El despacho ya usa inteligencia artificial. Lo que casi nunca tiene es una forma de demostrar cómo la usa. Esa carencia aparece el día en que alguien pregunta. Puede ser un cliente en una auditoría de proveedores, la aseguradora, la Junta de Gobierno del colegio o la AEPD.
El secreto profesional no distingue canales
El artículo 542.3 de la Ley Orgánica del Poder Judicial obliga al abogado a guardar secreto de lo que conozca por su trabajo. El Código Deontológico de la Abogacía Española extiende ese deber a todo el personal. El artículo 199.2 del Código Penal castiga su revelación. Ninguna de estas normas distingue entre el correo y el cuadro de texto de un asistente.
Quien pega un pacto de socios en un asistente de uso personal lleva el expediente a un tercero. Con ese tercero no hay contrato de encargo del tratamiento. Puede discutirse si eso es revelación o cesión sin base jurídica. Pero la discusión llega con el documento ya fuera.
Si el documento se anonimiza antes de salir, el proveedor recibe códigos en lugar de nombres, DNI y sociedades. El análisis sigue siendo útil (qué debe significar «seguro» cuando un documento va a un modelo).
El RGPD pide poder demostrar
El artículo 5.2 del RGPD recoge la responsabilidad proactiva: el responsable del tratamiento debe poder demostrar que cumple. El artículo 24 pide que las medidas técnicas y organizativas puedan acreditarse. La LOPDGDD fija el régimen que aplica la AEPD.
Ante la AEPD responde el despacho. El artículo 83 permite multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual. En enero de 2021, la Agencia multó a CaixaBank con 6 millones. Este deber no depende del número de letrados: ocho personas tienen la misma obligación que ochocientas.
Entre la regla y la prueba
Casi todos los despachos tienen una regla sobre la IA. Pocos pueden probar que alguien la siguió: solo el 9 % de la profesión aplica su política escrita. Hace falta poder reconstruir quién trató qué documento, con qué herramienta y en qué fecha.
La reacción habitual es prohibir, porque una prohibición se redacta en una tarde y no cuesta nada. Pero la adopción en los despachos pequeños ya llega al 75 %. Una circular no cambia esa cifra. Prohibir oculta el uso sin eliminarlo, y lo oculto no deja constancia.
El trabajo se aceleró, pero la facturación de los despachos pequeños no cambió. La eficiencia fue para el cliente y el riesgo se quedó en casa. Según Clio, estos despachos usan sobre todo asistentes de uso personal. Así, el expediente acaba en una plataforma pública.
Qué debe incluir la política
- Qué información no sale sin anonimizar: DNI o NIE, número de la Seguridad Social, cuentas, nombres de partes y terceros y domicilios. Tampoco el texto sujeto a secreto.
- Qué vía está autorizada para consultar un modelo externo, paso a paso.
- Quién revisa cada documento antes de que salga y cómo queda constancia.
- Qué se hace cuando alguien se sale de la vía, incluido el plazo de 72 horas que fija el artículo 33 del RGPD para notificar una brecha.
El tercer apartado es el decisivo. Ante la AEPD, lo que no se puede probar no cuenta.
Que la vía protegida sea la más rápida
Si prohibir no funciona, la vía protegida debe ser la más rápida del despacho y dejar constancia al usarla. Nadie esquiva un procedimiento que le ahorra tiempo.
promptShield se instala en el equipo y trabaja con archivos, que es lo que maneja un abogado (muchas herramientas esperan texto pegado). La Biblioteca admite PDF, archivos de Word, Excel y PowerPoint, texto plano e imágenes. El texto de las páginas escaneadas se reconoce automáticamente al abrir el documento.
Al pulsar Detectar se ejecutan cuatro capas, que se activan por separado. La capa Patrones encuentra valores con forma fija, como un DNI o un IBAN.
Expresiones recoge el vocabulario de cada asunto, como el alias interno de una operación. Reconocimiento de entidades busca nombres, empleadores, sociedades y domicilios. Análisis profundo es una pasada opcional para casos dudosos.
Tachar elimina el texto de forma permanente y conviene para todo lo que sale del despacho. Codificar sustituye el valor por un código corto y reversible. La correspondencia se guarda en el Registro de códigos del equipo.
Dentro de una misma carpeta, un valor recibe siempre el mismo código. Así se ve que el arrendatario del contrato es quien firma las cartas. Entre carpetas, los códigos son distintos. Solo un código fijado a mano en Configuración vale para todas (por qué importa esa coherencia).
Decodificar acepta un archivo o texto pegado y restituye los valores reales en local. La Protección del portapapeles cubre el copiar y pegar. El Registro de códigos no está cifrado, a propósito. Los originales ya están sin cifrar en el mismo disco.
Por defecto, un archivo protegido no se descarga hasta que una persona revisa los hallazgos en Revisar. Si se pulsa Descargar antes, la aplicación explica qué falta y lleva a la revisión. Esta exigencia se puede desactivar en Configuración. La política debería decir si se mantiene.
Lo que queda registrado y quién lo ve
El panel del navegador asigna cada licencia a un correo y la etiqueta por equipo, tipo de expediente o centro de coste. Al revocar una licencia, la aplicación de escritorio pierde la licencia en su siguiente validación en línea, no de inmediato. Los planes de pago incluyen dos puestos personales, para el sobremesa y el portátil.
El Monitor de cumplimiento muestra, por puesto, documentos exportados, páginas procesadas, valores detectados, codificados y tachados, y la última actividad. Compara los puestos conformes con los que tienen lagunas, según un umbral que fija el titular. También exporta un informe de cumplimiento.
El Registro de auditoría y el Monitor son del titular de la cuenta. Quien solo tiene licencia no puede abrirlos. El personal usa la aplicación para proteger documentos, sin acceso a datos sobre sus compañeros.
El Monitor solo refleja la actividad que pasa por promptShield. No puede decirle si alguien trató un documento sensible fuera de la herramienta, con su cuenta personal en el portátil de casa. Un equipo activado sin conexión aparece señalado, porque su actividad no se puede verificar.
Preguntas frecuentes
¿Puedo usar ChatGPT con datos de clientes sin incumplir el secreto profesional?
Con los datos tal cual, lo prudente es no hacerlo. El riesgo principal es la prueba: meses después, nadie puede acreditar qué salió, cuándo y con qué contrato.
¿Necesita un despacho pequeño una política de uso de IA?
La necesita. El artículo 5.2 del RGPD exige poder demostrar el cumplimiento, sea cual sea el tamaño del despacho.
¿Salen los documentos del despacho?
Con la configuración por defecto, el contenido se queda en el equipo. A nuestros servidores solo llegan la validación de la licencia y recuentos de actividad. El modo de API remota del Análisis profundo, desactivado por defecto, sí envía texto a un servicio externo y exige el contrato del artículo 28.
¿Qué plan necesita un despacho de diez personas?
El plan Pro. Basic es la aplicación de escritorio sin capa de gestión y basta para quien ejerce solo. Con cinco o seis personas hay que acreditar el uso, y para eso sirven el gestor de licencias, el Registro de auditoría y el Monitor.
Una política que se puede defender
Una política no se defiende diciendo que nadie se salió de la vía, sino probando que la vía existía. También hay que probar que era la más rápida y que se usó. También cuenta que el despacho sepa qué queda registrado y qué no.