Secreto profesional del abogado e inteligencia artificial

El secreto profesional del abogado es, en Colombia, una de las pocas garantías que la Constitución declara inviolable. Y la inteligencia artificial generativa le planteó una pregunta nueva: ¿qué pasa cuando un abogado pega el expediente de un cliente en ChatGPT para que le ayude a redactar una demanda, resumir un proceso o preparar un interrogatorio? Ninguna norma prohíbe usar IA en el ejercicio del derecho. Pero las normas que protegen el secreto siguen ahí, y aplican a lo que se pega en un chat como a cualquier otra forma de compartir información del cliente.

En esta guía te contamos qué dicen la Constitución, el Código Disciplinario del Abogado, el Código Penal y la ley de protección de datos, qué dijeron la Corte Constitucional y el Consejo Superior de la Judicatura sobre la IA, y cómo usar la IA en una firma de abogados sin entregar el secreto del cliente.

El secreto profesional es inviolable (Constitución, art. 74)

El artículo 74 de la Constitución Política tiene dos frases. La primera reconoce el derecho de acceso a los documentos públicos. La segunda es breve y tajante: «El secreto profesional es inviolable».

No hay matices en el texto. La Corte Constitucional ha desarrollado su alcance en su jurisprudencia, pero el punto de partida es ese: lo que el cliente le confía al abogado en razón de su oficio queda protegido, y el abogado no puede revelarlo. La inviolabilidad protege al cliente, no al abogado: es la condición para que el cliente cuente todo lo que su abogado necesita saber.

A esa garantía se suma el artículo 15, que protege la intimidad personal y familiar y el derecho de las personas a conocer, actualizar y rectificar la información que se haya recogido sobre ellas en bancos de datos y archivos. Los dos artículos juntos explican por qué lo que hay en el expediente de un cliente tiene un doble blindaje: el del secreto profesional y el de los datos personales.

Código Disciplinario del Abogado: Ley 1123 de 2007, art. 28, num. 9

La Ley 1123 de 2007, el Código Disciplinario del Abogado, baja el principio constitucional a deberes concretos. Tres disposiciones importan para la IA.

El deber de guardar el secreto. El artículo 28 enumera los deberes profesionales del abogado, y su numeral 9 dice: «Guardar el secreto profesional, incluso después de cesar la prestación de sus servicios». El deber no termina con el poder ni con el proceso: un expediente cerrado hace cinco años sigue protegido.

La falta de lealtad con el cliente. El artículo 34 enumera las faltas de lealtad con el cliente, y su literal f) incluye «revelar o utilizar los secretos que le haya confiado el cliente, aun en virtud de requerimiento de autoridad, a menos que haya recibido autorización escrita de aquel, o que tenga necesidad de hacer revelaciones para evitar la comisión de un delito». La Corte Constitucional declaró condicionalmente exequible una parte de ese literal, así que conviene leerlo con su jurisprudencia. Pero la regla general es clara: sin autorización escrita del cliente, no se revela ni se utiliza su secreto.

La diligencia sobre el equipo. El numeral 10 del mismo artículo 28 exige atender los encargos profesionales con celosa diligencia, y dice que eso «se extiende al control de los abogados suplentes y dependientes, así como a los miembros de la firma o asociación de abogados». Es la norma que más importa en la práctica: en una firma, quien pega el expediente en un chat suele ser el practicante, el dependiente judicial o la asistente, y el deber de controlarlo es del abogado.

Lo que la Ley 1123 no dice

La Ley 1123 es de 2007 y no menciona la inteligencia artificial. No prohíbe usarla ni la permite expresamente. Lo que hace es fijar deberes que valen para cualquier herramienta: si usar una IA implica revelar o utilizar el secreto del cliente sin su autorización, el problema no es la IA, es la revelación.

