Política de uso de IA en un despacho: qué debe decir

Una política de uso de IA en un despacho debe fijar tres cosas: qué información de cliente no puede introducirse en servicios sin acuerdo firmado, la obligación de verificar toda cita y jurisprudencia en fuente primaria, y el registro del uso de IA en cada asunto. El resto de la política —formación, roles, honorarios, comunicación— se construye sobre esas tres.

Escribimos esto desde un cruce poco habitual: somos el brazo de ingeniería de un grupo con firma legal propia. Vemos la IA en los despachos desde los dos lados —el del control técnico que hay que implementar y el del deber profesional que no admite atajos— y esa doble vista cambia por completo qué cláusulas resultan aplicables y cuáles se quedan en decoración.

¿Por qué no vale la política que trae el proveedor?

Porque protege al proveedor. Los términos de un servicio de IA regulan la relación entre el proveedor y su cliente; no regulan la relación entre el despacho y el suyo, que es donde está el deber de secreto profesional, el deber de competencia y la responsabilidad por lo que se presenta ante un tribunal.

Un despacho tiene tres particularidades que ninguna política genérica de empresa cubre:

• El secreto profesional no es una preferencia de configuración. No se puede aceptar un riesgo residual sobre información de cliente del mismo modo que se acepta sobre información interna.
• La salida se presenta ante terceros con firma. Un informe interno erróneo se corrige; un escrito con una cita inexistente ya está en el expediente.
• La responsabilidad no se delega hacia abajo ni hacia la máquina. El letrado que firma responde de todo lo que va dentro.

¿Qué exigen las normas de conducta profesional?

En julio de 2024, el comité de ética de la American Bar Association publicó su primera guía sobre el uso de herramientas de IA generativa por abogados, la Formal Opinion 512. No inventa deberes nuevos: aplica los que ya existían.

Deber profesional	Qué implica con IA generativa
Competencia	Entender qué hace y qué no hace la herramienta que usas, incluidas sus limitaciones conocidas
Confidencialidad	Evaluar si la información del cliente queda expuesta al proveedor o a terceros antes de introducirla
Comunicación con el cliente	Informar cuando el uso de IA sea relevante para el encargo
Veracidad ante el tribunal	Responder de la exactitud de todo lo que se presenta, sin excepción por origen automatizado
Supervisión	Responder del uso que hacen los colaboradores y el personal no letrado
Honorarios razonables	Facturar el tiempo realmente empleado, no el que se habría empleado sin la herramienta

Cada jurisdicción tiene sus propias normas y sus propios colegios, y este artículo no sustituye el criterio del profesional responsable en la suya. Pero la estructura de deberes se repite: competencia, secreto, veracidad y supervisión aparecen en todos los códigos deontológicos relevantes. Una política que cubra esos cuatro ejes es portable.

Cláusula 1: qué información no entra en un servicio de IA

Es la cláusula que hay que redactar primero y la única que conviene escribir en negativo. Las prohibiciones se recuerdan; las recomendaciones no.

Redacción operativa:

Queda prohibido introducir en cualquier servicio de IA que no figure en la lista de servicios autorizados: identidad de clientes o contrapartes, documentos del expediente, comunicaciones sujetas a secreto profesional, datos personales de terceros, estrategia procesal, cuantías negociadas y borradores no públicos.

Un servicio se incorpora a la lista de autorizados únicamente cuando existe acuerdo escrito con el proveedor que regule confidencialidad, plazo de retención, exclusión de uso para entrenamiento y jurisdicción de tratamiento, y cuando el responsable de la política ha registrado el sistema en el inventario del despacho.

Tres puntos que se discuten siempre y conviene cerrar por escrito:

• La anonimización no es un salvoconducto. Cambiar los nombres no elimina el riesgo si el caso es identificable por su contexto. En asuntos con repercusión pública, el propio relato de hechos identifica.
• La cuenta personal es peor que la corporativa, no mejor. Sin control de retención ni de acceso, el material queda fuera del alcance del despacho para siempre.
• La lista de servicios autorizados debe existir de verdad, publicada y accesible. Una prohibición sin alternativa autorizada produce incumplimiento silencioso, que es el peor de los resultados: el uso ocurre igual y además nadie lo ve.

Para construir esa lista hace falta saber qué se usa ya. El inventario de sistemas de IA es el paso previo a esta cláusula, no un ejercicio posterior.

Cláusula 2: verificación obligatoria de citas y jurisprudencia

Los modelos generativos producen texto plausible, y una referencia legal inexistente es exactamente eso: plausible. El caso Mata v. Avianca, resuelto en 2023 por un tribunal federal del Distrito Sur de Nueva York, terminó con sanción a los letrados que presentaron un escrito con resoluciones fabricadas y después aportaron extractos igualmente fabricados. Desde entonces, casos similares se han repetido en varias jurisdicciones.

La cláusula tiene que convertir la verificación en un acto con rastro, no en una buena intención:

Toda referencia normativa, jurisprudencial o doctrinal cuyo primer origen haya sido una herramienta de IA debe verificarse en fuente primaria antes de incorporarse a cualquier documento que salga del despacho. La verificación consiste en localizar la resolución o el precepto en el repositorio oficial o en la base de datos contratada, comprobar que existe, que dice lo que se le atribuye y que sigue vigente.

