DONRROS
En resumen
Las automatizaciones se montan en las cuentas de tu despacho (Microsoft 365 o Google Workspace); no alojamos datos de tus clientes. Antes de ver un solo dato firmamos el contrato de encargo de tratamiento del artículo 28 del RGPD. La IA la contrata tu despacho, con residencia de datos en la UE cuando el proveedor la ofrece y con tope de gasto, y en la propuesta tienes por escrito qué dato va a qué proveedor.
A la IA solo le llega lo necesario, los datos de salud quedan fuera y nada sale del despacho sin la firma de una persona. Te explicamos qué hacemos; la validación jurídica corresponde a tu despacho y a su delegado de protección de datos.
Aviso
Esto no es asesoramiento jurídico. Esta página describe cómo trabajamos y resume normas públicas para que entiendas el contexto. No garantizamos el cumplimiento del RGPD ni del Reglamento de IA de tu despacho: eso lo valoran tu abogado o tu delegado de protección de datos (DPD), con los documentos de cada proyecto delante.
Siete compromisos que puedes comprobar
Antes del detalle, la versión corta. Cada uno de estos compromisos aparece por escrito en un documento que firmas o que recibes, para que no tengas que fiarte de una página web:
- Tus datos se quedan en tus cuentas. Lo verás en la propuesta: qué buzón, qué carpeta y qué herramienta, todas tuyas.
- Encargo de tratamiento antes de ver un dato. Firmado antes del arranque del proyecto.
- La IA la contratas tú. La cuenta del proveedor está a nombre del despacho, con residencia en la UE si existe y tope de gasto.
- Cada dato, con su destino por escrito. Una tabla en la propuesta dice qué dato va a qué proveedor y en qué región.
- Lo justo, y nada especialmente sensible. A la IA solo le llegan los campos necesarios; los datos de salud quedan fuera del flujo.
- Nada sale sin una persona. Ningún envío, asiento o presentación se hace sin la aprobación de alguien del despacho.
- Accesos que se revocan. Usuario a nombre de una persona, con verificación en dos pasos, permisos mínimos y retirada comprobada al terminar.
Todo en las cuentas de tu despacho
La mayoría de los despachos ya tienen sus datos en un sitio: Microsoft 365 o Google Workspace para el correo y los documentos, un programa contable o de gestión, una agenda. La automatización se construye ahí dentro, no en una plataforma nuestra a la que haya que subir nada.
- Los documentos se leen desde tu buzón o tu carpeta, y el resultado se guarda en tu bandeja, tu agenda o tu programa.
- Si hace falta una herramienta de automatización (Power Automate en Microsoft 365, o una herramienta como n8n con servidores en la UE si trabajáis con Google), funciona dentro de tu cuenta o se contrata a nombre del despacho.
- No tenemos servidores con datos de tus clientes. En la portada lo resumimos con una cifra: cero datos de clientes alojados en nuestros servidores.
Esto tiene una consecuencia práctica importante: si mañana dejamos de trabajar juntos, no hay que «recuperar» nada. Los datos nunca salieron de tus sistemas.
Construimos y probamos primero con documentos inventados que imitan los tuyos. Los documentos reales solo se usan dentro de tus cuentas, en la fase de pruebas, y sin que salga nada. El método completo está en Cómo trabajamos.
Contrato de encargo de tratamiento, antes de ver un dato
Cuando configuramos y probamos una automatización en tus cuentas, accedemos a datos personales por cuenta de tu despacho. En el lenguaje del RGPD, tu despacho es el responsable del tratamiento y nosotros somos encargados. El artículo 28 del RGPD exige que esa relación conste en un contrato por escrito, que puede ser electrónico.
Por eso el orden es siempre el mismo: primero se firma el contrato de encargo, junto con las condiciones del servicio; después se dan los accesos. En el diagnóstico no vemos datos de clientes: trabajamos sobre el proceso y, si hace falta un ejemplo, sobre un documento anonimizado o mostrado en pantalla sin copiarlo.