Secreto profesional en el Código Penal colombiano

En el Código Penal, varios artículos tocan la reserva, aunque ninguno está escrito pensando en el abogado que usa IA:

• El artículo 194, divulgación y empleo de documentos reservados, castiga con multa a quien, en provecho propio o ajeno o con perjuicio de otro, «divulgue o emplee el contenido de un documento que deba permanecer en reserva», siempre que la conducta no constituya un delito con pena mayor.
• Los artículos 418 y 419, revelación de secreto y utilización de asunto sometido a secreto o reserva, se aplican al servidor público. Importan, por ejemplo, para el abogado que trabaja en una entidad pública o una alcaldía o para el funcionario judicial.
• El artículo 269F, violación de datos personales, que agregó la Ley 1273 de 2009, castiga a quien sin estar facultado obtenga, compile, ofrezca, venda, intercambie, envíe o divulgue datos personales contenidos en archivos o bases de datos, con provecho propio o de un tercero.

Ninguno convierte en delito el simple hecho de usar una IA. Lo que muestran es que la reserva tiene también una cara penal, y que el cuidado con lo que se comparte no es sólo una cuestión de ética profesional.

La protección de datos: la Ley 1581 también aplica al abogado

Además del secreto profesional, el expediente de un cliente está lleno de datos personales: los del cliente, los de la contraparte, los de los testigos, los de terceros. La Ley Estatutaria 1581 de 2012 aplica a la firma de abogados como a cualquier otra empresa que trata datos.

Tres puntos de esa ley pesan cuando se usa IA:

• El principio de confidencialidad (artículo 4, literal h) obliga a todas las personas que intervienen en el tratamiento de datos que no son públicos a garantizar su reserva, incluso después de terminada su relación con el tratamiento.
• Los datos sensibles (artículo 5), como los de salud o vida sexual, aparecen todo el tiempo en procesos de familia, laborales y de responsabilidad médica, y tienen un régimen más estricto.
• La transferencia internacional (artículo 26) está prohibida hacia países sin un nivel adecuado de protección, salvo excepciones. Los servicios de IA más usados procesan los datos fuera de Colombia.

La Superintendencia de Industria y Comercio publicó en 2024 la Circular Externa 002, con lineamientos sobre el tratamiento de datos personales en sistemas de inteligencia artificial. Qué dice y qué implica para quien usa IA en el trabajo lo resumimos en inteligencia artificial y protección de datos en Colombia.

Lo que dijeron la Corte Constitucional y la Judicatura sobre la IA

La discusión sobre IA y reserva en Colombia tiene ya dos referencias del lado judicial.

La Sentencia T-323 de 2024. La Corte Constitucional revisó una tutela en la que un juez usó ChatGPT para ampliar los argumentos de una decisión que ya había tomado, en un caso de salud de un niño. La Corte concluyó que no se vulneró el debido proceso, porque la decisión fue del juez, y fijó criterios para el uso de la IA en la justicia: transparencia, responsabilidad, privacidad y no sustitución de la racionalidad humana. Sobre la privacidad, observó que ese principio «sí se satisfizo, pues el juez no introdujo datos personales del menor ni de su historia clínica, ni de las partes involucradas».

Esa frase es la lección práctica para cualquier abogado: el uso de la IA fue aceptable, en lo que toca a la privacidad, porque no se le entregaron los datos de las personas.

El Acuerdo PCSJA24-12243 de 2024. A raíz de esa sentencia, el Consejo Superior de la Judicatura adoptó en diciembre de 2024 lineamientos para el uso responsable, seguro y ético de la IA en la Rama Judicial. Están dirigidos a los servidores judiciales, no a los abogados litigantes, pero señalan el mismo riesgo: que las herramientas generativas de acceso abierto expongan datos personales o información confidencial a terceros.

¿Usar ChatGPT con un expediente viola el secreto profesional?

No hay una respuesta única, y no la da ninguna norma de forma expresa. Pero se puede razonar con las que existen:

1. El secreto protege lo que el cliente le confió al abogado. Los hechos del caso, la estrategia, los documentos y la identidad del cliente.
2. Pegar el expediente completo en un servicio de IA es compartir esa información con un tercero, que la procesa, la guarda con la conversación y, según el plan, puede usarla para mejorar sus modelos.
3. Sin autorización escrita del cliente, la Ley 1123 no permite revelar ni utilizar su secreto. Un contrato de servicios que no dice nada sobre IA no es una autorización.
4. Lo que la IA necesita para ayudar casi nunca es la identidad del cliente. Necesita los hechos, el problema jurídico y el texto que hay que mejorar.

