Blog

  • Agentes legales de IA para España: del common law al BOE en Markdown

    Agentes legales de IA para España: del common law al BOE en Markdown

    La inteligencia artificial jurídica empieza a moverse por una vía distinta a la de los grandes productos cerrados. Anthropic ha publicado un repositorio open source con agentes, skills y conectores pensados para flujos legales, desde revisión contractual y privacidad hasta litigios, propiedad intelectual, gobierno de IA y formación jurídica. La idea es potente, pero arrastra un problema evidente para cualquier despacho español: el derecho no es universal, y una arquitectura pensada para el entorno anglosajón no resuelve por sí sola las necesidades de quien trabaja con el Estatuto de los Trabajadores, la Ley de Enjuiciamiento Civil, la Ley Concursal, la LOPDGDD o el BOE.

    Ese hueco es el que intenta cubrir claude-para-abogados, una adaptación al ordenamiento español del repositorio original de Anthropic. El proyecto, publicado en GitHub, declara 20 módulos, 100 skills y 17 agentes programados, con áreas que van de mercantil, societario y laboral a fiscal, administrativo, inmobiliario, concursal, familia, protección de datos, startups, clínica jurídica y estudiantes de Derecho. Su planteamiento no es vender una herramienta terminada, sino abrir una base sobre la que abogados, tecnólogos jurídicos y despachos puedan probar, corregir y mejorar.

    La clave no está solo en traducir comandos. Está en adaptar la lógica de trabajo al contexto español. Un abogado laboralista no necesita que el agente le pregunte por discovery o por criterios propios del common law. Necesita que entienda convenios colectivos, tipos de despido, cálculo de indemnizaciones, plazos, documentación laboral y criterios de revisión humana. Un procesalista necesita LEC, plazos, cronologías, escritos, requerimientos y control del riesgo procesal. Un equipo de privacidad necesita RGPD, LOPDGDD, AEPD, encargos de tratamiento, EIPD y brechas de seguridad.

    Del plugin genérico al despacho configurable

    Uno de los elementos más interesantes del proyecto es el uso de entrevistas iniciales. Cada módulo puede configurar un perfil de práctica, con información sobre jurisdicción, comunidad autónoma, tipo de despacho, estilo de trabajo y criterios internos. Esto permite que las skills no operen en abstracto, sino dentro de un contexto profesional definido por el usuario.

    El repositorio mantiene la arquitectura original de Anthropic: plugins, perfiles de práctica, cold-start interviews, skills, agentes programados y conectores. La adaptación española añade áreas propias y comandos pensados para flujos jurídicos reales en España. En laboral, por ejemplo, aparecen revisión de despidos, revisión de contratación, clasificación de relación laboral, redacción de políticas, cálculo de indemnizaciones y consultas rápidas. En societario, se incluyen revisión de due diligence, extracción de incidencias, acuerdos sociales, cumplimiento registral y checklist de cierre. En procesal, cronologías, demandas, plazos, intake de asunto y briefing.

    ÁreaEjemplos de agentes o skillsValor práctico
    MercantilRevisión de contratos, NDAs, adendas, renovacionesEstandarizar revisión y detectar desviaciones del playbook
    LaboralDespidos, contratación, falso autónomo, indemnizacionesApoyo previo a revisión profesional y control de requisitos
    ProcesalCronologías, demandas, plazos, intake, portfolioOrdenar hechos, vencimientos y documentación
    Privacidad y protección de datosDerechos ARCO-POL, EIPD, brechas, AEPDMejorar respuesta y documentación de cumplimiento
    FiscalCalendario AEAT, declaraciones, consultas, procedimientosOrganizar obligaciones y revisar coherencia
    AdministrativoProcedimientos, contratación pública, contenciosoApoyo en plazos, recursos y pliegos
    StartupsSL, pacto de socios, stock options, rondas, incentivosAcompañar operaciones frecuentes en empresas jóvenes
    EstudiantesMétodo socrático, IRAC, oposiciones, fichasUso formativo sin sustituir el estudio jurídico

    La tabla muestra por qué este tipo de repositorios puede ser relevante. No se trata de crear “un abogado IA” que responda cualquier cosa, sino de encapsular tareas repetibles, entrevistas guiadas, checklists y flujos de trabajo que el profesional puede adaptar. Ese enfoque reduce el riesgo de respuestas genéricas y obliga a trabajar con contexto.

    La base de conocimiento importa tanto como el agente

    El gran cuello de botella de la IA jurídica no es solo el modelo. Es el dato. Un agente puede tener una arquitectura excelente, pero si no accede a fuentes normativas actualizadas, jurisprudencia fiable y documentos internos bien organizados, su utilidad será limitada. Por eso el proyecto apunta a conectores MCP como BOE, CENDOJ, EUR-Lex, AEPD, Registro Mercantil, OEPM, EUIPO, DGT, PLACE, LexNET, Registro Público Concursal, Catastro o CGPJ. Muchos de esos conectores todavía no existen en el repositorio, pero están identificados como piezas de alto valor.

    Aquí encaja otro movimiento relevante: la legislación española empieza a estar disponible en formatos más amigables para máquinas. El proyecto legalize-es, por ejemplo, publica legislación española como repositorio Git, con leyes en archivos Markdown y reformas registradas como commits. Su página en GitHub lo describe como un repositorio con más de 8.600 leyes y una lógica pensada para que cada norma pueda leerse, versionarse y compararse como código.

    Esta idea cambia la conversación. Durante años, buena parte de la legaltech española ha dependido de bases de datos cerradas, buscadores propietarios y PDFs difíciles de procesar. Si la legislación, los boletines y las normas consolidadas se convierten en corpus legibles por máquinas, los agentes legales pueden trabajar con más contexto, trazabilidad y capacidad de actualización. El usuario menciona también repositorios de boletines del BOE en Markdown, tanto actuales como históricos, que podrían reforzar esa línea si se integran con conectores y procesos de validación.

    Pero la disponibilidad de textos legales no resuelve todos los problemas. El derecho no es una suma de artículos. Importa la interpretación, la jerarquía normativa, la vigencia, la jurisprudencia, la doctrina administrativa, los criterios autonómicos, el caso concreto y el riesgo profesional. Un agente puede ayudar a preparar un borrador, ordenar hechos o sugerir una ruta de análisis, pero no debe presentarse como una conclusión jurídica final.

    El aviso necesario: no está listo para usarse sin abogado

    El propio repositorio lo deja claro: no ha sido testado con casos reales y puede contener errores, omisiones o interpretaciones incorrectas. También insiste en que todo resultado requiere revisión humana por un profesional cualificado, pensamiento crítico y criterio profesional. No constituye asesoramiento jurídico ni sustituye a un abogado colegiado.

    Ese descargo no es una formalidad. En derecho, una alucinación no es solo una respuesta mala; puede ser un plazo perdido, una cláusula peligrosa, una referencia normativa falsa o una decisión procesal equivocada. Por eso la mejor forma de entender estos agentes es como asistentes de trabajo, no como sistemas autónomos de decisión.

    La oportunidad, aun así, es clara. La IA permite adaptar herramientas legales a jurisdicciones concretas con una velocidad que antes era impensable. Hace unos años, una solución nacida en Estados Unidos podía tardar mucho en llegar al mercado español, si llegaba. Ahora un desarrollador o un despacho con conocimiento técnico puede tomar una arquitectura open source, traducirla, reordenarla y conectarla con fuentes locales.

    Eso desplaza la barrera. Ya no es solo tecnológica. Es profesional y organizativa. ¿Quién valida las skills? ¿Quién revisa referencias? ¿Quién mantiene la actualización normativa? ¿Qué despacho se atreve a probar con casos no críticos? ¿Cómo se documenta el uso de IA ante un cliente? ¿Qué límites se fijan para evitar que un borrador se confunda con un dictamen?

    Los despachos españoles no tienen por qué adoptar agentes legales mañana, pero sí deberían empezar a entender cómo funcionan. La ventaja no estará en usar IA para redactar más rápido cualquier texto, sino en diseñar flujos seguros: intake de cliente, revisión inicial de contratos, detección de riesgos, cronologías, clasificación documental, preparación de reuniones, control de plazos y vigilancia normativa.

    claude-para-abogados es todavía un punto de partida. Precisamente por eso resulta interesante. No intenta cerrar el mercado ni prometer una revolución inmediata. Propone una base abierta para que quienes conocen el derecho español la prueben, la rompan y la mejoren. En legaltech, esa puede ser una de las señales más relevantes de la nueva etapa: las herramientas ya no tienen que llegar siempre desde fuera, en inglés y para otro sistema jurídico. También pueden nacer desde repositorios abiertos, legislación en Markdown y abogados dispuestos a trabajar con máquinas sin delegarles el criterio.

    Preguntas frecuentes

    ¿Qué es claude-para-abogados?
    Es una adaptación open source al derecho español del repositorio claude-for-legal de Anthropic, con módulos, skills y agentes para flujos jurídicos habituales en España.

    ¿Puede sustituir a un abogado?
    No. El propio proyecto advierte de que no ha sido testado con casos reales y que cualquier resultado debe ser revisado por un profesional cualificado.

    ¿Qué áreas jurídicas cubre?
    Incluye mercantil, societario, laboral, propiedad intelectual, procesal, privacidad, consumo, regulatorio, gobernanza de IA, fiscal, administrativo, inmobiliario, concursal, familia, protección de datos, startups, clínica jurídica y estudiantes de Derecho.

    ¿Por qué importa que la legislación esté en Markdown?
    Porque facilita que los sistemas de IA, buscadores, agentes y herramientas de análisis trabajen con normas más estructuradas, versionables y legibles por máquinas.

    vía: LinkedIN

  • “Alarmas para okupas”: el vacío legal que deberían cerrar las empresas de seguridad

    “Alarmas para okupas”: el vacío legal que deberían cerrar las empresas de seguridad

    El intento de ocupación de varios pisos de obra nueva en Chamberí, evitado según publicó Noticias Madrid por la rápida actuación de vecinos, promotora y Policía Municipal, ha vuelto a poner sobre la mesa un problema que no encaja bien en el debate habitual sobre vivienda: qué ocurre cuando una persona entra sin título legítimo en un inmueble y consigue contratar una alarma como si fuera su domicilio.

