Són les set de la tarda en un despatx de dotze persones. Una associada ha de revisar un contracte d'arrendament abans de demà. Obre ChatGPT al navegador, amb el compte gratuït que fa servir per a tot, enganxa les catorze pàgines i escriu: «revisa les clàusules de resolució». Al document hi surten el nom del client, el seu NIF, l'IBAN per a la fiança i l'adreça del local. La resposta arriba en vint segons i és bona. Ningú al despatx no sabrà mai que aquell contracte ha sortit.
No és una escena inventada per espantar. Segons l'estudi que Cegid i OpinionWay van publicar l'agost de 2026, el 82 % dels treballadors d'oficina a Espanya ja fa servir IA a la feina, i el 82 % dels que la fan servir ha recorregut a eines que l'empresa no li dona, sense avisar. En un despatx, això vol dir dades de tercers en servidors que ningú no ha avaluat.
El problema no és la IA, és per on entra
Comencem per l'obvi: la IA generativa és una ajuda enorme per a un despatx petit. Resumeix, ordena, proposa estructures i detecta incoherències en minuts. Qui la prohibeix en bloc perd productivitat i, sobretot, no aconsegueix que es deixi de fer servir.
El risc és a la porta per on entra. Quan cada persona fa servir el seu propi compte, el despatx perd tres coses alhora:
- El contracte. Amb un compte personal no hi ha un encàrrec del tractament signat entre el despatx i el proveïdor, que és el que exigeix l'article 28 del RGPD quan un tercer tracta dades personals per compte teu.
- El lloc. Una eina de consum no et diu on es processen les dades. Si surten de l'Espai Econòmic Europeu, el capítol V del RGPD demana garanties que ningú no ha comprovat.
- El registre. Si demà un client pregunta què s'ha fet amb la seva documentació, no hi ha manera de respondre. L'historial és a l'ordinador o al compte d'una persona, i se'n va amb ella quan canvia de feina.
El secret professional no té versió gratuïta
Per a un advocat, tot això pesa més. L'article 542.3 de la Llei orgànica del poder judicial obliga a guardar secret de tot el que es coneix per raó de l'actuació professional, i l'Estatut general de l'advocacia ho desenvolupa als articles 21 i 22. Cap d'aquestes normes no distingeix entre explicar un assumpte a un col·lega en un bar i enganxar-lo en un servei que no saps qui gestiona.
Fer servir IA no és, per si mateix, revelar un secret. El que importa és amb quina eina, en quines condicions i amb quines dades. Ho expliquem amb detall a la guia sobre IA i secret professional als despatxos (en castellà). La conclusió pràctica és senzilla: el compte personal de cada treballador és el pitjor escenari possible, perquè reuneix tots els riscos i cap garantia.
Per què prohibir no serveix
Davant d'això, la reacció instintiva és una circular: «queda prohibit fer servir ChatGPT amb documentació de clients». La intenció és bona. L'efecte sol ser el contrari.
L'eina és massa útil perquè la gent la deixi de fer servir. El que canvia és que ara es fa servir d'amagat: des del mòbil, des de casa, sense preguntar. El despatx passa de tenir un risc que podria gestionar a tenir un risc que ni tan sols veu.
El que sí que funciona
Els despatxos que millor ho resolen no són els que més prohibeixen, sinó els que abans prenen quatre decisions:
- Saber què es fa servir. Una enquesta anònima de cinc preguntes a l'equip: quines eines, per a què i amb quins documents. Sense buscar culpables.
- Donar una eina oficial millor que la personal. Amb contracte, sense entrenament amb les teves dades, amb dades tractades a la UE i amb altes i baixes des d'un tauler. Si l'eina de l'empresa és pitjor que la gratuïta, la gent tornarà a la gratuïta.
- Decidir què no surt mai en cru. NIF, IBAN, números de la Seguretat Social, dades de salut. L'ideal és que se substitueixin de manera automàtica abans d'arribar al model, perquè a les set de la tarda ningú no se'n recorda d'esborrar un IBAN.
- Poder explicar-ho. Un registre de qui fa servir la IA, per a quin tipus de tasca i quant, sense llegir el contingut de les converses. És el que permet respondre a un client, a un auditor o a l'Agència Espanyola de Protecció de Dades.
Cap d'aquestes mesures no exigeix un departament d'informàtica. Exigeixen una decisió de direcció.
La IA en un despatx s'ha de poder explicar
La pregunta que s'haurien de fer avui els socis d'un despatx no és si el seu equip fa servir IA. Ja la fa servir. La pregunta és si, arribat el cas, podrien explicar quines dades dels seus clients han sortit, cap a on i amb quines garanties.
Si la resposta és no, el problema no és tecnològic. És de confiança, que és l'única cosa que un despatx no es pot permetre perdre.
Àlex Suquet Orús és enginyer informàtic per la FIB-UPC i fundador d'Acotia, una plataforma de Barcelona que protegeix les dades dels clients abans d'enviar-les a la IA i permet veure l'ús de tot l'equip des d'un sol lloc.
Fonts
- Cegid i OpinionWay: «La IA en la sombra: el 82 % de los empleados en España ya la utiliza» (agost de 2026).
- Reglament (UE) 2016/679, Reglament general de protecció de dades (article 28 i capítol V).
- Llei orgànica 6/1985, del poder judicial (article 542.3).
- Reial decret 135/2021, Estatut general de l'advocacia espanyola (articles 21 i 22).