Qué recoge el contrato
El artículo 28 fija un contenido mínimo, y la Agencia Española de Protección de Datos lo explica en su respuesta sobre el contenido del contrato de encargo. En nuestro caso, ese contrato concreta:
- El objeto: qué tratamiento hacemos, para qué trámite, con qué categorías de datos y de interesados, y durante cuánto tiempo.
- Que solo actuamos siguiendo tus instrucciones documentadas.
- Confidencialidad de quien accede a los datos.
- Las medidas de seguridad que aplicamos de verdad, no una lista genérica: acceso nominativo, verificación en dos pasos, permisos mínimos y retirada de accesos al terminar.
- Subencargados: no recurrimos a otro encargado sin tu autorización previa por escrito, específica o general, como exige el artículo 28.2.
- Asistencia para que puedas atender los derechos de los interesados y tus propias obligaciones.
- Qué pasa con los datos al terminar: devolución o supresión. Como todo está en tus cuentas, en la práctica es retirar nuestros accesos y comprobarlo juntos.
- Auditorías: la información que necesites para comprobar que cumplimos lo firmado.
Si tu despacho ya tiene su propio modelo de contrato de encargo, podemos trabajar sobre el tuyo. Lo que no hacemos es empezar sin ninguno.
El proveedor de IA lo contrata tu despacho
Cuando una automatización usa un modelo de IA (para leer una notificación, clasificar un correo o resumir un audio), alguien tiene que contratar ese modelo. En nuestros proyectos lo contrata el despacho, a su nombre: OpenAI con residencia de datos en la UE, Anthropic u otro proveedor que se acuerde en la propuesta. Para leer escaneos y fotos, el servicio de lectura de documentos de tu cuenta, en la UE.
Por qué a tu nombre y no al nuestro
- No hay intermediario. Los datos van de tus cuentas al proveedor que has elegido, sin pasar por nosotros.
- Las condiciones son tuyas. El proveedor trata los datos por cuenta de tu despacho, con su propio contrato de tratamiento y sus condiciones para empresas. Conviene que ese contrato lo revise tu DPD o tu abogado; te ayudamos a localizarlo y a configurar la cuenta, pero la decisión de aceptarlo es del despacho.
- Residencia en la UE cuando existe. Si el proveedor ofrece guardar y procesar los datos en la UE, se activa. Si no la ofrece para un servicio concreto, te lo decimos por escrito antes de usarlo.
- Tope de gasto. La cuenta lleva un límite mensual configurado. El consumo lo pagas tú directamente, y lo estimamos en la propuesta.
- Las claves son tuyas. Si un día cambias de proveedor o de persona que mantiene la automatización, no dependes de nosotros.
Una aclaración importante: un proveedor de IA puede cambiar sus condiciones, sus regiones o sus servicios. Lo que firmamos contigo es cómo configuramos la cuenta el día de la entrega y qué datos enviamos a ella; lo que el proveedor hace dentro de su servicio lo rige el contrato que tu despacho tiene con él.
Qué dato va a qué proveedor, en la propuesta
Cada propuesta incluye un anexo de datos con una tabla como esta. Así sabes exactamente qué sale de tus documentos, adónde va y qué no se envía. Este ejemplo es de una automatización de facturas de proveedor, con datos simulados:
| Paso | Qué dato | Dónde se procesa | Qué no se envía |
|---|---|---|---|
| Lectura del PDF | Texto de la factura | En local, dentro de tu cuenta | El PDF no sale de tus sistemas |
| Escaneos y fotos | Imagen de la factura | Servicio de lectura de tu cuenta, región UE | Ningún otro documento del cliente |
| Extracción con IA | Emisor, NIF, fecha, base, tipo, cuota y total | Proveedor de IA contratado por el despacho, residencia UE | Datos bancarios y documentos completos ajenos a la factura |
| Validación | Importes y NIF | Reglas fijas, sin IA, en tu cuenta | — |
| Revisión | Propuesta de asiento con el PDF al lado | Bandeja en tu Microsoft 365 o Google | — |
| Alta contable | Asiento aprobado, como borrador | Tu programa contable | Nada se contabiliza sin aprobación |
La tabla real se hace para tu despacho, con tus herramientas y los proveedores que elijas. Si durante el proyecto hiciera falta un proveedor nuevo, no se usa sin tu autorización previa por escrito.
