La incorporación de inteligencia artificial (IA) en la práctica jurídica obliga a cumplir el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de protección de datos (LOPDGDD); por ejemplo, la notificación de una brecha de seguridad debe realizarse en un plazo máximo de 72 horas conforme al art. 33 del RGPD.
Aplicaciones concretas y exigencias legales
Las aplicaciones frecuentes en despachos incluyen revisión automática de contratos, análisis predictivo de jurisprudencia y CRM con asistentes inteligentes. En tratamientos que impliquen evaluación de perfilado o decisiones automatizadas que produzcan efectos jurídicos sobre personas, resulta de aplicación el art. 22 del RGPD que limita las decisiones basadas únicamente en procesos automatizados.
Cuando un proyecto de IA entrañe un alto riesgo para los derechos y libertades, el responsable del tratamiento debe realizar una Evaluación de Impacto relativa a la Protección de Datos (DPIA) según el art. 35 del RGPD; la Agencia Española de Protección de Datos (AEPD) ha publicado guías y criterios prácticos para su contenido y alcance.
Tabla comparativa: usos de IA, ejemplos y requisito legal clave
| Uso | Ejemplo de herramienta | Beneficio | Requisito legal clave |
|---|---|---|---|
| Revisión documental | Kira Systems | Reducir tiempo de due diligence | Principio de minimización y seguridad (art. 5 y art. 32 RGPD) |
| Análisis predictivo de sentencias | Ravel Law | Mejorar estrategia procesal | Restricciones en decisiones automatizadas (art. 22 RGPD) y posible DPIA (art. 35 RGPD) |
| CRM con IA | Plataformas CRM con ML | Personalización de la relación con el cliente | Base de legitimación para el tratamiento (art. 6 RGPD) y información al interesado |
| Automatización de documentos | Generadores documentales con IA | Generación rápida de contratos estándar | Control de versiones y responsabilidad profesional (art. 1902 CC para daños) |
Pasos ordenados para implantar IA en un despacho
-
Evaluación inicial de riesgos: identificar si el tratamiento implica perfiles o decisiones automatizadas; cuando exista alto riesgo, documentar la necesidad de una DPIA conforme al art. 35 RGPD.
-
Seleccionar proveedores y formalizar contratos: incluir cláusulas sobre encargados del tratamiento, subcontratación y medidas de seguridad técnicas y organizativas exigidas por el art. 28 RGPD.
-
Definir bases jurídicas y transparencia: especificar la base de legitimación (art. 6 RGPD) y actualizar las cláusulas informativas facilitadas a los interesados.
-
Implantar medidas de seguridad y control: aplicar medidas técnicas previstas en el art. 32 RGPD y planificar pruebas de auditoría interna periódica.
-
Formación y protocolos internos: documentar roles, responsabilidades y procedimientos de supervisión humana para cumplir limitaciones del art. 22 RGPD.
-
Plan de respuesta ante incidentes: establecer procedimiento de notificación de brechas y comunicación a la AEPD en el plazo de 72 horas (art. 33 RGPD).
Advertencia experta: no realizar una DPIA cuando proceda o incumplir los plazos de notificación de brechas puede dar lugar a inicio de procedimiento sancionador por la AEPD y a reclamaciones de responsabilidad civil (arts. 33 y 83 del RGPD y art. 1902 del Código Civil).
Riesgos profesionales y vías de reclamación
La responsabilidad profesional por un uso negligente de herramientas de IA puede articularse mediante reclamaciones civiles por daños y perjuicios ante los Juzgados de Primera Instancia; la obligación general de reparar daños deriva del art. 1902 del Código Civil. Además, la AEPD es la autoridad administrativa competente para las infracciones en materia de protección de datos.
Si el uso de IA afecta a derechos fundamentales o supone un delito (por ejemplo, tratamiento ilícito de datos sensibles), la vía penal corresponde a los Juzgados de Instrucción. En materia procesal la admisión de pruebas periciales sobre sistemas de IA se rige por la Ley de Enjuiciamiento Civil (Ley 1/2000) y la práctica probatoria de los tribunales.
Herramientas, proveedores y control de proveedores
Al contratar servicios basados en IA conviene exigir auditorías, cláusulas claras sobre responsabilidad y la posibilidad de pasar auditorías técnicas periódicas. Para proveedores que actúan como encargados del tratamiento, el art. 28 RGPD exige un contrato que regule las instrucciones, la confidencialidad y las medidas de seguridad.
Entre las plataformas citadas en el mercado para tareas concretas están Ravel Law (análisis jurisprudencial) y Kira Systems (revisión documental), mencionadas por su uso habitual en despachos; la elección debe acompañarse de verificación técnica y legal previa.
Contenido relacionado
- Puedes leer más en este recurso sobre para tecnología y derecho con inteligencia artificial.
- Puedes leer más en este recurso sobre para tecnología e inteligencia artificial.
Fuentes y referencias normativas citadas: Reglamento (UE) 2016/679 (RGPD), Ley Orgánica 3/2018 (LOPDGDD), Código Civil (art. 1902) y Ley 1/2000, de Enjuiciamiento Civil. Para criterios y guías prácticas en protección de datos consulte la AEPD y los boletines oficiales publicados por el BOE.
Preguntas frecuentes
¿Qué cláusulas mínimas debe incluir un contrato con un proveedor de IA para cumplir el RGPD?
Debe incluir la identificación de las partes, objeto y duración del tratamiento, instrucciones sobre el tratamiento, obligaciones de confidencialidad, medidas de seguridad técnicas y organizativas, reglas sobre subencargados y asistencia al responsable para atender derechos de los interesados (art. 28 RGPD).
¿Cuándo es obligatoria la Evaluación de Impacto (DPIA) para un proyecto de IA?
La DPIA es obligatoria cuando el tratamiento entraña alto riesgo para los derechos y libertades de las personas; el art. 35 del RGPD y las guías de la AEPD fijan criterios como el uso de perfilado a gran escala o el tratamiento sistemático de datos sensibles.
¿Qué autoridad gestiona las sanciones por incumplimiento de protección de datos en proyectos de IA?
La Agencia Española de Protección de Datos (AEPD) es la autoridad administrativa competente para instruir sanciones por incumplimientos del RGPD y la LOPDGDD; los procedimientos sancionadores se tramitan por la vía administrativa.
¿Cómo se prueba en juicio la fiabilidad de un sistema de IA utilizado como prueba pericial?
La acreditación exige un informe pericial técnico que explique metodología, fuentes de datos, criterios de entrenamiento y límites del sistema; su valoración corresponde al tribunal de acuerdo con la Ley de Enjuiciamiento Civil y la práctica pericial forense.
¿Cuándo procede responsabilidad civil del abogado por el uso de herramientas de IA?
Si el uso de la herramienta supone incumplimiento del deber de diligencia y causa un daño al cliente, puede existir responsabilidad civil conforme al art. 1902 del Código Civil; la valoración será casuística y dependerá del nexo causal y la previsibilidad del daño.
Contenido elaborado con apoyo de IA. Carácter informativo. Consulte con un abogado colegiado. Última revisión: Agosto 2026.
