales.
- ¿Podemos controlar la conservación y eliminación de la información? El servicio debe explicar las posibilidades de exportación y supresión, así como sus políticas de retención.
Responder a estas cuestiones no sustituye una evaluación jurídica y técnica del tratamiento, pero permite identificar riesgos relevantes antes de incorporar la herramienta al trabajo diario.
6. Raimundo AI: inteligencia artificial jurídica con controles de confidencialidad
Hemos desarrollado Raimundo AI para apoyar el trabajo de abogados y profesionales del Derecho en España.
Nuestra plataforma permite trabajar con consultas jurídicas, legislación, jurisprudencia y documentación de expedientes dentro de un entorno diseñado para las necesidades habituales de un despacho.
Entre las medidas que aplicamos en nuestra arquitectura de seguridad se encuentran:
- No utilización de información de clientes para entrenamiento de modelos: nuestro compromiso contractual publicado abarca los documentos y consultas procesados.
- Cifrado y control de accesos: medidas de protección de las comunicaciones y del almacenamiento.
- Separación de la información por despacho: controles destinados a restringir el acceso a expedientes.
- Autenticación reforzada: opciones de doble factor para proteger las cuentas.
- Modalidades de despliegue: alternativas cloud europeo y On-Premise, según las necesidades técnicas y organizativas.
Estas características permiten al despacho incorporar las garantías documentadas de nuestro servicio a su propia evaluación de riesgos y de cumplimiento normativo.
La existencia de medidas de seguridad no elimina las obligaciones profesionales del abogado ni sustituye la valoración de las condiciones específicas de cada tratamiento.
Para conocer las características y configuraciones disponibles, puede consultar nuestra documentación de seguridad y despliegues.
7. Preguntas frecuentes sobre IA, secreto profesional y RGPD
¿Es legal que un abogado utilice ChatGPT u otras herramientas de IA?
No existe una prohibición general de utilizar herramientas de inteligencia artificial en el ejercicio de la abogacía.
La utilización debe respetar las obligaciones de secreto profesional, protección de datos y diligencia profesional. Antes de introducir información confidencial, es necesario revisar las condiciones del servicio y las garantías disponibles.
¿Es obligatorio obtener el consentimiento del cliente para utilizar IA?
En el ámbito de la protección de datos, el consentimiento no es la única base jurídica posible.
El tratamiento de datos de clientes suele encontrar apoyo en la ejecución del encargo profesional o en el cumplimiento de obligaciones legales.
En cada caso debe determinarse la base jurídica adecuada conforme al artículo 6 RGPD y cumplir, cuando corresponda, los requisitos adicionales aplicables a categorías especiales de datos o información de naturaleza penal.
También deben respetarse las obligaciones de transparencia y los deberes profesionales de confidencialidad. La necesidad de autorización del cliente para revelar información amparada por el secreto profesional debe valorarse conforme a la regulación profesional aplicable.
¿Anonimizar un documento evita los problemas de protección de datos?
Una anonimización efectiva puede excluir la aplicación del RGPD a la información resultante cuando ya no permite identificar a una persona física mediante medios razonablemente utilizables.
Sin embargo, sustituir nombres por iniciales o eliminar únicamente los datos identificativos más evidentes puede no ser suficiente.
Cuando la información permite volver a identificar a una persona, puede seguir tratándose de datos personales seudonimizados.
Además, el secreto profesional puede proteger información confidencial aunque no constituya un dato personal.
¿Es obligatorio utilizar servidores europeos?
No existe una obligación general de alojar todos los datos en servidores europeos.
Sin embargo, deben cumplirse las reglas aplicables a las transferencias internacionales, las exigencias de seguridad y las demás obligaciones relevantes. Determinadas circunstancias contractuales, profesionales o sectoriales pueden justificar requisitos más restrictivos.
¿Una plataforma de IA jurídica garantiza por sí sola el cumplimiento del RGPD?
No. El cumplimiento depende de las características concretas del tratamiento, de las medidas adoptadas y de las responsabilidades de cada interviniente.
Una herramienta puede ofrecer garantías técnicas y contractuales relevantes, pero el despacho debe integrarlas en sus propios procedimientos de protección de datos y gestión de la información.
8. Conclusión: utilizar IA jurídica sin renunciar a la confidencialidad
La incorporación de inteligencia artificial al trabajo de los abogados puede mejorar la eficiencia en tareas de investigación, análisis documental y preparación de escritos.
Sin embargo, la productividad no debe alcanzarse a costa del secreto profesional ni de los derechos de los clientes.
El artículo 542.3 LOPJ, el Estatuto General de la Abogacía, la Ley Orgánica del Derecho de Defensa y el RGPD proporcionan un marco jurídico para evaluar cómo utilizar estas herramientas de manera responsable.
La cuestión no es únicamente qué puede hacer una plataforma de IA jurídica, sino qué garantías ofrece para trabajar con información confidencial y cómo las aplica el despacho.
Descubra cómo trabajamos en Raimundo AI con la documentación jurídica
Conozca las funcionalidades de nuestra plataforma, nuestras opciones de seguridad y nuestras modalidades de despliegue.
Normativa y fuentes oficiales
- Ley Orgánica 6/1985, del Poder Judicial — art. 542.3.
- Real Decreto 135/2021, Estatuto General de la Abogacía Española — arts. 16 y 21 a 24.
- Ley Orgánica 5/2024, del Derecho de Defensa — arts. 15 y 16.
- Ley Orgánica 1/2025, de medidas en materia de eficiencia del Servicio Público de Justicia — art. 9.
- Reglamento (UE) 2016/679, General de Protección de Datos.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
- Reglamento (UE) 2024/1689, de Inteligencia Artificial.
- Agencia Española de Protección de Datos — Adecuación al RGPD de tratamientos que incorporan IA.
Última revisión jurídica: 3 de noviembre de 2026. Este contenido tiene finalidad divulgativa e informativa y no constituye asesoramiento jurídico formal ni sustituye el análisis normativo individualizado.