Usted sabe quién es. No está haciendo nada fuera de lo común. Ese es exactamente el problema.
Lunes por la mañana. Plazo ajustado. Un contrato de cliente de 90 páginas descansa sobre su mesa, y su socio quiere una síntesis estratégica para el jueves. Abre ChatGPT. Pega el documento. Veinticuatro horas después, una síntesis impecable aterriza en la bandeja de entrada — argumentación estructurada, rigor de nivel doctoral, secciones con cruces de referencias en los que los propios abogados del cliente no habían pensado. El socio levanta la vista: «¿Cómo lo has sacado tan rápido?»
La segunda pregunta no la responde.
Esta escena se repite cada día en bufetes de abogados, consultoras, hospitales, despachos de contabilidad y administraciones públicas. En silencio. A gran escala.
Lo que en realidad subió
Aquel contrato no eran solo 90 páginas de prosa jurídica. Contenía la denominación legal completa del cliente, su domicilio social, los datos de su cuenta bancaria, la identidad de la contraparte, las condiciones de la operación, las cláusulas penales y la intención estratégica que hay detrás de una transacción que quizá ni siquiera haya presentado todavía a su propio consejo de administración.
Todos los campos que un regulador llama de carácter personal — y algunos más.
Viajó, por internet, hasta una infraestructura en la nube comercial operada por una empresa estadounidense, procesado en servidores de los que usted no ve nada, bajo unas condiciones de servicio que la mayoría de la gente leyó por última vez nunca.
Por qué esto se está extendiendo
La ganancia de productividad es real. No vamos a fingir lo contrario. Las herramientas de IA condensan de verdad horas de síntesis en minutos, y la calidad del resultado es a menudo notable. No se requiere ninguna destreza técnica — pegar texto en una ventana de chat es lo más sencillo que hay. Y, sobre todo: nadie le ve hacerlo. Da la sensación de que no hay víctima.
Hay también fuerzas más sutiles. La IA «solo procesa texto» — se siente abstracto, efímero, nada que ver con entregarle una memoria USB a un desconocido. La interfaz está diseñada para sentirse privada. Y la presión es real: el socio quiere un trabajo de nivel doctoral para el martes por la mañana, y la IA lo entrega.
No son excusas. Son la descripción de por qué el problema se acumula en silencio en lugar de a voces — y de por qué las encuestas encuentran sistemáticamente que una mayoría de los profesionales del conocimiento hace esto con regularidad, mientras que la mayoría de sus organizaciones no tiene ninguna política que lo contemple.
Lo que la IA vio de verdad — y lo que le ocurrió
Los proveedores de IA difieren en sus políticas de tratamiento de datos, y los matices pesan enormemente:
- La mayoría de las cuentas gratuitas y de gama de consumo permiten al proveedor usar las conversaciones para mejorar sus modelos. Eso incluye el contrato pegado.
- Las cuentas de empresa suelen ofrecer compromisos más sólidos — sin uso para entrenamiento, tratamiento más estricto — pero la mayoría de los profesionales del conocimiento no tienen planes de empresa, e incluso las condiciones de empresa no satisfacen los requisitos de residencia de datos de todas las jurisdicciones bajo el RGPD.
- Revisores humanos pueden ver conversaciones señaladas o muestreadas como parte de los programas de confianza y seguridad de la mayoría de los grandes proveedores.
- Subencargados: sus datos pueden transitar por infraestructuras en la nube repartidas por varios países, cada uno bajo un régimen jurídico distinto.
La política de privacidad no es un escudo. Es un contrato entre usted y el proveedor de IA. No dice nada del contrato entre usted y su cliente — y no anula sus obligaciones bajo el derecho de protección de datos.
Las consecuencias que nadie quiere decir en voz alta
Hay varios puntos de exposición distintos, y sus efectos se acumulan:
Incumplimiento del acuerdo de confidencialidad y del contrato
Casi todo encargo de servicios profesionales incluye una cláusula de confidencialidad que prohíbe compartir datos del cliente con terceros. «Terceros» incluye a los proveedores de IA. Esto no es una zona gris — es el texto liso y llano de la mayoría de los acuerdos de confidencialidad. Si un cliente descubre que sus datos fueron procesados por una herramienta de IA comercial sin su consentimiento, tiene fundamento para reclamar con independencia de que se materializara o no algún perjuicio.
