Informar al cliente de que usas IA: cláusula para copiar
· Actualizado el
Joaquín Trapero in Experto en inteligencia artificial y privacidad, y fundador de Nonimo.
Si usas IA con asuntos de clientes, te habrás preguntado si tienes que decírselo. Ni el RGPD ni la Ley Orgánica del Derecho de Defensa dicen «avisa de que trabajas con IA», pero el deber suele entrar por la protección de datos. También si llamas al modelo con un AI gateway de otra empresa.
Te cuento qué dice cada norma, con su fecha, y separo lo que obliga de lo que solo se recomienda. Al final tienes la cláusula lista para copiar en la hoja de encargo. Lo demás que supone la IA en un bufete está en la página para despachos de abogados.
Ni el RGPD ni la Ley Orgánica 5/2024 piden avisar de la IA como tal, pero casi siempre acabas teniendo que contarlo. Si los datos del cliente llegan a la herramienta, su proveedor es destinatario y el artículo 13 del RGPD obliga a informar; un abogado, en la hoja de encargo.
Si llevas nóminas como encargado, informar no basta: necesitas la autorización previa por escrito del artículo 28.2.
¿Hay que informar al cliente de que usas IA? Qué norma te obliga
Los deberes de información del abogado están escritos. El artículo 48 del Estatuto General de 2021 pide identidad, viabilidad, honorarios, costas y estado del asunto. El Código Deontológico de 2019 añade los suyos en el artículo 12. Ninguno de los dos textos nombra la inteligencia artificial.
Por eso yo no empezaría preguntándome si «uso IA», sino qué le llega a la herramienta y en calidad de qué tengo yo esos datos. Las obligaciones salen de ahí, como explico en qué IA es conforme al RGPD. Recorre tu caso:
¿Qué te obliga a avisar?
Piensa en una herramienta concreta.
¿Habla directamente con tus clientes, como un chatbot en tu web?
¿Le mandas texto de un asunto con datos de personas, aunque los hayas cambiado por marcadores que tú puedes deshacer?
¿Esos datos los tratas decidiendo tú cómo, o por cuenta del cliente y con sus instrucciones?
¿Eres abogado y hay hoja de encargo?
Elaboración propia con las normas citadas en las fuentes. Orienta, no sustituye al análisis de tu caso.
Qué principio del RGPD obliga a informar: transparencia y destinatarios
La base es la transparencia del artículo 5.1 a). Lo práctico viene después: el 13 te pide contar a quién llegan los datos, y el 4.9 llama destinatario a quien los recibe, sea o no un tercero. Un proveedor de IA encaja, y no le buscaría la vuelta.
| Norma | Qué dice | Con una herramienta de IA |
|---|---|---|
| RGPD, 5.1 a) | Tratamiento lícito, leal y transparente | El principio del que cuelga todo lo demás |
| RGPD, 13.1 e) y 4.9 | Informar de los destinatarios o de sus categorías | El proveedor que recibe el texto es uno de ellos |
| RGPD, 13.1 f) | Decir si hay intención de transferir a un tercer país, con la adecuación o la garantía | Se mira en el contrato de encargo de cada plan |
| LOPDGDD, 33.1 | El acceso del encargado para prestar el servicio no se considera comunicación de datos | Vale si se cumplen el RGPD y esta ley; no dice nada sobre informar |
| RGPD, considerando 26 | Lo seudonimizado que se puede atribuir a alguien con información adicional sigue refiriéndose a una persona identificable | Con marcadores que puedes deshacer, el proveedor sigue en la lista |
Las directrices europeas de transparencia (WP260) incluyen a los encargados entre los destinatarios. La guía de la AEPD, marcada «en revisión», lo dice más suave: es «conveniente» informar de ellos, sobre todo con transferencias a terceros países. Yo informaría siempre y no me apoyaría en ese matiz.
Qué transferencia declara cada proveedor se lee en su contrato, y cambia con el plan: empieza por qué hace ChatGPT con tus datos.
Ese destinatario solo desaparece con un modelo propio en tus servidores, y no lo montaría solo por esta línea.
