IA en despachos de abogados: confidencialidad y LOPDP en 2026

Un despacho puede usar IA en gestión documental, investigación y borradores siempre que cumpla dos marcos: la Ley Orgánica de Protección de Datos Personales (LOPDP, vigente desde su publicación en el Registro Oficial el 26 de mayo de 2021) y la Resolución SPDP-SPD-2026-0009-R de la Superintendencia de Protección de Datos Personales, suscrita el 12 de febrero de 2026, que regula específicamente el uso de sistemas de inteligencia artificial con datos personales.

Qué significa esto para un despacho

La norma de la SPDP aplica a sistemas de inteligencia artificial que traten datos personales de titulares ecuatorianos, con independencia de la ubicación del sistema o del proveedor. Es decir: da igual que la herramienta esté en Estados Unidos o Europa; si procesa datos de tus clientes ecuatorianos, el despacho responde como responsable del tratamiento.

Obligaciones concretas de la Resolución SPDP-SPD-2026-0009-R

• Informar al titular de manera clara sobre el tratamiento automatizado.
• Realizar gestión de riesgos y evaluaciones de impacto antes de usar el sistema.
• Implementar medidas de seguridad administrativas, técnicas, físicas, organizativas y jurídicas.
• Incluir el tratamiento en el Registro de Actividades de Tratamiento (RAT).
• Auditar el funcionamiento del sistema según su nivel de riesgo.
• Garantizar el derecho a no ser objeto de decisiones basadas únicamente en valoraciones automatizadas.

El incumplimiento se sanciona bajo el régimen de la LOPDP y el Código Orgánico Administrativo.

El secreto profesional no se negocia

La LOPDP incluye entre sus principios la confidencialidad y el secreto profesional. La Opinión Formal 512 de la American Bar Association (29 de julio de 2024), referencia internacional en la materia, recuerda que el deber de confidencialidad se mantiene al usar IA generativa y que el abogado debe entender cómo la herramienta almacena y usa lo que se le entrega. La regla práctica: lo que no pondrías en un correo a un desconocido, no lo pongas en un chat de IA sin contrato de tratamiento.

Casos de uso seguros en el despacho

• Gestión documental interna con herramientas que firman contrato de encargado de tratamiento.
• Investigación jurídica sobre normativa pública (no contiene datos de clientes).
• Plantillas y borradores genéricos, personalizados después fuera de la IA.
• Resúmenes de documentos previamente anonimizados.

Qué no debe hacerse

• Subir expedientes completos con nombres, cédulas o historias clínicas a herramientas gratuitas.
• Usar cuentas personales de IA para trabajo del despacho sin política interna.
• Tomar decisiones sobre un cliente basadas solo en una valoración automatizada.
• Omitir informar al cliente que se usa IA en su asunto.

Checklist para el despacho

• Política escrita de uso de IA (qué herramientas, para qué, con qué datos).
• Contrato de encargado de tratamiento con cada proveedor de IA.
• Evaluación de impacto documentada y registro en el RAT.
• Procedimiento de anonimización antes de subir documentos.
• Cláusula informativa para clientes sobre uso de IA.
• Responsable interno de verificación y auditoría periódica.

Ejemplo práctico: política de IA para un despacho en tres páginas

Página 1 — Herramientas: lista de las herramientas de IA autorizadas, con su contrato de encargado de tratamiento y quién administra las cuentas (nunca cuentas personales). Página 2 — Datos: qué se puede subir (normativa pública, plantillas, documentos anonimizados) y qué nunca (expedientes con nombres, historias clínicas, datos de menores); procedimiento de anonimización con marcadores. Página 3 — Control: responsable interno, registro de usos, evaluación de impacto documentada, inclusión en el RAT, cláusula informativa para clientes y calendario de auditoría.

Con ese documento el despacho cubre las obligaciones concretas de la Resolución SPDP-SPD-2026-0009-R y demuestra diligencia si un cliente o la Superintendencia preguntan.

Errores comunes

• Creer que la norma no aplica porque el proveedor de IA está fuera de Ecuador: aplica igual si los datos son de titulares ecuatorianos.
• Usar cuentas personales de IA para trabajo del despacho, sin control ni contrato.
• No informar al cliente del uso de IA en su asunto.
• Hacer la evaluación de impacto 'de palabra' y no documentarla.
• Tomar una decisión sobre un cliente basada solo en una valoración automatizada.

Cómo formarse en IA aplicada al Derecho

Cumplir estas obligaciones exige entender la tecnología y la norma a la vez. El Diplomado en IA aplicada al Derecho y Gestión Legal de Mokenla aborda gestión legal y automatización jurídica con IA, 100 % online y con aval PUCE. Lee también regulación de la IA en Ecuador en 2026.