IA para despachos de abogados: ¿es segura con sus datos?

Puede serlo, si controla tres cosas: qué puede leer la IA, qué se le permite hacer y dónde acaban sus datos. Entonces, ¿es segura la IA para despachos de abogados y asesorías? Sí, cuando una persona aprueba todo lo que se envía y los datos de clientes no entran en herramientas públicas. En mi experiencia, la mayor parte del riesgo viene de cómo se conecta, mucho menos de la IA en sí.

He escrito esto para socios y responsables de despachos de abogados, asesorías, gestorías y otras firmas que guardan expedientes confidenciales. Cerca del final hay una lista de preguntas para cualquier proveedor. Es información general, no asesoramiento jurídico. Para sus obligaciones concretas, consulte con su abogado, su delegado de protección de datos o su colegio profesional.

¿Adónde van los datos de sus clientes cuando usa IA?

Cuando alguien de su despacho pega la carta de un cliente en una herramienta de IA, ese texto sale de la oficina. Llega a la empresa que gestiona el modelo, se procesa en sus servidores y puede quedarse almacenado allí.

Tres cosas deciden si eso es un problema:

1. Quién es el proveedor, y qué le permite el contrato hacer con sus datos.
2. Dónde están los servidores. Dentro de la Unión Europea o fuera.
3. Si lo que escribe sirve para entrenar sus modelos. Algunos productos aprenden de lo que teclean los usuarios. Otros no, o le permiten desactivarlo.

La Agencia Española de Protección de Datos (AEPD) lo deja claro en su guía Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial: si un sistema de IA trata datos personales en cualquier fase, tiene que cumplir el RGPD.

Para abogados hay una capa más. El secreto profesional obliga a proteger lo que el cliente le cuenta, y pegar información confidencial en un chatbot público como ChatGPT, con sus condiciones gratuitas, es difícil de justificar. Si usa una herramienta comercial con información de clientes, revise el contrato con calma antes de firmar, incluido cómo se guardan las instrucciones y los datos.

¿Qué dice el RGPD sobre la IA y los datos de clientes en España?

En España se aplican dos normas: el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD), que lo completa. A diferencia de otros países, no hay un umbral de facturación: se aplican a cualquier despacho que trate datos personales, sea del tamaño que sea. La AEPD es la autoridad que vigila su cumplimiento.

Cuatro puntos hacen la mayor parte del trabajo:

• Finalidad. Los datos que recogió para llevar un asunto o una contabilidad no se pueden usar para otra cosa incompatible sin una base legal. Meterlos en una herramienta para un fin distinto exige pensarlo antes.
• El contrato de encargado del tratamiento. Si un proveedor de IA trata datos personales por cuenta de su despacho, actúa como encargado del tratamiento. El artículo 28 del RGPD exige un contrato que fije qué puede hacer con esos datos, con qué seguridad y qué pasa cuando termina la relación.
• Transferencias fuera de la UE. Muchos servicios de IA funcionan fuera del Espacio Económico Europeo. Enviar datos allí solo es posible con garantías, como una decisión de adecuación de la Comisión Europea o cláusulas contractuales tipo. Por eso importa dónde se procesan y se guardan.
• Seguridad. El RGPD le obliga a aplicar medidas adecuadas para proteger los datos frente a accesos indebidos, pérdidas o filtraciones. Conectar un sistema nuevo a sus expedientes es una decisión de seguridad.

Si su despacho trata datos de salud, por ejemplo en asuntos de lesiones o incapacidades, son una categoría especial con protección reforzada.

Un punto más. El RGPD da a las personas el derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que les afecten de forma significativa. Un agente que redacta un correo para que lo revise una persona queda muy lejos de eso. Si la IA puntúa, filtra o rechaza a alguien en su despacho, pregunte a su asesor si le afecta.

Leer frente a actuar: ¿cuál es la diferencia?

Cuando conecta la IA a sus sistemas, puede hacer dos tipos de cosas.

Puede leer. Consultar un asunto, resumir un expediente, decirle qué consultas no ha seguido nadie.

Puede actuar. Enviar el correo, actualizar la ficha, reservar la reunión, mover el dinero.