    La expresión “alarmas para okupas” es dura, pero refleja una inquietud real entre propietarios y compradores. No se trata de afirmar que las empresas de seguridad faciliten ocupaciones ilegales de forma consciente, ni de señalar sin pruebas a una compañía concreta. Pero sí existe una pregunta jurídica y de cumplimiento que el sector debería responder con claridad: ¿qué verificaciones se hacen antes de instalar una alarma conectada a una central receptora en una vivienda?

    La Ley de Seguridad Privada regula, entre otras actividades, la instalación y mantenimiento de sistemas de seguridad conectados a centrales receptoras de alarmas o centros de control. Es decir, no hablamos de una simple venta doméstica sin trascendencia. Una alarma conectada puede activar avisos, movilizar servicios, generar registros y contribuir a crear una apariencia de posesión sobre un inmueble. Si quien la contrata no es propietario, arrendatario ni autorizado por el titular, el riesgo para terceros es evidente.

    El problema legal: apariencia de posesión y perjuicio al propietario

    Una alarma no otorga derechos sobre una vivienda. No convierte al ocupante en dueño ni en inquilino. Pero en la práctica puede complicar una situación que ya es difícil. Una entrada no autorizada reciente puede resolverse con mayor rapidez si se acredita de inmediato la titularidad o posesión legítima. En cambio, cuando pasan las horas y quien está dentro cambia cerraduras, introduce enseres, conecta suministros o instala una alarma, el conflicto puede adquirir una apariencia de normalidad que obliga al propietario a recorrer un camino más largo.

    La Ley de Enjuiciamiento Civil prevé mecanismos para recuperar la posesión de una vivienda ocupada sin consentimiento, incluido el procedimiento del artículo 441.1 bis, que permite requerir al ocupante para que aporte título que justifique su situación posesoria. Si no lo hace en plazo, el juez puede acordar la entrega inmediata de la posesión al demandante en determinados supuestos. Pero incluso las vías rápidas exigen tiempo, documentación, abogado, procurador y capacidad de reacción.

    Desde el punto de vista de responsabilidad civil y cumplimiento, la pregunta no es si la empresa de alarmas debe resolver el conflicto posesorio. No debe hacerlo. La pregunta es si puede limitarse a creer sin más a quien solicita la instalación. En un mercado con fuerte presión comercial, cuotas mensuales y permanencias de varios años, existe el riesgo de que el incentivo por cerrar contratos pese más que la comprobación documental del derecho de uso.

    Ese riesgo afecta a todo el sector, incluidas grandes marcas como Verisure o Securitas Direct, y también a operadores medianos y locales. La cuestión no debería plantearse como una acusación individual, sino como una mejora necesaria del estándar de diligencia. Quien instala un sistema de seguridad en una vivienda debe estar en condiciones de demostrar que comprobó, con medios razonables, que el solicitante podía contratarlo.

    Qué podrían hacer de verdad las empresas de alarmas

    El sector tiene margen para actuar sin esperar a una reforma legal. Muchas medidas son de puro cumplimiento interno, trazabilidad y control de riesgos. Algunas podrían incluso convertirse en estándar sectorial o exigencia normativa.

    1. Verificación documental obligatoria del derecho de uso. Antes de instalar una alarma en una vivienda, la empresa debería exigir escritura, nota simple reciente, contrato de arrendamiento, autorización firmada del titular o documento equivalente. La simple manifestación verbal del cliente no debería bastar.
    2. Bloqueo automático de instalaciones sin documentación suficiente. Si el solicitante no acredita propiedad, alquiler o autorización, el expediente debería quedar suspendido. No se trata de prejuzgar una ocupación, sino de no instalar un sistema sensible sin base documental mínima.
    3. Protocolo reforzado para viviendas vacías, obra nueva o inmuebles sin suministros ordinarios. Estos casos tienen más riesgo. Si la vivienda es de obra nueva, está sin amueblar, no hay contrato de suministro regular o el solicitante no puede acreditar relación previa con el inmueble, debería activarse una revisión manual de cumplimiento.
    4. Canal urgente para propietarios que detecten una alarma contratada por terceros. Las empresas deberían habilitar un procedimiento rápido para que el titular pueda comunicar que se ha instalado o solicitado una alarma en su vivienda sin autorización. Ese canal debería permitir aportar escritura, denuncia, nota simple o documentación de la promotora.
    5. Suspensión cautelar del servicio en casos documentados de conflicto de titularidad. Cuando el propietario aporte indicios sólidos de contratación irregular, la empresa debería revisar el caso de inmediato y, si procede, suspender o limitar el servicio hasta aclarar la situación, siempre respetando la normativa aplicable y evitando actuaciones que pongan en riesgo a personas.
    6. Auditoría interna de contrataciones de riesgo. Las compañías deberían revisar periódicamente altas en inmuebles con señales atípicas: instalación urgente, negativa a aportar documentos, direcciones de promociones recién terminadas, viviendas sin historial previo o discrepancias entre datos del solicitante y datos del inmueble.
    7. Trazabilidad completa del expediente comercial. Conversaciones, documentación recibida, identidad del contratante, dirección exacta, técnico instalador, fecha, hora y comprobaciones realizadas deberían quedar registradas. Si después hay un conflicto, esa trazabilidad protege al propietario, a la empresa y al propio sistema.
    8. Formación específica a comerciales y técnicos. El equipo de ventas no debería tratar estos contratos como una alta ordinaria. Debe saber detectar señales de alerta: prisas injustificadas, ausencia de documentación, contradicciones sobre la titularidad, negativa a facilitar datos o solicitudes en viviendas aparentemente vacías.
    9. Cooperación con Fuerzas y Cuerpos de Seguridad. Cuando haya denuncia o indicios de ocupación, la empresa debe contar con un protocolo claro de colaboración, dentro de los límites legales y de protección de datos. La seguridad privada no puede sustituir a la Policía, pero tampoco puede actuar de espaldas a ella.
    10. Cláusula contractual expresa sobre falsedad documental o falta de título. El contrato debería advertir de que la declaración falsa sobre la posesión o autorización de uso puede dar lugar a resolución inmediata del servicio y a comunicación a las autoridades cuando proceda.

    Estas medidas no impedirían todas las ocupaciones, pero sí cerrarían una vía de consolidación aparente. También protegerían a las propias empresas frente a reclamaciones, daño reputacional y posibles conflictos civiles. En un sector que vende confianza, la diligencia documental debería ser parte del producto.

    Una reforma posible sin convertir a las alarmas en jueces

    Regular mejor no significa exigir a las empresas de alarmas que resuelvan disputas de propiedad. No son jueces ni registradores. Pero sí puede imponerse una obligación mínima de comprobación razonable, igual que ocurre en otros sectores donde una contratación puede afectar a terceros o facilitar abusos.

    El legislador podría estudiar una modificación normativa o una instrucción sectorial que establezca requisitos claros para contratar alarmas conectadas a centrales receptoras en viviendas: identificación reforzada del cliente, acreditación del derecho de uso, conservación de documentos, protocolo ante reclamación del titular y comunicación con autoridades en supuestos de denuncia.

    También sería útil coordinar estos controles con promotoras, administradores de fincas y comunidades de propietarios. En el caso de Chamberí, la actuación rápida evitó que los intentos de ocupación avanzaran. Pero si una vivienda de obra nueva llega a ser ocupada y el ocupante contrata una alarma en cuestión de horas, el problema deja de ser solo policial y pasa a ser jurídico, comercial y regulatorio.

    España no necesita convertir cada trámite en una carga imposible. Pero tampoco puede permitir que un servicio diseñado para proteger hogares termine, por falta de verificación, reforzando la posición de quien no tiene derecho a estar en ellos. La seguridad privada debe ser parte de la solución, no un elemento que añada confusión al propietario legítimo.

    La ocupación ilegal es un fenómeno complejo y no se resuelve con una sola medida. Pero hay reformas de sentido común que pueden reducir daños. Una de ellas es exigir que, antes de instalar una alarma en una vivienda, se compruebe algo tan básico como quién tiene derecho a contratarla.

    Preguntas frecuentes

    ¿Una empresa de alarmas está obligada a comprobar la propiedad de una vivienda?
    La normativa regula la actividad de seguridad privada, pero el debate está en reforzar de forma expresa la verificación documental del derecho de uso antes de instalar alarmas en viviendas.

    ¿Puede una alarma ayudar a consolidar una ocupación ilegal?
    No concede derechos, pero puede crear apariencia de control sobre el inmueble y complicar la respuesta inicial del propietario si se suma a otros indicios como cambio de cerradura o suministros.

    ¿Qué documentación debería pedirse antes de instalar una alarma?
    Escritura, nota simple, contrato de alquiler, autorización del propietario o documentación equivalente que acredite una relación legítima con la vivienda.

    ¿Qué puede hacer un propietario si detecta una alarma contratada sin permiso en su casa?
    Debe denunciar de inmediato, acreditar titularidad o posesión legítima, contactar con la empresa de alarmas por escrito y solicitar revisión urgente del contrato, además de pedir asesoramiento legal.

  • La UE aplaza obligaciones clave del AI Act y abre una nueva agenda legal

    La UE aplaza obligaciones clave del AI Act y abre una nueva agenda legal

    La Unión Europea ha pactado una modificación relevante del calendario y de algunas obligaciones de la Ley de Inteligencia Artificial. El acuerdo provisional alcanzado entre la presidencia del Consejo y los negociadores del Parlamento Europeo forma parte del paquete Omnibus VII, una iniciativa de simplificación normativa que busca reducir cargas administrativas y aclarar la aplicación del marco digital europeo sin desmontar la arquitectura básica del AI Act.

    Para despachos, asesorías jurídicas, departamentos de compliance y equipos de protección de datos, el mensaje es claro: no se elimina el cumplimiento, se reorganiza. La novedad más visible es el retraso de las obligaciones para sistemas de IA de alto riesgo, pero el acuerdo también introduce una nueva prohibición sobre contenido sexual o íntimo no consentido generado con IA, ajusta registros, matiza el tratamiento de datos sensibles para detectar sesgos y aborda solapamientos con normativa sectorial en productos como maquinaria, dispositivos médicos, juguetes, ascensores o embarcaciones.

    Nuevas fechas para los sistemas de alto riesgo

    El cambio central está en el calendario. Las obligaciones para sistemas de IA de alto riesgo ya no se aplicarían de forma general desde el 2 de agosto de 2026. El acuerdo provisional fija dos nuevas fechas: 2 de diciembre de 2027 para sistemas de alto riesgo independientes y 2 de agosto de 2028 para sistemas de alto riesgo integrados en productos. El Consejo explica que esta solución busca dar tiempo a que estén disponibles estándares, herramientas y orientaciones necesarias para aplicar la norma de forma más armonizada.

