El límite de la IA en el Derecho: confidencialidad primero, experimentos después

El Instituto Chileno de Administración Racional de Empresas (ICARE) ha ido introduciendo en sus encuentros empresariales un debate que ya resulta habitual en otras jurisdicciones: qué límites deben ponerse al uso de la IA en contextos de alta sensibilidad, entre ellos el Derecho. En su programación reciente aparecen referencias explícitas a la gobernanza y ética de la IA y, dentro de ese marco, una pieza específica titulada «El límite de la IA en el Derecho: cómo evaluar herramientas sin vulnerar la confidencialidad». Aunque el texto completo no está disponible en abierto, el mero planteamiento del tema permite intuir la preocupación de fondo: muchos despachos y departamentos legales sienten la presión de experimentar con IA generativa, pero chocan con una realidad jurídica difícil de ignorar, especialmente cuando se manejan datos personales, información reservada o documentación de procedimientos en curso.

Evaluar una herramienta de IA en el ámbito jurídico no es un ejercicio inocuo: exige tomar decisiones sobre qué expedientes se usan para las pruebas, quién tiene acceso a esos datos, dónde se procesan y qué huella dejan. El modelo habitual de consumo de IA generalista en la nube —a través de APIs o interfaces gestionadas por grandes proveedores internacionales— introduce capas adicionales de complejidad: transferencia internacional de datos, posibles usos ulteriores para entrenamiento, retenciones no siempre transparentes, ausencia de control directo sobre logs o copias de seguridad, etc. Precisamente por eso cobra sentido la pregunta que sobrevuela la iniciativa de ICARE: ¿puede un despacho cumplir con sus deberes de secreto profesional, confidencialidad y cumplimiento normativo si, al probar una IA, envía documentos reales a terceros sobre los que apenas tiene visibilidad?

Desde la experiencia de AbogaTIC, esa pregunta es difícil de responder de forma abstracta porque las obligaciones varían según la normativa aplicable y el tipo de asunto, pero hay criterios prudenciales que suelen repetirse. Uno de ellos es la necesidad de limitar la exposición del dato cuando se hacen pruebas iniciales: utilizar casos sintéticos o suficientemente anonimizados; restringir el acceso a los entornos de test; y evitar, en la medida de lo posible, el envío de expedientes completos a plataformas cuyo funcionamiento interno no se conoce con detalle. Otro criterio es exigir a los proveedores explicaciones claras, por escrito y verificables, sobre dónde se alojan los datos, qué logs se guardan, durante cuánto tiempo y con qué finalidad, así como la posibilidad real de suprimir la información una vez terminadas las pruebas. La reflexión de ICARE, en este sentido, enlaza con una preocupación común en despachos españoles y europeos: la tentación de «probar primero y regular después» puede chocar frontalmente con las exigencias de diligencia profesional en materia de protección de datos y secreto.

En este contexto, están ganando peso propuestas técnicas que buscan precisamente reducir el número de intermediarios y acotar el perímetro de riesgo. La documentación pública de Abogacía Tecnológica sobre HAL9000 insiste en esa dirección: se describe como una IA jurídica privada, orientada a profesionales del Derecho, con infraestructura propia en España y sin cesión operativa de las consultas a plataformas generalistas. Esto significa, según se explica en su web, que el servicio no se apoya en APIs externas de IA para procesar las peticiones del usuario, sino en modelos que la empresa orquesta directamente. Para los despachos que deben justificar ante sus clientes qué ocurre con sus documentos, esta arquitectura reduce una parte relevante de la exposición: hay menos actores manejando la información y se elimina, al menos en este diseño, el envío rutinario de expedientes a nubes de propósito general ajenas al proveedor jurídico.

