Protección de datos e IA en asesorías: qué revisar

Cuando un despacho introduce inteligencia artificial (captura de facturas, clasificación de correos, borradores de modelos, chatbots internos), no deja de ser responsable del tratamiento de los datos de clientes, trabajadores y terceros. El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD) siguen aplicando con independencia de que el software se llame "IA". La Agencia Española de Protección de Datos (AEPD) ha publicado orientaciones específicas para tratamientos que incorporan inteligencia artificial.

Este artículo resume qué revisar en una asesoría o gestoría pequeña antes de poner un componente de IA en producción, con fuentes oficiales y un checklist operativo. No sustituye el asesoramiento de un delegado de protección de datos ni de un abogado.

¿Por qué el despacho sigue siendo responsable?

El artículo 4.7 del RGPD define como responsable a quien determina los fines y los medios del tratamiento. Si el despacho decide usar un OCR, un clasificador o un asistente sobre facturas, nóminas o correos de clientes, está determinando fines y medios, aunque el modelo lo suministre un proveedor.

El proveedor que trata datos por cuenta del despacho es, con carácter general, encargado (artículo 4.8 y 28 del RGPD). Esa relación exige un contrato u otro acto jurídico que vincule al encargado y detalle instrucciones, seguridad, subencargados y destino de los datos al terminar el servicio.

La AEPD insiste en que el responsable no puede desplazarse la responsabilidad al "sistema de IA" (AEPD, adecuación al RGPD de tratamientos con IA).

¿Qué dice la AEPD sobre IA y datos personales?

En su documento de febrero de 2020, la AEPD señala, entre otros puntos aplicables a un despacho:

• Legitimación. Cada etapa (entrenamiento, inferencia, decisión, evolución del modelo) necesita base jurídica del artículo 6 del RGPD. No se presume que "usar IA" sea neutro.
• Información y transparencia. Los interesados deben saber que hay tratamiento con componentes de IA cuando afecte a sus datos; si hubiera decisiones automatizadas con efectos jurídicos o significativamente similares, el artículo 22 y las obligaciones de información de los artículos 13 y 14 exigen explicar la lógica de forma significativa.
• Minimización. No enviar al modelo más datos de los necesarios para la finalidad.
• Exactitud. Los borradores erróneos (NIF mal leído, base mal clasificada) afectan a derechos; hace falta supervisión y corrección.
• Evaluación de impacto (EIPD). Cuando el tratamiento entrañe alto riesgo para derechos y libertades, el artículo 35 del RGPD obliga a evaluarlo antes de empezar.
• Encargo y transferencias. Si el proveedor trata fuera del EEE, aplican las reglas de transferencias internacionales (capítulo V del RGPD).

La AEPD mantiene además un apartado actualizado de innovación y tecnología con guías posteriores (mapa de referencia para tratamientos con IA, orientaciones sobre IA agéntica, entre otras) en Innovación y Tecnología.

Usos típicos en una asesoría y su riesgo relativo

Orientativo: cada despacho debe valorar su caso. La lista de tratamientos que requieren EIPD publicada por la AEPD (artículo 35.4) es una referencia, no un techo (AEPD, listas art. 35.4; AEPD, realización de EIPD).

Diez puntos a revisar antes de activar IA

1. Registro de actividades de tratamiento (artículo 30). Actualizar el RAT con el nuevo tratamiento: finalidad, categorías de datos, encargados, plazos, medidas de seguridad.
2. Base jurídica. Contrato con el cliente, obligación legal o interés legítimo documentado. El consentimiento rara vez encaja bien en la relación despacho-cliente por el desequilibrio de posiciones.
3. Contrato de encargo (artículo 28). Con el proveedor de OCR, cloud o modelo. Incluir instrucciones, confidencialidad, subencargados, auditorías y borrado al final.
4. Ubicación de los datos. ¿EEE? Si hay transferencia internacional, cláusulas tipo, decisiones de adecuación u otras garantías del capítulo V.
5. Minimización y seudonimización. ¿Se puede ofuscar el nombre del trabajador en un ticket de prueba? ¿Hace falta el IBAN completo en el entrenamiento?
6. Prohibición de reentrenamiento con datos del despacho. Si el proveedor usa los envíos para mejorar su modelo público, el riesgo se dispara. Exíjalo por contrato.
7. Supervisión humana efectiva. Un técnico competente debe poder corregir el borrador antes de asiento, nómina o presentación. La supervisión simbólica no basta si se habla de decisiones automatizadas (criterio recogido en la guía de la AEPD y en las directrices del antiguo Grupo del Artículo 29 sobre el artículo 22).
8. Información a clientes. Actualizar la política de privacidad y, si procede, el contrato de prestación de servicios: qué herramientas se usan y con qué finalidad.
9. EIPD cuando el riesgo sea alto. Documentar amenazas, medidas y riesgo residual. Si el residual sigue alto, consultar a la AEPD antes de tratar (artículo 36).
10. Incidentes. Procedimiento de notificación de brechas (artículos 33 y 34) actualizado para el nuevo proveedor.

¿Qué no hacer? (errores frecuentes)

• Pegar extractos de nómina o modelos fiscales en un chatbot de consumo sin encargo ni acuerdos de tratamiento.
• Asumir que "anonimizar" es quitar el nombre: el NIF, el IBAN o una combinación de fecha e importe pueden seguir siendo identificables.
• Dejar que la IA presente modelos o comunique altas sin firma humana.
• Olvidar a los trabajadores del propio despacho: sus datos también están en los sistemas.
• Confiar solo en el sello de marketing "RGPD compliant" del proveedor sin leer el DPA.

Checklist corto para el socio del despacho

• [ ] RAT actualizado con el uso de IA.
• [ ] Contrato de encargo firmado con el proveedor.
• [ ] Ubicación de servidores y transferencias revisadas.
• [ ] Política de "qué se puede pegar y qué no" comunicada al equipo.
• [ ] Revisión humana obligatoria antes de cargar en a3/Sage o presentar.
• [ ] Política de privacidad y contrato con clientes actualizados.
• [ ] EIPD hecha o justificada su no necesidad por escrito.
• [ ] Plan de respuesta a brechas incluye al nuevo proveedor.

Relación con el secreto profesional y la deontología

Más allá del RGPD, el despacho profesional maneja información protegida por deberes de confidencialidad propios de la profesión. Una filtración a un modelo que reentrena con datos de usuarios puede ser, a la vez, incidente de protección de datos e incumplimiento deontológico. La precaución práctica es la misma: no sacar datos de clientes a herramientas sin contrato, y documentar qué se automatiza.

Cierre

La IA en una asesoría es compatible con el RGPD si el despacho mantiene el control: base jurídica, encargo, minimización, supervisión humana y evaluación de impacto cuando el riesgo lo exija. Las guías de la AEPD sobre tratamientos con inteligencia artificial son el punto de partida. Partida Doble IA trabaja con revisión humana obligatoria sobre los borradores y con contratos de encargo; el profesional del despacho sigue siendo quien decide y quien presenta.

¿Cómo aplicarlo en el despacho?

• Guía: cómo cumplir el RGPD al usar IA con datos de clientes: inventario, contrato de encargo, riesgos y formación.
• Informe: IA en contabilidad y asesoría en España 2026: uso real de la IA en los despachos, con fuente.