Son las siete de la tarde en un despacho de doce personas. Una asociada tiene que revisar un contrato de arrendamiento antes de mañana. Abre ChatGPT en el navegador, con la cuenta gratuita que usa para todo, pega las catorce páginas y escribe: «revisa las cláusulas de resolución». En el documento aparecen el nombre del cliente, su NIF, el IBAN para la fianza y la dirección del local. La respuesta llega en veinte segundos y es buena. Nadie en el despacho sabrá nunca que ese contrato ha salido.
No es una escena inventada para asustar. Según el estudio que Cegid y OpinionWay publicaron en agosto de 2026, el 82 % de los empleados de oficina en España ya usa IA en su trabajo, y el 82 % de quienes la usan ha recurrido a herramientas que su empresa no le da, sin avisar. En un despacho, eso significa datos de terceros en servidores que nadie ha evaluado.
El problema no es la IA, es por dónde entra
Conviene empezar por lo obvio: la IA generativa es una ayuda enorme para un despacho pequeño. Resume, ordena, propone estructuras y detecta incoherencias en minutos. Quien la prohíbe en bloque pierde productividad y, sobre todo, no consigue que se deje de usar.
El riesgo está en la puerta por la que entra. Cuando cada persona usa su propia cuenta, el despacho pierde tres cosas a la vez:
- El contrato. Con una cuenta personal no hay un encargo del tratamiento firmado entre el despacho y el proveedor, que es lo que exige el artículo 28 del RGPD cuando un tercero trata datos personales por tu cuenta.
- El lugar. Una herramienta de consumo no te dice dónde se procesan los datos. Si salen del Espacio Económico Europeo, el capítulo V del RGPD pide garantías que nadie ha comprobado.
- El registro. Si mañana un cliente pregunta qué se hizo con su documentación, no hay forma de contestar. El historial está en el ordenador o en la cuenta de una persona, y se va con ella cuando cambia de trabajo.
El secreto profesional no tiene versión gratuita
Para un abogado, todo esto pesa más. El artículo 542.3 de la Ley Orgánica del Poder Judicial obliga a guardar secreto de todo lo que se conoce por razón de la actuación profesional, y el Estatuto General de la Abogacía lo desarrolla en sus artículos 21 y 22. Ninguna de esas normas distingue entre contarle un asunto a un colega en un bar y pegarlo en un servicio que no sabes quién gestiona.
Usar IA no es, por sí mismo, revelar un secreto. Lo que importa es con qué herramienta, en qué condiciones y con qué datos. Lo explicamos con detalle en la guía sobre IA y secreto profesional en despachos. La conclusión práctica es sencilla: la cuenta personal de cada empleado es el peor escenario posible, porque reúne todos los riesgos y ninguna garantía.
Por qué prohibir no sirve
Ante esto, la reacción instintiva es una circular: «queda prohibido usar ChatGPT con documentación de clientes». La intención es buena. El efecto suele ser el contrario.
La herramienta es demasiado útil para que la gente deje de usarla. Lo que cambia es que ahora se usa a escondidas: desde el móvil, desde casa, sin preguntar. El despacho pasa de tener un riesgo que podría gestionar a tener un riesgo que ni siquiera ve.
Lo que sí funciona
Los despachos que mejor resuelven esto no son los que más prohíben, sino los que antes toman cuatro decisiones:
- Saber qué se usa. Una encuesta anónima de cinco preguntas al equipo: qué herramientas, para qué y con qué documentos. Sin buscar culpables.
- Dar una herramienta oficial mejor que la personal. Con contrato, sin entrenamiento con tus datos, con datos tratados en la UE y con altas y bajas desde un panel. Si la herramienta de la empresa es peor que la gratuita, la gente volverá a la gratuita.
- Decidir qué no sale nunca en crudo. NIF, IBAN, números de la Seguridad Social, datos de salud. Lo ideal es que se sustituyan de forma automática antes de llegar al modelo, porque a las siete de la tarde nadie se acuerda de borrar un IBAN.
- Poder explicarlo. Un registro de quién usa la IA, para qué tipo de tarea y cuánto, sin leer el contenido de las conversaciones. Es lo que permite contestar a un cliente, a un auditor o a la Agencia Española de Protección de Datos.
Ninguna de estas medidas exige un departamento de informática. Exigen una decisión de dirección.
La IA en un despacho tiene que poder explicarse
La pregunta que deberían hacerse hoy los socios de un despacho no es si su equipo usa IA. Ya la usa. La pregunta es si, llegado el caso, podrían explicar qué datos de sus clientes han salido, adónde y con qué garantías.
Si la respuesta es no, el problema no es tecnológico. Es de confianza, que es lo único que un despacho no puede permitirse perder.
Àlex Suquet Orús es ingeniero informático por la FIB-UPC y fundador de Acotia, una plataforma de Barcelona que protege los datos de clientes antes de enviarlos a la IA y permite ver el uso de todo el equipo desde un solo sitio.
Fuentes
- Cegid y OpinionWay: «La IA en la sombra: el 82 % de los empleados en España ya la utiliza» (agosto de 2026).
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (artículo 28 y capítulo V).
- Ley Orgánica 6/1985, del Poder Judicial (artículo 542.3).
- Real Decreto 135/2021, Estatuto General de la Abogacía Española (artículos 21 y 22).