Lo justo, y nada especialmente sensible
El RGPD pide que los datos sean «adecuados, pertinentes y limitados a lo necesario» (artículo 5.1.c, el principio de minimización). En una automatización eso se traduce en decisiones muy concretas:
- Lectura en local cuando se puede. Un PDF con texto, como las notificaciones que se descargan de LexNET o de la sede de la AEAT, se puede leer dentro de tus sistemas sin enviarlo a ningún proveedor externo.
- A la IA, solo los campos necesarios. Si basta con el texto de una notificación, no se envía el expediente entero.
- Conciliación bancaria: solo el concepto. Para sugerir con qué apunte casa un movimiento ambiguo, a la IA le llega el texto del concepto y la referencia; nunca el extracto completo, el IBAN ni los saldos.
- Correo: un buzón concreto. No todo el correo del despacho, y con una lista de remitentes excluidos si la necesitas.
- Audios: transcripción en un equipo del despacho cuando es posible, para que el audio no salga; si no, en tu cuenta con datos en la UE.
Datos de salud y otras categorías especiales: fuera
El artículo 9 del RGPD da un régimen reforzado a las categorías especiales de datos, entre ellas los datos de salud. Nuestra regla es sencilla: los expedientes que los contienen quedan fuera del flujo. Un correo con datos de salud se marca para revisión manual sin pasar por la IA; un expediente de lesiones o de familia con menores no entra en el resumen automático, salvo que se acuerde expresamente lo contrario y tu DPD lo valide.
Esto tiene un coste: algunas automatizaciones cubren menos casos de los que podrían. Preferimos ese coste a tratar datos que no hace falta tratar.
Secreto profesional
Para un despacho de abogados, la protección de datos no es la única capa. El artículo 542.3 de la Ley Orgánica del Poder Judicial obliga a los abogados a guardar secreto de todos los hechos o noticias que conozcan por su actuación profesional. El artículo 22 del Estatuto General de la Abogacía Española añade que el abogado debe hacer respetar ese secreto a sus colaboradores y a las demás personas que cooperen con él.
La ley de protección de datos española también lo tiene en cuenta: el artículo 28.2.a de la LOPDGDD pide a responsables y encargados valorar especialmente el riesgo de pérdida de confidencialidad de datos sujetos al secreto profesional.
En la práctica, todo lo de esta página está pensado con ese riesgo delante: los datos no salen de tus cuentas, quien accede lo hace con un usuario a su nombre y un compromiso de confidencialidad por escrito, a la IA le llega lo mínimo y ninguna comunicación con un cliente sale sin que la firme un abogado. Cómo encaja cada trámite de un despacho de abogados lo explicamos en IA para abogados.
Si quieres leer la posición de la profesión sobre la IA generativa, el Pleno del Consejo General de la Abogacía Española aprobó el 10 de abril de 2026 la Circular interpretativa 3/2026 sobre el uso de sistemas de IA generativa y el deber de verificación. Entre sus recomendaciones: no utilizar nunca resultados de IA sin una lectura crítica completa. Es exactamente el principio de nuestras automatizaciones.
Accesos y medidas de seguridad
El artículo 32 del RGPD pide medidas técnicas y organizativas apropiadas al riesgo. Las nuestras son pocas y concretas, porque una medida que no se aplica de verdad no protege a nadie:
- Usuario nominativo para quien construye la automatización. Nunca una cuenta compartida ni la del socio.
- Verificación en dos pasos activada en ese usuario.
- Permisos mínimos: solo el buzón, la carpeta y las aplicaciones de ese trámite, según la lista de la propuesta.
- Aplicaciones de conexión registradas en tu cuenta de empresa, no en la nuestra, para que puedas ver y retirar sus permisos tú mismo.
- Ninguna credencial de tus sistemas fuera de ellos: ni en nuestros equipos ni en nuestros servidores.
