IA en asesorías y gestorías: 6 usos reales y qué exige el Reglamento de IA, el RGPD y el secreto profesional

IA en asesorías y gestorías: 6 usos reales y qué exige el Reglamento de IA, el RGPD y el secreto profesional

Una asesoría de 12 personas gestiona la contabilidad, los impuestos y las nóminas de 200 empresas. Cada día entran por su correo balances, contratos, partes de baja, extractos bancarios y DNI de terceros. Y cada día, alguien del equipo abre ChatGPT, Copilot o Gemini para redactar una respuesta a un requerimiento, resumir una consulta vinculante o pulir una circular.

Ese despacho tiene una particularidad que casi nadie le ha explicado: no trata sus propios datos, trata los de sus clientes. Es encargado del tratamiento, no responsable. Y eso cambia las reglas del juego con la inteligencia artificial mucho antes de que el Reglamento de IA entre en escena. Este artículo ordena lo que ya se aplica a una asesoría o gestoría española, con un caso práctico y una checklist.

Qué hace ya la IA en una asesoría de tamaño medio

En los despachos de 5 a 50 personas que visitamos, la IA ha entrado por seis puertas. Ninguna es de alto riesgo según el Reglamento, pero todas tocan datos de clientes.

La última fila merece una advertencia. Si su asesoría laboral ofrece a los clientes un servicio de selección o de evaluación de personal con IA, entra en el Anexo III del Reglamento y en el artículo 64.4 d) del Estatuto de los Trabajadores. Lo explicamos en nuestro artículo sobre IA en recursos humanos. Para el resto de usos, el problema no es el nivel de riesgo: es el dato. Esta clasificación es la que recoge el registro de sistemas de IA del Kit de Cumplimiento AI Act para pymes: cada herramienta del despacho inscrita con su nivel de riesgo, los datos que trata, el contrato con el proveedor y la fecha de revisión.

Su particularidad: usted es encargado del tratamiento

Cuando una empresa de 30 personas pega su propia lista de clientes en una herramienta de IA, es responsable del tratamiento y responde ante la AEPD. Cuando lo hace una asesoría con los datos de un cliente, la cadena es más larga:

• El cliente es el responsable del tratamiento de los datos de sus trabajadores, proveedores y clientes.
• La asesoría es encargada del tratamiento (artículo 28 del RGPD y artículo 33 de la LOPDGDD), vinculada por un contrato de encargo que fija qué puede hacer con esos datos y con qué garantías.
• El proveedor de IA (OpenAI, Microsoft, Google, Anthropic, el fabricante del programa contable) sería un subencargado. El artículo 28.2 del RGPD exige que el responsable lo haya autorizado, de forma específica o general, por escrito.

Tres consecuencias prácticas:

1. Si su contrato de encargo no prevé subencargados de IA, no puede usarlos con datos de clientes. Muchas asesorías firmaron en 2018 un modelo que solo menciona al proveedor de hosting y al del programa contable. Revise esa cláusula.
2. Una cuenta gratuita o personal no es un subencargado. Sin contrato de encargado, sin garantía de que los datos no se usan para entrenar modelos y sin control de acceso, no cumple el artículo 28. Una nómina pegada en una cuenta gratuita es una violación de seguridad que puede obligarle a avisar a su cliente sin dilación indebida (artículo 33.2 del RGPD) para que él notifique a la AEPD en 72 horas.
3. El plan de pago no basta por sí solo. Lo que cuenta es que el plan contratado (de empresa, API o equivalente) incluya un contrato de encargado del tratamiento, excluya el entrenamiento con sus datos y precise dónde se alojan. Compruébelo en el contrato, no en la página comercial.