    Para el sector legal, este retraso cambia la planificación de cumplimiento, pero no debería interpretarse como una pausa total. Las empresas que desarrollan, compran o integran IA deberán seguir trabajando en inventarios, clasificación de sistemas, contratos con proveedores, documentación técnica, evaluación de riesgos, trazabilidad, supervisión humana y gobernanza de datos. La ventaja es que ahora existe más margen para hacerlo con estándares más definidos y menos riesgo de rediseños posteriores.

    MateriaSituación tras el acuerdo provisional
    Sistemas IA de alto riesgo independientesNueva fecha prevista: 2 de diciembre de 2027
    Sistemas IA de alto riesgo integrados en productosNueva fecha prevista: 2 de agosto de 2028
    Sandboxes regulatorios nacionalesPlazo aplazado hasta el 2 de agosto de 2027
    Transparencia para contenido generado artificialmenteNuevo plazo: 2 de diciembre de 2026
    Registro en base de datos europeaSe restablece para determinados sistemas que aleguen exención de alto riesgo
    Contenido íntimo no consentido y CSAMNueva práctica prohibida incorporada al AI Act

    El aplazamiento también reduce una presión práctica: muchas compañías todavía no tienen claro si determinados sistemas entran o no en la categoría de alto riesgo, sobre todo cuando la IA se integra en productos regulados o en procesos internos de decisión. Los asesores legales tendrán que acompañar esa clasificación con criterios documentados, porque el hecho de que una obligación se retrase no elimina la necesidad de dejar constancia de por qué se considera que un sistema está dentro o fuera de una categoría determinada.

    La nueva prohibición: contenido íntimo no consentido y menores

    El acuerdo añade una prohibición expresa de prácticas de IA relacionadas con la generación de contenido sexual o íntimo no consentido y material de abuso sexual infantil. La Comisión Europea presentó este punto como una respuesta a riesgos ya visibles en herramientas capaces de crear o manipular imágenes mediante IA generativa, incluidas las conocidas aplicaciones de “nudificación”.

    Desde la perspectiva jurídica, esta incorporación refuerza un frente que ya combinaba derecho penal, protección de datos, derechos fundamentales, responsabilidad civil, protección de menores y regulación de plataformas. La novedad es que el AI Act incorpora el riesgo dentro de su catálogo de prácticas prohibidas, lo que puede facilitar acciones regulatorias específicas contra proveedores o distribuidores de sistemas diseñados para esos usos.

    El reto estará en definir bien el alcance. Algunos análisis jurídicos ya señalan que harán falta guías de la Comisión para delimitar qué sistemas quedan cubiertos, cómo se tratan herramientas de generación o edición de imagen con usos legítimos y cuándo una capacidad general se convierte en una práctica prohibida por su diseño, comercialización o uso previsto.

    Para abogados especializados en tecnología, penal económico o derechos digitales, este punto puede abrir una nueva línea de asesoramiento: términos de uso de plataformas generativas, mecanismos de denuncia, moderación, trazabilidad de contenidos, conservación de pruebas, deberes de retirada, responsabilidad de desarrolladores y coordinación con normas nacionales sobre violencia digital y protección de menores.

    Datos sensibles, sesgos y registro: más trabajo para compliance

    El acuerdo también restablece el estándar de “estricta necesidad” para el tratamiento de categorías especiales de datos personales cuando se usen para detectar y corregir sesgos. Es un punto delicado porque muchas organizaciones necesitan analizar variables sensibles para comprobar si un sistema discrimina, pero al mismo tiempo deben respetar límites estrictos del RGPD.

    La cuestión práctica será cómo justificar ese tratamiento. Los equipos jurídicos tendrán que revisar bases legales, minimización de datos, controles de acceso, seudonimización, conservación, evaluación de impacto y documentación interna. En sectores como empleo, crédito, educación, seguros o servicios públicos, el equilibrio entre corregir sesgos y no ampliar de forma indebida el tratamiento de datos sensibles será especialmente exigente.

    Otro punto relevante es la obligación de registro en la base de datos europea para sistemas en los que el proveedor considere aplicable una exención de la clasificación de alto riesgo. Esto reduce el margen para decisiones opacas. Si una compañía sostiene que su sistema no debe tratarse como alto riesgo, probablemente tendrá que documentar mejor su razonamiento y asumir que esa decisión puede ser revisada.

    Para los despachos, esta obligación abre un trabajo muy concreto: matrices de clasificación, memorandos justificativos, políticas internas de revisión, cláusulas contractuales con proveedores y procedimientos de actualización cuando cambie el uso del sistema o se incorpore una nueva funcionalidad.

    Normativa sectorial y maquinaria: el problema del solapamiento

    El acuerdo provisional aborda uno de los asuntos más complejos del AI Act: su interacción con legislación sectorial armonizada. En productos regulados, como dispositivos médicos, juguetes, ascensores, maquinaria o embarcaciones, existía el riesgo de duplicar requisitos de seguridad y conformidad.

    La solución pactada introduce un mecanismo para limitar la aplicación directa de determinadas exigencias del AI Act cuando la normativa sectorial ya incluya requisitos específicos equivalentes. En maquinaria, se opta por excluir la aplicabilidad directa del AI Act y permitir que la Comisión adopte actos delegados bajo el Reglamento de Máquinas para añadir requisitos de salud y seguridad relativos a sistemas de IA de alto riesgo. El Consejo presenta esta solución como una forma de evitar solapamientos y reducir carga de cumplimiento.

    Este punto será especialmente relevante para fabricantes industriales, importadores, distribuidores y organismos notificados. La pregunta ya no será solo si un sistema es de alto riesgo, sino bajo qué régimen debe demostrarse la conformidad y qué autoridad resulta competente. En la práctica, muchas compañías necesitarán mapas normativos que conecten AI Act, RGPD, ciberseguridad, seguridad de producto, responsabilidad por productos defectuosos y regulación sectorial.

    Un respiro, no una exención

    El acuerdo todavía debe ser respaldado formalmente por el Consejo y el Parlamento Europeo y pasar por revisión jurídico-lingüística antes de su adopción definitiva. Por tanto, los equipos legales deben tratarlo como una base de planificación muy relevante, pero no como texto final plenamente cerrado.

    Aun así, la dirección política es clara. Bruselas quiere rebajar complejidad administrativa, ofrecer más seguridad jurídica y evitar que la falta de estándares convierta el cumplimiento en una carrera incierta. Al mismo tiempo, refuerza prohibiciones frente a abusos concretos de la IA generativa y mantiene elementos de trazabilidad y supervisión.

    Para los abogados, el trabajo no se reduce; cambia de ritmo. Habrá más tiempo para preparar a los clientes, pero también más expectativa de que esa preparación sea seria. Las empresas que esperen al último semestre antes de la entrada en vigor de las obligaciones de alto riesgo se encontrarán con inventarios incompletos, contratos desactualizados y sistemas ya desplegados sin documentación suficiente.

    El AI Act entra así en una fase más jurídica que política. La pregunta deja de ser si Europa regulará la IA. Ya lo ha hecho. La cuestión ahora es cómo se traduce esa regulación en contratos, evaluaciones de impacto, matrices de riesgo, políticas internas, auditorías, expedientes técnicos, cláusulas de compra, responsabilidad de proveedores y mecanismos de supervisión.

    Preguntas frecuentes

    ¿El acuerdo retrasa toda la Ley de IA europea?
    No. El retraso afecta principalmente a determinadas obligaciones sobre sistemas de IA de alto riesgo. Otras partes del AI Act siguen su propio calendario de aplicación.

    ¿Cuáles son las nuevas fechas clave para sistemas de alto riesgo?
    El acuerdo provisional fija el 2 de diciembre de 2027 para sistemas de alto riesgo independientes y el 2 de agosto de 2028 para sistemas de alto riesgo integrados en productos.

    ¿Qué cambia para los abogados de empresa?
    Deberán revisar clasificación de sistemas, contratos con proveedores, documentación técnica, protección de datos, registros, tratamiento de sesgos y posibles solapamientos con normativa sectorial.

    ¿La nueva prohibición sobre contenido íntimo afecta solo a plataformas grandes?
    No necesariamente. Puede afectar a desarrolladores, proveedores, distribuidores o integradores de sistemas de IA capaces de generar o facilitar contenido sexual o íntimo no consentido o material de abuso sexual infantil.

    vía: Noticias inteligencia artificial

  • Google y Bruselas chocan por la privacidad de las búsquedas en plena carrera de la IA

    Google y Bruselas chocan por la privacidad de las búsquedas en plena carrera de la IA

    Google ha elevado el tono contra la Comisión Europea por una de las medidas más delicadas del Reglamento de Mercados Digitales: la obligación de compartir datos de búsqueda con terceros para favorecer la competencia. La compañía sostiene que la propuesta de Bruselas puede poner en riesgo la privacidad de los usuarios, incluso si los datos se entregan anonimizados.

    El debate va mucho más allá de una disputa entre Google y sus rivales. Lo que está en juego es si la Unión Europea puede obligar a una plataforma dominante a abrir parte de sus datos sin crear una nueva fuente de riesgo para millones de personas. En una época en la que los asistentes de Inteligencia Artificial empiezan a competir con los buscadores tradicionales, la respuesta tendrá consecuencias para Google, OpenAI, Bing, DuckDuckGo y cualquier empresa que quiera construir servicios de búsqueda o respuesta sobre datos reales de comportamiento.

    Qué quiere hacer la Unión Europea

    La Comisión Europea propuso en abril una serie de medidas preliminares para que Google comparta con terceros datos de su buscador, como información de ranking, consultas, clics y visualizaciones. La base legal está en el Reglamento de Mercados Digitales, que impone obligaciones especiales a grandes plataformas consideradas “guardianes de acceso”.

    La idea de Bruselas es sencilla sobre el papel: si Google domina el mercado de búsquedas, sus competidores necesitan acceder a datos que les permitan mejorar sus propios servicios. Un buscador, o un asistente de IA con funciones de búsqueda, aprende mucho de qué consulta el usuario, qué resultados se muestran, cuáles se abren y cómo se refina una búsqueda. Sin esa señal, competir contra Google resulta mucho más difícil.

