IA para despachos y asesorías jurídicas: uso seguro y secreto profesional

Usar IA para abogados y asesorías jurídicas es posible dentro de la ley, con límites claros. El Reglamento Europeo de IA (RIA o AI Act) no considera de alto riesgo redactar o investigar con IA generativa en un despacho. Las exigencias principales vienen del secreto profesional, del RGPD y de la alfabetización y la transparencia del RIA.

Es un caso sectorial de la guía para usar la inteligencia artificial en la empresa. Las reglas generales están en usar ChatGPT en la empresa sin incumplir la ley.

¿Es de alto riesgo usar IA para abogados y despachos?

Por regla general, no. El anexo III del RIA enumera los usos de alto riesgo, y el punto 8 trata la administración de justicia:

El supuesto se define por quién usa el sistema y para qué: una autoridad judicial, alguien en su nombre o un órgano de resolución alternativa de litigios. El considerando 61 del RIA precisa que, en la resolución alternativa, se refiere a los casos en que los resultados del procedimiento surten efectos jurídicos para las partes, y que la clasificación no se extiende a actividades administrativas meramente accesorias. Un despacho que usa IA para redactar una demanda, resumir jurisprudencia o revisar un contrato no está en ese supuesto. El Ómnibus digital (Reglamento (UE) 2026/1744) no modificó el anexo III.

Un despacho sí puede tener un sistema de alto riesgo en estos casos:

• Si interviene como organismo de resolución alternativa de litigios cuyos resultados surten efectos jurídicos para las partes (considerando 61) y usa IA para investigar e interpretar hechos y Derecho. No es la actividad ordinaria de asesoramiento o defensa.
• Si usa IA en su propia gestión de personal: selección, evaluación o asignación de tareas (anexo III, punto 4). Lo vemos en IA en recursos humanos.
• Si destina un sistema de uso general a una finalidad del anexo III, en cuyo caso puede pasar a ser proveedor (art. 25.1 c) del RIA).

Para el resto de casos, consulta ¿es mi sistema de IA de alto riesgo?.

Secreto profesional e inteligencia artificial

El Estatuto General de la Abogacía (Real Decreto 135/2021) sitúa el secreto profesional entre los principios rectores de la profesión (art. 1.3) y lo regula en los artículos 21 y 22.

Qué implica para el uso de IA, según el texto:

• El ámbito es amplio. Un escrito, un correo del cliente o una propuesta de acuerdo introducidos en una herramienta de IA son información amparada por el artículo 22.1.
• Alcanza al equipo. El artículo 22.4 obliga a hacer respetar el secreto a colaboradores, asociados y personal: las reglas sobre IA deben llegar a todo el despacho, incluidos quienes usan herramientas por su cuenta (shadow AI).
• No caduca. Permanece tras terminar el servicio (art. 22.5).
• La autorización del cliente tiene límites. El artículo 22.6 releva del deber solo sobre lo que afecte o se refiera únicamente al cliente y con su autorización expresa; no alcanza a datos de terceros, como la parte contraria.
• El incumplimiento es grave. La vulneración del deber de secreto profesional, cuando no esté tipificada específicamente, es infracción muy grave (art. 124 f)).

El Estatuto no menciona la IA. Para el asesoramiento en línea, su artículo 16.3 exige adoptar las medidas necesarias para garantizar el secreto profesional. La pregunta práctica para cada herramienta es si el proveedor puede acceder al contenido, conservarlo o usarlo para sus propios fines, y en qué condiciones.

§ Infografía

Qué implica el secreto profesional al usar IA

Lo que se desprende del texto del Estatuto General de la Abogacía

Secreto profesional

Principio rector de la profesión (art. 1.3). El Estatuto no menciona la IA

• El ámbito es amplio

  Un escrito, un correo del cliente o una propuesta introducidos en una IA están amparados

  Estatuto, art. 22.1

• Alcanza al equipo

  Colaboradores, asociados y personal, incluidos quienes usan IA por su cuenta

  Estatuto, art. 22.4

• No caduca

  Permanece tras terminar el servicio

  Estatuto, art. 22.5

• Autorización con límites

  Solo releva en lo que afecta únicamente al cliente, con su autorización expresa; no a terceros

  Estatuto, art. 22.6

• Incumplimiento muy grave

  Si no está tipificado específicamente, es infracción muy grave

  Estatuto, art. 124 f)

Ver y descargar como imagen

Descargar la infografía «Qué implica el secreto profesional al usar IA» (PNG)

El proveedor de IA como encargado del tratamiento (RGPD)

Si la herramienta trata datos personales de clientes o de terceros por cuenta del despacho, el proveedor actúa como encargado del tratamiento y el despacho como responsable.

El contrato debe incluir, entre otros puntos, que el encargado trate los datos solo según instrucciones documentadas (también sobre transferencias internacionales), que su personal esté sujeto a confidencialidad y que suprima o devuelva los datos al terminar el servicio (art. 28.3 a), b) y g)). La LOPDGDD añade dos reglas relevantes:

Y el artículo 5.2 de la LOPDGDD establece que el deber de confidencialidad en protección de datos es complementario de los deberes de secreto profesional. Por eso conviene revisar si las condiciones del servicio permiten al proveedor usar el contenido para entrenar sus modelos. Más en RGPD e inteligencia artificial.

Cómo elegir una herramienta de IA para el despacho

Antes de comparar funciones, compara condiciones. Estos criterios salen de las normas citadas en esta entrada; pide las respuestas por escrito al proveedor y guárdalas.

