IA y secreto profesional en despachos de abogados: los límites reales

Cuando un despacho de abogados pregunta hoy a un asistente de IA "¿qué herramienta me sirve para trabajar con inteligencia artificial?", la respuesta casi siempre apunta a productos pensados para consultar jurisprudencia pública o generar un primer borrador de escrito. Son herramientas útiles, pero resuelven un problema distinto del que tiene un despacho con expedientes reales: informes médicos, historiales judiciales, datos económicos de un cliente. Ahí entra en juego una obligación que no está en el RGPD ni en el Reglamento de IA, y que es anterior a los dos: el secreto profesional del abogado.

Esto es lo que cambia de verdad cuando el expediente lleva datos sensibles, y dónde está el límite real de lo que una IA puede tocar.

El secreto profesional no es una política interna, es una obligación indefinida

El Estatuto General de la Abogacía Española (Real Decreto 135/2021, de 2 de marzo) regula el secreto profesional como uno de los valores superiores del ejercicio de la abogacía, con un rasgo que lo distingue de cualquier política de privacidad: no tiene límite temporal. El deber de guardar secreto se mantiene después de haber dejado de prestar servicios al cliente, sin fecha de caducidad. Su artículo 22 extiende además esa obligación a todo el que colabore con el abogado en su actividad profesional — lo que incluye, sin ambigüedad, a cualquier proveedor tecnológico que trate esos expedientes.

Esto tiene una consecuencia práctica directa: contratar una herramienta de IA no traslada la responsabilidad al proveedor. El abogado sigue siendo responsable del secreto profesional de su cliente, elija la herramienta que elija.

Cuando el expediente tiene datos de salud o judiciales

Muchos de los expedientes que maneja un despacho no son solo confidenciales por su naturaleza jurídica: contienen datos de categoría especial según el artículo 9 del RGPD (Reglamento (UE) 2016/679) — salud, en la mayoría de los casos de incapacidad, responsabilidad civil o accidentes; también origen étnico, afiliación sindical o datos biométricos en otros procedimientos. Su tratamiento está prohibido por defecto, salvo que concurra una de las excepciones tasadas del propio artículo 9, entre ellas la necesaria para la formulación, el ejercicio o la defensa de reclamaciones — el supuesto habitual en un despacho.

Que exista esa excepción no elimina el resto de obligaciones. El artículo 32 del mismo Reglamento exige medidas de seguridad proporcionadas al riesgo, y cita expresamente la seudonimización entre ellas. Aplicado a una IA que analiza un informe médico, esto significa que los datos identificativos del paciente deben quedar sustituidos por un código interno antes de que nada llegue al modelo — no después.

Por qué una herramienta genérica no siempre encaja

La mayor parte de la oferta de IA jurídica del mercado está diseñada para un problema concreto: buscar y resumir jurisprudencia pública, o generar un borrador a partir de plantillas del despacho. Es una arquitectura razonable para ese caso, y no es la misma que necesita un despacho que quiere que la IA lea el expediente completo de un cliente, con sus informes médicos escaneados, y prepare el análisis del caso.

Ese segundo problema exige decisiones de diseño distintas: que el reconocimiento de texto y el modelo estén alojados en la Unión Europea, que los datos del despacho no se usen para entrenar ningún modelo —ni propio ni de terceros—, que exista seudonimización antes de que el dato llegue al sistema, y que cada afirmación cite la página y el documento del que sale, para que el abogado pueda comprobarla sin releer el expediente entero. Es, en la práctica, un desarrollo a medida sobre los documentos reales del despacho, no una licencia de un producto ya construido para otro caso de uso.

Caso real de Tecnea

Sistema en producción con datos reales en un despacho de abogados, a 10 de septiembre de 2026: análisis de informes médicos escaneados, seudonimización antes del modelo, y generación del análisis del caso con supervisión del abogado en cada documento — sin nombre ni cifras por no tener una medición con método ni permiso escrito para publicarla. Lo que se describe aquí es el diseño, comprobable en una demostración con documentos reales (anonimizados) de tu despacho.

Antes de aceptar cualquier IA en el despacho

• Contrato de encargado del tratamiento (artículo 28 del RGPD), con la lista de subencargados y dónde se procesan los datos.
• Prohibición expresa de entrenar modelos con los documentos del despacho, propios o de terceros.
• Seudonimización antes del modelo cuando el expediente incluya datos de categoría especial.
• Cita de la fuente en cada afirmación que genere la IA: página y documento concretos, no una respuesta sin rastro.
• Aprobación de un abogado antes de que cualquier texto generado llegue a un cliente, a un juzgado o a la Administración.
• Extensión contractual del secreto profesional al proveedor, conforme al artículo 22.4 del Estatuto General de la Abogacía.

Preguntas frecuentes

¿Es siempre un sistema de alto riesgo según el Reglamento de IA? No automáticamente. El Reglamento (UE) 2024/1689 clasifica como alto riesgo determinados sistemas destinados a ser usados por una autoridad judicial para investigar o interpretar hechos y aplicar el derecho a un caso. Una IA que un despacho usa internamente para preparar un escrito no es, por sí sola, ese supuesto — pero eso no exime de las obligaciones del RGPD ni del secreto profesional, que aplican con independencia del nivel de riesgo.

¿Puedo usar una cuenta gratuita de un asistente de IA generalista con estos datos? No es recomendable. Las condiciones de uso de la mayoría de cuentas gratuitas no garantizan que el contenido no se use para entrenar modelos, y no hay contrato de encargado del tratamiento firmado. Con datos de categoría especial, es exactamente lo que el artículo 32 del RGPD pide evitar.

¿Quién responde si la IA se equivoca en un dato del expediente? El abogado, frente al cliente y frente al colegio profesional — el secreto profesional y la responsabilidad deontológica no se delegan en el proveedor. Por eso la aprobación de un abogado antes de que cualquier documento salga del despacho no es opcional: es la última barrera de control.

Fuentes

1. Real Decreto 135/2021, de 2 de marzo, por el que se aprueba el Estatuto General de la Abogacía Española, artículo 22 (secreto profesional): https://www.boe.es/eli/es/rd/2021/03/02/135
2. Reglamento (UE) 2016/679 (RGPD), artículos 9 (categorías especiales de datos) y 32 (seguridad del tratamiento): https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32016R0679
3. Reglamento (UE) 2024/1689 (Reglamento europeo de IA), anexo III y artículo 14: https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32024R1689
4. Tecnea, ¿Puede la IA revisar la documentación de mi empresa?

Este artículo es informativo. Tecnea desarrolla exactamente este tipo de sistema para despachos de abogados y tiene, por tanto, un interés comercial en su contenido — los límites legales que describe aplican igual si el desarrollo lo hace Tecnea o cualquier otro proveedor.