Lo que exige el Reglamento de IA a un despacho

El Reglamento (UE) 2024/1689 se aplica a cualquier empresa que utiliza un sistema de IA en un contexto profesional. Una asesoría es «responsable del despliegue» desde el primer prompt. El ómnibus digital sobre IA, publicado en el DOUE el 24 de julio de 2026 como Reglamento (UE) 2026/1744 y en vigor desde el 27 de julio, fijó el calendario definitivo:

• 2 de febrero de 2025: artículo 4, alfabetización en IA. El ómnibus suavizó la redacción («adoptar medidas» para promoverla, en lugar de «garantizar» un nivel suficiente), pero la obligación sigue ahí y no tiene umbral de plantilla. Una gestoría de cuatro personas la tiene igual que un despacho de cincuenta. En la práctica: una formación fechada, un programa, un certificado por persona. Detalle en nuestro artículo sobre el artículo 4 del AI Act.
• 2 de agosto de 2026: artículo 50, transparencia. Si tiene un chatbot para clientes, debe decir que es una IA desde el primer intercambio. Si publica circulares, artículos o vídeos generados con IA, se aplica el marcado legible por máquina, con un período transitorio hasta el 2 de diciembre de 2026 solo para los sistemas generativos que ya estaban en el mercado antes del 2 de agosto. Lo desarrollamos en artículo 50 del AI Act.
• 2 de diciembre de 2027: alto riesgo del Anexo III. Solo le afecta si evalúa o selecciona personas con IA. 2 de agosto de 2028: Anexo I, IA integrada en productos regulados; no es el caso de una asesoría.

Sobre la ley española: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026, ha decaído con la disolución de las Cortes (Real Decreto 806/2026, BOE del 6 de octubre) y la convocatoria de elecciones generales para el 29 de noviembre de 2026. Tendrá que presentarse de nuevo. Cuando una futura ley entre en vigor, precisará el régimen sancionador nacional. Mientras tanto, se aplica el del Reglamento: hasta 35 millones de euros o el 7 % del volumen de negocio mundial por las prácticas prohibidas y hasta 15 millones o el 3 % por el resto de obligaciones, con el importe menor para las pymes. La AESIA es la autoridad de vigilancia; la AEPD, la competente en protección de datos.

Las normas que ya tenía antes de la IA (y que la IA tensiona)

Una asesoría no empieza de cero. Tres bloques que ya le obligaban se aplican ahora a cada herramienta de IA.

Prevención del blanqueo de capitales. Los asesores fiscales, los contables externos y los auditores son sujetos obligados de la Ley 10/2010 (artículo 2.1). La documentación de diligencia debida de sus clientes (identificación del titular real, origen de fondos, análisis de riesgo) se conserva diez años y no debe salir hacia un proveedor de IA sin contrato ni control de acceso. Tampoco conviene pedir a un asistente generativo que «analice si esta operación es sospechosa» pegando el expediente completo.

Confidencialidad y secreto profesional. Además del RGPD, le vinculan el deber de confidencialidad del contrato de encargo, los códigos deontológicos de su colegio o asociación profesional y, en el extremo, el artículo 199 del Código Penal, que castiga la revelación de secretos por quien los conoce por razón de su oficio. Un prompt es una comunicación a un tercero. Si el tercero no está bajo contrato, la confidencialidad se ha roto aunque nadie lo lea nunca.

Responsabilidad profesional. El escrito de alegaciones lo firma la asesoría, no el modelo. Si el asistente cita una consulta vinculante que no existe o aplica una deducción derogada, el error es suyo frente al cliente y frente a su seguro de responsabilidad civil. La revisión humana no es una recomendación: es la condición para que la herramienta sea utilizable.

Hay un cuarto elemento de calendario que conviene aprovechar. El Real Decreto-ley 15/2025 fijó la obligatoriedad de los sistemas de facturación verificables (Verifactu) el 1 de enero de 2027 para las sociedades y el 1 de julio de 2027 para el resto de obligados. Muchos despachos están renovando ahora su software para sus clientes. Es el momento de preguntar al proveedor, por escrito, qué módulos de IA incluye, qué datos envía fuera y con qué contrato.

Caso práctico: una asesoría de 14 personas en Valencia

Ejemplo ilustrativo, construido a partir de situaciones habituales en nuestras auditorías. Asesoría fiscal, contable y laboral con 14 personas y unos 230 clientes, en su mayoría pymes del comercio y la construcción. Sin delegado de protección de datos designado; la responsable de calidad lleva «lo del RGPD».

