Uso de IA con expedientes de clientes

Usar IA para resumir expedientes de clientes puede ser útil, pero subir el documento es ya una decisión sobre información personal y confidencial. Antes de hacerlo, la organización necesita definir qué herramienta permite, con qué datos, bajo qué contrato y quién revisa el resultado. La etiqueta “empresarial” o la promesa de no entrenar no resuelven por sí solas conservación, accesos, transferencias o secreto profesional. 1 3

Empezar por usos concretos

Distinga tareas: mejorar un texto público, resumir documentos anonimizados, analizar un expediente identificable o generar una recomendación que afecte al cliente. No presentan el mismo riesgo ni necesitan el mismo contenido. Si basta con un fragmento, no cargue toda la carpeta.

Prepare un inventario de herramientas, cuentas, usuarios, finalidades y clases de documentos. Incluya asistentes integrados en correo, videollamadas y gestores documentales: una función de resumen puede enviar información aunque nadie copie manualmente un archivo. Evite que cada trabajador decida proveedor y configuración desde una cuenta personal sin control de la organización.

Identificar datos y deberes de confidencialidad

Eliminar el nombre no anonimiza necesariamente un expediente. Cargo, fechas, localidad, hechos singulares, metadatos y anexos pueden permitir identificación. La seudonimización reduce exposición, pero continúa dentro del RGPD cuando la persona es identificable. 1

Los datos de salud, vida sexual o determinadas categorías requieren el análisis adicional del artículo 9; los relativos a condenas e infracciones tienen el régimen del artículo 10. Una base que permite tratar el expediente para defender una reclamación no autoriza automáticamente reutilizarlo para entrenar cualquier modelo externo. 1 2

En la abogacía, los artículos 21 y 22 del Estatuto General protegen hechos, comunicaciones, documentos y propuestas conocidos profesionalmente, y obligan a hacer respetar el secreto a colaboradores. También pueden existir reservas contractuales o procesales. El consentimiento de un cliente no dispone por sí solo de los derechos de otras personas incluidas en el expediente. 3

Revisar proveedor y contrato

Determine si el proveedor actúa como encargado, responsable independiente o en otro papel para cada finalidad. Si trata por cuenta de la organización, revise el acuerdo del artículo 28: instrucciones, confidencialidad, seguridad, subencargados, asistencia en derechos, incidentes, devolución y eliminación. No basta aceptar condiciones de uso sin comprobar ese contenido. 1

Pregunte dónde se procesan entradas y salidas, cuánto se conservan, quién accede para soporte y si existe reutilización para entrenamiento o evaluación. Revise transferencias internacionales y sus garantías cuando proceda. Un centro de datos europeo no demuestra por sí solo ausencia de accesos desde terceros países.

No exija como regla universal instalar un modelo local: distintas arquitecturas pueden ofrecer garantías diferentes. Pero tampoco suponga que un entorno local es seguro si carece de permisos, mantenimiento o protección de copias.

Un flujo de trabajo revisable

Antes de enviar, seleccione el fragmento necesario, retire identificadores y metadatos no imprescindibles y compruebe que la herramienta está autorizada para ese nivel de información. Mantenga la correspondencia de seudónimos separada cuando sea necesaria para el trabajo.

Después, verifique el resultado contra los originales. Una IA puede omitir una excepción contractual, cambiar fechas, atribuir frases o inventar jurisprudencia. Compruebe cada cita en la fuente real y no incorpore una sentencia a un escrito solo porque aparece con número y fecha plausibles.

Si el sistema conecta con correo, carpetas o aplicaciones, limite permisos a la tarea. Un documento recibido puede contener instrucciones engañosas destinadas al asistente; no debe poder provocar por sí solo envío de información o modificación de expedientes. Las acciones externas necesitan controles proporcionados y revisión efectiva.

Información, evaluación y formación

Actualice la información de privacidad cuando cambien los tratamientos de forma relevante, sin convertirla en una enumeración incomprensible de marcas. Revise registro de actividades y necesidad de evaluación de impacto según el riesgo. El uso de IA no impone automáticamente una evaluación para toda tarea, pero tampoco exime de hacerla cuando corresponda. 1

El Reglamento de IA, tras su reforma de 2026, exige medidas para apoyar la promoción de alfabetización del personal, sin imponer garantizar un nivel específico de cada persona. Una formación útil explica qué puede subirse, cómo comprobar respuestas y qué hacer ante un incidente. No equivale a exigir un certificado comercial determinado. 4 5

La AEPD recomienda en su material de 2026 extremar cuidado con información profesional y revisar las condiciones de los servicios. Es una orientación preventiva; la habilitación de un tratamiento concreto debe sustentarse en las normas y garantías aplicables. 6

Qué hacer si ya se subió un expediente

No oculte el envío ni lo dé por resuelto con borrar el historial visible. Identifique cuenta, archivos, fecha, configuración, destinatarios técnicos y posibilidades de eliminación. Solicite al proveedor las actuaciones pertinentes y conserve evidencia de la incidencia.

Evalúe si hubo brecha de datos y el riesgo, con las obligaciones de documentación, notificación y comunicación que correspondan. No todo uso equivale a una filtración pública, pero una entrada enviada a un servicio no autorizado puede requerir respuesta. El plazo de 72 horas del artículo 33, cuando aplica, no espera a una respuesta comercial del proveedor. 1

Ejemplo ficticio

Un despacho quiere resumir un expediente laboral con informes médicos. Define una tarea limitada, comprueba contrato y configuración del proveedor y decide trabajar con extractos seudonimizados en un entorno autorizado. El abogado contrasta después cada fecha y conclusión con el expediente. Ese control reduce exposición y errores; una casilla de “no entrenamiento” aislada no habría resuelto todas las cuestiones.

Preguntas frecuentes

¿Basta con sustituir nombres por iniciales? No necesariamente. El resto del documento puede identificar a las personas y conservar información confidencial.

¿Hay que pedir siempre consentimiento para usar IA? Debe identificarse la base y garantías del tratamiento concreto. El consentimiento no es la única base ni una solución universal para secreto, terceros o categorías especiales.

¿Puedo entregar al cliente el resultado sin revisarlo? La organización mantiene responsabilidad por su servicio. Deben comprobarse datos, fuentes y conclusiones con una revisión adecuada a la importancia de la tarea.