IA y secreto profesional: datos de clientes seguros
¿Podés usar IA con causas de clientes? Qué dicen la ley 23.187, el Código de Ética del CPACF y la ley 25.326, y qué preguntarle a un proveedor.
Sí, podés usar IA con causas de clientes, pero el secreto profesional no se delega en la herramienta: sigue siendo tuyo. La ley 23.187 te obliga a observar con fidelidad el secreto profesional, y la ley 25.326 te exige seguridad y confidencialidad sobre los datos personales que tratás. Lo que define si un uso es razonable no es "IA sí o IA no", sino a qué proveedor le das el expediente, para qué puede usarlo, si entrena modelos con él y dónde queda guardado.
¿Qué dice la ley sobre la IA y el secreto profesional?
Ninguna de las normas que siguen menciona la inteligencia artificial. No hace falta: el deber es del abogado, y lo acompaña a cualquier herramienta que use.
- Ley 23.187, art. 6, inc. f (régimen del ejercicio de la abogacía en la Capital Federal): es deber específico de los abogados "observar con fidelidad el secreto profesional, salvo autorización fehaciente del interesado".
- Ley 23.187, art. 7, inc. c y e: son derechos del abogado guardar el secreto profesional y la inviolabilidad de su estudio profesional, "en resguardo de la garantía constitucional de la defensa en juicio".
- Código de Ética del CPACF, art. 10, inc. h: el abogado debe respetar rigurosamente todo secreto profesional. Sólo queda exceptuado cuando el cliente lo autoriza o si se trata de su propia defensa.
- Código de Ética del CPACF, art. 10, inc. i: el abogado debe defender la inviolabilidad del estudio y de los documentos que le hubiesen sido confiados.
- Código Penal, art. 156: reprime con multa e inhabilitación especial a quien, teniendo noticia de un secreto por razón de su profesión, lo revelare sin justa causa, si su divulgación puede causar daño.
Si ejercés fuera de la Capital Federal, la ley de tu colegio y su código de ética tienen su propia redacción: leelos con el mismo criterio.
Tus causas, con IA y con finalidad cerrada
En Mis Expedientes el contenido de tus causas se procesa sólo para prestarte el servicio: no se usa para entrenar modelos, no se cede a terceros y no se le muestra a otro usuario fuera de a quien vos se lo compartas.
¿Qué agrega la ley 25.326 de datos personales?
Un expediente trae datos de tu cliente y de mucha gente que nunca te contrató: la contraparte, testigos, familiares, empleados. La ley de protección de los datos personales te alcanza aunque no pienses en vos como "base de datos".
| Artículo | Qué dice | Qué significa al usar IA |
|---|---|---|
| Art. 2 | Define datos sensibles, entre ellos la información referente a la salud. Define la disociación: tratar los datos de modo que no puedan asociarse a una persona determinada o determinable. | Una pericia médica o un certificado son datos sensibles. Disociar es tu primera herramienta. |
| Art. 9 | El responsable debe adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y confidencialidad de los datos. | Elegir el proveedor es una de esas medidas. |
| Art. 10 | Quienes intervienen en cualquier fase del tratamiento están obligados al secreto profesional respecto de los datos. | El deber de confidencialidad alcanza a todos los que tocan los datos, no sólo a vos. |
| Art. 12 | Prohíbe la transferencia de datos personales a países u organismos que no proporcionen niveles de protección adecuados, con excepciones. | Preguntá dónde se alojan los datos. |
| Art. 25 | Quien presta servicios de tratamiento por cuenta de terceros no puede usar los datos con un fin distinto al del contrato ni cederlos; al terminar, debe destruirlos, salvo autorización expresa para conservarlos ante posibles encargos posteriores, por hasta dos años. | Es exactamente lo que tenés que encontrar en los términos de tu proveedor. |
La Agencia de Acceso a la Información Pública (AAIP) tiene a su cargo la protección de datos personales, y en su sitio tiene una sección de Protección de Datos Personales y un buscador de normativa.
¿Un chat de IA de uso general es lo mismo que una herramienta contratada?
No des por sentado que sí. Antes de pegar una contestación de demanda en un chat, leé las condiciones del producto y del plan que tenés —no las de otro— y fijate qué opciones de privacidad tiene tu cuenta: si las conversaciones se pueden usar para mejorar modelos, cuánto tiempo se guardan y quién más puede verlas.
La diferencia que importa no es la marca del modelo, sino el contrato: quién responde por el dato, para qué lo puede usar y qué pasa cuando terminás.
Qué preguntarle a un proveedor antes de subirle un expediente
- ¿Usan mis documentos para entrenar, ajustar o evaluar modelos? La respuesta tiene que ser no, y tiene que estar por escrito.
- ¿Para qué finalidad tratan los datos? Buscá una finalidad cerrada: prestarte el servicio y nada más (art. 25).
- ¿Quiénes son sus subprocesadores? Un proveedor serio publica la lista: hosting, modelos de lenguaje, OCR, correo.
- ¿Dónde se alojan los datos? Si hay transferencia internacional, tiene que estar dicho (art. 12).
