DONRROS
En resumen
El abogado debe guardar secreto de todo lo que conoce por su actuación profesional y hacerlo respetar a quienes colaboran con él, y eso incluye a los proveedores de tecnología. El Código Deontológico pide además un uso responsable y diligente de la tecnología, extremando el cuidado con la confidencialidad.
En la práctica: nada de herramientas gratuitas o personales con datos de clientes. Sí a herramientas contratadas por el despacho, con contrato de encargo de tratamiento, sin uso de los datos para entrenar, con residencia en la UE cuando exista y con lo mínimo imprescindible. Y todo resultado de IA, leído y verificado por el abogado antes de usarlo.
Aviso
Esto no es asesoramiento jurídico ni deontológico. Resumimos normas públicas y explicamos cómo trabajamos nosotros. Qué herramienta es aceptable para tu despacho lo decide tu despacho, con su delegado de protección de datos si lo tiene, y ante cualquier duda deontológica, tu colegio.
Qué normas protegen qué
Cuando un despacho de abogados mete datos de un asunto en una herramienta de IA, se cruzan tres capas distintas. Conviene separarlas, porque cada una pide cosas diferentes.
El secreto profesional
El artículo 542.3 de la Ley Orgánica del Poder Judicial dice que los abogados «deberán guardar secreto de todos los hechos o noticias de que conozcan por razón de cualquiera de las modalidades de su actuación profesional». El artículo 22 del Estatuto General de la Abogacía Española concreta el alcance: comprende «todos los hechos, comunicaciones, datos, informaciones, documentos y propuestas» conocidos en el ejercicio profesional, no se limita en el tiempo y obliga al abogado a hacerlo respetar «a sus colaboradores y asociados, así como al personal correspondiente y demás personas que cooperen con él».
El Código Deontológico de la Abogacía Española lo repite en su artículo 5, con dos matices que importan aquí: el secreto ampara las comunicaciones «con independencia del medio o soporte utilizado», y «el consentimiento del cliente no excusa de la preservación del secreto profesional». Que el cliente diga «me da igual, úsalo» no resuelve el problema.
La deontología de la tecnología
El mismo Código dedica su artículo 21 a las tecnologías de la información. Su apartado 2 es la frase que más se acerca a una regla sobre IA: «Se debe hacer uso responsable y diligente de la tecnología de la información y la comunicación, debiendo extremar el cuidado en la preservación de la confidencialidad y del secreto profesional».
La protección de datos
Si en lo que se mete hay datos personales, que en un despacho es casi siempre, entra el RGPD. El despacho es el responsable del tratamiento, y quien procesa los datos por su cuenta es un encargado, con el que hace falta un contrato (artículo 28 del RGPD). La ley española añade algo específico para la abogacía: el artículo 28.2 de la LOPDGDD cuenta entre los mayores riesgos la «pérdida de confidencialidad de datos sujetos al secreto profesional».
Lo que dice el CGAE sobre la IA generativa, y lo que no
El Pleno del Consejo General de la Abogacía Española aprobó el 10 de abril de 2026 la Circular interpretativa 3/2026, sobre el uso de sistemas de IA generativa y el deber de verificación, en conexión con el artículo 21 del Código. Sus ideas principales:
- La IA no debe operar como sustituto del abogado, sino como una función auxiliar «sujeta además a supervisión humana».
- «El profesional de la abogacía es el único responsable del contenido de los escritos que firma», y un fallo de la herramienta no le exime.
- Entre sus buenas prácticas: «No utilizar nunca resultados de IA sin una lectura crítica completa», contrastar con fuentes jurídicas fiables y documentar internamente cuándo y para qué se ha usado la IA.
- Pide «extremar el cuidado al decidir qué datos se le introducen».
Dos precisiones honestas. La circular aclara que esas buenas prácticas «no constituyen por sí mismas obligaciones deontológicas tipificadas», aunque pueden pesar al valorar la diligencia del abogado. Y no trata la confidencialidad ni el secreto profesional: lo dice expresamente y lo remite a otra circular. A fecha de este artículo no hemos encontrado esa segunda circular publicada, así que para el secreto rigen el Estatuto y el Código.
Qué herramientas sí y cuáles no
Ninguna norma publica una lista de herramientas permitidas. Lo que sí se puede hacer es aplicar el marco anterior a los tipos de uso más habituales. Este es nuestro criterio, que no sustituye al de tu despacho:
Con garantías, puede encajar
- Herramientas contratadas por el despacho, a su nombre, con condiciones de empresa
- Con contrato de encargo de tratamiento firmado y subencargados conocidos
- Que no usen tus datos para entrenar sus modelos
- Con residencia de datos en la UE cuando el proveedor la ofrece
- Con lo mínimo imprescindible: el texto de la notificación, no el expediente entero
- Usos sin datos de clientes: plantillas, formación, textos genéricos
Mejor no
- Cuentas gratuitas o personales de chatbots con datos de un asunto
- Extensiones del navegador o aplicaciones que leen el correo sin contrato
- Herramientas cuyo proveedor puede usar lo que escribes para entrenar
- Subir expedientes completos «por si acaso»
- Datos de salud o de menores sin una decisión expresa del despacho
- Usar un resultado de IA en un escrito sin verificarlo
La Agencia Española de Protección de Datos va en la misma línea: en su decálogo de enero de 2026 recomienda, en el ámbito laboral, seguir las políticas de seguridad de cada organización y no incluir información que revele datos confidenciales de la entidad, de su personal o de sus clientes.