El profesional que firma el documento deja constancia de la verificación en el expediente. La ausencia de constancia equivale a ausencia de verificación.

Dos matices que evitan que la cláusula se vuelva impracticable:

• Se verifica el contenido, no solo la existencia. Una resolución real citada para sostener lo contrario de lo que dice es un problema mayor que una inventada, porque no salta a la vista.
• Se aplica también a la traducción y al resumen. Un resumen automático de una sentencia larga puede invertir el sentido de un fundamento sin alterar ni una cita.

Cláusula 3: registro de uso por asunto

Sin registro, las dos cláusulas anteriores no son verificables ni defendibles. El registro sirve para tres cosas muy concretas: responder al cliente cuando pregunta, reconstruir qué pasó si algo sale mal y facturar con honestidad.

Campos mínimos, anotados en el expediente:

Campo	Contenido
Asunto	Referencia interna del expediente
Herramienta y versión	Servicio concreto de la lista de autorizados
Tarea	Investigación, redacción de borrador, resumen, traducción, revisión documental
Categoría de material introducido	Público, interno anonimizado, material de cliente autorizado
Verificación	Quién verificó y contra qué fuente
Responsable	Profesional que firma el resultado

Un registro de seis campos se rellena en menos de un minuto. Uno de veinte no se rellena nunca; la política que lo exige acaba siendo la que se incumple entera.

El registro solo vale si el entorno donde vive es seguro. Si el despacho aún no tiene resueltos los controles básicos —accesos, autenticación, copias y cifrado—, conviene cerrarlos antes: los repasamos en diez controles de ciberseguridad para un despacho de abogados.

¿Qué otras cláusulas hacen falta?

Cinco más completan una política corta y aplicable:

1. Roles y aprobación. Una persona responsable de la política, con autoridad para autorizar servicios y para retirarlos. Sin nombre, la política no tiene dueño.
2. Supervisión del personal no letrado. Pasantes, administración y proveedores externos quedan sujetos a las mismas reglas, y el letrado responsable del asunto responde de ello.
3. Honorarios. Si una tarea se hace en una hora en lugar de en cuatro, se factura una hora. Conviene decirlo por escrito antes de que lo pregunte un cliente.
4. Información al cliente. Criterio único sobre cuándo se informa, preferiblemente resuelto en la carta de encargo, para no improvisar caso a caso.
5. Formación y consecuencias. Formación de alta obligatoria y consecuencias disciplinarias explícitas. La formación sin consecuencias es un acto informativo; las consecuencias sin formación son injustas.

¿Cómo se aplica sin frenar al despacho?

Una política que prohíbe todo produce clandestinidad. La forma que funciona es graduar por tipo de material, no por tipo de tecnología.

Nivel	Material	Qué se permite
Verde	Fuentes públicas, doctrina publicada, formación interna	Uso libre con servicios autorizados y verificación de citas
Ámbar	Material interno del despacho sin datos de cliente	Uso con servicios autorizados y registro en el expediente
Rojo	Material de cliente, expediente, estrategia, datos sensibles	Solo con servicio autorizado, acuerdo firmado y aprobación del responsable del asunto

Los sistemas que entran en el nivel rojo son los que exigen evaluación de impacto documentada antes de ponerse en producción, sobre todo si intervienen en el flujo de captación o de clasificación de casos.

¿Qué se responde cuando el cliente pregunta?

Cada vez lo preguntan más, y cada vez con más precisión: no "¿usan IA?", sino "¿sale mi información de su despacho, hacia dónde y con qué acuerdo?". Un despacho con las tres cláusulas implantadas responde en tres frases y con evidencia: qué servicios están autorizados, qué material tiene prohibida la entrada y cómo se registra el uso en su asunto.

Un despacho sin política responde con generalidades. La diferencia es visible desde el otro lado de la mesa, y en clientes corporativos con su propio programa de cumplimiento es cada vez más frecuente que forme parte del cuestionario de proveedores. Nosotros publicamos el estado real de cada marco que aplicamos, con etiquetas honestas y sin insinuar certificaciones que no existen, en nuestro centro de confianza; es el mismo criterio que recomendamos a los despachos con los que trabajamos.

Qué hacer ahora

1. Levanta el inventario de lo que ya se usa, con ventana de amnistía. Antes de escribir ninguna norma.
2. Redacta la lista de servicios autorizados y consigue los acuerdos escritos que la sostengan.
3. Escribe la cláusula de prohibición en negativo, con la lista concreta de material vedado.
4. Convierte la verificación de citas en un acto con constancia en el expediente.
5. Añade los seis campos de registro a la ficha de asunto que ya usáis. No crees un sistema paralelo.
6. Forma al equipo, fija consecuencias y revisa la política cada seis meses o al cambiar de proveedor.

Trabajamos esta política junto con la infraestructura que la hace cumplible —control de accesos, registro y flujos con aprobación humana— desde el pilar de compliance y con el enfoque específico para firmas legales. Si quieres partir de un borrador revisable en lugar de una hoja en blanco, escríbenos en contacto.