    La Comisión no plantea entregar datos sin filtros. Sus propuestas incluyen eliminar identificadores directos, como cuentas o direcciones IP, suprimir consultas largas o raras que puedan facilitar la identificación, generalizar metadatos de ubicación o dispositivo, limitar información de sesión, imponer cifrado, prohibir la reidentificación y evitar la combinación con bases de datos auxiliares. También contempla auditorías independientes y un periodo de retención de 13 meses.

    Para Bruselas, este conjunto de salvaguardas permitiría equilibrar competencia y privacidad. Para Google, no basta.

    La advertencia de Google: anonimizar ya no garantiza anonimato

    Sergei Vassilvitskii, científico distinguido de Google y experto en privacidad diferencial, ha enviado una advertencia a los reguladores europeos. Según su posición, las técnicas modernas de análisis e Inteligencia Artificial pueden cruzar patrones aparentemente anónimos hasta reconstruir identidades concretas. El dato más llamativo es una prueba interna de la compañía: el equipo de Red Team de IA de Google habría logrado reidentificar usuarios en menos de dos horas a partir de datos anonimizados.

    La afirmación es potente porque cambia el centro del debate. El problema no sería solo si Google quiere o no compartir datos con competidores, sino si los mecanismos propuestos por la Comisión son técnicamente suficientes en 2026. Una consulta aislada puede parecer anónima. Un conjunto de consultas, clics, horarios, idioma, ubicación aproximada, dispositivo y patrones de navegación puede contar una historia mucho más precisa.

    Las búsquedas son una de las huellas digitales más sensibles que genera una persona. En ellas puede aparecer información sobre salud, trabajo, dinero, creencias, relaciones, dudas legales, problemas personales o intereses políticos. Aunque se eliminen nombres, cuentas e IP, ciertos patrones pueden ser únicos. Una búsqueda rara, combinada con una ubicación aproximada y una secuencia de clics, puede acercar mucho más de lo que parece a una persona real.

    Google tiene interés comercial en defender esta postura. Sus rivales lo recuerdan desde hace tiempo. Pero que el argumento beneficie a Google no significa que el riesgo sea inexistente. La historia de la privacidad digital está llena de ejemplos en los que datos supuestamente anonimizados acabaron siendo reidentificables al cruzarse con otras fuentes.

    Competencia, IA y una nueva batalla por los datos

    La disputa llega en un momento especialmente sensible. La búsqueda en Internet ya no se limita a una caja de texto con diez enlaces azules. Los usuarios empiezan a consultar a chatbots, asistentes de IA, navegadores con respuestas generadas y sistemas que combinan información web con razonamiento. En ese mercado, los datos de búsqueda son una materia prima muy valiosa.

    La Comisión quiere que terceros puedan acceder a esos datos si cumplen la definición aplicable de motor de búsqueda online. Esto podría incluir servicios tradicionales, pero también nuevas herramientas de IA que funcionen como puerta de entrada a la información. Reuters ha mencionado a OpenAI entre los posibles beneficiarios del acceso a datos, aunque el alcance final dependerá de cómo se definan las condiciones.

    Los competidores de Google llevan años acusando a la compañía de invocar la privacidad para proteger su posición dominante. DuckDuckGo, por ejemplo, pidió en 2024 nuevas investigaciones europeas sobre el cumplimiento de Google con el DMA y criticó que la propuesta de licenciar datos de búsqueda anonimizados era demasiado restrictiva y poco útil para competir. Desde esa óptica, Google estaría ofreciendo datos tan filtrados que no servirían realmente para mejorar servicios alternativos.

    Google responde que no puede comprometer la confianza de los usuarios ni entregar información que pueda convertirse en un mapa de comportamiento personal. El choque es difícil de resolver porque ambas posiciones tienen parte de razón. Sin acceso a datos, la competencia se debilita. Con demasiado acceso a datos, la privacidad puede quedar expuesta.

    El problema de fondo: regular datos sensibles en la era de la IA

    El caso muestra una tensión cada vez más habitual en Europa. La Unión Europea quiere abrir mercados digitales concentrados, limitar abusos de grandes plataformas y permitir que nuevos actores compitan en mejores condiciones. Pero muchos de los datos que dan ventaja a esas plataformas son precisamente los más sensibles.

    Antes, anonimizar podía parecer una solución razonable. Hoy resulta menos claro. Los modelos de IA, las técnicas estadísticas avanzadas y la disponibilidad de bases de datos auxiliares hacen que la frontera entre dato anónimo y dato reidentificable sea mucho más frágil. Una regulación pensada para compartir información debe asumir que los atacantes, o incluso competidores con incentivos comerciales fuertes, tendrán herramientas cada vez mejores para encontrar patrones.

    La Comisión intenta reducir ese riesgo con límites, auditorías y prohibiciones. La pregunta es si esos mecanismos serán suficientes y, sobre todo, quién responderá si no lo son. Si un tercero recibe datos de búsqueda anonimizados y logra vincularlos a personas concretas, el daño para el usuario puede ser difícil de reparar. Y si los datos se filtran, el problema ya no sería solo de competencia, sino de seguridad y derechos fundamentales.

    También hay una cuestión práctica. Cuanto más se protegen los datos, menos útiles pueden resultar para competir. Si se eliminan consultas raras, se agregan metadatos, se reduce la información de sesión y se impide cruzar fuentes, el dataset puede perder buena parte de su valor. Si se entregan datos más ricos, el riesgo aumenta. Ese equilibrio es el verdadero núcleo del conflicto.

    La decisión final de Bruselas será observada con atención por toda la industria. Si la Comisión mantiene una obligación amplia, Google probablemente intensificará su defensa técnica y legal. Si reduce mucho el alcance, los rivales dirán que el DMA se queda corto justo cuando la IA está redefiniendo el acceso a la información.

    La privacidad de las búsquedas no debería convertirse en una excusa automática para blindar monopolios, pero tampoco en un daño colateral de la competencia. La Unión Europea tiene razón al querer abrir mercados digitales cerrados. Google tiene razón al advertir que los datos de búsqueda son extremadamente sensibles. El reto está en no resolver un problema creando otro mayor.

    Preguntas frecuentes

    ¿Qué quiere obligar la Unión Europea a hacer a Google?
    La Comisión Europea propone que Google comparta con terceros datos de su buscador, como consultas, rankings, clics y visualizaciones, bajo condiciones justas, razonables y no discriminatorias.

    ¿Por qué Google dice que esto puede afectar a la privacidad?
    Google sostiene que, aunque se eliminen identificadores directos, los patrones de búsqueda pueden permitir reidentificar usuarios al cruzarse con otros datos y técnicas modernas de IA.

    ¿Qué datos de búsqueda pueden ser sensibles?
    Las búsquedas pueden revelar información sobre salud, finanzas, ubicación, trabajo, creencias, problemas legales, intereses personales o situación familiar. Por eso incluso datos anonimizados pueden ser delicados.

    ¿Quién podría beneficiarse de estos datos?
    Buscadores rivales y servicios de IA con funciones de búsqueda podrían usar esos datos para mejorar resultados, entrenar sistemas y competir mejor frente a Google, siempre que cumplan las condiciones que fije Bruselas.

    vía: elchapuzasinformatico

  • La AEPD avisa sobre la IA agéntica: ya no basta con vigilar el prompt

    La AEPD avisa sobre la IA agéntica: ya no basta con vigilar el prompt

    La inteligencia artificial agéntica empieza a llegar a empresas, despachos, departamentos de atención al cliente, áreas de recursos humanos, equipos comerciales y administraciones públicas con una promesa atractiva: sistemas capaces de planificar tareas, consultar herramientas, recordar contexto y actuar con distintos grados de autonomía. Pero esa misma capacidad de actuar es la que ha llevado a la Agencia Española de Protección de Datos a publicar unas orientaciones específicas sobre sus riesgos.

    La AEPD publicó el 18/02/2026 sus “Orientaciones sobre Inteligencia Artificial agéntica desde la perspectiva de protección de datos”, dirigidas a responsables y encargados que quieran utilizar agentes de IA en tratamientos de datos personales. El documento no pretende resolver casos concretos ni sustituir una evaluación jurídica específica, sino ayudar a entender cómo cambia el tratamiento cuando la IA deja de limitarse a responder y empieza a ejecutar pasos, usar memoria y conectarse con otros servicios.

    Qué entiende la AEPD por IA agéntica

    La Agencia define los agentes de IA como sistemas de inteligencia artificial que utilizan modelos de lenguaje para cumplir un objetivo. La diferencia frente a un chatbot convencional está en que el agente no se limita a contestar una pregunta aislada. Puede descomponer una tarea, decidir qué herramienta necesita, consultar datos, recordar información previa y actuar en varios pasos hasta alcanzar el resultado esperado.

    Esa autonomía introduce riesgos distintos. Un asistente que resume un texto puntual puede tratar datos personales durante unos segundos y devolver una respuesta. Un agente, en cambio, puede acceder a una base de datos, consultar un correo, recuperar información de una memoria persistente, generar una respuesta y enviarla automáticamente. El tratamiento ya no se explica solo por el modelo, sino por todo el sistema que lo rodea.

    La AEPD insiste en que no basta con conocer la herramienta “como usuario”. Las organizaciones deben comprender sus fundamentos, límites, alcance y forma de aplicación antes de incorporarla a tratamientos con datos personales. Rechazarla sin análisis puede hacer perder oportunidades de mejora; adoptarla sin control puede afectar a derechos y libertades de las personas.

    El enfoque es relevante porque desplaza el debate. La pregunta ya no es únicamente qué datos se introducen en un prompt, sino qué datos consulta el agente por su cuenta, qué conserva, qué infiere, qué comparte con otros servicios y qué acciones ejecuta después. En un sistema agéntico, el riesgo nace del comportamiento completo del flujo.

    La memoria, el punto más delicado

    Uno de los elementos que más preocupan a la AEPD es la memoria. La guía distingue entre memoria de trabajo, memoria a largo plazo y memoria de gestión, formada por registros o logs de operación. La memoria puede mejorar la utilidad del agente, porque permite recordar preferencias, casos anteriores o instrucciones de la organización. Pero también puede acumular datos personales, sesgos, credenciales, información irrelevante o contexto que no debería reutilizarse en otros tratamientos.

    La AEPD advierte de que la memoria debe estar compartimentada por tratamientos, casos y personas usuarias cuando sea necesario. No es lo mismo guardar políticas generales de la organización que conservar datos de un cliente, un empleado o un expediente. Si toda la información se vuelca en un repositorio común y se deja al agente decidir qué usar, el riesgo de quiebra del principio de minimización aumenta.