RGPD y derecho de protección de datos
Conforme al RGPD, usted es el responsable del tratamiento de los datos personales de su cliente. El proveedor de IA se convierte en encargado del tratamiento. Para que esa transferencia sea lícita, necesita un acuerdo de tratamiento de datos en vigor — y una base legal para la transferencia transfronteriza. Usar una herramienta de IA comercial sin ello no es una violación técnica de las buenas prácticas. Es una posible infracción de los artículos 28 y 46, con multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cifra que sea mayor. Para un despacho de tamaño medio, eso no tiene nada de teórico.
Deber regulatorio profesional
Abogados, contables, médicos y profesionales de recursos humanos operan bajo deberes de confidencialidad propios de cada sector, que existen por completo al margen del derecho de los contratos. El abogado que revela los datos de un cliente a un proveedor de IA sin el consentimiento informado de aquel puede enfrentarse a un expediente disciplinario ante su colegio. El desenlace no depende de la intención. Depende de lo que ocurrió.
Pérdida de la confianza del cliente
Los reguladores se toman su tiempo. Los clientes actúan en el acto. Pero ¿ante qué, exactamente? Rara vez ante el uso de la IA como tal: saben que un despacho moderno funciona con herramientas automatizadas, y a pocos les inquieta — incluso lo dan por hecho. Lo que dan por sentado, en cambio, es que su información confidencial se retirara antes de que ningún servicio externo la tocara siquiera.
Ahí es, precisamente, donde se gana o se pierde la confianza. El cliente al que se le explica que sus datos sensibles se depuraron de antemano, con técnicas probadas, no tiene queja: lo que se procesó fue un documento anonimizado, no sus secretos. Pero deje que descubra que su información en bruto — nombres, cifras, cláusulas — se entregó intacta a un servicio de terceros, y la relación termina en el acto. Cómo se entere apenas importa: una solicitud de acceso a sus datos, una notificación de brecha, un excompañero resentido, o sencillamente una pregunta hecha sin rodeos. Y en los servicios profesionales, la relación es el negocio.
El daño reputacional no se limita al incidente concreto. Los clientes hablan entre ellos.
La defensa del «pero su política de privacidad dice...»
Es lo primero a lo que se recurre. «OpenAI dice que no usa los datos de empresa para entrenar.» «Anthropic tiene un compromiso de privacidad.» Esas afirmaciones pueden ser ciertas — para el tipo de cuenta concreto, en la jurisdicción concreta, bajo las condiciones concretas vigentes en el momento del tratamiento.
No satisfacen los requisitos del RGPD para un tratamiento lícito. No anulan su acuerdo de confidencialidad. No constituyen una defensa frente a una denuncia deontológica. Y no le sirven de nada si la política del proveedor de IA cambia, si se equivocó sobre en qué modalidad está, o si un regulador adopta una lectura de «tratamiento» más estrecha que la suya.
Apoyarse en la política de privacidad de un proveedor para justificar el tratamiento de datos de un cliente es como apoyarse en la póliza de seguro de un suministrador para cubrir su propia responsabilidad. Las pólizas existen de verdad. Simplemente no hacen lo que usted necesita que hagan.
La solución es más sencilla de lo que el cumplimiento hace parecer
La IA no necesita saber que la contraparte es «Acme GmbH, con domicilio en Friedrichstraße 123, Berlín» para ayudarle a analizar la estructura contractual. Necesita la estructura, el idioma, la lógica de las cláusulas. Retire las identidades, conserve el contenido.
Anonimice el documento antes de pegarlo. Sustituya los nombres por [PERSON_1], las direcciones por [ADDRESS_1], los números de cuenta por [IBAN_1]. La IA produce un análisis de la misma calidad. Puede volver a asignar los tokens después. El riesgo cae hasta casi cero.
Esto no es una postura abstracta de cumplimiento. Es un paso de dos minutos que separa el método de trabajo que ya tiene de aquel que de verdad puede defender.
El informe de nivel doctoral sigue siendo posible. Los datos del cliente se quedan donde les corresponde.