Deber del abogado de informar al cliente: qué va en la hoja de encargo
La Ley Orgánica 5/2024, en vigor desde el 4 de diciembre de 2024, cita la IA una vez, en el artículo 12.4, sobre plataformas digitales. Donde te afecta es en el 15: cualquier cliente puede pedir el encargo por escrito, y el apartado 2 mete ahí la información del artículo 13 del RGPD.
Ese mismo apartado permite darla por capas, como prevé el artículo 11 de la LOPDGDD, cuya información básica son el responsable, la finalidad y los derechos. No llenaría la hoja: el aviso, la frase de los datos y la categoría de destinatario, y lo que cambia con el proveedor, a la web.
| Documento | Qué pondría yo | Quién lo firma |
|---|---|---|
| Hoja de encargo | El aviso de uso de IA, la frase de los datos y la categoría de destinatario | El cliente y el despacho |
| Segunda capa, en la web | Nombre del proveedor, país y garantía, y plazo de conservación | Nadie: la hoja dice dónde está |
| Contrato de encargado | Instrucciones al proveedor, confidencialidad y otros encargados | El despacho y el proveedor |
Reparto propio, según los artículos 13 y 28 del RGPD y 11 de la LOPDGDD. Es un esquema, no un modelo.
El modelo de hoja de encargo del Colegio de la Abogacía de Madrid ya enumera a quién llegan los datos: juzgados, administraciones, abogados, procuradores y peritos. No menciona la IA, así que el proveedor sería una línea más. Antes de escribirla, repasa qué datos hay que quitar de un documento.
Artículo 50 del Reglamento de IA: avisar a los usuarios de un chatbot
Este artículo se aplica desde el 2 de agosto de 2026, y es fácil leerlo como un deber de avisar de cualquier uso de IA. No llega tan lejos: un escrito que redactas con ayuda y firmas tú no entra en sus supuestos. Tienes el conjunto en la guía del Reglamento de IA.
| Tu caso | Qué dice el artículo 50 | Quién tiene el deber |
|---|---|---|
| Chatbot que atiende a clientes en tu web | Informar de que es una IA, salvo que resulte evidente, como tarde en la primera interacción | El proveedor del sistema, no quien solo lo usa |
| Carta o escrito para un cliente, revisado por ti | Ningún deber del artículo recae en ti; el marcado del 50.2 es cosa del proveedor | Aquí manda el RGPD, si lleva datos |
| Texto publicado para informar sobre asuntos de interés público | Divulgar que es artificial, salvo revisión humana o control editorial, con alguien que responda de la publicación | El responsable del despliegue |
| Imagen, audio o vídeo que sea una ultrafalsificación | Hacer público que es artificial | El responsable del despliegue |
Artículos 3.3, 3.4 y 50, apartados 1, 2, 4 y 5, del Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026. La fila de la carta es lectura mía.
Son dos papeles distintos. Proveedor es quien desarrolla el sistema, o lo encarga, y lo pone en servicio con su nombre o marca. Responsable del despliegue es quien lo usa bajo su autoridad. El 50.1 obliga al primero.
Si compras un chatbot ya hecho, eres lo segundo: comprobaría en el contrato que el aviso viene de serie y lo vería con mis propios ojos en la primera frase. Si lo desarrollas o te lo hacen con tu marca, el deber es tuyo. Y lo pondría aunque pareciera evidente que es una máquina.
Cómo afecta la IA a los abogados: ICAM, CGAE y la ley italiana
Fuera de esas normas hay recomendaciones, y conviene no confundirlas. La guía del ICAM es lo más claro: pide informar del uso, sus limitaciones y sus criterios, y ve recomendable el consentimiento expreso en asuntos con datos personales o que incidan en la estrategia del caso. También pide asegurar una base legal válida.