    También aparece el problema de la conservación. En protección de datos no se trata de guardar todo “por si acaso”. La información almacenada debe ser la mínima necesaria para el funcionamiento del agente y debe tener plazos claros de retención. La guía recomienda gestionar la memoria con capacidades de búsqueda, borrado, trazabilidad, limitación del tratamiento y alertas de uso.

    La Agencia propone medidas como desactivar memoria persistente por defecto en determinados tratamientos, permitir su desactivación por la persona usuaria, aplicar caducidades estrictas e higienizar la memoria a largo plazo. Esta higienización incluye eliminar credenciales innecesarias, revisar contenido obsoleto, detectar sesgos y depurar información que ya no sea relevante.

    Riesgos: opacidad, inyección de prompts y filtraciones silenciosas

    La AEPD no se queda en una advertencia genérica sobre “usar la IA con cuidado”. Identifica riesgos bastante concretos. Uno de ellos es la opacidad: si el agente combina inferencias, herramientas externas, memoria y acciones automáticas, puede ser difícil explicar por qué hizo algo, qué datos usó o qué componente falló. Esto afecta a la transparencia, a la supervisión humana y al ejercicio de derechos.

    Otro riesgo es el acceso excesivo a información. Un agente con permisos amplios puede consultar más datos de los necesarios, hacer scraping masivo o reenviar información a otros sistemas sin una base adecuada. Aquí el principio de minimización cobra especial importancia: el agente no debe tener acceso a todo porque “así funciona mejor”. Debe acceder solo a lo necesario para cada tarea.

    La inyección de prompts es otra amenaza central. Una instrucción maliciosa no siempre llega escrita por el usuario en la caja de texto. Puede estar escondida en una web, un correo, un PDF o un documento que el agente lee durante su trabajo. Si el sistema no filtra bien las entradas externas, el agente puede obedecer instrucciones que alteren su comportamiento, revelen datos o ejecuten acciones no previstas.

    La guía también menciona las filtraciones shadow-leak, un concepto importante para organizaciones que manejan información sensible. No se trata de una fuga directa y evidente, sino de una exposición silenciosa y progresiva de datos, reglas internas, memoria, patrones o secretos a través de respuestas parciales, metadatos, tiempos de respuesta o comportamientos del sistema. Precisamente por ser difícil de detectar, este riesgo exige controles desde el diseño.

    La “regla de 2” como alarma mínima

    Uno de los puntos más útiles de la guía es la llamada “regla de 2”, inspirada en criterios de seguridad aplicados a sistemas que ejecutan contenido no confiable. La AEPD la adapta al contexto de agentes de IA como umbral mínimo de garantías.

    La idea es sencilla: hay tres factores especialmente peligrosos si se combinan mal. El primero es tratar información no controlada, como correos, webs o documentos externos que pueden contener ataques. El segundo es acceder a información sensible o datos personales. El tercero es ejecutar acciones automáticas con efectos dentro o fuera de la organización.

    La AEPD advierte de que una configuración que combine los tres elementos sin garantías no debería permitirse. Por ejemplo, un agente que recibe correos no verificados, puede acceder a datos sensibles del usuario y además responde o modifica repositorios de forma automática representa una configuración de riesgo alto.

    Combinación de riesgoQué debería evitarse
    Entrada no controlada + acceso a datos sensiblesNo permitir acciones automáticas sin supervisión humana
    Acceso a datos sensibles + acciones automáticasNo operar sin garantías de integridad y seguridad de la información
    Entrada no controlada + acciones automáticasImpedir el acceso a información sensible o datos personales
    Entrada no controlada + datos sensibles + acción automáticaConfiguración que no debería permitirse sin rediseño y garantías reforzadas

    Esta regla no sustituye una evaluación de riesgos ni una evaluación de impacto cuando proceda, pero sirve como señal de alarma. Si un proyecto de agente cumple dos o tres de esos factores, no debería tratarse como una simple integración tecnológica.

    Qué deben hacer las organizaciones

    La AEPD plantea una respuesta estructural. No basta con poner un aviso al usuario o pedirle que revise la respuesta final. La IA agéntica debe incorporarse a la gobernanza del tratamiento desde el diseño, con participación del Delegado de Protección de Datos cuando exista, análisis de riesgos, documentación de finalidades, control de intervinientes, gestión de proveedores y medidas técnicas proporcionadas.

    La guía recuerda que la incorporación de IA agéntica puede cambiar la naturaleza del tratamiento. Puede modificar flujos de datos, categorías de información, plazos de conservación, destinatarios, finalidades y nivel de autonomía. Por eso puede exigir un nuevo ciclo de gestión del riesgo o revisar una evaluación de impacto ya realizada. No todos los casos obligarán automáticamente a una EIPD, pero sí habrá que justificarlo.

    Entre las medidas recomendables destacan la minimización granular, el filtrado de flujos entre componentes, la eliminación de metadatos innecesarios, la seudonimización de usuarios, el control de memoria y logs, las listas blancas de servicios, la definición del grado de autonomía y la supervisión humana real en las decisiones o acciones sensibles.

    Para empresas que empiezan a desplegar agentes, la lección práctica es clara: no se puede comprar una herramienta agéntica y conectarla a correos, CRM, expedientes, carpetas compartidas y sistemas internos sin rediseñar permisos, memoria y controles. Cuanto más útil sea el agente, más probable será que necesite acceso a datos valiosos. Y cuanto más acceso tenga, más exigente debe ser la gobernanza.

    La IA agéntica puede ser una tecnología útil para mejorar procesos y reducir tareas repetitivas, pero la AEPD recuerda que su adopción exige madurez. Un agente que actúa sin entender límites puede convertir una buena automatización en un problema de protección de datos. La innovación no queda prohibida; queda condicionada a algo que el RGPD lleva años exigiendo: responsabilidad proactiva, privacidad desde el diseño y control real sobre el tratamiento.

    Preguntas frecuentes

    ¿Qué son las orientaciones de la AEPD sobre IA agéntica?
    Son un documento publicado por la Agencia Española de Protección de Datos para ayudar a responsables y encargados a identificar riesgos cuando usan agentes de IA en tratamientos de datos personales.

    ¿La IA agéntica obliga siempre a hacer una evaluación de impacto?
    No siempre. Pero puede exigir una EIPD o la revisión de una ya existente si cambia el riesgo del tratamiento, los datos tratados, las finalidades, la autonomía o los flujos de información.

    ¿Qué es la regla de 2 en agentes de IA?
    Es una regla mínima de seguridad que alerta sobre la combinación de entradas no controladas, acceso a datos sensibles y acciones automáticas. Si esos factores se combinan mal, el agente puede generar riesgos graves.

    ¿Qué medidas recomienda la AEPD?
    Recomienda integrar la IA agéntica en la gobernanza del tratamiento, limitar accesos, minimizar datos, controlar memoria y logs, filtrar flujos entre componentes, seudonimizar cuando proceda y documentar el grado de autonomía del agente.

  • ¿De quién es el prompt? La nueva pregunta legal que llega a los despachos

    ¿De quién es el prompt? La nueva pregunta legal que llega a los despachos

    El prompt ha dejado de ser una instrucción improvisada para pedirle algo a una herramienta de inteligencia artificial. En muchos despachos, asesorías jurídicas y departamentos legales empieza a funcionar como una plantilla de trabajo, una metodología de análisis, una guía de revisión contractual o incluso una pieza reutilizable dentro de un servicio profesional. Y cuando una instrucción se convierte en método, conocimiento y ventaja competitiva, la pregunta aparece sola: ¿de quién es?

    La respuesta no cabe en una frase. Un prompt puede ser una orden simple, una estructura compleja, una combinación de datos internos, una secuencia de razonamiento jurídico o una plantilla desarrollada por un abogado para automatizar parte de su práctica. Según el caso, podrá quedar fuera de la protección, estar amparado por derechos de autor, integrarse en un secreto empresarial o depender de lo que digan los contratos laborales, mercantiles y de prestación de servicios.

    Información rápida para despachos y asesorías

    SupuestoRiesgo principalProtección más probableMedida práctica
    Prompt simple del tipo “resume este contrato”Escasa protección jurídicaNormalmente ninguna específicaNo tratarlo como activo protegido
    Prompt complejo con estructura originalDiscusión sobre originalidadDerecho de autor, si supera el umbral creativoConservar versiones y autoría humana
    Biblioteca interna de prompts jurídicosFuga de know-howSecreto empresarialAccesos limitados, NDA y repositorio controlado
    Prompt con datos de clientesBrecha de confidencialidad o RGPDCumplimiento, contrato con proveedor y secreto profesionalProhibir datos sensibles en herramientas no autorizadas
    Prompt creado por empleadoConflicto sobre titularidadContrato laboral y políticas internasRegular expresamente cesión, uso y reutilización
    Prompt creado por proveedor externoReutilización no deseadaContrato mercantilCláusulas de titularidad, exclusividad y confidencialidad

    Derecho de autor: no todo prompt es una obra

    La primera tentación es llevar el debate al terreno de la propiedad intelectual. En España, la Ley de Propiedad Intelectual protege las creaciones originales literarias, artísticas o científicas por el solo hecho de su creación. El punto decisivo no es que el prompt sea útil, sino que sea una expresión original atribuible a una persona. Una instrucción funcional y breve rara vez tendrá entidad suficiente para considerarse obra protegida.

    Esto deja fuera a la mayoría de prompts de uso cotidiano: “redacta una cláusula de confidencialidad”, “resume esta sentencia”, “haz una tabla de riesgos” o “compara estas dos versiones de contrato”. Son instrucciones operativas. Tienen una finalidad profesional, pero no necesariamente una forma expresiva original.

    El análisis cambia cuando el prompt se convierte en una estructura elaborada. Pensemos en una plantilla de revisión de contratos de outsourcing tecnológico que incluye criterios de riesgo, jerarquía de cláusulas, instrucciones de estilo, ejemplos, reglas de salida, ponderación por criticidad y advertencias de cumplimiento. Ahí puede existir una expresión suficientemente personal y compleja, aunque la protección no alcanzaría al método jurídico en abstracto, sino a la forma concreta en que se ha redactado y organizado.

    La doctrina internacional va con cautela. La Oficina de Copyright de Estados Unidos ha insistido en que la autoría humana sigue siendo necesaria para proteger obras generadas con ayuda de IA, y que un resultado producido únicamente por una máquina a partir de prompts puede no ser registrable si no hay contribución creativa humana suficiente. Ese criterio no decide el derecho español, pero muestra una tendencia relevante para despachos que trabajan con clientes internacionales.