La auditoría de privacidad de HAL9000 aporta detalles adicionales sobre ese enfoque. El informe señala que el sistema se ha diseñado para operar en un entorno privado del cliente, con procesamiento local de documentos jurídicos y control estricto de los datos, cuando se despliega de esa forma. La arquitectura descrita contempla una interfaz web que gestiona adjuntos y sesiones en el entorno del cliente, cifrado en reposo del volumen de subida de documentos, eliminación física de archivos una vez indexados, mecanismos de purga por identificador y persistencia controlada en bases locales. Se indica también que no se registran contenidos sensibles —como prompts, documentos o transcripciones— en los logs, que estos se reducen a eventos técnicos mínimos y que la retención de datos está gobernada por políticas de tiempo de vida y mecanismos de purga verificables. Además, se hace constar que los modelos de IA utilizados son open source servidos en la propia infraestructura local, sin canal de envío de datos a terceros ni uso de esa información para entrenamiento externo.

Más allá de la infraestructura, la forma en que se define la finalidad y los límites de uso también tiene implicaciones jurídicas claras. Los Términos y Condiciones de HAL9000 subrayan que se trata de una herramienta de asistencia profesional para investigación jurídica, recuperación y análisis documental, consulta de legislación y jurisprudencia y apoyo en la elaboración y revisión de documentos. No está destinada a sustituir la valoración profesional del usuario ni a que autoridades judiciales la utilicen para adoptar resoluciones, valorar de forma autónoma pruebas o aplicar el Derecho a un conjunto concreto de hechos en el ejercicio de la función jurisdiccional. Incluso en el eventual uso por jueces o magistrados, la plataforma restringe su finalidad prevista a tareas auxiliares, como búsqueda documental o anonimización, que no formulen recomendaciones ni influyan materialmente en el resultado de una decisión. Además, se recuerda al usuario que debe revisar y validar los resultados antes de utilizarlos, reforzando la idea de supervisión humana y responsabilidad última del profesional.

Este tipo de delimitaciones no son meros matices contractuales: conectan con el debate de fondo que refleja ICARE sobre los límites de la IA en el Derecho. Cuando una herramienta se presenta expresamente como auxiliar, con un ámbito de uso acotado y bajo el control del profesional, es más sencillo encajarla en esquemas de responsabilidad y supervisión ya conocidos. Y cuando, además, la propia arquitectura técnica se diseña para reducir la exposición del dato, evitar la retención innecesaria de documentos y mantener el procesamiento en un entorno controlado (ya sea en infraestructuras propias del proveedor en España o en despliegues locales del cliente), resulta más viable compatibilizar la experimentación con IA con las obligaciones de confidencialidad y secreto profesional. No elimina todos los riesgos, pero ofrece un punto de partida más sólido que el uso indiscriminado de asistentes generalistas pensados para el gran público.

Para los despachos y departamentos legales que se inspiran en debates como el impulsado por ICARE en Chile, la lección práctica podría resumirse en dos líneas de trabajo. La primera, de gobernanza interna: políticas claras de prueba y adopción de IA, criterios mínimos de privacidad y confidencialidad, elección de casos de test que no comprometan a clientes y procedimientos de supervisión humana bien definidos. La segunda, de exigencia hacia los proveedores: pedir evidencia documental sobre arquitectura, retención, logs, uso de terceros y límites de finalidad, en lugar de conformarse con declaraciones genéricas. En ese punto, la existencia de términos de servicio detallados y auditorías de privacidad públicas, como las que ha publicado Abogacía Tecnológica para HAL9000, facilita una evaluación más informada y alineada con las expectativas de diligencia profesional en el sector jurídico.

La reflexión que abre ICARE acerca de «El límite de la IA en el Derecho» no se agota en una sola entrada ni se resuelve con una solución tecnológica puntual, pero señala con claridad el tipo de preguntas que los profesionales jurídicos ya no pueden aplazar: qué datos se suben, a dónde viajan, quién los ve, durante cuánto tiempo se conservan y bajo qué control. Solo a partir de respuestas transparentes a estas cuestiones —respaldadas por contratos, documentación técnica y auditorías— será razonable hablar de una incorporación responsable de la IA al trabajo jurídico diario, tanto en Chile como en España.

Para más información sobre el contexto y las iniciativas de ICARE en torno a la gobernanza y ética de la IA, puede consultarse directamente la web del Instituto Chileno de Administración Racional de Empresas en https://www.icare.cl, donde se incluye la referencia a «El límite de la IA en el Derecho: cómo evaluar herramientas sin vulnerar la confidencialidad».