| Texto y fecha | Qué dice de avisar al cliente | ¿Obliga? |
|---|---|---|
| Ley Orgánica 5/2024, artículo 15.2 | La hoja de encargo lleva la información del artículo 13 del RGPD | Sí, si hay hoja y datos personales |
| Ley italiana 132/2025, artículo 13.2, desde el 10 de octubre de 2025 | Comunicar los sistemas de IA con lenguaje claro, sencillo y completo | Sí, pero en Italia |
| Guía del ICAM, 7 de octubre de 2025, páginas 23 y 26 | Informar y, con datos personales o si incide en la estrategia, recomienda consentimiento expreso | No, son buenas prácticas |
| Libro Blanco del CGAE y el ICAV, enero de 2026, página 58 | Convendría un enfoque global, o al menos europeo, que garantice la transparencia algorítmica con los clientes | No, es una propuesta |
| Circular 3/2026 del CGAE, Pleno del 10 de abril de 2026 | Nada sobre avisar; aconseja documentar el uso de forma interna | No trata el aviso |
Yo pediría esa conformidad solo cuando la herramienta vaya a recibir datos del cliente. Si los sustituyes antes, me parece que informar basta para lo que busca la guía: la confianza del cliente. Es mi lectura; el ICAM no distingue así.
La Circular 3/2026 declara lícito usar la IA para borradores y exige verificar lo que produce. La confidencialidad y el secreto los deja para «otra circular». A 7 de noviembre de 2026, ninguna de las cuatro que publica el Consejo en su página (1/2025, 2/2025, 3/2026 y 1/2026) trata ese punto con IA.
Lo de documentar el uso lo metería en la política de uso de IA: lo que prometes fuera tiene que poder comprobarse dentro.
Consentimiento del cliente y secreto profesional: una firma no basta
Al leer al ICAM, la tentación es resolverlo con una casilla: «el cliente consiente el uso de IA». No la pondría así. El artículo 5.10 del Código Deontológico lo dice en una línea: «El consentimiento del cliente no excusa de la preservación del secreto profesional».
El artículo 22.6 del Estatuto solo releva del secreto en lo que afecte únicamente al cliente, con su autorización expresa. Y un expediente habla de la parte contraria, de testigos y de trabajadores. En la notaría va más allá, con el protocolo entero.
Lo que consigue la cláusula
- Ayuda a cumplir el artículo 13 en lo que toca a la IA
- Deja constancia de lo que le has contado
- Evita que el cliente se entere por sorpresa
Lo que no consigue
- Excusar el secreto (artículo 5.10 del Código)
- Autorizar nada sobre terceros (artículo 22.6 del Estatuto)
- Quitarte el cuidado que pide el artículo 21.2 del Código
El artículo 14.5 d) del RGPD exime de informar a esos terceros cuando sus datos deben seguir siendo confidenciales por secreto profesional. Yo, con ellos, no enviaría sus datos, o los enviaría sustituidos: te lo explico en anonimizar o seudonimizar datos para la IA.
Asesor o gestoría: cuándo necesitas la autorización del cliente
En una asesoría cambia el punto de partida, porque no siempre decides tú sobre los datos. El Comité Europeo de Protección de Datos lo explica con ejemplos en sus Directrices 07/2020: el bufete en un litigio es responsable, y quien gestiona nóminas con instrucciones claras, encargado. Elige lo que haces:
Qué le debes al cliente sobre la IA
Asesorarle o defenderle en un asunto. Eres responsable. Le informas del proveedor como destinatario (artículo 13.1 e).
Llevarle la contabilidad o los impuestos. Depende del detalle de sus instrucciones y de lo que te imponga tu normativa profesional. Según salga, informas o pides autorización. Déjalo escrito en el encargo.
Preparar las nóminas y los seguros sociales de su plantilla. Con instrucciones claras suyas, eres encargado. Sin su autorización previa por escrito, específica o general, los datos de sus trabajadores no van a la herramienta (artículo 28.2).
Datos de la contraparte en un pleito. Eres responsable, y el artículo 14.5 d) exime de informarles si el secreto profesional obliga a mantenerlos confidenciales.
Directrices 07/2020 del CEPD, versión 2.0 de 7 de julio de 2021, páginas 14, 17 y 18, y artículos 13, 14.5 d) y 28.2 del RGPD. La aplicación a la IA es mía.
