Pegar un contrato en ChatGPT puede poner en riesgo el secreto profesional del abogado

La privacidad encabeza las inquietudes de los españoles ante la inteligencia artificial. Según el Observatorio Anual IAON 2026, comentado por la Agencia Española de Protección de Datos (AEPD) el 3 de noviembre, el 52,9% de los encuestados la menciona, por delante de la pérdida de empleo y la desigualdad económica (51,2%) y de la manipulación, la desinformación y los deepfakes (49,4%). Cerca de siete de cada diez encuestados han usado IA generativa. Los clientes de un despacho son esas personas y esperan discreción.

Ahí está la diferencia con el debate general. La AEPD recuerda con razón los principios del RGPD y la evaluación de impacto, pero el deber de secreto profesional va más allá. El Estatuto General de la Abogacía (Real Decreto 135/2021) lo extiende a los hechos, comunicaciones, datos, informaciones, documentos y propuestas que el profesional haya conocido, emitido o recibido en su ejercicio, y el Código Deontológico lo mantiene sin límite de tiempo. Cubre la estrategia procesal de una empresa o sus condiciones comerciales, información que el RGPD, centrado en las personas físicas, no protege. Su quiebra puede acarrear responsabilidad disciplinaria y civil y, si hay divulgación dolosa, también penal.

(Imagen: E&J)

El riesgo está en el gesto cotidiano

El riesgo está en un gesto cotidiano: pegar un contrato, un borrador de demanda o un correo del cliente en una herramienta de IA abierta, como ChatGPT, para que lo resuma. Es una entrega de información confidencial a un tercero, con dudas sobre dónde se trata, cuánto se conserva y si se reutiliza para entrenar el modelo. La AEPD advierte contra la introducción indiscriminada de información personal o confidencial en servicios no evaluados previamente. En un despacho, es una norma de conducta.

Si el despacho usa un proveedor de IA para tratar datos de clientes, este actuará normalmente como encargado del tratamiento, lo que exige un contrato conforme al artículo 28 del RGPD: tratamiento solo bajo instrucciones documentadas, autorización de los subencargados y supresión o devolución de los datos al terminar. Si el proveedor los usa para sus propios fines, por ejemplo entrenar modelos, deja de ser un mero encargado. No es lo mismo una versión empresarial con ese contrato que una herramienta de consumo con condiciones estándar.

(Imagen: E&J)

Lo que ya dice la abogacía y lo que falta

La profesión no parte de cero, pero tiene una tarea pendiente. En noviembre de 2025, el Consejo General de la Abogacía Española (CGAE) reforzó el secreto profesional con una circular sobre la citación de abogados como testigos. El 10 de abril de 2026 aprobó la circular 3/2026, sobre IA generativa y deber de verificación, que deja fuera la confidencialidad y el secreto profesional: «se tratarán en otra circular». El artículo 21.2 del Código Deontológico ya obliga a «extremar el cuidado en la preservación de la confidencialidad y del secreto profesional» al usar tecnologías de la información. Verificar lo que produce la máquina y proteger lo que se le entrega son las dos caras de una misma responsabilidad: el abogado responde de lo que firma y de lo que calla.

El Reglamento europeo de IA no altera este deber: el Ómnibus Digital (Reglamento (UE) 2026/1744) aplazó a diciembre de 2027 las obligaciones de los sistemas de alto riesgo del anexo III, pero el secreto profesional no depende de ningún calendario de Bruselas. Queda por perfilar qué protección tienen las comunicaciones entre abogado y cliente cuando circulan por la plataforma de un tercero.

Mientras tanto, la respuesta realista es de gobernanza interna: política escrita de uso, lista de herramientas autorizadas, formación para toda la plantilla, información clara al cliente y una regla simple: no introducir datos de clientes en servicios no evaluados. En eso se juega la confianza ciudadana en la IA, que para la AEPD pasa por la privacidad.