    El prompt, el resultado y los datos no son lo mismo

    Para un abogado, conviene separar tres planos que a menudo se mezclan. El primero es el prompt como instrucción. El segundo son los datos que se introducen en la herramienta. El tercero es el resultado generado por el modelo. Cada uno plantea problemas distintos.

    El prompt puede contener know-how. Los datos pueden incluir información confidencial, datos personales, secretos de cliente o material sujeto a privilegio profesional. El resultado puede ser un borrador contractual, un informe de riesgos, una nota jurídica o una estrategia procesal. Que una plataforma diga que el usuario conserva derechos sobre las salidas no resuelve automáticamente la titularidad del prompt ni la licitud del tratamiento de datos introducidos.

    En despachos y departamentos legales, el mayor riesgo suele estar menos en la autoría y más en la confidencialidad. Un prompt que incorpora hechos de un asunto, nombres de partes, cuantías, estrategias, cláusulas no públicas o documentos de due diligence puede exponer información sensible si se introduce en una herramienta no autorizada. Además, no todos los servicios de IA tratan igual los datos: depende del proveedor, del tipo de cuenta, de la configuración, de si hay contrato empresarial y de las políticas de retención o entrenamiento.

    Desde el punto de vista del RGPD, si el prompt contiene datos personales hay tratamiento. Eso exige base jurídica, minimización, seguridad, información cuando proceda y análisis del proveedor como encargado o responsable, según el modelo de servicio. El Comité Europeo de Protección de Datos ha recordado que los modelos de IA pueden plantear cuestiones relevantes sobre anonimización, base jurídica e impacto del tratamiento de datos personales, por lo que no conviene asumir que todo uso de IA queda fuera del RGPD por el mero hecho de tratarse de una herramienta generativa.

    Secreto empresarial: la vía más sólida para prompts valiosos

    Para muchos despachos, la protección realista no estará en el derecho de autor, sino en el secreto empresarial. La Ley 1/2019 protege información o conocimiento que sea secreto, tenga valor empresarial precisamente por ser secreto y haya sido objeto de medidas razonables para mantenerlo reservado. Esa definición encaja mejor con bibliotecas internas de prompts, flujos de IA, metodologías de análisis y plantillas jurídicas optimizadas.

    Un prompt jurídico avanzado puede condensar años de experiencia: cómo detectar riesgos en contratos SaaS, qué revisar en una operación de M&A, cómo clasificar cláusulas de responsabilidad, cómo preparar un primer análisis de compliance o cómo convertir documentos extensos en una matriz útil para el socio responsable. Si ese conjunto aporta ventaja competitiva y no es conocido fuera del despacho, puede ser un activo protegible como secreto empresarial.

    Pero la protección no nace de decir “esto es confidencial” cuando ya se ha filtrado. Hay que demostrar medidas previas: repositorios con control de acceso, permisos por equipo, registros de cambios, cláusulas de confidencialidad, políticas de uso de IA, formación interna y límites claros para copiar prompts en herramientas externas. La diferencia entre un secreto empresarial y una buena práctica compartida en un chat interno puede depender de esas medidas.

    La arquitectura contractual es igual de importante. En contratos laborales debe aclararse si los prompts creados por abogados, paralegals o equipos de legal operations pertenecen al despacho cuando se desarrollan en el marco de su trabajo. En contratos con proveedores tecnológicos, consultores o colaboradores externos, conviene regular titularidad, reutilización, sublicencia, confidencialidad y devolución o destrucción de materiales. En proyectos para clientes, la cuestión puede ser aún más delicada: un prompt creado para un cliente puede no ser reutilizable en otro si incorpora metodología, datos o criterios específicos del primero.

    IA Act, gobierno interno y práctica profesional

    El Reglamento Europeo de Inteligencia Artificial no convierte automáticamente un prompt en activo protegido, pero sí refuerza la necesidad de gobernanza. La norma crea un marco para el desarrollo, puesta en servicio y uso de sistemas de IA en la Unión, con obligaciones distintas según el tipo de sistema y riesgo. Para los despachos, el mensaje práctico es que la IA debe entrar en procedimientos internos, no quedarse en usos informales de cada abogado.

    Una política razonable debería distinguir entre prompts públicos, internos, confidenciales y prohibidos. También debería identificar herramientas aprobadas, categorías de datos que no pueden introducirse, reglas para clientes regulados, revisión humana de outputs, conservación de evidencias y responsabilidades dentro del despacho.

    Los prompts que afecten a asesoramiento jurídico, decisiones procesales, análisis de cumplimiento o documentos destinados a cliente no deberían circular sin control. Pueden versionarse como si fueran modelos de contrato: autor, fecha, cambios, aprobador, ámbito de uso y advertencias. Esta disciplina no busca frenar la IA, sino evitar que cada profesional construya su propio sistema de riesgo en paralelo.

    La pregunta “¿de quién es el prompt?” será cada vez más frecuente en tres escenarios: salida de profesionales del despacho, conflictos con proveedores que reutilizan plantillas, y clientes que exigen saber cómo se ha usado IA en la prestación del servicio. Quien haya documentado titularidad, confidencialidad y control tendrá una posición mucho más fuerte.

    Los prompts no sustituyen al criterio jurídico. Pero pueden capturarlo, empaquetarlo y multiplicarlo. Por eso no deben tratarse como texto desechable. En los próximos años, muchos despachos descubrirán que parte de su ventaja no está solo en sus documentos finales, sino en las instrucciones internas que permiten producirlos mejor, más rápido y con menos errores. La propiedad de esas instrucciones dependerá menos de grandes teorías sobre la IA y más de algo muy conocido por los abogados: prueba, contrato y medidas razonables de protección.

    Preguntas frecuentes

    ¿Un prompt jurídico puede estar protegido por derechos de autor?
    Sí, pero solo en casos concretos. Una instrucción simple difícilmente estará protegida. Un prompt complejo, original y expresado con una estructura creativa puede tener más opciones.

    ¿Puede un despacho proteger sus prompts como secreto empresarial?
    Sí, si son secretos, tienen valor competitivo y el despacho adopta medidas razonables para mantenerlos reservados, como control de accesos, cláusulas de confidencialidad y políticas internas.

    ¿Qué ocurre si un abogado introduce datos de cliente en una herramienta de IA?
    Puede haber riesgos de confidencialidad, secreto profesional y protección de datos. El despacho debe revisar proveedor, contrato, configuración, base jurídica, retención y uso posterior de la información.

    ¿A quién pertenecen los prompts creados por empleados o colaboradores?
    Depende del contrato, del contexto de creación y de las políticas internas. Lo recomendable es regular expresamente titularidad, cesión, reutilización y deberes de confidencialidad.

  • La AEPD endurece las sanciones y acelera la adopción de soluciones para la protección de datos en los concesionarios

    La AEPD endurece las sanciones y acelera la adopción de soluciones para la protección de datos en los concesionarios

    En 2025, la Agencia Española de Protección de Datos impuso un total de 299 sanciones a empresas, con una recaudación de 40 millones de euros, lo que supone un incremento del 14% respecto a los 35 millones registrados en 2024. Este repunte refleja un mayor control sobre el cumplimiento del Reglamento General de Protección de Datos, especialmente en sectores que gestionan un alto volumen de información personal, como el de la automoción.

    En este ámbito, los concesionarios trabajan con grandes cantidades de datos a través de distintos canales, como la venta de vehículos, la financiación, el marketing o los servicios posventa. Esta complejidad, unida a la interacción constante con fabricantes y diversas plataformas tecnológicas, incrementa el riesgo de incumplimiento normativo.

    Ante esta situación, el vicepresidente regional para Iberia de Nextlane, Luca Liberali, destaca que contar con herramientas que aseguren una gestión adecuada del consentimiento ha pasado de ser una opción a convertirse en una necesidad estratégica para las empresas del sector.

    La solución que impulsa la gestión del consentimiento

    Ante este escenario, las compañías tecnológicas están reforzando su oferta con herramientas específicas para la gestión del consentimiento. Nextlane, líder europeo en soluciones de software para la industria de la automoción, cuenta con Consent Center, una solución que permite a concesionarios y empresas del sector gestionar el consentimiento de los clientes de forma centralizada, segura y conforme al RGPD.

    Este sistema facilita la recogida, almacenamiento y trazabilidad del consentimiento, garantizando que las empresas puedan demostrar en todo momento cuándo, cómo y para qué un cliente autorizó el uso de sus datos.

    La automatización y el control de los datos mejora también la eficiencia operativa

    El Consent Center de Nextlane se integra con los sistemas del concesionario, como el DMS y el CRM. Las ventajas de su integración para los concesionarios no se quedan solo en el cumplimiento normativo, sino que permiten mejorar la eficiencia operativa al reducir el tiempo en la gestión documental y centralizar la información.

    Asimismo, disminuye el riesgo legal mediante la automatización de procesos, así como también ofrece a los concesionarios datos fiables y de acceso rápido sobre sus clientes para generar y desarrollar acciones comerciales y de marketing.

    Gracias a esta integración, se evita la dispersión de información y se mejora la coherencia en el tratamiento de datos, ya que permite:

    • Recopilar el consentimiento directamente desde el DMS.
    • Consultar el historial completo de cada cliente.
    • Generar y gestionar formularios de forma ágil.
    • Garantizar una gestión adecuada de los datos.

    En un escenario donde las sanciones aumentan y la exigencia regulatoria se intensifica, la digitalización de la gestión del consentimiento se posiciona como un elemento clave para la sostenibilidad del negocio.

    En este entorno, la adopción de soluciones tecnológicas específicas como el Consent Center de Nextlane se consolida como una vía para garantizar el cumplimiento normativo y mantener la operativa del negocio sin asumir riesgos innecesarios.

  • Bruselas prepara una guía para unir competencia y privacidad en la era de los datos

    Bruselas prepara una guía para unir competencia y privacidad en la era de los datos

    La Comisión Europea y el Comité Europeo de Protección de Datos han acordado trabajar juntos en una nueva guía sobre la relación entre el derecho de competencia de la Unión Europea y la normativa de protección de datos. La iniciativa, anunciada el 28 de abril por la Dirección General de Competencia, busca aclarar cómo deben coordinarse ambos marcos legales cuando una investigación de mercado afecta al uso de datos personales, o cuando una decisión sobre privacidad puede tener efectos sobre la competencia.