Seis preguntas que hacerle a cualquier herramienta
- ¿Quién es el titular de la cuenta? Debería ser el despacho, no una persona del equipo con su correo personal.
- ¿Hay contrato de encargo de tratamiento? Y si lo hay, ¿qué subencargados tiene y dónde están?
- ¿Usa lo que envío para entrenar o mejorar sus modelos? En condiciones de empresa suele poder desactivarse o venir desactivado; compruébalo por escrito.
- ¿Dónde se procesan y guardan los datos, y cuánto tiempo? Residencia en la UE si existe; plazo de conservación conocido.
- ¿Quién puede ver lo que envío? Accesos del proveedor para soporte, registros, revisiones de seguridad.
- ¿Puedo apagarlo y llevarme mis datos? Un procedimiento de baja que funcione sin depender de nadie.
Si alguna respuesta es «no lo sé», esa herramienta todavía no debería ver datos de clientes. Las condiciones de los proveedores cambian: conviene repasarlas al menos una vez al año.
El contrato de encargo de tratamiento
Si un proveedor trata datos personales por cuenta del despacho, el RGPD exige elegir uno que ofrezca «garantías suficientes» y firmar un contrato que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. Como mínimo, ese contrato debe recoger:
- Que el proveedor solo trata los datos siguiendo instrucciones documentadas del despacho.
- La confidencialidad de las personas autorizadas.
- Las medidas de seguridad del artículo 32.
- Que no recurre a otro encargado sin autorización previa por escrito.
- Qué pasa con los datos al terminar: devolución o supresión.
La AEPD explica el contenido en su respuesta sobre el contrato de encargo. Hacen falta dos: uno con el proveedor de IA, que suele venir en sus condiciones de empresa, y otro con quien monta la automatización si accede a tus datos.
Cómo lo aplicamos en DONRROS
Nuestras automatizaciones para despachos de abogados están pensadas con ese riesgo delante. No es un sello de cumplimiento, es lo que hacemos y puedes comprobar en la propuesta:
- AntesSe firma el contrato de encargo de tratamiento antes de ver un solo dato. En el diagnóstico no vemos datos de clientes.
- DóndeTodo funciona en las cuentas del despacho, en Microsoft 365 o Google Workspace. No alojamos datos de tus clientes.
- IAEl proveedor de IA lo contrata el despacho a su nombre, con residencia en la UE cuando existe y tope de gasto. Solo le llega lo necesario, y los PDF se leen en local cuando se puede.
- AbogadoNada sale sin que lo revise y lo firme el abogado. Lo generado por IA va señalado, y cada dato lleva su fuente.
Los expedientes con datos de salud o de menores quedan fuera salvo decisión expresa del despacho. El detalle completo, con la tabla de qué dato va a qué proveedor, está en Seguridad y datos, cómo encaja cada trámite, en IA para abogados, y qué entra y qué sale en cada uno, con datos simulados, en los 12 casos.
Preguntas frecuentes sobre IA y secreto profesional
¿Puede un abogado usar ChatGPT con datos de un cliente?
Con una cuenta gratuita o personal, no es recomendable: el despacho no controla el contrato, el tratamiento ni el uso de los datos. Con una herramienta contratada por el despacho, con contrato de encargo de tratamiento, sin uso de los datos para entrenar y con lo mínimo imprescindible, puede encajar. La decisión es del despacho.
¿El consentimiento del cliente permite usar cualquier herramienta?
No. El artículo 5.10 del Código Deontológico de la Abogacía dice que el consentimiento del cliente no excusa de la preservación del secreto profesional, y el RGPD sigue exigiendo un encargado con garantías y su contrato.
¿Qué dice el Consejo General de la Abogacía sobre la IA?
Su Circular interpretativa 3/2026 trata el deber de verificación: la IA es una ayuda sujeta a supervisión humana, el abogado responde de lo que firma y no debe usar resultados de IA sin una lectura crítica completa. La confidencialidad la remite a otra circular.
¿Hace falta un contrato con el proveedor de IA?
Si trata datos personales por cuenta del despacho, sí: es un encargado del tratamiento y el artículo 28 del RGPD exige un contrato con un contenido mínimo. Los proveedores suelen incluirlo en sus condiciones para empresas; conviene que lo revise el despacho.
¿Tengo que decirle al cliente que uso IA?
Ni la circular del CGAE ni el Reglamento europeo de IA imponen, con carácter general, avisar al cliente de que usas IA para preparar borradores internos que revisas tú. Sí hay obligaciones de transparencia en otros casos, como un asistente que conversa con el público. Si tienes dudas sobre tu caso concreto, consúltalo con tu colegio.
Fuentes oficiales citadas
- Ley Orgánica 6/1985, del Poder Judicial, artículo 542. BOE, texto consolidado.
- Real Decreto 135/2021, Estatuto General de la Abogacía Española, artículos 21 y 22. BOE, texto consolidado.
- Consejo General de la Abogacía Española, Código Deontológico de la Abogacía Española (2019), artículos 5 y 21.
- Consejo General de la Abogacía Española, Circular interpretativa 3/2026, uso de sistemas de IA generativa y deber de verificación, y su portal de circulares.
- Reglamento (UE) 2016/679, RGPD, artículos 28 y 32.
- Ley Orgánica 3/2018, de Protección de Datos Personales, artículo 28. BOE, texto consolidado.
- AEPD, contenido del contrato de encargo de tratamiento y decálogo de recomendaciones para usar la IA (2026).
Consultadas el 19-10-2026. Este artículo explica cómo trabajamos; no es asesoramiento jurídico ni deontológico.