Confidencialidad: qué pasa con tus expedientes en una IA legal
La confidencialidad de un expediente en una IA legal depende de cinco respuestas concretas: dónde se procesa la información, si se utiliza para entrenar modelos, quién puede acceder, cuánto tiempo se conserva y qué controles tiene el despacho sobre las cuentas y las integraciones. IUDEX responde las cinco en sus páginas legales: no entrena con tus documentos, cifra en tránsito y en reposo, y trata los datos bajo la ley mexicana. Antes de subir un expediente, un abogado debería poder contestar esas preguntas. El error es reducir la conversación a una frase como "la plataforma es segura".
La seguridad depende de arquitectura, configuración, contratos, permisos y comportamiento del usuario. Este texto es información general, no asesoría legal.
¿Qué dice la ley mexicana sobre los expedientes que subes a una IA?
Un expediente casi siempre contiene datos personales de terceros, a veces sensibles, como el estado de salud. La Ley Federal de Protección de Datos Personales en Posesión de los Particulares vigente se publicó en el Diario Oficial de la Federación el 20 de marzo de 2025 y sustituyó a la de 2010.1 Para este tema importan cinco piezas:
- Responsable y encargado. El despacho es responsable y el proveedor de IA, encargado. La ley define a la persona encargada como quien trata datos personales por cuenta del responsable (artículo 2, fracción XII).
- Medidas de seguridad. El responsable debe mantener medidas administrativas, técnicas y físicas contra daño, pérdida, alteración o acceso no autorizado (artículo 18).
- Confidencialidad. Quien intervenga en cualquier fase del tratamiento debe guardar confidencialidad, aun después de terminar la relación (artículo 20).
- Vulneraciones. Si una brecha afecta de forma significativa los derechos de los titulares, el responsable debe informarles de inmediato (artículo 19).
- Datos sensibles. Su tratamiento exige consentimiento expreso y por escrito del titular, en los términos que fija la ley (artículo 8).
La autoridad en la materia ya no es el INAI: la ley vigente asigna esas funciones a la Secretaría Anticorrupción y Buen Gobierno (artículo 2, fracción XV).1
A eso se suma el secreto profesional, que no depende de la tecnología. La ley reglamentaria del artículo 5o. constitucional obliga a todo profesionista a guardar estrictamente el secreto de los asuntos que le confían sus clientes (artículo 36); esa ley rige en la Ciudad de México y cada entidad tiene su propia legislación de profesiones.2 El Código Penal Federal sanciona la revelación de secretos (artículo 210) y agrava la pena, con posible suspensión de la profesión, cuando la revela quien presta servicios profesionales (artículo 211).3 Elegir un proveedor no traslada esa obligación: sigue siendo del abogado.
¿Importa qué versión de la herramienta usas?
Sí. OpenAI explica que en los espacios personales de ChatGPT el usuario puede controlar si su contenido ayuda a mejorar los modelos, mientras que en ChatGPT Business, Enterprise y la API el contenido de la organización no se utiliza por defecto para entrenarlos.45 La misma marca puede operar con reglas de datos distintas según el producto, la cuenta y el contrato.
OWASP incluye la divulgación de información sensible entre los riesgos principales de las aplicaciones con modelos de lenguaje.6
¿Qué preguntarle a cualquier proveedor antes de subir un expediente?
Ocho preguntas cubren lo esencial, y las respuestas deberían constar por escrito en los términos o el aviso de privacidad:
- Entrenamiento: ¿mis documentos, consultas o resultados se usan para entrenar, ajustar o evaluar modelos, propios o de terceros?
- Retención: ¿cuánto tiempo conservan la información mientras la cuenta está activa y después de cancelarla?
- Cifrado: ¿la información se cifra en tránsito y en reposo?
- Ubicación: ¿en qué países están los servidores y qué obligaciones contractuales se exigen a quien los opera?
- Subencargados: ¿qué terceros tratan mis datos (nube, modelos de IA, correo) y cómo me avisan si se agrega uno?
- Borrado: ¿puedo exportar mi información y en qué plazo se elimina al terminar la relación?
- Acceso del proveedor: ¿quién dentro de la empresa puede ver mis documentos, con qué controles y para qué fines?
- Registros: ¿se registran los accesos y eventos de seguridad, y me notifican si hay una vulneración?
| Qué preguntar | Respuesta que buscas | Señal de alerta |
|---|---|---|
| ¿Entrenan con mis datos? | No, por escrito y sin excepciones ambiguas. | "Podemos usarlos para mejorar el servicio" sin más detalle. |
| ¿Cuánto conservan? | Plazos definidos durante la licencia y al terminarla. | "El tiempo necesario", sin ningún plazo. |
| ¿Cifran la información? | Cifrado en tránsito y en reposo. | Solo mencionan "conexión segura". |
| ¿Dónde están los servidores? | Ubicación informada y obligaciones contractuales para los proveedores. | Nadie sabe responder. |
| ¿Quién más trata mis datos? | Lista publicada de subencargados y aviso previo de cambios. | Terceros no identificados. |
| ¿Cómo se borra todo? | Exportación y supresión con plazo conocido. | No existe procedimiento de borrado. |
| ¿Quién del proveedor accede? | Accesos por rol y mínimo privilegio. | Acceso general del personal. |
| ¿Hay registros y aviso de brechas? | Monitoreo de eventos y notificación de vulneraciones. | Silencio sobre incidentes. |
¿Qué responde IUDEX a esas preguntas?