Una mala lectura le cuesta una segunda revisión. Una mala acción puede enviar los datos de un cliente a la persona equivocada, y eso no se puede deshacer. Así que mantenga el acceso de lectura limitado a las carpetas y campos que el trabajo necesita, y trate cada acción como algo que aprueba una persona.

¿Quién aprueba lo que se envía?

Una persona con nombre y apellidos, siempre, hasta que usted decida otra cosa por escrito.

Así es como trabajamos. Nuestros agentes redactan y esperan. Nada sale hasta que una persona lo ha leído y ha dado el visto bueno. Explico cómo funciona esto dentro de un CRM en cuánto cuesta un CRM con IA.

Si un proveedor le dice que su agente envía por su cuenta para ahorrarle tiempo, hágale dos preguntas. ¿Qué pasa cuando se equivoca? ¿Y quién se entera?

¿Qué no debería tocar nunca la IA?

Mi lista para cualquier despacho:

• El dinero de los clientes y las cuentas de provisión de fondos. Nuestros agentes nunca mueven dinero, y nunca guardamos accesos bancarios.
• La banca online y los números de tarjeta. Bajo ninguna circunstancia.
• Expedientes que no necesita. Un agente que sigue consultas nuevas no tiene motivo para abrir pleitos ni declaraciones de la renta.
• Herramientas de IA públicas. La información de clientes se queda fuera de ellas, como decía arriba.
• Sistemas fuera de lo acordado. Si no está en la lista, no tiene acceso.

Por debajo de todo hay una regla, que el RGPD llama minimización de datos: darle lo mínimo que necesita para hacer el trabajo.

¿Puede ver lo que ha hecho y puede apagarlo?

Las dos respuestas deberían ser sí, hoy, antes de conectar nada.

Cada acción debería quedar registrada: qué hizo, cuándo y en qué sistema. Debería poder pedir ese registro en cualquier momento.

También debería tener una lista escrita de cada sistema al que accede la IA, y poder cortar cualquiera de ellos. Con nosotros, cada sistema figura en un registro de accesos firmado que puede revocar al instante. Cada acción queda registrada. Envíe "PAUSA" y todo se detiene en menos de una hora. Puede leer la lista completa en nuestra página de servicios.

¿Es segura la IA para despachos de abogados? Preguntas para el proveedor

Lleve esta lista a cualquier demostración. Pida las respuestas por escrito.

1. ¿Qué proveedor de IA trata nuestros datos, y figura en el contrato?
2. ¿Firmará un contrato de encargado del tratamiento conforme al artículo 28 del RGPD?
3. ¿En qué país se tratan y se guardan nuestros datos? ¿Dentro de la UE? Si no, ¿con qué garantías?
4. ¿Se usa algo de lo que enviamos para entrenar modelos? ¿Podemos desactivarlo, por escrito?
5. ¿Quién en su empresa, o en la del proveedor de IA, puede ver lo que introducimos y lo que sale?
6. ¿Qué puede leer el sistema y qué puede hacer? Enumere las dos cosas.
7. ¿Sale algo sin que lo apruebe una persona?
8. ¿Queda registrada cada acción, y podemos ver el registro cuando queramos?
9. ¿Cómo revocamos el acceso o lo apagamos, y en cuánto tiempo se detiene?
10. ¿Qué pasa con nuestros datos cuando dejemos de trabajar con ustedes?

Un buen proveedor responde a esto sin problema. Una respuesta vaga a la pregunta 2, la 4 o la 7 es motivo suficiente para marcharse.

Qué hacer esta semana

1. Pregunte a su equipo qué IA usa ya. Las herramientas gratuitas en el móvil cuentan.
2. Escriba una norma de una línea. Nada de información de clientes en herramientas de IA públicas.
3. Revise su política de privacidad y sus contratos. Si usa proveedores de IA, deberían figurar como encargados con su contrato firmado, y su información a clientes debería ser clara sobre cómo trata sus datos. Si nada de eso menciona la IA, ese es su primer trabajo.

¿Está valorando la IA para su despacho y quiere una respuesta clara sobre a qué tendría acceso? Reserve una llamada de 20 minutos. También puede leer cómo tratamos sus datos en nuestra política de privacidad.