De ahí sale la forma prudente de trabajar: tapar la identidad antes de pegar. Si el chat recibe «[PERSONA_1] fue despedida sin justa causa después de seis años», puede ayudarte a estructurar la demanda sin saber quién es tu clienta, y lo que le entregas ya no es el secreto del cliente sino un caso sin nombre.

Qué tapar del expediente antes de usar la IA

Un ejemplo, con datos de ejemplo, del encabezado de un borrador de demanda laboral, y cómo sale después de pasar por Nonimo:

ANTES
Asunto: proceso laboral, borrador de demanda
Demandante: Yuranis Palacios Cuesta
Apoderado: Arnulfo Pinzón Becerra
Dirección: Calle Inexistente 0, Quibdó
Correo: cliente@example.com
Hechos: la trabajadora fue despedida sin justa causa después de seis años y no le pagaron la liquidación.

DESPUÉS
Asunto: proceso laboral, borrador de demanda
Demandante: [PERSONA_1]
Apoderado: [PERSONA_2]
Dirección: [DIRECCION_1]
Correo: [CORREO_1]
Hechos: la trabajadora fue despedida sin justa causa después de seis años y no le pagaron la liquidación.

Datos de ejemplo: los nombres son inventados, la calle no existe y example.com es un dominio reservado para ejemplos.

Los hechos quedan, porque son lo que la IA necesita para ayudarte. Lo que se va es quién es la demandante y quién la representa. Con la app de Nonimo en tu computador, además, la cédula y el NIT de las partes pasan a ser etiquetas, y los datos reales vuelven a su lugar cuando copias la respuesta.

Una lista de lo que conviene tapar en cualquier expediente:

dato	por qué	¿la IA lo necesita?
Nombres de las partes, testigos y terceros	identifican a las personas	casi nunca: basta con el papel de cada una
Cédulas, NIT, cédulas de extranjería	identifican sin margen de duda	no
Direcciones, correos y celulares	datos de contacto	no
Número de radicado	permite encontrar el proceso	casi nunca
Nombre del juzgado o del despacho	junto con la fecha, puede identificar el caso	a veces, para el trámite; si no, se tapa
Datos de salud, vida sexual, menores	datos sensibles o especialmente protegidos	sólo si la pregunta depende de ellos, y sin identidad
Hechos, fechas, valores, argumentos	son el caso	sí

Después de tapar, lee el texto completo antes de pegarlo: un apellido en una cita textual de una declaración o el nombre de un menor en un proceso de familia piden una segunda mirada.

Los documentos que lleva el expediente

El expediente no es sólo texto. Hay escrituras, poderes, contratos, historias clínicas, desprendibles de nómina, fotos de cédulas. Cada formato tiene su trampa:

• Un Word con control de cambios guarda el texto borrado y el nombre de quien comentó. Tapar los datos de un Word, y cómo hacerlo, lo explicamos en cómo tapar datos personales en un documento de Word.
• Un PDF con un recuadro negro encima de un nombre sigue teniendo el nombre debajo. Lo explicamos en cómo censurar un PDF de verdad.
• Una foto de una cédula pegada en el expediente es una imagen: las herramientas de texto no la tapan, se tapa a mano.

Para qué sí sirve la IA en una firma, con los datos tapados

Tapar la identidad no le quita utilidad a la IA. Casi todo lo que un abogado le pide a un chat funciona igual con etiquetas:

• Estructurar una demanda, una contestación o un recurso a partir de los hechos.
• Resumir un expediente largo, una sentencia o un concepto para el cliente.
• Revisar la redacción de un contrato, una cláusula o un memorial.
• Comparar dos versiones de un contrato y listar las diferencias, algo que Word ya hace con el control de cambios.
• Preparar un cuestionario para un interrogatorio o una lista de pruebas.
• Redactar el correo al cliente explicando el estado del proceso.

Lo que la IA no debe hacer es reemplazar el criterio del abogado. La propia Corte, en la T-323 de 2024, insistió en que la IA no sustituye el razonamiento humano, y las respuestas de un chat pueden traer normas o sentencias inexistentes o mal citadas. Todo lo que salga se verifica en la fuente antes de usarlo.