Dónde se tratan los datos y si hay transferencias internacionales

Pregunta en qué países se almacenan y procesan los datos, también por parte de los subencargados. Si salen hacia un tercer país, el RGPD exige cumplir su capítulo V:

Las vías habituales son una decisión de adecuación de la Comisión sobre ese país (art. 45) o garantías adecuadas, como las cláusulas tipo de protección de datos adoptadas por la Comisión (art. 46.2 c). Pide al proveedor que indique cuál aplica.

Contrato de encargo y subencargados

Comprueba que existe un contrato con el contenido del artículo 28.3 y quién más trata los datos: el encargado no puede recurrir a otro encargado sin autorización previa por escrito, específica o general, del responsable (art. 28.2). Pide la lista de subencargados y cómo te avisan de los cambios.

Uso de los datos para entrenar

Revisa si las condiciones permiten usar lo que introduces para entrenar o mejorar los modelos, si está desactivado por defecto y si eso vale para la modalidad que vas a contratar. Un proveedor que usa los datos para sus propias finalidades pasa a ser responsable (LOPDGDD, art. 33.2), y la información del cliente sigue amparada por el secreto profesional (Estatuto, art. 22.1).

Conservación y borrado

Pregunta cuánto tiempo se guardan conversaciones, documentos y registros, si puedes borrarlos y qué ocurre al terminar el contrato. El RGPD exige no conservar los datos más tiempo del necesario (art. 5.1 e) y que el encargado los suprima o devuelva al acabar el servicio (art. 28.3 g).

Trazabilidad de las fuentes

Valora si la herramienta indica de dónde sale cada respuesta (norma, resolución o documento) con una referencia comprobable. No sustituye la revisión que exige el artículo 47.4 del Estatuto, pero la hace posible en un tiempo razonable.

Control de acceso

Busca usuarios individuales, permisos por función, separación por clientes o asuntos y registro de accesos. El RGPD pide medidas que garanticen la confidencialidad de los sistemas (art. 32.1 b), y el secreto debe respetarlo todo el equipo (Estatuto, art. 22.4). Más en ciberseguridad e IA.

IA generalista o IA jurídica especializada

Una herramienta generalista sirve para cualquier tarea: redactar, resumir, traducir. Si no está conectada a bases de legislación y jurisprudencia, puede proponer citas que parecen reales y no lo son, y sus condiciones suelen estar pensadas para cualquier usuario. Una herramienta jurídica especializada suele trabajar sobre fuentes jurídicas y citarlas, con condiciones dirigidas a profesionales. Ninguna de las dos cambia lo esencial: el RIA no las clasifica como de alto riesgo por redactar o investigar, los criterios anteriores se aplican igual y la responsabilidad del resultado sigue siendo del profesional.

§ Infografía

IA generalista o IA jurídica especializada

Lo que cambia y lo que no al elegir herramienta para el despacho

	IA generalista	IA jurídica especializada
Para qué sirve	Cualquier tarea: redactar, resumir, traducir	Suele trabajar sobre fuentes jurídicas y citarlas
Citas	Sin conexión a bases de legislación y jurisprudencia, puede proponer citas que parecen reales y no lo son	Suele citar las fuentes jurídicas sobre las que trabaja
Condiciones	Suelen estar pensadas para cualquier usuario	Suelen estar dirigidas a profesionales
Alto riesgo en el RIA	No por redactar o investigar	No por redactar o investigar
Criterios de elección y responsabilidad	Se aplican igual; el resultado es responsabilidad del profesional	Se aplican igual; el resultado es responsabilidad del profesional

Ver y descargar como imagen

Descargar la infografía «IA generalista o IA jurídica especializada» (PNG)

El deber de revisar lo que produce la IA

Ni el RIA ni el Estatuto General de la Abogacía contienen una regla específica sobre revisar textos generados con IA. Las normas existentes sitúan la responsabilidad en el profesional: el artículo 47.3 del Estatuto exige cumplir con la máxima diligencia la misión encomendada, y el 47.4 dice esto:

El uso de una herramienta no traslada esa responsabilidad. En la práctica: comprobar citas de normas y resoluciones, contrastar datos y no presentar un texto que nadie del despacho haya revisado.

Transparencia (art. 50) y alfabetización (art. 4)

Las obligaciones de transparencia del artículo 50 del RIA se aplican desde el 2 de agosto de 2026 (art. 113). Para un despacho, las relevantes suelen ser:

• Asistentes conversacionales en la web. El artículo 50.1 obliga al proveedor a diseñar el sistema para que las personas sepan que interactúan con una IA. Si el despacho pone en servicio un asistente con su propio nombre o marca, puede ser proveedor (art. 3, punto 3): revisa proveedor o responsable del despliegue.
• Textos publicados sobre asuntos de interés público. El artículo 50.4, párrafo segundo, exige divulgar que el texto se ha generado con IA, salvo que haya pasado por revisión humana o control editorial y alguien tenga la responsabilidad editorial.
• Ultrasuplantaciones de imagen, audio o vídeo: hay que hacer público que son artificiales (art. 50.4, párrafo primero).

Lo desarrollamos en etiquetar contenido generado con IA.

Además, como responsable del despliegue, el despacho debe adoptar medidas para apoyar la alfabetización en IA de su personal (art. 4 del RIA, en la redacción dada por el Reglamento (UE) 2026/1744), que encaja con el deber de formación continuada del artículo 64.1 del Estatuto. Lo explicamos en alfabetización en IA tras el Ómnibus.

Información general sobre la normativa vigente, comprobada el 20 de octubre de 2026 con el Reglamento (UE) 2024/1689 en su versión consolidada a 27 de julio de 2026, tras el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA). No constituye asesoramiento para un caso concreto. Las citas literales proceden de las versiones en español publicadas en el Diario Oficial de la Unión Europea y en el BOE.