Aviso: este artículo es divulgativo y no constituye asesoramiento jurídico. Cada despacho debe valorar su caso con su responsable de protección de datos y contrastar el régimen aplicable en cada momento.
El secreto profesional no admite matices de comodidad. El artículo 542.3 de la LOPJ y el Estatuto General de la Abogacía obligan a guardar la confidencialidad de todo lo que el abogado conozca por su actuación profesional. Y cuando esa información pasa por una herramienta ajena, hay que saber exactamente por dónde va.
Las dos capas que se suelen confundir
Al valorar una herramienta se mezclan dos obligaciones distintas que conviene separar, porque no se cumplen igual:
- El secreto profesional es deontológico y va sobre la información del cliente, sea o no dato personal. Un asunto societario sin ningún dato de persona física también está cubierto.
- El RGPD es normativo y va sobre datos personales. Aquí el despacho es responsable del tratamiento y el proveedor, si trata datos por su cuenta, es encargado.
Una herramienta puede cumplir escrupulosamente el RGPD y aun así incomodarte desde el secreto profesional, por ejemplo si el proveedor puede leer los contenidos. Conviene mirar las dos capas por separado.
Las cinco preguntas que hay que hacer
1. ¿Dónde se procesa el dato?
Es la primera y la que más simplifica todo lo demás. Si el procesamiento ocurre en el propio ordenador, esa información no se comunica a nadie: no hay encargado que contratar ni transferencia que analizar para esa fase. Si viaja a un servidor, entran en juego las cuatro preguntas siguientes.
Por eso el reparto importa tanto. No es lo mismo «todo se procesa en la nube» que «esta parte se queda en tu equipo y solo esta otra sale».
2. ¿Hay contrato de encargo del tratamiento?
Si el proveedor trata datos personales por cuenta del despacho, el artículo 28 del RGPD exige un contrato de encargo que fije objeto, duración, finalidad, medidas de seguridad y el régimen de subencargados. No es papeleo opcional: sin él, el tratamiento no está correctamente cubierto. Antes de contratar, pide el documento y compruébalo.
3. ¿Sale la información de la Unión Europea?
Las transferencias internacionales tienen su propio régimen en el capítulo V del RGPD, y su base jurídica ha cambiado varias veces en la última década. Un proveedor que procesa íntegramente dentro de la UE te ahorra ese análisis y la incertidumbre de futuras revisiones. Cuidado con las respuestas ambiguas: «cumplimos el RGPD» no equivale a «tus datos no salen de la UE».
4. ¿Se entrena con tus datos?
Es la pregunta que más se olvida y la que peor sienta cuando la respuesta llega tarde. Muchos servicios de IA de uso general reservan por defecto el derecho a usar lo que introduces para mejorar sus modelos. Para un despacho eso es sencillamente inasumible, y hay que verificarlo en las condiciones concretas del plan que contratas, no en la nota de prensa.
5. ¿Cuánto se conserva?
Distinto de lo anterior. Un proveedor puede no entrenar con tus datos y aun así conservarlos un tiempo por razones de operación o de abuso. Lo que necesitas saber es el plazo concreto y si existe una modalidad de retención cero para los planes profesionales. Desconfía de quien prometa un borrado instantáneo sin explicar bajo qué condición contractual se produce.
Un principio que ahorra discusiones: el dato que no sale de tu ordenador no hay que protegerlo en tránsito, ni contratarlo, ni auditarlo. Reducir lo que se envía es más eficaz que blindar lo que se envía.
El caso concreto del dictado
El dictado por voz es un buen ejemplo de por qué el reparto importa. Cuando dictas sobre un asunto, la grabación contiene literalmente lo que le contarías a un compañero: nombres, cifras, estrategia. Es de lo más sensible que se maneja en un despacho.
La mayoría de aplicaciones de dictado envían ese audio a un servidor para transcribirlo. Funciona bien, pero significa que la grabación de tu voz hablando de un cliente sale de tu equipo. Si además el servidor está fuera de la UE, sumas el capítulo V.
La alternativa es que la transcripción ocurra en el propio ordenador. Entonces el audio no se comunica a nadie, y toda la primera capa del problema desaparece.
Cómo lo reparte ablalo. La voz se transcribe en tu propio ordenador: el audio no se sube a ningún servidor. Si usas el modo Asistente —el que reescribe, ajusta el tono o traduce— viaja únicamente el texto, y lo hace a una IA europea alojada en servidores de la UE. Sin ese modo, no sale nada. No se entrena con tus datos. Los planes para despachos incluyen además retención cero y contrato de encargo. El detalle completo está en la política de privacidad de la aplicación.
Una lista para valorar cualquier herramienta
Sirve igual para un dictado, un gestor documental o un asistente de redacción:
- ¿Qué parte se procesa en local y qué parte se envía?
- ¿Dónde están físicamente los servidores que reciben lo que se envía?
- ¿Me facilitan el contrato de encargo del artículo 28 firmado?
- ¿Se usan mis datos para entrenar modelos? ¿Dónde lo pone por escrito?
- ¿Cuánto tiempo se conservan y puedo contratar retención cero?
- ¿Hay subencargados? ¿Quiénes y dónde están?
- ¿Puedo eliminar mi información y verificar que se ha eliminado?
Si un proveedor no responde con claridad a estas siete, la respuesta ya la tienes.
En resumen
La IA no está reñida con el secreto profesional: lo que está reñido es usarla sin saber por dónde va la información. La diferencia entre una herramienta que puedes justificar ante un cliente y otra que no rara vez está en la calidad del resultado —está en el reparto entre lo que se queda en tu equipo y lo que sale de él, y en si el proveedor te lo pone por escrito.