Qué pasa exactamente cuando pegas una demanda en ChatGPT

Cuando un abogado pega una demanda en ChatGPT y pide que le resuma los hechos, lo que sucede en el plano jurídico no es «usar una herramienta». Es una comunicación de datos personales a un tercero. Y como toda comunicación de datos, necesita una base y un contrato.

Este artículo no va de si la inteligencia artificial es buena o mala para la abogacía. Va de cuatro preguntas concretas que casi nadie se hace antes de pulsar Enter, y que tienen respuesta verificable.

Pregunta 1: ¿quién es quién?

En el RGPD, tú eres el responsable del tratamiento. Decides para qué y cómo se tratan los datos de tu cliente. Eso no lo cambia ninguna herramienta que uses.

El proveedor de la IA, cuando procesa esos datos siguiendo tus instrucciones, actúa como encargado del tratamiento. Y aquí aparece el artículo 28, que es taxativo: el tratamiento por el encargado se regirá por un contrato que le vincule respecto del responsable y que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de interesados y las obligaciones del responsable.

Ese contrato tiene que decir, como mínimo, que el encargado tratará los datos únicamente siguiendo tus instrucciones, que garantiza la confidencialidad, que aplica las medidas del artículo 32, que no subcontrata sin tu autorización, que te ayuda con los derechos de los interesados y que suprime o devuelve los datos al terminar.

La pregunta práctica es sencilla: ¿tienes firmado ese contrato con el proveedor?

En los planes empresariales de los grandes proveedores de IA existe la posibilidad de suscribirlo. En los planes personales y de consumo, por lo general no. Y sin ese contrato, el artículo 28 no está cumplido. No es una interpretación restrictiva: es lo que dice la norma.

Pregunta 2: ¿dónde se procesan?

El capítulo V del RGPD, artículos 44 y siguientes, condiciona cualquier transferencia de datos a un tercer país. Necesitas una decisión de adecuación, garantías adecuadas —cláusulas contractuales tipo, normas corporativas vinculantes— o una de las excepciones tasadas del artículo 49.

Con Estados Unidos existe hoy un marco de adecuación —el Data Privacy Framework—, al que muchos proveedores están adheridos. Eso resuelve la base de la transferencia si el proveedor concreto está certificado y el tratamiento entra dentro de su certificación. Es una comprobación que se hace en dos minutos consultando la lista pública, y que casi nadie hace.

Y hay que recordar el precedente: el marco anterior, el Privacy Shield, fue anulado por el Tribunal de Justicia de la Unión Europea en 2020, en la sentencia conocida como Schrems II. Los marcos de adecuación pueden caer. Apoyar toda tu estrategia de cumplimiento en uno de ellos es apoyarla en algo que ya se ha caído antes.

Pregunta 3: ¿qué pasa con el contenido después?

Aquí conviene separar tres cosas que se mezclan constantemente:

Entrenamiento. ¿Se usan tus conversaciones para mejorar el modelo? En los planes empresariales, normalmente no. En los personales, a menudo sí salvo que lo desactives. Este es el punto que todo el mundo conoce.

Conservación. Aunque no entrenen, ¿cuánto tiempo guardan la conversación? Suele haber una retención de días o semanas para moderación y abuso, y accesos de personal en casos concretos. Que no entrenen no significa que no guarden.

Subencargados. ¿Quién más toca ese dato? Proveedores de infraestructura, de moderación, de observabilidad. Cada uno es un subencargado que el artículo 28.2 exige autorizar.

Desactivar el entrenamiento es una buena medida. No es cumplimiento. Es una de las tres, y ni siquiera la que más superficie de riesgo tiene.

Pregunta 4: ¿y el secreto profesional?

Esta es la capa que se olvida, y es la que puede doler más.

El artículo 542.3 de la LOPJ establece que los abogados deberán guardar secreto de todos los hechos o noticias de que conozcan por razón de cualquiera de las modalidades de su actuación profesional, sin que puedan ser obligados a declarar sobre ellos. El Estatuto General de la Abogacía lo desarrolla como deber deontológico.

El secreto profesional no es un derecho tuyo, es del cliente. No puedes renunciar a él por comodidad, y cumplir el RGPD no te libera: son dos regímenes distintos que se aplican a la vez. Un tratamiento puede ser correcto en términos de protección de datos y seguir siendo una infracción deontológica si has expuesto información confidencial del cliente a un tercero sin necesidad.

Y ojo con la categoría del dato. En un expediente de familia, laboral o penal hay habitualmente datos del artículo 9: salud, vida sexual, ideología, condenas. Ahí la exigencia sube de nivel y las bases jurídicas disponibles se estrechan mucho.

Lo que suele pasar en la práctica

Nadie hace esto con mala fe. Lo que pasa es más humano: son las nueve de la noche, hay que entregar mañana, el resumen de esos cuarenta folios te ahorra dos horas, y la ventana de chat está ahí abierta.

El problema es que la decisión se toma en tres segundos y sus consecuencias duran años. Y no hay marcha atrás: una vez enviado el texto, no existe un botón que lo deshaga.

La salida es más simple de lo que parece

Toda esta cadena de preguntas —encargado, contrato, transferencia, retención, secreto— arranca en un único punto: que en el texto haya datos personales.

Quita los datos personales y la cadena entera se desactiva. Un documento sin nombres, sin DNI, sin direcciones, sin números de cuenta, sin números de procedimiento y sin datos de salud identificables ya no es un dato personal. No hay comunicación de datos, no hace falta el artículo 28, no hay transferencia internacional que legitimar y no hay secreto profesional comprometido, porque no hay nada que identifique al cliente.

Y lo bueno es que no pierdes nada de valor. Lo que quieres de la IA es el análisis: la estructura del escrito, la coherencia de la argumentación, el resumen, las contradicciones entre declaraciones, la línea de defensa. Nada de eso necesita saber que tu cliente se llama Juan Antonio. Funciona exactamente igual con [ACTOR_1].

Cómo lo resuelve Anonimizator

Anonimizator existe precisamente para poner ese paso intermedio y que deje de ser una fricción.

Subes el PDF o el Word. En segundos tienes el documento con el formato intacto —mismas páginas, misma maquetación, mismos sellos y encabezados— y con los datos personales sustituidos por etiquetas coherentes. Ese documento es el que llevas a la IA que quieras.

El procesamiento se hace en servidores de la Unión Europea, con el modelo alojado en la UE. El documento original se borra inmediatamente después de procesarse: no queda copia. Y si necesitas volver a los nombres reales para presentar el escrito, te descargas el Excel de equivalencias y lo deshaces en un clic.

Hay además un detalle que resuelve el problema de raíz para quien trabaja con Claude o ChatGPT a diario: el conector. Con tu URL personal conectas Anonimizator a tu asistente y le das una instrucción permanente — nunca leas un documento del despacho directamente; pásalo primero por Anonimizator. A partir de ahí el flujo es automático y no depende de que te acuerdes a las nueve de la noche.

---

La pregunta correcta no es «¿es legal usar IA en un despacho?». Es legal y es una ventaja competitiva enorme. La pregunta es qué le estás enseñando. Y esa sí la controlas tú, entera.