Modelo
Modelo de política de uso de IA para despachos y asesorías
Por Hugo Ribeiro · Actualizado el · 7 min de lectura
En la mayoría de los despachos la IA ya se usa, casi siempre sin reglas escritas. El riesgo no está en la herramienta, sino en que cada persona decida sola qué puede enviar. Una política breve lo resuelve y deja constancia de que el despacho lo ha pensado.
En qué se apoya
- Secreto profesional de cada profesión: los hechos y documentos del cliente no se revelan a terceros. Vea IA y secreto profesional.
- RGPD: responsabilidad proactiva (artículo 5.2), contrato con quien trata datos por su cuenta (artículo 28) y medidas de seguridad adecuadas, entre ellas la seudonimización (artículo 32).
- Reglamento de IA (Reglamento (UE) 2024/1689), artículo 4: las organizaciones que usan IA deben adoptar medidas para que su personal tenga un nivel suficiente de alfabetización en IA. La redacción se ajustó en 2026 con el paquete Ómnibus Digital, pero la obligación de adoptar medidas se mantiene.
Modelo (copie y adapte)
Política de uso de inteligencia artificial
[Nombre del despacho] · Versión 1 · [fecha]
1. Ámbito. Se aplica a todos los socios, empleados y personal en prácticas, y a cualquier herramienta de IA generativa usada en trabajo del despacho.
2. Herramientas autorizadas. Solo pueden usarse las herramientas de la lista anexa, con cuentas del despacho. No se usan cuentas personales ni versiones gratuitas para trabajo de clientes. Una herramienta nueva solo entra en la lista tras la aprobación de [responsable].
3. Datos que nunca se envían. No se envían a herramientas de IA datos que identifiquen a clientes, a sus trabajadores o a terceros: nombres, NIF, NIE y CIF, números de la Seguridad Social, IBAN, direcciones, contactos, números de expediente, matrículas. No se envían contraseñas ni credenciales.
4. Preparación de los documentos. Antes de enviar un documento de cliente, los identificadores se sustituyen por códigos (seudonimización) en un ordenador del despacho, con [herramienta]. La tabla de correspondencia no sale del despacho. Quien envía confirma que no ha quedado ningún identificador visible.
5. Revisión humana. Ninguna respuesta de IA se remite al cliente, a la Agencia Tributaria, a un juzgado o a otra entidad sin la revisión de un profesional del despacho, que responde de su contenido. Las citas de leyes, sentencias e importes se comprueban siempre en la fuente.
6. Registro. El despacho conserva la lista de herramientas autorizadas, sus contratos y la fecha de cada revisión de esta política.
7. Formación. Todo el personal recibe formación sobre esta política y sobre los límites de la IA al incorporarse y, al menos, una vez al año.
8. Incidentes. Quien envíe por error datos identificables lo comunica de inmediato a [responsable], que valora si hay una brecha de datos que notificar.
9. Información al cliente. La hoja de encargo o la política de privacidad del despacho informan de que se usan herramientas de IA y en qué condiciones.
10. Revisión. Esta política se revisa cada año o cuando cambien la ley, los criterios del colegio profesional o las herramientas usadas.
Leído y aceptado: [nombre, fecha, firma]
Cómo adaptarlo
- Punto 2: escriba los nombres exactos de las herramientas y de los planes contratados. "ChatGPT" no basta; la versión gratuita y la de empresa tienen condiciones distintas.
- Punto 3: añada lo propio de su área, por ejemplo datos de salud en asuntos de seguros o datos de menores en asuntos de familia.
- Punto 4: es el que hace practicable la política. Si la única regla es "no enviar", la gente deja de usar IA o la usa a escondidas. Con un paso de seudonimización, el trabajo se hace y los datos se quedan.
- Punto 9: confirme el texto con su colegio profesional o con su delegado de protección de datos.
Este modelo es un punto de partida y no sustituye el asesoramiento jurídico para su caso.
Dónde entra Velado
Velado es la herramienta del punto 4: cambia los identificadores por códigos en el ordenador del despacho, guarda la tabla en una bóveda local y restaura los datos en la respuesta. Como la IA solo recibe códigos, los puntos 3 y 4 se cumplen sin cambiar la forma de trabajar. Puede probarlo en el navegador o ver cómo funciona para asesores y para abogados.
Preguntas frecuentes
¿Un despacho pequeño necesita de verdad una política escrita?
Necesita poder demostrar lo que hace. El RGPD exige al responsable del tratamiento que demuestre el cumplimiento (artículo 5.2), y una página firmada por todos es la forma más sencilla. También evita que cada persona decida por su cuenta qué puede pegar en ChatGPT.
¿Tengo que pedir autorización al cliente para usar IA?
Si los datos enviados no permiten identificar al cliente, la cuestión del secreto no se plantea igual. Si envía datos identificables, los está revelando a un tercero y necesita base para ello: consúltelo con su colegio profesional y valore una cláusula en la hoja de encargo.
¿La política debe prohibir las cuentas gratuitas?
Es la regla más habitual. Las versiones gratuitas y personales no suelen tener contrato de encargo del tratamiento ni garantías sobre el uso de los datos para entrenamiento. El modelo solo autoriza cuentas del despacho.
¿Qué es la alfabetización en IA?
Es la obligación del artículo 4 del Reglamento de IA: las organizaciones que usan sistemas de IA deben adoptar medidas para que quien los usa tenga conocimientos suficientes. Una sesión de formación interna y esta política leída y firmada son un buen comienzo.
Pruébelo con un documento suyo
Velado funciona en el navegador, en su ordenador: no se envía nada a ningún servidor.