Lo que encontramos. Siete personas usaban ChatGPT con cuenta gratuita personal. Dos contables pegaban extractos bancarios completos para «clasificar movimientos raros». El área laboral resumía partes de baja con un asistente para preparar la comunicación a la empresa cliente: datos de salud, categoría especial del artículo 9 del RGPD. El programa contable había activado un módulo de IA de clasificación de facturas sin que nadie lo hubiera anotado en ningún sitio. El chatbot de la web, instalado en 2025, respondía como «Marta, tu asesora».

Lo que corrigió, en este orden:

1. Inventario y registro de sistemas de IA: cinco herramientas inscritas (asistente generativo, módulo OCR contable, asistente del software laboral, chatbot, grabadora de reuniones), con proveedor, datos tratados, nivel de riesgo, contrato y responsable interno.
2. Cuentas corporativas con contrato: un plan de empresa del asistente generativo con contrato de encargado del tratamiento, sin entrenamiento con los datos y con administración centralizada. Cuentas personales prohibidas para trabajo.
3. Revisión de los contratos de encargo con los clientes: cláusula de subencargados actualizada con autorización general y lista publicada de proveedores, con derecho de oposición. Comunicación a los 230 clientes por correo con constancia.
4. Semáforo de datos propio de la asesoría (más abajo) y regla absoluta: ningún dato de salud ni de menores en ninguna herramienta de IA, ni siquiera de pago.
5. Chatbot: nuevo nombre, mención «Soy el asistente virtual de la asesoría. Para hablar con una persona, escriba "persona"» en el primer mensaje, y anotación en el registro.
6. Procedimiento de revisión humana para todo escrito dirigido a una Administración o a un cliente: quién revisa, qué comprueba (citas, fechas, cifras), dónde queda constancia.
7. Formación de 45 minutos para las 14 personas, con test y certificado individual firmado. Prueba del artículo 4 archivada junto al registro.

Tiempo total: dos semanas y media. Coste principal: horas internas y el cambio de plan del asistente. Resultado colateral: dos clientes grandes que preguntaban en su cuestionario de proveedores «¿dispone su asesoría de una política de uso de IA?» recibieron el documento firmado.

El semáforo de datos de una asesoría

El semáforo genérico de una política de uso de IA hay que adaptarlo al despacho. Esta es la versión que usamos:

• Verde (herramienta validada o no validada): normativa pública, consultas vinculantes publicadas, sentencias, plantillas propias sin datos, redacción genérica de circulares.
• Ámbar (solo herramienta validada con contrato, y anonimizando): borradores de escritos con los datos del caso sustituidos por marcadores, cifras agregadas sin identificar al cliente, resúmenes de reuniones sin nombres.
• Rojo (ningún asistente generativo, validado o no; solo el software de gestión cubierto por el contrato de encargo): DNI y NIF, IBAN y datos bancarios, nóminas con nombre, partes de baja y cualquier dato de salud, datos de menores, expedientes de diligencia debida de blanqueo, contraseñas y certificados digitales de clientes.

Una regla sencilla para el equipo: si para hacer la tarea la herramienta necesita saber quién es el cliente, la tarea no se hace con IA generativa externa.

Checklist: 10 puntos antes de que el equipo use IA con datos de clientes

1. ¿Tiene un registro de sistemas de IA con todas las herramientas, incluidos los módulos integrados en el software contable y laboral?
2. ¿Sus contratos de encargo con clientes autorizan subencargados y están los proveedores de IA en la lista?
3. ¿Cada herramienta que recibe datos de clientes tiene contrato de encargado del tratamiento, exclusión de entrenamiento y ubicación de datos conocida?
4. ¿Están prohibidas por escrito las cuentas personales y gratuitas para trabajo profesional?
5. ¿Existe un semáforo de datos adaptado al despacho, con los datos de salud, de menores y de blanqueo en rojo absoluto?
6. ¿Hay un procedimiento de revisión humana documentado para los escritos a Administraciones y clientes?
7. ¿El chatbot avisa de que es una IA desde el primer mensaje y ofrece una persona?
8. ¿Las circulares y contenidos generados con IA que salen del despacho cumplen el marcado del artículo 50?
9. ¿Todo el equipo ha recibido una formación fechada, con certificado individual?
10. ¿Sabe qué hacer, y en qué plazo, si alguien pega por error un dato rojo en una herramienta?