    El movimiento no llega por casualidad. En la economía digital, los datos personales son mucho más que información sobre usuarios. También pueden ser una ventaja competitiva, una barrera de entrada, una fuente de ingresos publicitarios o una pieza central en fusiones, plataformas, redes sociales, buscadores, marketplaces, servicios cloud e inteligencia artificial. Por eso Bruselas quiere evitar que competencia y privacidad se traten como mundos separados.

    Datos personales, poder de mercado y derechos fundamentales

    Durante años, las autoridades de competencia se centraron en precios, cuotas de mercado, acceso a infraestructuras, abuso de posición dominante o concentración empresarial. Pero muchos servicios digitales se ofrecen a precio cero para el usuario y se financian con datos, perfiles, publicidad personalizada o integración entre servicios. En ese contexto, medir el daño competitivo solo con precios puede quedarse corto.

    La protección de datos, por su parte, no nació para corregir mercados ni para decidir si una empresa tiene demasiado poder. Su objetivo principal es proteger derechos y libertades de las personas cuando se tratan sus datos personales. Aun así, en plataformas digitales ambas dimensiones se cruzan constantemente. Una empresa dominante puede imponer condiciones de tratamiento de datos que un usuario difícilmente puede rechazar. Y una acumulación masiva de datos puede reforzar todavía más esa posición dominante.

    La nueva guía conjunta se centrará en situaciones seleccionadas donde la protección de datos sea relevante para evaluar casos de competencia, y también en el sentido contrario: escenarios donde el análisis competitivo importe para aplicar normas de privacidad. La Comisión sostiene que el objetivo es ofrecer claridad tanto a empresas como a autoridades encargadas de aplicar la ley.

    Este enfoque no significa fusionar el Reglamento General de Protección de Datos con las normas antimonopolio. Son marcos distintos, con fines distintos y autoridades distintas. La cuestión es cómo evitar contradicciones, duplicidades o vacíos cuando un mismo comportamiento empresarial afecta a ambos.

    El precedente de Meta y el aviso del Tribunal de Justicia

    La tensión entre competencia y privacidad no es nueva. Uno de los casos más importantes fue el litigio entre Meta y la autoridad alemana de competencia, el Bundeskartellamt. En 2023, el Tribunal de Justicia de la Unión Europea confirmó que una autoridad de competencia puede tener en cuenta el cumplimiento del RGPD al analizar si una conducta constituye abuso de posición dominante, siempre que coopere con las autoridades de protección de datos competentes.

    Aquel caso fue relevante porque vinculaba el poder de mercado de Facebook con la forma en que la compañía combinaba datos procedentes de sus servicios y de terceros. La sentencia no convirtió a las autoridades de competencia en supervisores generales del RGPD, pero sí abrió la puerta a que las infracciones o tensiones de privacidad sean un elemento importante dentro de un análisis de abuso.

    La compra de Fitbit por Google también mostró hasta qué punto los datos pueden condicionar una operación de concentración. La Comisión Europea aprobó la adquisición en 2020, pero impuso compromisos, entre ellos que Google no utilizara determinados datos de salud y bienestar de Fitbit para publicidad en Google Ads durante un periodo definido, además de condiciones de acceso a APIs para preservar competencia. El caso generó debate porque combinaba salud, privacidad, datos sensibles y poder de mercado.

    Estos ejemplos explican por qué una guía conjunta puede ser útil. Las empresas necesitan saber cuándo una práctica de datos puede levantar riesgos de competencia, y las autoridades necesitan criterios comunes para no dar respuestas divergentes.

    Del DMA y el RGPD a una coordinación más amplia

    La nueva iniciativa parte de una experiencia previa: las directrices conjuntas sobre la relación entre la Ley de Mercados Digitales y el RGPD. La Comisión y el EDPB anunciaron ese trabajo en 2024 y sometieron las guías a consulta pública en 2025. Ese proceso se centró en los guardianes de acceso del DMA, es decir, grandes plataformas digitales con obligaciones específicas sobre combinación de datos, consentimiento, interoperabilidad y tratamiento entre servicios.

    La diferencia ahora es que el nuevo trabajo va más allá del DMA. No se limitará a las obligaciones especiales de los gatekeepers, sino que abordará la relación general entre derecho de competencia y protección de datos. Esto puede afectar a investigaciones antitrust, fusiones, acuerdos entre empresas, acceso a datos, publicidad digital, plataformas de intermediación, ecosistemas cerrados e incluso IA generativa.

    La inteligencia artificial añade una capa adicional. Los modelos necesitan datos para entrenar, ajustar, evaluar y personalizar servicios. Algunas empresas tienen acceso privilegiado a enormes volúmenes de datos por su posición en mercados digitales. Otras dependen de acuerdos, scraping, APIs o datos sintéticos. En este terreno, la frontera entre ventaja competitiva legítima, cierre de mercado, abuso y tratamiento ilícito puede ser difícil de trazar.

    Una guía no resolverá todos los conflictos, pero puede ayudar a ordenar preguntas clave: cuándo el acceso a datos personales es indispensable para competir, cómo valorar la privacidad como parámetro de calidad, qué límites impone el RGPD a remedios de acceso a datos, cómo coordinar investigaciones paralelas y qué información pueden intercambiar las autoridades.

    Qué pueden esperar empresas y reguladores

    Para las grandes tecnológicas, la guía probablemente aumentará la previsibilidad, pero también elevará el listón. Una práctica de datos ya no podrá defenderse solo desde la óptica del cumplimiento formal de privacidad o solo desde la óptica de eficiencia empresarial. Habrá que mirar el conjunto: impacto en usuarios, competidores, mercados y derechos.

    Para startups y empresas europeas más pequeñas, la coordinación puede tener un efecto positivo si ayuda a limitar prácticas de acumulación o cierre de datos por parte de actores dominantes. Pero también puede generar más complejidad regulatoria si las obligaciones no se explican con claridad o si se multiplican los criterios aplicables.

    Para las autoridades nacionales, el trabajo conjunto puede servir como referencia para cooperar mejor. En muchos casos, una autoridad de competencia puede detectar problemas de privacidad durante una investigación, o una autoridad de protección de datos puede observar prácticas que parecen reforzar una posición dominante. Sin reglas de coordinación, esos hallazgos pueden perderse o generar conflictos de competencia institucional.

    El reto de Bruselas será mantener el equilibrio. La protección de datos no debe convertirse en una herramienta para bloquear toda innovación basada en datos. Pero la competencia tampoco puede ignorar que, en servicios digitales, la privacidad forma parte de la calidad del producto y puede ser un elemento de elección para el usuario. Cuando una empresa concentra demasiados datos y demasiada capacidad de imponer condiciones, el mercado y los derechos individuales empiezan a tocarse.

    La nueva guía será, en el fondo, una pieza más del esfuerzo europeo por gobernar la economía digital de forma coherente. La UE ya tiene el RGPD, el DMA, la Ley de Servicios Digitales, la Ley de Datos y la Ley de IA. El problema ya no es solo crear normas, sino evitar que se apliquen como compartimentos aislados. En mercados movidos por datos, privacidad y competencia tienen que hablar el mismo idioma.

    Preguntas frecuentes

    ¿Qué han anunciado la Comisión Europea y el EDPB?
    Han acordado trabajar juntos en una guía sobre la relación entre el derecho de competencia de la UE y la normativa europea de protección de datos.

    ¿Por qué es importante esta guía?
    Porque muchas prácticas digitales combinan poder de mercado y tratamiento masivo de datos personales. La guía busca aclarar cuándo una dimensión puede influir en la otra.

    ¿Afectará solo a grandes tecnológicas?
    Previsiblemente tendrá más impacto en grandes plataformas y empresas con mucho poder de datos, aunque también puede orientar a startups, anunciantes, proveedores tecnológicos y autoridades nacionales.

    ¿Qué precedente existe en Europa?
    El caso Meta/Bundeskartellamt confirmó que una autoridad de competencia puede tener en cuenta el cumplimiento del RGPD al analizar un posible abuso de posición dominante, coordinándose con las autoridades de protección de datos.

  • Legalize ES convierte la legislación española en un repositorio Git con miles de normas en Markdown

    Legalize ES convierte la legislación española en un repositorio Git con miles de normas en Markdown

    La legislación española ha dado un paso poco habitual hacia el mundo del desarrollo de software. El proyecto Legalize ES, disponible en GitHub, propone algo tan sencillo de explicar como potente en la práctica: convertir la legislación consolidada en un gran repositorio Git donde cada ley es un fichero Markdown y cada reforma queda registrada como un commit. Según su README público, el proyecto reúne 12.235 normas, cubre la legislación estatal y la de 17 comunidades autónomas, y se actualiza a diario.

    La idea no es menor. Quien trabaja con normativa sabe que consultar el texto vigente, seguir una reforma concreta o comparar versiones históricas no siempre es cómodo en los formatos tradicionales. Legalize ES intenta resolver ese problema con una lógica familiar para programadores, analistas y equipos jurídicos técnicos: clonar un repositorio, buscar con grep, revisar cambios con git log y ver diferencias exactas con git show. El propio proyecto lo resume así: “cada ley es un fichero, cada reforma es un commit”.

    El repositorio organiza la legislación estatal en la carpeta es/, donde el README indica que hay 8.646 normas, y separa el contenido autonómico en directorios como es-an para Andalucía, es-ct para Cataluña, es-md para Madrid o es-pv para País Vasco, entre otros. Cada fichero incluye un frontmatter YAML con metadatos como título, identificador, rango normativo, fecha de publicación, estado jurídico, departamento, número oficial, diario e identificador ELI, seguido del cuerpo del texto legal en Markdown con su estructura jerárquica de títulos, capítulos y artículos.

    Esa estructura convierte la legislación en algo mucho más tratable para flujos automatizados. Un jurista o un periodista puede localizar rápidamente un artículo concreto; un desarrollador puede montar sistemas de búsqueda, análisis semántico o trazabilidad normativa; y un equipo de cumplimiento puede reconstruir con Git el historial de una reforma concreta. El README del proyecto pone ejemplos muy directos, como consultar el artículo 14 de la Constitución, revisar cuántas veces se ha modificado el Código Penal o ver el diff exacto de una reforma.

    Detrás de todo esto no hay una base de datos cerrada ni una colección privada de textos legales. El proyecto afirma que los datos se obtienen de la API de datos abiertos del BOE, publicada por la Agencia Estatal Boletín Oficial del Estado. Esa API oficial permite acceder a disposiciones, sumarios y metadatos en formatos estructurados, y es la base sobre la que Legalize ES construye su modelo de versionado y publicación en Markdown.