- No usamos certificados digitales de tus clientes ni entramos en LexNET, la DEHú, sedes electrónicas o banca online en su nombre.
- Retirada de accesos al terminar, con fecha apuntada desde el primer día y comprobada juntos en la entrega. Si después hace falta corregir algo durante la garantía, el acceso se da de forma temporal y se vuelve a retirar.
Aprobación humana, registro y botón de apagado
La seguridad de una automatización con IA no está solo en dónde viven los datos. También está en qué puede hacer sola. En las nuestras, muy poco:
- La IA
- Reglas fijas, sin IA
- Una persona
- ProponeLa IA prepara una ficha, un borrador o una propuesta. Cada dato lleva su fuente; si falta, pone «sin verificar» en vez de inventarlo.
- RegistraCada ejecución queda registrada en tu cuenta: qué entró, qué se propuso y cuándo. Si algo sale raro, se puede reconstruir.
- ApruebaUna persona del despacho revisa y aprueba. Sin esa aprobación no se envía, no se agenda como confirmado y no se contabiliza.
La única excepción son los recordatorios masivos, por ejemplo los de la campaña de renta: ahí se aprueban la lista de destinatarios y el texto antes de cada tanda, y no mensaje a mensaje.
Además, cada entrega incluye una salida manual (si un paso falla, el documento se queda en tu bandeja como hoy y no llega a tu cliente) y un procedimiento de apagado probado delante de ti. Apagar una automatización no debería requerir llamarnos.
Qué dice el Reglamento de IA que afecta a un despacho
El Reglamento (UE) 2024/1689 de inteligencia artificial se aplica por fases. En julio de 2026 se modificó con el Reglamento (UE) 2026/1744, conocido como «ómnibus digital sobre IA», en vigor desde el 27 de julio de 2026. Lo que sigue resume la redacción vigente a la fecha de esta página en lo que más toca a un despacho.
Tu despacho es «responsable del despliegue»
El Reglamento llama responsable del despliegue a quien utiliza un sistema de IA bajo su propia autoridad, salvo en actividades personales no profesionales (artículo 3.4). Un despacho que usa IA en su trabajo encaja en esa definición, aunque el sistema lo haya configurado otra persona.
Alfabetización en IA (artículo 4)
Se aplica desde el 2 de febrero de 2025. Tras el ómnibus, el artículo 4 dice que proveedores y responsables del despliegue adoptarán medidas para apoyar la alfabetización en IA de su personal, y aclara que no se exige garantizar un nivel concreto. La redacción anterior, que hablaba de garantizar un nivel suficiente, ya no es la vigente.
En la práctica: que las personas que usan la IA en tu despacho sepan qué hace bien, qué no, y cómo cuidar los datos. Nuestro taller de uso responsable (890 € + IVA, 3 horas en remoto, hasta 12 personas) es una forma de apoyar esa formación, y cada entrega incluye una sesión con quien va a usar la automatización. Qué medidas necesita tu despacho lo decide tu despacho.
Transparencia (artículo 50)
Se aplica desde el 2 de agosto de 2026. El artículo 50.1 obliga a los proveedores a diseñar los sistemas que interactúan con personas de modo que estas sepan que están hablando con una IA, salvo que resulte obvio. Por eso el asistente de atención inicial que montamos siempre empieza diciendo que es un asistente de IA, y no orienta ni asesora: recoge el motivo y deriva a una persona. Puedes verlo en el caso de atención inicial.
El artículo 50.4 se refiere a quienes publican texto generado por IA para informar al público sobre asuntos de interés público, y prevé una excepción cuando ese contenido ha pasado por revisión humana o control editorial con alguien que asume la responsabilidad. Los borradores internos que prepara una automatización y que firma una persona del despacho son otra cosa, pero si tu despacho publica contenido, conviene tenerlo presente.
Prácticas prohibidas (artículo 5)
Se aplican desde el 2 de febrero de 2025. Entre otras, el artículo 5 prohíbe:
- Las técnicas subliminales o manipuladoras que alteren el comportamiento de las personas causando perjuicios importantes.