Con autorización general, tienes que avisar de cada incorporación o sustitución para que el cliente pueda oponerse. Y el 28.4 te hace responder de ese otro encargado. Yo no cambiaría de herramienta sin avisar: lo que compromete cada fabricante está en la guía de Copilot.
El Decreto 424/1963, estatuto del gestor, recoge en su artículo 24 el secreto y el deber de informar y asesorar, sin hablar de herramientas, así que me guiaría por el RGPD. Más sobre tu oficio, en la página para asesorías y gestorías.
Ten la respuesta preparada, porque también te lo pueden preguntar en el cuestionario de ciberriesgos.
Cláusula de IA para la hoja de encargo: lista para copiar
La guía del ICAM recomienda informar, pero no propone texto, y su modelo de hoja de encargo no habla de IA. Aquí tienes la cláusula escrita y lista para copiar, pieza a pieza. Adáptala con tu abogado antes de usarla. La pondría junto al bloque de protección de datos, no suelta.
Elige la pieza que necesitas
Copia la que necesites y rellena lo que va entre corchetes.
Uso de herramientas de inteligencia artificial. El despacho puede utilizar herramientas de inteligencia artificial como apoyo en tareas de [redacción de borradores, resumen y revisión de documentos, traducción]. Estas herramientas no toman ninguna decisión sobre el asunto: todo lo que producen lo revisa el abogado responsable del encargo, que lo asume como trabajo propio y responde de él como del resto de su actuación. El cliente puede pedir en cualquier momento, por escrito, que no se utilicen en su asunto o con determinados documentos.
Antes de introducir cualquier texto en estas herramientas, el despacho sustituye en sus propios equipos los datos que identifican al cliente y a terceros, como nombres, números de documento de identidad, direcciones, teléfonos, cuentas bancarias y referencias de expedientes, por marcadores, y revisa el texto para retirar la información que pudiera identificarlos por el contexto. La correspondencia entre marcadores y datos se conserva únicamente en los equipos del despacho.
Para esas tareas, el despacho puede introducir en [nombre de la herramienta y plan contratado] textos del asunto que contienen datos personales del cliente y de terceros. El proveedor, [nombre y domicilio del proveedor], actúa como encargado del tratamiento del despacho con un contrato conforme al artículo 28 del Reglamento (UE) 2016/679, [se ha comprometido a no utilizar ese contenido para entrenar sus modelos] y lo conserva durante [plazo].
[Si procede:] Los datos pueden tratarse en [país], al amparo de [la decisión de adecuación o la garantía aplicable], de la que el cliente puede solicitar copia.
Destinatarios: además de juzgados y tribunales, administraciones públicas y los profesionales que deban intervenir en el asunto, los proveedores de herramientas de inteligencia artificial que el despacho utiliza como encargados del tratamiento[, cuya relación actualizada figura en [dirección web]].
Autorización de otros encargados. En los tratamientos que la asesoría realiza por cuenta del cliente, como [la elaboración de nóminas y seguros sociales], el cliente autoriza con carácter general a la asesoría a recurrir a otros encargados, incluidos proveedores de herramientas de inteligencia artificial, que quedarán obligados por contrato a las mismas condiciones que la asesoría. La asesoría informará al cliente de cualquier incorporación o sustitución con [número] días de antelación, y el cliente podrá oponerse. La relación vigente figura en [anexo o dirección web].
Textos para copiar y adaptar con tu abogado, no un modelo oficial ni asesoramiento. La facultad de pedir que no se use la IA no la exige ninguna norma, y el RGPD no fija el plazo de preaviso.
La frase que más cuidaría es «en sus propios equipos». Describe lo que hace el despacho y no lo que garantiza un programa, y solo es verdad si la sustitución se hace ahí. Con la versión A el proveedor sigue en destinatarios. Qué sustituir lo tienes en las cinco familias de datos de un documento.
La versión B solo se puede firmar si cada corchete tiene respuesta. Los plazos y el entrenamiento cambian de un plan a otro: míralos en qué hace Claude con tus datos.