Lo que conviene preguntarle a un proveedor de IA

Si tu firma va a contratar una herramienta de IA, sea general o especializada en derecho, estas preguntas ayudan a decidir:

1. ¿Dónde se procesan y se guardan los datos? Si es fuera de Colombia, ¿en qué país?
2. ¿Usan lo que subimos para entrenar sus modelos? ¿Se puede desactivar, y cómo se demuestra?
3. ¿Cuánto tiempo guardan las conversaciones y los archivos, y cómo se borran?
4. ¿Quién de su lado puede ver lo que subimos, y en qué casos?
5. ¿Firman un contrato que fije cómo tratan los datos de tus clientes, como encargados del tratamiento que actúan por cuenta de la firma?

Las respuestas no eliminan la necesidad de tapar, pero te dicen cuánto riesgo queda si algo se escapa.

La autorización del cliente y el contrato de servicios

La Ley 1123 prevé una salida expresa: la autorización escrita del cliente. Si tu firma usa IA de forma habitual, lo transparente es decirlo en el contrato de servicios profesionales: qué herramientas se usan, para qué tareas, qué datos se tapan siempre y qué datos nunca salen de la firma.

Una cláusula así cumple dos funciones. Protege al abogado, porque deja constancia de que el cliente sabe y está de acuerdo. Y protege al cliente, porque fija límites: por ejemplo, que la identidad de las partes y los datos sensibles nunca se pegan sin tapar. Un modelo de esa cláusula, con sus variantes, está en cláusula de IA en el contrato de servicios del abogado.

La autorización no reemplaza el cuidado. Aunque el cliente autorice el uso de IA, el deber de diligencia sigue, y tapar la identidad es la forma más sencilla de cumplirlo.

Una regla escrita para toda la firma

En una firma de abogados, el riesgo no es el socio que conoce las normas. Es la costumbre del equipo: el dependiente que pega una demanda entera para que la IA la resuma, la asistente que sube un contrato para que le saque las fechas, el practicante que copia un interrogatorio para que le sugiera preguntas. Como el numeral 10 del artículo 28 extiende la diligencia del abogado al control de sus dependientes, conviene que la regla esté escrita.

Una política de uso de IA para una firma debería decir, como mínimo:

• Qué herramientas se pueden usar, y con qué tipo de cuenta.
• Para qué tareas sí, y para cuáles no.
• Qué se tapa siempre antes de pegar: identidad de las partes, cédulas, contacto, datos sensibles.
• Qué nunca sale de la firma, ni tapado: por ejemplo, la estrategia de un caso en curso o documentos que el cliente pidió no compartir.
• Qué hacer si algo se pegó por error.

Un modelo completo está en política de uso de IA en la empresa.

Y si quieres ver cómo trabaja una firma con Nonimo en el día a día, hay una página para firmas de abogados.

Si ya se pegó un expediente completo

Pasa, y lo importante es qué hacer después:

1. Borra la conversación y, si el servicio guarda los archivos en una biblioteca aparte, bórralos también desde ahí.
2. Anota qué se pegó, cuándo y en qué servicio. Si eran datos de muchos clientes o datos sensibles, puede tratarse de un incidente de seguridad con datos personales.
3. Evalúa si hay que informar al cliente. El deber de lealtad pesa aquí: es mejor que el cliente lo sepa por su abogado.
4. Ajusta la regla de la firma para que no se repita. Y revisa si la firma tiene un seguro cibernético que cubra este tipo de incidente.

Qué hacer ante un incidente de seguridad con datos personales, y cuándo hay que avisar a la Superintendencia de Industria y Comercio, lo explicamos en incidente de seguridad con datos personales.

En resumen

El secreto profesional del abogado es inviolable por mandato de la Constitución, y la Ley 1123 de 2007 lo convierte en un deber que dura más allá del encargo y alcanza al control del equipo. Ninguna norma prohíbe usar IA, pero pegar el expediente completo en un chat es compartir con un tercero lo que el cliente confió. La forma prudente de trabajar es la que la Corte Constitucional valoró en la Sentencia T-323 de 2024: no entregarle a la IA los datos personales de las partes. Tapa la identidad, deja los hechos, pide autorización escrita si vas a usar IA de forma habitual, y escribe la regla para toda la firma.

Esta guía resume normas colombianas leídas el 22 de octubre de 2026 en las fuentes oficiales enlazadas. No reemplaza la asesoría de un abogado.