RGPD y proveedores de IA: qué preguntar antes de usar una herramienta

Un abogado tiene que resumir un correo largo de un cliente. Lo copia, lo pega en un asistente de inteligencia artificial y en veinte segundos tiene un resumen correcto. Es rápido, es útil y, dependiendo de la herramienta, puede ser una revelación de información protegida a un tercero con el que el despacho no tiene ningún contrato.

El problema no es la IA. Es que la pregunta que se hace antes de usarla puede ser «¿funciona?», cuando en un despacho hay otra que va antes: ¿qué hace el proveedor con lo que le doy?

El proveedor es un encargado del tratamiento

Cuando una herramienta procesa datos personales de sus clientes por cuenta del despacho, el proveedor de esa herramienta actúa como encargado del tratamiento. No es una opinión: es la figura que define el Reglamento General de Protección de Datos para quien trata datos por cuenta de otro.

El artículo 28 del RGPD exige que esa relación se regule en un contrato, y fija su contenido mínimo. Entre otras cosas, el encargado tiene que:

• Tratar los datos solo siguiendo las instrucciones documentadas del despacho.
• Garantizar que las personas que los tratan están obligadas a guardar confidencialidad.
• Aplicar medidas de seguridad adecuadas.
• No recurrir a otro encargado (un subencargado) sin autorización del despacho.
• Ayudar al despacho a atender los derechos de los interesados.
• Suprimir o devolver los datos al terminar el servicio.

Sin ese contrato, el despacho está comunicando datos de sus clientes a un tercero sin base que lo ampare.

Las tres preguntas que deciden

El contrato tiene muchas cláusulas, pero para un despacho hay tres preguntas que deciden si una herramienta es utilizable o no. Búsquelas antes de nada.

1. ¿Dónde se tratan los datos?

Si los servidores del proveedor, o los de alguno de sus subencargados, están fuera del Espacio Económico Europeo, hay una transferencia internacional de datos. Los artículos 44 y siguientes del RGPD exigen que se apoye en un mecanismo reconocido: una decisión de adecuación de la Comisión Europea sobre ese país (para Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU., aplicable a las empresas adheridas), cláusulas contractuales tipo u otra de las garantías previstas.

Busque en el contrato o en la política del proveedor la lista de subencargados y dónde están. Si no la encuentra, pregúntela.

2. ¿Usa lo que usted introduce para entrenar sus modelos?

Es la pregunta específica de la IA, y la más importante. Algunos servicios pueden usar las conversaciones de sus usuarios para mejorar sus modelos, según el plan contratado y la configuración elegida. Si es así, un fragmento del expediente de su cliente pasa a formar parte del material con el que se entrena un sistema que usan otros.

Las condiciones pueden cambiar según el plan: lo que vale para la versión profesional de una herramienta puede no valer para su versión gratuita, y los proveedores pueden actualizar sus condiciones. Compruébelo en las condiciones del plan exacto que va a usar, no en una reseña de internet.

3. ¿Cuánto tiempo conserva los datos?

Aunque no entrene con ellos, el proveedor puede guardar las conversaciones durante un periodo, por ejemplo para detectar abusos. Ese plazo tiene que estar escrito, y tiene que ser compatible con lo que usted informa a sus clientes.

Por qué en un despacho pesa más

Estas preguntas se las debería hacer cualquier empresa. En un despacho de abogados, hay dos razones que las hacen más serias.

El secreto profesional. El artículo 21 del Estatuto General de la Abogacía Española (Real Decreto 135/2021) y el artículo 5 del Código Deontológico obligan a guardar secreto sobre los hechos y documentos conocidos por razón del ejercicio profesional. Pegar un documento de un cliente en una herramienta sin garantías no es solo un problema de protección de datos: es un problema deontológico.

El tipo de datos. Lo que entra en un despacho puede incluir datos que el RGPD protege de forma reforzada: salud, vida sexual, origen étnico o creencias, entre otros (artículo 9), y datos relativos a condenas e infracciones penales (artículo 10). Un expediente de familia, uno laboral por incapacidad o uno penal los contienen casi por definición.

Qué hacer esta semana

No hace falta dejar de usar la IA. Hace falta ordenarla.

Haga la lista de lo que ya se usa. Pregunte a cada persona del equipo qué herramientas de IA utiliza, incluidas las gratuitas y las extensiones del navegador. Puede aparecer alguna que nadie contrató formalmente.

Busque el contrato de cada una. Y en él, las tres respuestas. Si una herramienta no tiene contrato de encargado disponible, no es utilizable con datos de clientes.

Escriba una norma interna de una página. Tres columnas: lo que se puede usar en cualquier herramienta (textos genéricos, plantillas sin datos), lo que solo se usa en la herramienta contratada con garantías, y lo que no entra en ninguna. Désela a todo el equipo. El artículo 4 del Reglamento europeo de IA, en su redacción vigente desde el 27 de julio de 2026 (Reglamento (UE) 2026/1744), obliga a quien suministra o utiliza estos sistemas a adoptar medidas para apoyar la promoción de la alfabetización en IA de su personal, sin exigir un nivel concreto en cada persona. Esa hoja de reglas puede formar parte de esas medidas, aunque por sí sola no cumple ese artículo.

Actualice su registro y su información. El nuevo tratamiento va a su registro de actividades, y la información que da a sus clientes, según el artículo 13 del RGPD, debe reflejarlo. Si el uso es intensivo y con datos sensibles, valore si hace falta una evaluación de impacto (artículo 35).

La Agencia Española de Protección de Datos publicó en 2020 Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial, una introducción útil para ordenar estas preguntas con criterio oficial.

Y si la herramienta conversa con sus clientes

Si además de usarla internamente la pone a atender a sus clientes (un asistente en la web o en WhatsApp), se suma una obligación: el artículo 50 del Reglamento europeo de IA exige, desde el 2 de agosto de 2026, que las personas sepan que están hablando con una inteligencia artificial. Recae sobre el proveedor, pero la conversación es con su despacho. Pregunte por escrito cómo lo cumple, y lea antes qué puede y qué no puede hacer un bot en la primera consulta.

Lo que su web ya dice sobre protección de datos también cuenta: si su política de privacidad no menciona las herramientas que usa, hay que revisarla, como explicamos en aviso legal, cookies y RGPD.

La guía IA dentro del despacho recoge estas preguntas junto con el resto de puntos a revisar antes de automatizar. Puede descargarla en las guías de Lexia.