- La explotación de vulnerabilidades por edad, discapacidad o situación social o económica.
- La puntuación social.
- Predecir el riesgo de que una persona cometa un delito basándose solo en su perfil.
- Inferir las emociones de las personas en el lugar de trabajo y en centros educativos, salvo por motivos médicos o de seguridad.
- La categorización biométrica para deducir datos sensibles como la raza, las opiniones políticas o la orientación sexual.
Nada de lo que hacemos se acerca a esa lista. Y para no acercarnos, tampoco aceptamos proyectos que seleccionen o evalúen a personas (candidatos o empleados), que puntúen la solvencia de particulares o que usen biometría, aunque nos los pidan.
Alto riesgo
Tras el ómnibus, las obligaciones de los sistemas de alto riesgo del anexo III se aplican desde el 2 de diciembre de 2027. El punto 8 de ese anexo, sobre administración de justicia, se refiere a sistemas que usa una autoridad judicial, o se usan en su nombre, para investigar e interpretar hechos y el Derecho, y a su uso análogo en resolución alternativa de litigios. Las tareas administrativas internas de un despacho, como clasificar el correo o extraer datos de una notificación, no figuran expresamente en ese listado. Aun así, cada uso debe analizarse según su finalidad concreta, y ese análisis corresponde a tu despacho.
Qué hacemos nosotros y qué valida tu despacho
Preferimos decirlo claro: podemos diseñar y montar una automatización con cuidado, pero no podemos firmar por ti que tu despacho cumple. Este es el reparto:
| Hacemos nosotros | Valida tu despacho |
|---|---|
| Proponer el contrato de encargo de tratamiento, o trabajar sobre el tuyo | Revisarlo y firmarlo |
| Documentar qué dato va a qué proveedor y en qué región | Aceptar cada proveedor y su contrato de tratamiento |
| Configurar la cuenta de IA con residencia en la UE, si existe, y tope de gasto | Contratarla a nombre del despacho y vigilar el gasto |
| Aplicar minimización y dejar fuera los datos de salud | Decidir qué expedientes o remitentes se excluyen |
| Dejar la aprobación humana activa y el registro de ejecuciones | Revisar y firmar cada salida |
| Avisar de que el asistente de atención inicial es una IA | Valorar el resto de sus obligaciones como responsable del despliegue |
| Formar a quien usa la automatización; el taller, si lo contratas | Decidir las medidas de alfabetización que necesita |
| Retirar nuestros accesos al terminar | Comprobarlo y actualizar su registro de actividades de tratamiento |
Si tu despacho tiene DPD, lo ideal es que vea la propuesta antes de firmarla. La redactamos para que se pueda revisar sin traducción técnica.
Fuentes oficiales citadas
- Reglamento (UE) 2016/679, General de Protección de Datos, texto en EUR-Lex (artículos 5, 9, 28 y 32).
- Reglamento (UE) 2024/1689 de inteligencia artificial, texto consolidado a 27-07-2026 (artículos 3, 4, 5, 50, 113 y anexo III).
- Reglamento (UE) 2026/1744, ómnibus digital sobre IA, texto en EUR-Lex.
- Comisión Europea, AI Act Service Desk: artículo 4 y artículo 50 (en inglés).
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, artículo 28 y artículo 33. BOE, texto consolidado.
- Ley Orgánica 6/1985, del Poder Judicial, artículo 542. BOE, texto consolidado.
- Real Decreto 135/2021, Estatuto General de la Abogacía Española, artículo 22. BOE, texto consolidado.
- AEPD, ¿Cuál sería el contenido del contrato de encargo de tratamiento? y directrices para contratos entre responsables y encargados.
- AEPD, Adecuación al RGPD de tratamientos que incorporan inteligencia artificial. Una introducción (2020, en revisión).
- Consejo General de la Abogacía Española, Circular interpretativa del Código Deontológico 3/2026, sobre IA generativa y deber de verificación.
Consultadas el 19-10-2026. Las normas cambian: si lees esto mucho después, comprueba la redacción vigente. Esta página no es asesoramiento jurídico.