Si usas otra herramienta, mira por ejemplo la guía de Gemini. Marca lo que puedas enseñar:
Antes de firmar la versión B
0 de 5
No firmaría esta versión hasta tenerlo todo. Lo que no esté en el contrato, quítalo de la cláusula.
Ya puedes rellenar los corchetes. Repásalos cuando cambies de plan o de proveedor.
Lista de elaboración propia para preparar la revisión. Con todo marcado, queda por valorar el resto del tratamiento.
Lo que la cláusula de IA no debe prometer al cliente
Una cláusula se redacta una vez y la firman muchos clientes, así que cada promesa de más se multiplica. Estas cinco frases son tentadoras, y no firmaría ninguna:
| La frase tentadora | Por qué se queda fuera |
|---|---|
| «Sus datos nunca salen del despacho» | Con la versión B salen, y con la A sale el texto sin los datos identificativos |
| «La herramienta cumple el RGPD» | Cumple o incumple el tratamiento que haces con ella, y el cliente no puede comprobarlo |
| «Los datos se anonimizan» | Con marcadores que puedes deshacer hay seudonimización (artículo 4.5 del RGPD), y eso sigue siendo dato personal |
| «La IA solo se usa para tareas menores» | El día que se use para algo más, será falsa; mejor enumerar las tareas |
| «El cliente asume los riesgos de la IA» | Choca con el artículo 5.10 del Código y con su 12.A.8, que obliga a asumir personalmente la responsabilidad del trabajo encargado |
La última es la que más me preocupa, porque suena a protección. Y si algo sale adonde no debía, ya no toca esta cláusula, sino el protocolo de una brecha de seguridad.
Si tienes un seguro, mira también qué dice sobre los plazos para avisar a la aseguradora: lo repaso en las coberturas del seguro de ciberriesgos.
![El proveedor de una herramienta de IA convertido en [EMPRESA_1]: citarlo por su nombre al informar al cliente no es obligatorio](/guias/es/informar-cliente-ia-proveedor-etiqueta.webp "El nombre del proveedor de IA")
Avisar al cliente sin prometer de más: mi orden de trabajo
Decidiría primero si quiero que los datos lleguen a la herramienta, porque de eso depende qué versión firmas. Si puedes evitarlo, evítalo. Luego pondría el aviso en todas las hojas nuevas y, en los asuntos en curso, se lo contaría al cliente antes de que el proveedor reciba nada.
Lo que haría yo, por este orden
Orden propio, a partir de los artículos 13 y 28 del RGPD.
Para el cuarto paso, Nonimo sustituye los datos del cliente en el ordenador del despacho, puesto a puesto, en Mac o Windows. Eliges el texto, pulsas la tecla y el DNI, la cuenta o la referencia catastral pasan a ser marcadores como [DNI_1]. Al leer la respuesta, cada uno recupera su dato.
La correspondencia queda en ese ordenador y de lo que escribes no nos llega nada, tal como explicamos en la política de privacidad. Por eso encaja con «en sus propios equipos». Revisar el contexto, como un cargo o un pueblo pequeño, sigue siendo cosa tuya.
La versión A, en pantalla
Demanda inventada, tapada antes de llegar al chat, con Nonimo para Mac. Qué afirmamos sobre Nonimo, en la página de seguridad.
Para desplegarlo en todos los puestos tienes la página para organizaciones.
Los planes están en la página de precios.
La redacción final de la cláusula le toca a tu abogado o a quien lleve tu protección de datos: de aquí sale un punto de partida, no un texto cerrado.
Fuentes
- Ley Orgánica 5/2024, de 11 de noviembre, del Derecho de Defensa, texto consolidado en el BOE. Artículos 6.2, 12.4, 15.1 y 15.2.
- RGPD, texto del DOUE en el BOE. Artículos 4.5, 4.9, 5.1 a), 13.1 e) y f), 14.5 d), 28.2 y 28.4, y considerando 26.
- LOPDGDD (BOE-A-2018-16673), citada por título. Artículos 11 y 33.1.
