Aviso: este artículo es divulgativo y no constituye asesoramiento jurídico. Cada despacho debe valorar su caso con su responsable de protección de datos y contrastar el régimen aplicable en cada momento.
El secreto profesional no admite matices de comodidad. El artículo 542.3 de la LOPJ y el Estatuto General de la Abogacía obligan a guardar la confidencialidad de todo lo que el abogado conozca por su actuación profesional. Y cuando esa información pasa por una herramienta ajena, hay que saber exactamente por dónde va.
Las dos capas que se suelen confundir
Al valorar una herramienta se mezclan dos obligaciones distintas que conviene separar, porque no se cumplen igual:
- El secreto profesional es deontológico y va sobre la información del cliente, sea o no dato personal. Un asunto societario sin ningún dato de persona física también está cubierto.
- El RGPD es normativo y va sobre datos personales. Aquí el despacho es responsable del tratamiento y el proveedor, si trata datos por su cuenta, es encargado.
Una herramienta puede cumplir escrupulosamente el RGPD y aun así incomodarte desde el secreto profesional, por ejemplo si el proveedor puede leer los contenidos. Conviene mirar las dos capas por separado.
Las cinco preguntas que hay que hacer
1. ¿Dónde se procesa el dato?
Es la primera y la que más simplifica todo lo demás. Si el procesamiento ocurre en el propio ordenador, esa información no se comunica a nadie: no hay encargado que contratar ni transferencia que analizar para esa fase. Si viaja a un servidor, entran en juego las cuatro preguntas siguientes.
Por eso el reparto importa tanto. No es lo mismo «todo se procesa en la nube» que «esta parte se queda en tu equipo y solo esta otra sale».
2. ¿Hay contrato de encargo del tratamiento?
Si el proveedor trata datos personales por cuenta del despacho, el artículo 28 del RGPD exige un contrato de encargo que fije objeto, duración, finalidad, medidas de seguridad y el régimen de subencargados. No es papeleo opcional: sin él, el tratamiento no está correctamente cubierto. Antes de contratar, pide el documento y compruébalo.
3. ¿Sale la información de la Unión Europea?
Las transferencias internacionales tienen su propio régimen en el capítulo V del RGPD, y su base jurídica ha cambiado varias veces en la última década. Un proveedor que procesa íntegramente dentro de la UE te ahorra ese análisis y la incertidumbre de futuras revisiones. Cuidado con las respuestas ambiguas: «cumplimos el RGPD» no equivale a «tus datos no salen de la UE».
4. ¿Se entrena con tus datos?
Es la pregunta que más se olvida y la que peor sienta cuando la respuesta llega tarde. Muchos servicios de IA de uso general reservan por defecto el derecho a usar lo que introduces para mejorar sus modelos. Para un despacho eso es sencillamente inasumible, y hay que verificarlo en las condiciones concretas del plan que contratas, no en la nota de prensa.
5. ¿Cuánto se conserva?
Distinto de lo anterior. Un proveedor puede no entrenar con tus datos y aun así conservarlos un tiempo por razones de operación o de abuso. Lo que necesitas saber es el plazo concreto y si existe una modalidad de retención cero para los planes profesionales. Desconfía de quien prometa un borrado instantáneo sin explicar bajo qué condición contractual se produce.
Un principio que ahorra discusiones: el dato que no sale de tu ordenador no hay que protegerlo en tránsito, ni contratarlo, ni auditarlo. Reducir lo que se envía es más eficaz que blindar lo que se envía.
El caso concreto del dictado
El dictado por voz es un buen ejemplo de por qué el reparto importa. Cuando dictas sobre un asunto, la grabación contiene literalmente lo que le contarías a un compañero: nombres, cifras, estrategia. Es de lo más sensible que se maneja en un despacho.
La mayoría de aplicaciones de dictado envían ese audio a un servidor para transcribirlo. Funciona bien, pero significa que la grabación de tu voz hablando de un cliente sale de tu equipo. Si además el servidor está fuera de la UE, sumas el capítulo V.
La alternativa es que la transcripción ocurra en el propio ordenador. Entonces el audio no se comunica a nadie, y toda la primera capa del problema desaparece.
Cómo lo reparte ablalo. La voz se transcribe en tu propio ordenador: el audio no se sube a ningún servidor. Si usas el modo Asistente (el que reescribe, ajusta el tono o traduce) viaja únicamente el texto, y lo hace a una IA europea. Sin ese modo, no sale nada. No se entrena con tus datos. Los planes para despachos incluyen además retención cero y contrato de encargo. El detalle completo está en la política de privacidad.
Una lista para valorar cualquier herramienta
Sirve igual para un dictado, un gestor documental o un asistente de redacción:
- ¿Qué parte se procesa en local y qué parte se envía?
- ¿Dónde están físicamente los servidores que reciben lo que se envía?
- ¿Me facilitan el contrato de encargo del artículo 28 firmado?
- ¿Se usan mis datos para entrenar modelos? ¿Dónde lo pone por escrito?
- ¿Cuánto tiempo se conservan y puedo contratar retención cero?
- ¿Hay subencargados? ¿Quiénes y dónde están?
- ¿Puedo eliminar mi información y verificar que se ha eliminado?
Si un proveedor no responde con claridad a estas siete, la respuesta ya la tienes. Como ejemplo de lo que publica un fabricante grande, repasamos qué dice Microsoft de los documentos que le das en Copilot en Word.
En resumen
La IA no está reñida con el secreto profesional: lo que está reñido es usarla sin saber por dónde va la información. La diferencia entre una herramienta que puedes justificar ante un cliente y otra que no rara vez está en la calidad del resultado: está en el reparto entre lo que se queda en tu equipo y lo que sale de él, y en si el proveedor te lo pone por escrito.
Fuentes: BOE, Ley Orgánica 6/1985 del Poder Judicial, artículo 542 y Estatuto General de la Abogacía Española, artículos 21 y 22 (Real Decreto 135/2021); Reglamento (UE) 2016/679, general de protección de datos (artículo 28 y capítulo V). Consultadas el 12 de octubre de 2026.
Preguntas frecuentes
¿Puede un abogado usar herramientas de IA sin vulnerar el secreto profesional?
Usar IA no vulnera por sí mismo el secreto profesional, pero sí obliga a controlar por dónde pasa la información del cliente. Lo determinante es dónde se procesa el dato, si el proveedor actúa como encargado del tratamiento con contrato del artículo 28 del RGPD, si hay transferencias fuera de la UE y si los datos se usan para entrenar modelos.
¿Qué es un encargado del tratamiento en una herramienta de IA?
Es el proveedor que trata datos personales por cuenta del despacho, que sigue siendo el responsable. El artículo 28 del RGPD exige un contrato de encargo que fije la finalidad, la duración, las medidas de seguridad y el régimen de subencargados. Sin ese contrato firmado, el tratamiento no está correctamente cubierto.
¿Qué ventaja tiene que la transcripción se haga en local?
Si el audio se transcribe en el propio ordenador, esa grabación no se comunica a ningún tercero, de modo que para esa fase no hay encargado del tratamiento ni transferencia internacional que analizar. Es la forma más simple de reducir la superficie de riesgo, porque el dato que no sale no hay que protegerlo en tránsito.