APEP·IA, privacidad y abogados: por qué la IA jurídica necesita menos ruido y más control

La noticia de El Derecho sobre el encuentro de APEP·IA en Madrid, con más de 400 expertos analizando el futuro de la privacidad en la era de la IA, encaja en una tendencia clara: los grandes debates sobre inteligencia artificial ya no se centran exclusivamente en la capacidad técnica de los modelos, sino en su encaje con el marco normativo europeo, la protección de datos personales y la preservación de garantías básicas en sectores especialmente sensibles, como el jurídico. Para los despachos, esto se traduce en preguntas muy concretas: dónde se procesan los expedientes, qué terceros acceden a la información, cómo se documentan las decisiones automatizadas y qué margen real tiene el profesional para controlar el uso de los datos.

En la práctica cotidiana del abogado, el riesgo no es teórico. Muchas soluciones de IA generalistas operan íntegramente en la nube de proveedores globales y procesan prompts y documentos en infraestructuras sobre las que el despacho tiene un control limitado, tanto desde el punto de vista técnico como contractual. En paralelo, los reguladores europes están subrayando la importancia de la privacidad desde el diseño, la minimización de datos y la claridad sobre los flujos de información y las posibles transferencias internacionales. De ahí que las discusiones en eventos como el de APEP·IA se estén desplazando hacia modelos de gobernanza del dato más exigentes, que resulten compatibles con el RGPD, el futuro marco de IA y, muy especialmente, con el estándar reforzado de confidencialidad propio de la abogacía.

En este contexto, han ido ganando peso las aproximaciones basadas en infraestructuras privadas o controladas por el propio despacho. HAL9000.Legal, desarrollado por Abogacía Tecnológica, se sitúa en esa línea: según su documentación pública, se trata de una IA jurídica privada que procesa preguntas y documentación en servidores propios en España o en el entorno del cliente, sin utilizar APIs externas de terceros como OpenAI (ChatGPT) o Google (Gemini) para el procesamiento de los casos. Esta decisión de diseño reduce de forma significativa la exposición de la información sensible en infraestructuras ajenas y acota los riesgos asociados a la cesión de datos y al entrenamiento externo con información de clientes.

El informe interno de auditoría de privacidad de HAL9000 aporta más detalle sobre esa arquitectura. Describe una interfaz web local que gestiona adjuntos y sesiones, manteniendo secretos y endpoints internos fuera del navegador; un flujo de procesamiento en el que OCR, embeddings, búsqueda y transcripción se ejecutan dentro del entorno privado, y una persistencia controlada en bases de datos locales (vectoriales y de archivos). Los documentos subidos se almacenan cifrados en reposo mediante LUKS, se eliminan físicamente una vez indexados y cuentan con identificadores que permiten su auditoría y purga, lo que se aproxima a la lógica de minimización y control que suele discutirse en foros de privacidad. Además, el motor de inferencia (vLLM) está configurado, según ese informe, sin registro de prompts ni respuestas en los logs, limitando los trazos técnicos a lo estrictamente necesario para el mantenimiento.

Otro aspecto relevante, en línea con las preocupaciones que previsiblemente se abordaron en APEP·IA, es la naturaleza de los modelos utilizados. HAL9000.Legal declara que trabaja con modelos open‑source servidos en infraestructura local (por ejemplo, un modelo principal Qwen3.5 122B‑10B y un reranker Qwen3.5 2B para reordenación jurídica), sin que exista un canal de envío de datos a terceros ni un uso de la información del cliente para entrenamiento externo. Esto no elimina la necesidad de un análisis de impacto y de medidas organizativas adecuadas por parte del despacho, pero ofrece un marco más sencillo de auditar y documentar que el de una solución completamente externalizada.

Desde el punto de vista jurídico, es igualmente relevante la configuración de responsabilidades. En sus Términos del Servicio, Abogacía Tecnológica deja claro que HAL9000.Legal es una herramienta de apoyo basada en IA que no sustituye el criterio profesional ni constituye asesoramiento jurídico. La compañía advierte de que no puede garantizar la exactitud o adecuación de las respuestas a casos concretos y que el usuario es quien debe verificar y validar los resultados antes de su uso profesional, asumiendo la responsabilidad sobre las decisiones que adopte. Este recordatorio enlaza con uno de los mensajes recurrentes en los foros sobre IA y privacidad: la necesidad de mantener la supervisión humana efectiva y de documentar que el profesional no delega ciegamente en la máquina la toma de decisiones relevantes.

La combinación de estos elementos —procesamiento en servidores propios o del cliente en España, ausencia de subcontratación con modelos de IA genérica para el núcleo del servicio, medidas de cifrado y eliminación física de documentos, y un rol bien definido para la supervisión humana— ilustra una posible respuesta práctica a muchas de las inquietudes que probablemente se hayan puesto sobre la mesa en el encuentro de APEP·IA. No se trata de una solución mágica ni de un atajo regulatorio: cada organización sigue obligada a analizar sus flujos de datos, sus bases jurídicas y sus propios riesgos. Pero herramientas como HAL9000.Legal muestran que es técnicamente viable acercar la arquitectura de IA al estándar de confidencialidad y control que se espera de un despacho profesional, en lugar de adaptar el estándar a las limitaciones de la nube generalista.

Para quien quiera profundizar en el contexto y el alcance del evento, la información de referencia sobre el encuentro de APEP·IA en Madrid puede consultarse en el portal El Derecho, dentro de su sección de actualidad jurídica, bajo el título «APEP·IA reúne en Madrid a más de 400 expertos para definir el futuro de la privacidad en la era de la IA», disponible en https://elderecho.com.