- Real Decreto 135/2021, Estatuto General de la Abogacía (BOE-A-2021-4568), citado por título. Artículos 22.6 y 48; no menciona la inteligencia artificial.
- Decreto 424/1963, Estatuto Orgánico del Gestor Administrativo (BOE-A-1963-5030), citado por título. Artículo 24, obligaciones decimotercera y decimosexta.
- Reglamento (UE) 2024/1689, texto consolidado a 27 de julio de 2026 en EUR-Lex. Artículos 3, 50 y 113.
- Grupo del Artículo 29, Directrices sobre transparencia, WP260 rev.01, en inglés, adoptadas el 11 de abril de 2018. Anexo, epígrafe de destinatarios: incluye a los encargados.
- Comité Europeo de Protección de Datos, Directrices 07/2020 sobre responsable y encargado, versión 2.0 de 7 de julio de 2021. Ejemplos de las páginas 14, 17 y 18.
- AEPD, Guía para el cumplimiento del deber de informar, marcada «en revisión». La información por capas y el epígrafe 7.4, de destinatarios.
- Consejo General de la Abogacía Española, Código Deontológico, 2019. Artículos 5.10, 12 y 21.2; no menciona la inteligencia artificial.
- Consejo General de la Abogacía Española, Circular interpretativa 3/2026, en su página de circulares. Aprobada por el Pleno el 10 de abril de 2026, según nota del Consejo; sus copias difieren en la fecha final.
- CGAE e Ilustre Colegio de Abogados de Valencia, Libro Blanco sobre Inteligencia Artificial y Abogacía, enero de 2026, citado por título. Página 58.
- Colegio de la Abogacía de Madrid, Guía de buenas prácticas sobre IA, 7 de octubre de 2025, páginas 23 y 26, y modelo de hoja de encargo, que no menciona la IA.
- Legge 23 settembre 2025, n. 132, artículo 13 en Normattiva. En vigor desde el 10 de octubre de 2025.
Consultadas el 7 de noviembre de 2026.
Preguntas frecuentes
¿Hay que informar al cliente de que usas IA en España?
Sí, si sus datos llegan a la herramienta. El RGPD no habla de avisar de la IA, pero el proveedor pasa a ser destinatario, y su artículo 13 obliga a comunicarlo.
¿Qué principio del RGPD obliga a informar al interesado?
El de transparencia, en el artículo 5.1 a). Los datos se tratan de manera lícita, leal y transparente. Los artículos 13 y 14 concretan qué hay que contar y cuándo.
¿Cuál es el deber del abogado de informar al cliente?
Contarle cómo va su asunto y qué puede costarle. El artículo 6.2 de la Ley Orgánica 5/2024 cita estrategia, estado y costes. Con hoja de encargo y datos personales, se suma el artículo 13 del RGPD.
¿Un asesor tiene que avisar igual que un abogado?
No siempre basta con avisar. Si lleva nóminas siguiendo las instrucciones del cliente, es encargado, y el artículo 28.2 del RGPD le pide autorización previa por escrito, específica o general.
¿Hay que citar por su nombre la herramienta en la hoja de encargo?
No es obligatorio. El artículo 13.1 e) del RGPD admite informar de categorías de destinatarios. Yo la nombraría en la segunda capa, porque al cliente le queda más claro.
¿Sirve la firma del cliente para levantar el secreto profesional?
No, y menos con datos de terceros. El artículo 5.10 del Código Deontológico dice que el consentimiento no excusa el secreto. El Estatuto solo releva en lo que afecta únicamente al cliente.
¿El chatbot de una empresa tiene que avisar a los usuarios?
Sí, salvo que sea evidente que es una máquina. El artículo 50.1 del Reglamento de IA, aplicable desde el 2 de agosto de 2026, obliga al proveedor: quien lo desarrolla o encarga y lo pone en servicio con su marca.
¿Hay que actualizar las hojas de encargo ya firmadas?
El RGPD no trata ese caso de forma expresa. Si un proveedor nuevo va a recibir datos de un asunto en curso, se lo diría antes al cliente por escrito, con un anexo.