- ¿Quién es responsable y quién encargado del tratamiento? Lo esperable es que vos seas responsable y el proveedor, encargado.
- ¿Qué pasa cuando borro una causa o doy de baja la cuenta? Plazos de borrado concretos, no "en algún momento".
- ¿Cómo me avisan un incidente? Por qué canal y con qué información.
- ¿Cómo controlo quién del estudio ve qué? Usuarios por persona, accesos que se cortan, registro de actividad.
Buenas prácticas en el estudio
- Lo mínimo necesario. Si la consulta es sobre una cuestión de derecho, no hace falta el nombre del cliente ni el número de DNI. Disociá.
- Un usuario por persona. La cuenta compartida hace imposible saber quién subió qué. Lo mismo vale para la clave del portal judicial.
- Revocá accesos. Cuando alguien deja el estudio, sacalo de cada herramienta, incluidas las conexiones de IA autorizadas con su usuario.
- Leé lo que la IA produce. Un error en un escrito es tu error, no del modelo.
Sobre la responsabilidad del estudio frente a la ley de datos personales, más en general, está Protección de datos: el estudio también es responsable.
Cómo trata AI Legales los datos de tus causas
Lo que sigue es lo que dice nuestra Política de Privacidad, y nada más:
- Roles. El usuario es el responsable del tratamiento de los datos del expediente; AI Legales actúa como encargado y los trata por cuenta del usuario, siguiendo sus instrucciones.
- Finalidad cerrada. El contenido de un expediente se procesa sólo para sincronizarlo y mostrárselo al usuario y a quien él se lo comparta, avisar novedades, generar a su pedido resúmenes, informes, escritos y respuestas, extraer texto de escaneados y, si lo pide, copiar sus documentos a su Google Drive u OneDrive.
- Sin entrenamiento. Ese contenido no se usa para entrenar, ajustar ni evaluar modelos de IA, propios ni de terceros; no se muestra a otro usuario ni se cede a terceros.
- Proveedores de IA. El texto del expediente se envía a los proveedores de modelos de lenguaje (en Expedientes, Anthropic) y, si está escaneado, al OCR (Google Cloud Vision), siempre por sus API empresariales, que por configuración por defecto no entrenan con los datos que mandamos.
- Ubicación. La infraestructura está en los Estados Unidos; la excepción es el procesamiento de pagos de MercadoPago, en la Argentina.
- Seguridad. Cifrado en tránsito y en reposo, cifrado específico de las credenciales de los portales, control de accesos y registro de la actividad sobre los expedientes compartidos.
- MCP. Si conectás tu asistente, no recibimos ni registramos tu prompt ni las respuestas del modelo: registramos el identificador del cliente, los parámetros de cada consulta, la hora y el consumo de créditos. El MCP es de lectura.
Y un límite que preferimos decir: para sincronizar hay que entrar a portales judiciales con los mecanismos de autenticación que cada uno impone, y nuestra seguridad no puede ser mayor que la del sistema al que hay que conectarse. Cómo funciona el módulo está en Mis Expedientes.
Fuentes
- Ley 23.187, texto actualizado (InfoLeg), arts. 6 y 7.
- Código de Ética del Colegio Público de la Abogacía de la Capital Federal, art. 10.
- Ley 25.326 de Protección de los Datos Personales, texto actualizado (InfoLeg), arts. 2, 9, 10, 12 y 25.
- Código Penal, texto actualizado (InfoLeg), art. 156.
- Agencia de Acceso a la Información Pública.
- AI Legales: Política de Privacidad, secciones 3.5, 4, 5, 7, 12 y 14.
Preguntas frecuentes
¿Viola el secreto profesional usar ChatGPT con una causa?
Ninguna norma citada acá menciona la IA. El deber de secreto de la ley 23.187 sigue siendo del abogado, así que la pregunta es si el proveedor que elegís trata esos datos con las garantías que vos le debés a tu cliente.
¿Un expediente tiene datos sensibles?
Muchas veces sí. La ley 25.326 define como sensibles, entre otros, los datos referidos a la salud, que aparecen en pericias médicas, certificados y legajos.
¿Qué tiene que garantizar un proveedor que trata datos por cuenta del estudio?
Según el art. 25 de la ley 25.326, no puede usar los datos para un fin distinto del contratado ni cederlos, y al terminar la prestación debe destruirlos, salvo que autorices expresamente conservarlos para encargos posteriores.
¿Conviene anonimizar antes de pegar un escrito en un chat de IA?
Si para tu consulta no hace falta el nombre, sí. Disociar los datos, en los términos de la ley 25.326, es la forma más simple de reducir el riesgo.
¿AI Legales entrena modelos con mis expedientes?
No. El contenido de tus causas no se usa para entrenar, ajustar ni evaluar modelos, y los proveedores de IA se usan por sus API empresariales, que por defecto no entrenan con lo que les mandamos.
¿Dónde se guardan los datos de AI Legales?
En los Estados Unidos, en la infraestructura de los subprocesadores que lista la Política de Privacidad. Los pagos de MercadoPago se procesan en la Argentina.