    También es importante subrayar que el propio repositorio se define como “early stage”. Su autor avisa de que la estructura de ficheros, el historial de commits y el contenido pueden cambiar de forma significativa, incluso con regeneraciones completas. Es decir, el proyecto ya es usable y muy sugerente, pero todavía está en una fase de evolución rápida. En GitHub, además, muestra una actividad intensa, con más de 43.000 commits y alrededor de 1.100 estrellas en el momento de la consulta pública.

    Más allá del aspecto técnico, Legalize ES encaja en una tendencia más amplia: la de tratar la información pública no solo como un documento para leer, sino como una infraestructura sobre la que construir herramientas. La web de legalize.dev, matriz del proyecto, se presenta precisamente con una idea de fondo muy clara: legislación abierta y gobiernos más transparentes. En ese sentido, el valor de Legalize ES no está solo en “pasar leyes a Markdown”, sino en hacer que la normativa sea más explorable, comparable, reutilizable y auditable con herramientas estándar del ecosistema digital.

    Para medios, despachos, consultoras, universidades y equipos de tecnología jurídica, eso abre un terreno muy interesante. Porque cuando una ley se comporta como un fichero y una reforma como un commit, la legislación deja de ser únicamente un texto estático y pasa a ser también un objeto versionable, trazable y automatizable.

    Preguntas frecuentes

    ¿Qué es exactamente Legalize ES?
    Es un repositorio público en GitHub que consolida legislación española en archivos Markdown versionados con Git. Su lema es claro: cada ley es un fichero y cada reforma es un commit.

    ¿Cuántas normas incluye el proyecto?
    El README indica 12.235 normas en total, con 8.646 dentro de la legislación estatal y el resto repartido entre las 17 comunidades autónomas.

    ¿De dónde salen los textos legales?
    Según el propio repositorio, los datos proceden de la API de datos abiertos del BOE, publicada por la Agencia Estatal Boletín Oficial del Estado.

    ¿Está pensado solo para programadores?
    No. Aunque su lógica es muy atractiva para desarrolladores, también puede resultar útil para periodistas, juristas, investigadores, equipos de compliance y proyectos de tecnología legal que necesiten buscar, comparar y rastrear cambios normativos. Esta utilidad es una inferencia razonable a partir de la estructura y ejemplos de uso que publica el repositorio.

    ¿Es un proyecto ya estable?
    Todavía no del todo. El propio repositorio se define como early stage y advierte de que la estructura, el historial y el contenido pueden cambiar de forma importante.

  • Un bufete “Claude-native”: así se automatiza trabajo legal sin renunciar al control humano

    Un bufete “Claude-native”: así se automatiza trabajo legal sin renunciar al control humano

    A las 19:00 de la víspera de un cierre de adquisición, el abogado de la parte compradora envió una carta con exigencias de última hora: nuevas condiciones de escrow, ampliación de carve-outs en indemnizaciones y una lista revisada de entregables para el cierre. El mensaje implícito era el de siempre: o se acepta el cambio, o la operación se cae. En un despacho tradicional, esa escena suele activar el mismo protocolo: varios asociados revisando el contrato a contrarreloj, referencias cruzadas manuales y una madrugada de café.

    Zack Shapiro, abogado estadounidense y socio de un pequeño bufete boutique de dos personas, cuenta que resolvió el núcleo del problema en menos de dos horas usando Claude, el modelo de Anthropic. Subió el acuerdo de compra, los disclosure schedules y la carta de demanda; en minutos obtuvo un mapa de cambios propuestos y, lo más importante, detectó contradicciones que, según su relato, el equipo contrario no había visto: algunos carve-outs chocaban con manifestaciones ya confirmadas en los anexos y otro introducía un conflicto interno que debilitaba incluso las propias protecciones del comprador. En su comparación, un equipo de tres asociados en un bufete mediano habría necesitado “hasta la mañana” para producir un análisis similar.

    La escena es llamativa, pero el mensaje de fondo no es un eslogan sobre “abogados reemplazados”. Es un aviso sobre productividad: tiempo es dinero, y cada vez más organizaciones están descubriendo que automatizar ciertos procesos no significa delegar decisiones, sino acelerar la primera pasada y elevar el punto de partida del trabajo humano.

    La clave no es “automatizar”, sino cerrar el flujo

    Shapiro insiste en un matiz que suele perderse en el debate público: cuando se habla de automatización con Inteligencia Artificial, mucha gente imagina un piloto automático tomando decisiones por su cuenta. En un entorno legal, eso sería una receta para el desastre. Su enfoque, en cambio, se parece más a una “línea de producción” bien diseñada: se introduce un input concreto (documentos y contexto), se ejecuta un workflow definido y se obtiene un output estructurado en un formato acordado. Y entonces entra el “human in the loop”: el profesional revisa, corrige y aprueba.

    En otras palabras, la Inteligencia Artificial no se presenta como juez, sino como motor. La responsabilidad —legal y reputacional— sigue recayendo en quien firma el trabajo, no en la herramienta.

    Una suite, tres modos: Chat, Cowork y Code

    El artículo de Shapiro llama la atención porque no se limita a usar un chatbot. Describe cómo aprovecha la “suite” de Claude en función del tipo de tarea:

    • Chat: el modo conversacional para análisis, estrategia de negociación, primera lectura de cláusulas o borradores iniciales. Aquí el abogado mantiene el control paso a paso, como si trabajara con un asociado rápido sentado enfrente.
    • Cowork: el modo autónomo, pensado para apuntar a una carpeta y delegar tareas completas: leer archivos, crear documentos, editar borradores y generar paquetes de cierre. En su descripción, es el modo que más cambia el día a día, porque transforma tareas largas en procesos paralelizables.
    • Code: un modo “de desarrollo”, con acceso a terminal, que le permite construir herramientas a medida. Shapiro relata que, por una condición de salud que dificulta leer documentos largos, utilizó este modo para crear un sistema que convierte contratos y PDFs en audio, adaptando el lenguaje legal para que suene natural.

    La elección del modo no es estética: es una forma de gobernar el riesgo. Cuanto más autonomía se otorga (Cowork), más importante se vuelve limitar el alcance, definir formatos y reforzar la revisión humana.

    “Skills”: cuando el juicio profesional se convierte en un archivo reutilizable

    El segundo elemento que explica el salto de productividad es el uso de skills, archivos de instrucciones persistentes que codifican marcos analíticos, tono, checklists y criterios de severidad. Shapiro sostiene que el valor real no está en una biblioteca de plantillas —que, en su opinión, es un commodity—, sino en el juicio: qué buscar, qué marcar, qué concesión aceptar y cuál pelear.

    En su caso, cuenta que construyó seis skills “de producción” empaquetadas como un plugin para Cowork: revisión de contratos, edición con cambios controlados, redacción contractual, comunicaciones con clientes, investigación legal y redacción de políticas. El efecto empresarial es evidente: ese paquete puede instalarse en varios equipos y estandarizar el “primer borrador” según el criterio del profesional que lo diseñó.

    La promesa (y el peligro): tocar Word “por dentro”

    Uno de los fragmentos más comentados de su texto es el que apunta al trabajo invisible que consume horas: Word, formatos, numeración, estilos, cross-references y cambios controlados. Shapiro afirma que Claude puede abrir un .docx “a nivel XML” y aplicar marcas de Track Changes tal y como Word las espera, atribuyéndolas al autor correcto y respetando el formato. En su relato, eso permite producir redlines completos sin abrir aplicaciones externas, y dedicar el tiempo humano a la parte que sí es legal: el criterio.

    Aquí se entiende su crítica a las herramientas legales “verticales”: muchas se quedan en el análisis conversacional de documentos; él defiende que un modelo de frontera capaz de escribir código puede además arreglar el documento y entregar el trabajo listo para enviar.

    La capa de seguridad: investigación sin “alucinaciones” y verificación obligatoria

    El texto también reconoce el elefante en la habitación: las alucinaciones. En derecho, un error no es un bug; puede ser una negligencia. Shapiro describe un enfoque de investigación que prioriza fuentes primarias (leyes, reglamentos, guías de agencias, jurisprudencia) y obliga al sistema a auto-revisarse antes de entregar el memo: comprobar que las citas dicen lo que se afirma, marcar incertidumbres y detectar contradicciones internas.

    Esa filosofía se extiende a la relación con el cliente: cuenta que incorporó una cláusula de uso de Inteligencia Artificial en sus cartas de encargo, explicando que la herramienta mejora eficiencia y calidad, pero bajo supervisión de un abogado colegiado. También menciona opciones de privacidad de Anthropic orientadas a entornos profesionales, como acuerdos de retención cero en APIs elegibles.

    Una conclusión que trasciende al sector legal

    La consecuencia no es que la Inteligencia Artificial “haga abogados”. La consecuencia es que un equipo pequeño, con workflows cerrados y verificación humana, puede producir más y mejor en menos tiempo. Ese patrón —inputs delimitados, skills, formatos, revisión humana— es replicable en auditoría, compliance, consultoría o cualquier trabajo del conocimiento con documentos y procesos repetibles.

    En 2026, el diferencial no es usar Inteligencia Artificial. El diferencial es gobernarla.

    Preguntas frecuentes

    ¿Cómo se puede automatizar la revisión de contratos con Inteligencia Artificial sin asumir riesgos legales?
    Definiendo un workflow cerrado: qué documentos se aportan, qué checklist se aplica, qué formato de salida se exige y quién revisa el resultado. La última aprobación debe ser siempre humana.

    ¿Qué diferencia hay entre usar Claude Chat y Claude Cowork en un despacho?
    Chat es interacción paso a paso (ideal para análisis y borradores). Cowork introduce autonomía sobre carpetas y tareas completas, por lo que exige más control de alcance y una revisión final más estricta.

    ¿Cómo evitar “alucinaciones” en investigación jurídica con herramientas de IA?
    Priorizando fuentes primarias, exigiendo verificación de cada cita y marcando niveles de confianza. Además, es clave revisar manualmente toda autoridad citada antes de enviar un informe al cliente.

    ¿Es seguro subir documentación sensible de clientes a un modelo de IA?
    Depende del proveedor, del producto y de la configuración. En entornos profesionales, suele requerirse un análisis de privacidad, acuerdos de tratamiento de datos y opciones de retención adecuadas para minimizar exposición.