Según su aviso de privacidad y sus términos y condiciones, IUDEX no utiliza la información del usuario para entrenar, ajustar o evaluar modelos de inteligencia artificial, propios o de terceros. Cuando el despacho carga datos de sus clientes, el despacho es responsable e IUDEX es encargado: los trata solo conforme a sus instrucciones, guarda confidencialidad y los suprime o devuelve al concluir la relación. Entre sus medidas declara cifrado en tránsito y en reposo, control de accesos por roles bajo mínimo privilegio, registro y monitoreo de eventos de seguridad y aislamiento de entornos entre organizaciones.7
Los mismos documentos dicen dos cosas que conviene leer con atención: la infraestructura de IUDEX y la de sus proveedores puede ubicarse fuera de México, con obligaciones contractuales de confidencialidad y seguridad, y la relación de subencargados se publica en su documentación de cumplimiento, con aviso de al menos treinta días antes de incorporar uno nuevo. Al terminar la licencia, el cliente tiene treinta días naturales para exportar su información.7
¿Qué puede hacer el despacho por su cuenta?
Si un abogado copia un documento a una herramienta personal, la política de la primera plataforma ya no protege ese segundo uso. Algunas prácticas sencillas reducen buena parte del riesgo:
- No subir lo que no hace falta. Si la pregunta es sobre una cláusula, basta la cláusula; no el expediente completo.
- Anonimizar cuando se pueda. Sustituir nombres, RFC, domicilios y cuentas por referencias genéricas antes de cargar un documento.
- Permisos por carpeta o por asunto. Cada integrante ve solo los asuntos en los que trabaja; en los espacios colaborativos, el administrador define accesos y retención.
- Cuentas institucionales. Nada de cuentas personales ni contraseñas compartidas; los accesos se dan de baja cuando alguien sale.
- Una política breve y concreta. Qué herramientas se autorizan, qué puede cargarse, cómo se aprueban integraciones y a quién consultar en caso de duda.
¿Prohibir la IA protege más los expedientes?
No necesariamente. Bloquearla suele empujar a usarla de manera informal, fuera de los controles del despacho; funcionan mejor herramientas aprobadas y reglas claras.
La confidencialidad no se protege diciendo a los abogados que "tengan cuidado". Se protege diseñando un entorno donde el uso correcto sea también el más fácil. Antes de subir un expediente, revisa las condiciones de datos de cualquier plataforma que utilices; las de IUDEX están en su aviso de privacidad y en sus términos.
Preguntas frecuentes
¿IUDEX entrena modelos con mis documentos?
No. Su aviso de privacidad y sus términos establecen que la información del usuario no se usa para entrenar, ajustar ni evaluar modelos de IA, propios o de terceros, y que se cifra en tránsito y en reposo.
¿Subir un expediente a una IA viola el secreto profesional?
No por sí mismo, pero la obligación sigue siendo del abogado. Como responsable de los datos, el despacho debe elegir un proveedor que actúe como encargado, con confidencialidad, medidas de seguridad y borrado por escrito, y subir solo lo necesario.
¿Qué debo preguntarle a cualquier IA legal antes de usarla?
Si entrena con tus datos, cuánto los conserva, cómo los cifra, dónde están sus servidores, qué subencargados intervienen, cómo se borra la información, quién del proveedor accede y si registra eventos y avisa de vulneraciones.
Juan Sebastián Moncayo Ortega escribe para el blog de IUDEX, la IA legal especializada en derecho mexicano. Contacto: moncayo@iudex.mx.
Fuentes
- Cámara de Diputados, "Ley Federal de Protección de Datos Personales en Posesión de los Particulares" (nueva ley publicada en el DOF el 20 de marzo de 2025; última reforma DOF 14-11-2025), 2025. Disponible en: diputados.gob.mx
- Cámara de Diputados, "Ley Reglamentaria del Artículo 5o. Constitucional, relativo al Ejercicio de las Profesiones en la Ciudad de México" (última reforma DOF 19-01-2018), 2018. Disponible en: diputados.gob.mx
- Cámara de Diputados, "Código Penal Federal", artículos 210 y 211 (última reforma DOF 13-03-2026), 2026. Disponible en: diputados.gob.mx
- OpenAI, "Controles de datos en ChatGPT", 2026. Disponible en: help.openai.com
- OpenAI, "Seguridad, cumplimiento y privacidad de los datos empresariales", 2026. Disponible en: openai.com
- OWASP Foundation, "LLM02:2025 Sensitive Information Disclosure", 2025. Disponible en: genai.owasp.org
- IUDEX, "Aviso de privacidad" y "Términos y condiciones", 2026. Disponibles en: iudex.mx/aviso-privacidad y iudex.mx/terminos