Manuel Asenjo. CIO/CISO/CAIO en Ecija | Miembro en Inkietos | Advisory en GLTH
La implementación de la inteligencia artificial generativa en el sector legal exige una aproximación técnica y rigurosa frente a los riesgos inherentes a esta nueva tecnología.
Como responsable de tecnología y ciberseguridad en el ámbito jurídico, soy plenamente consciente de que nuestro principal activo no son los sistemas informáticos, sino la información confidencial y la confianza que nuestros clientes depositan en nosotros. No invertir los recursos necesarios para proteger estos activos expone a cualquier firma a un riesgo inasumible de ruina profesional.
La adopción corporativa de la IA presenta desafíos críticos que debemos gobernar:
Privacidad y soberanía del dato: El uso de herramientas generalistas implica habitualmente que los datos se procesen en servidores ubicados en Estados Unidos u otros países fuera de la Unión Europea. Introducir datos personales en estas plataformas supone una vulneración directa del Reglamento General de Protección de Datos.
Falsedad documental: Las inteligencias artificiales pueden generar respuestas incorrectas o inventar datos si carecen de las fuentes originales. Un claro ejemplo de este riesgo es el caso del abogado estadounidense que enfrentó graves repercusiones tras presentar en una demanda jurisprudencia inexistente generada por una IA.
Control de accesos internos: Algunas IA’s tienen la capacidad de indexar automáticamente la información disponible en el entorno de cada usuario. Si la documentación de un despacho no está correctamente segmentada, la herramienta puede exponer información confidencial interna a empleados que no deberían tener acceso a ella.
Objetivo de ciberataques dirigidos: Los despachos somos un objetivo prioritario para las redes criminales, ya que la información sensible que custodiamos posee un alto valor en el mercado negro para realizar extorsiones.
IA en la sombra (shadow AI): Cuando la firma no ofrece una herramienta corporativa, los profesionales recurren a cuentas personales de servicios gratuitos para redactar, traducir o resumir documentos. Prohibir sin ofrecer una alternativa no elimina el uso: lo vuelve invisible y, por tanto, imposible de controlar
Manipulación de las instrucciones (prompt injection): Un documento aportado por la parte contraria o descargado de data room puede contener instrucciones ocultas, invisibles para el lector humano, diseñadas para alterar el comportamiento del asistente. El resultado puede ser un resumen que omite una cláusula relevante o una conclusión sesgada. Cuanta más autonomía concedemos a la herramienta, mayor es la superficie de ataque
Ingeniería social de nueva generación: Los atacantes también utilizan IA. Los correos fraudulentos ya no contienen faltas de ortografía y la clonación de voz permite suplantar a un socio o a un cliente para ordenar una transferencia urgente o solicitar documentación. La verificación por un segundo canal ha pasado de ser una buena práctica a ser imprescindible.
Estrategia a medida
Para abordar estos riesgos con eficacia, la estrategia debe adaptarse a la dimensión y los recursos de cada firma:
En los grandes despachos: Estas organizaciones requieren una gobernanza estructurada, apoyándose en normativas y certificaciones internacionales como la ISO 42001. Su cumplimiento implica mantener un control estricto sobre los desarrollos y usos, documentando rigurosamente los procesos y llevando un registro interno de los fallos o "alucinaciones" que presentan los sistemas para reportarlos y mejorar la seguridad.
El reto principal es mantener este control sin burocratizar en exceso la toma de decisiones.
En los despachos pequeños y medianos: Su principal ventaja competitiva es la agilidad operativa. Para mantener la seguridad sin realizar inversiones desproporcionadas en infraestructuras propias, resulta fundamental que adopten inteligencias artificiales verticales diseñadas específicamente para el sector legal.
Estas soluciones incorporan instrucciones subyacentes o metaprompts que limitan el perímetro de las respuestas (guardarraíles), obligando a la máquina a mantener el rigor jurídico y a basarse exclusivamente en la normativa local o europea correspondiente. Además, hay soluciones para todos los bolsillos.
Con independencia del tamaño de la firma, existe un marco normativo y deontológico que no admite excepciones:
El Reglamento Europeo de Inteligencia Artificial: El Reglamento (UE) 2024/1689 obliga a cualquier organización que utilice sistemas de IA en su actividad, en su condición de responsable del despliegue, a adoptar medidas de alfabetización en IA de su personal desde el 2 de febrero de 2025. La reforma introducida por el Reglamento (UE) 2026/1744, conocido como Ómnibus digital, ha reformulado esta obligación: ya no exige garantizar un nivel concreto de capacitación para cada persona, sino adoptar medidas para apoyarla
. Lejos de relajar la exigencia, el cambio traslada el foco a nuestra capacidad para acreditar qué formación se ha impartido, a quién y cuándo.
El secreto profesional: El Estatuto General de la Abogacía Española, aprobado por el Real Decreto 135/2021, dedica al secreto profesional una regulación detallada. Su artículo 22 lo extiende a los hechos, comunicaciones, datos, documentos y propuestas que conocemos en el ejercicio de la profesión, y alcanza también a quienes colaboran con nosotros. Introducir el escrito de un cliente en una herramienta no autorizada es, por tanto, mucho más que un descuido técnico: puede constituir una vulneración de un deber deontológico.
El proveedor como encargado del tratamiento: Cuando un proveedor de IA procesa datos personales por cuenta del despacho, el contrato debe cumplir los requisitos del artículo 28 del Reglamento General de Protección de Datos. Esto obliga a leer con detenimiento la letra pequeña: dónde se procesan los datos, durante cuánto tiempo se conservan, qué subencargados intervienen y, sobre todo, si el proveedor se reserva el derecho a utilizar nuestras consultas para entrenar sus modelos.
