IA, Derecho y empresa en Madrid: por qué el debate institucional ya no puede ignorar la privacidad

La celebración en Madrid de un Congreso sobre IA, Derecho y empresa, con participación directa del Ayuntamiento, confirma algo que en los despachos se percibe desde hace tiempo: la inteligencia artificial ha dejado de ser un experimento periférico para convertirse en un tema estructural de política jurídica y económica. Que el alcalde inaugure un foro de este tipo no es solo un gesto institucional; es la constatación de que la Administración local quiere estar presente en el debate sobre cómo se integran estas tecnologías en el tejido empresarial y profesional de la ciudad.

Sin embargo, el interés público por la IA suele llegar acompañado de una cierta simplificación: se habla de ‘automatizar’, ‘agilizar’ o ‘transformar’ sin entrar en la cuestión incómoda de fondo para los juristas: ¿dónde se está ejecutando realmente la IA que vamos a incorporar en el despacho? ¿En qué servidores? ¿Con qué proveedores? ¿Bajo qué jurisdicción y con qué trazabilidad del dato? Para la empresa media quizá sean preguntas técnicas; para quien trabaja con secreto profesional, confidencialidad reforzada o datos especialmente sensibles, son preguntas nucleares.

Buena parte de las soluciones que hoy se presentan en congresos de IA para el sector legal siguen el mismo patrón: un modelo generalista en la nube, operado por un gran proveedor internacional, al que se le añaden ‘instrucciones’ o un envoltorio vertical para que parezca una herramienta jurídica. El propio material de AbogaTIC lo formula sin rodeos: muchos competidores intentan «convertir un modelo generalista en ‘abogado’ mediante un prompt». Es una forma legítima de aproximarse al problema, pero no responde necesariamente a las exigencias de privacidad real que impone el ejercicio profesional de la abogacía y el cumplimiento normativo en Europa.

Frente a ese enfoque, HAL9000.Legal representa deliberadamente otro modelo. No se apoya en una API externa de un tercero ni subcontrata el procesamiento a grandes proveedores de IA genérica: «el resto de IA jurídicas procesan preguntas y respuestas en servidores de terceros. Nosotros procesamos en servidores propios, de nuestra propiedad, sin subcontratar con OpenAI (ChatGPT), Google (Gemini) ni ningún otro proveedor. Y en España». Esa decisión técnica tiene consecuencias jurídicas claras: el despacho sabe en qué territorio se ubican los servidores, bajo qué jurisdicción operan y quién es el responsable directo del tratamiento.

La clave, no obstante, no es solo ‘dónde’ se ejecuta la IA, sino ‘cómo’ se integra en el flujo de trabajo jurídico. HAL9000 no se presenta como asesor, sino como herramienta de apoyo. Sus propios Términos lo remarcan: HAL9000.Legal «no sustituye el criterio profesional ni constituye asesoramiento jurídico» y «el usuario es responsable del uso de los resultados y de su adecuación al caso concreto». Se asume expresamente que los resultados son generados de forma automática y que, aunque existan mecanismos para minimizar errores, el profesional debe verificar y validar antes de utilizar cualquier salida en su práctica.

Eso enlaza con otra dimensión que el Congreso de IA, Derecho y empresa no debería pasar por alto: la trazabilidad del razonamiento. El desarrollo de HAL9000 parte de un modelo base de alto nivel, pero incorpora un post‑entrenamiento interno propio «para adaptarlo al razonamiento jurídico y para que trabaje con más prudencia, más fidelidad al texto y menos errores críticos». Está entrenado para no inventar lo que no consta en el texto, para separar hechos, alegaciones, fundamentos y fallo, y para reconocer sus propios límites. No se promueve, por tanto, un uso ‘ciego’ de la herramienta, sino una supervisión humana activa con un modelo alineado con la lógica procesal y doctrinal.

En el plano estrictamente tecnológico, el informe interno de auditoría de privacidad de HAL9000, publicado por AbogaTIC, aporta un nivel de detalle poco habitual en este tipo de soluciones. El sistema se ha diseñado para operar «en un entorno privado del cliente, con procesamiento local de documentos jurídicos y control estricto de los datos». Esto incluye una interfaz web local, secretos y endpoints fuera del navegador, historial controlado en el propio entorno del cliente y un proxy de acceso hacia los servicios internos. Los modelos utilizados son open‑source servidos en infraestructura local; «al ejecutarse íntegramente en el entorno del cliente, no existe canal de envío a terceros ni uso de datos para entrenamiento externo».

Más allá de la afirmación general de privacidad, el documento describe medidas concretas: el volumen de uploads está cifrado en reposo mediante LUKS; existe una política de minimización con eliminación física de archivos una vez indexados; y se articulan identificadores internos que permiten auditoría y purga. Servicios auxiliares como el OCR de PDFs o la transcripción de vídeo (por ejemplo, con Whisper en contenedor local) funcionan en directorios temporales y eliminan los archivos al finalizar, sin conservar copias permanentes. La política de logs se limita a eventos técnicos mínimos y excluye contenidos sensibles como prompts, documentos o transcripciones.

Todo ello se combina con un modelo de negocio alineado con esa misma filosofía de control: HAL9000 funciona en servidores propios de Abogacía Tecnológica o en el propio despacho, «sin conexión externa para tus documentos y prompts». La empresa no almacena datos de tarjeta y limita el tratamiento de datos personales a lo estrictamente necesario para facturar y cumplir las obligaciones fiscales. La política de reembolsos reconoce la naturaleza de servicio digital de ejecución inmediata, pero abre la puerta al reembolso en caso de insatisfacción razonada o fallos técnicos, lo que introduce un cierto contrapeso para el usuario profesional que decide probar la herramienta.

En definitiva, cuando la Administración local impulsa foros sobre IA, Derecho y empresa, la cuestión clave para la abogacía y el asesoramiento corporativo no es solo ‘si’ incorporar IA, sino ‘en qué condiciones’. Es legítimo apostar por soluciones en la nube cuando el riesgo es reducido y la sensibilidad de los datos es limitada. Pero para ciertos usos —litigios complejos, documentación interna estratégica, procedimientos con datos especialmente protegidos— parece razonable exigir estándares distintos: ejecución en entorno controlado, ausencia de subcontratación oculta, trazabilidad del flujo de datos y una arquitectura pensada desde el principio para respetar el secreto profesional. HAL9000.Legal es un ejemplo de cómo esa exigencia puede traducirse en decisiones técnicas y contractuales concretas, más allá de los eslóganes.

La noticia completa sobre la inauguración del Congreso IA Derecho y Empresa por parte del alcalde Almeida puede consultarse en la web oficial del Ayuntamiento de Madrid: https://www.madrid.es