Si responde «no» a tres o más, pare antes de seguir. La checklist gratuita AI Act para pymes le sitúa en tres minutos. El Kit de Cumplimiento AI Act para pymes incluye el registro de sistemas de IA, la política corporativa, las normas de uso con el semáforo de datos, el módulo de formación con certificado y la guía de implantación: los mismos documentos que la asesoría del caso práctico tuvo que construir. Si prefiere que alguien revise sus herramientas y sus contratos de encargo con usted, la Auditoría Estratégica de IA lo hace en una sesión de dos horas con informe escrito. Y si quiere la versión resumida para su sector, tiene la página Reglamento de IA para asesorías y gestorías.

Preguntas frecuentes

¿Puedo usar ChatGPT con datos de clientes si tengo una cuenta de pago?

Solo si se cumplen tres condiciones a la vez: el plan contratado incluye un contrato de encargado del tratamiento y excluye el entrenamiento con sus datos; su contrato de encargo con el cliente le autoriza a usar ese subencargado; y el dato no está en la zona roja de su semáforo. Un plan individual de pago no cumple la primera condición en todos los casos: compruébelo en el contrato.

¿El módulo de IA de mi programa contable cuenta como sistema de IA?

Con frecuencia sí: la clasificación automática de apuntes y el OCR con aprendizaje suelen ser sistemas de IA en el sentido del Reglamento. Es un uso de riesgo mínimo, sin obligaciones de alto riesgo, pero debe constar en su registro, su proveedor debe figurar como subencargado y su equipo debe saber revisar los resultados.

Somos una gestoría de cuatro personas. ¿De verdad nos afecta el artículo 4?

Sí. La obligación de alfabetización en IA no tiene umbral de plantilla. Lo que cambia es la proporcionalidad: una sesión documentada de 45 minutos con certificado es suficiente para un despacho pequeño. Lo que no es suficiente es no tener nada.

¿Qué hago si alguien ya ha pegado una nómina en una cuenta gratuita?

Documente qué se pegó, cuándo y en qué herramienta; borre la conversación y, si el proveedor lo permite, solicite la eliminación; valore con su asesor de protección de datos si constituye una violación de seguridad y, en ese caso, informe a su cliente sin dilación indebida para que él decida la notificación a la AEPD en 72 horas. Y aproveche el incidente para aprobar las normas de uso, no para buscar culpables.

Para seguir leyendo

• Reglamento de IA: qué se aplica a su pyme en 2026
• Política de uso de IA en la empresa: plantilla y contenido
• Artículo 4 del AI Act: formación en IA obligatoria en pymes
• Artículo 50 del AI Act: transparencia de contenidos IA, qué debe hacer su pyme desde el 2 de agosto de 2026
• IA en recursos humanos: qué debe cumplir su pyme antes de cribar un CV
• RGPD e IA generativa: cómo usar ChatGPT, Copilot o Gemini en su pyme sin infringir el RGPD
• En francés : RGPD et IA générative : utiliser ChatGPT, Copilot ou Gemini en PME sans enfreindre le RGPD

Este artículo se ofrece con carácter general, a fecha de 17 de octubre de 2026, y no constituye asesoramiento jurídico. El caso práctico es ilustrativo. El proyecto de ley orgánica española se menciona como decaído tras la disolución de las Cortes; cuando una futura ley entre en vigor, revise esta información. Adapte el contenido a su situación, a sus contratos de encargo y a su colegio profesional y, si es necesario, hágalo validar por un profesional.