La IA ofensiva y el secreto profesional: el nuevo riesgo de ciberataques contra los despachos
La IA ofensiva y el secreto profesional: el nuevo riesgo de ciberataques contra los despachos
Santiago Carretero Sánchez, Profesor Titular de Filosofía del Derecho, Universidad Rey Juan Carlos
La actualidad tecnológica vuelve a plantear una cuestión que afecta directamente al ejercicio de la abogacía: la protección de la información confidencial frente a unas capacidades de ataque que pueden verse amplificadas por la inteligencia artificial. No estamos ante una hipótesis puramente futurista. Las noticias de estos días obligan a prestar atención a la seguridad de los despachos y, sobre todo, a las consecuencias jurídicas de una posible pérdida de confidencialidad.
El 29 de octubre de 2026, Reuters ha informado de unas pruebas realizadas por la empresa de seguridad Irregular con GLM-5.3, un modelo de inteligencia artificial de la compañía china Z.AI. Según la información publicada, el modelo logró completar al menos una vez tres de trece escenarios simulados de ciberataques con varias fases. Los resultados se obtuvieron en condiciones controladas y no acreditan que el sistema haya ejecutado por su cuenta ataques contra objetivos reales. Su interés reside en mostrar cómo determinados modelos pueden facilitar operaciones técnicas que antes exigían mayores conocimientos especializados.
La noticia coincide con otra publicada el 28 de octubre. CrowdStrike ha presentado su 2026 Legal Threat Landscape Report, dedicado a las amenazas contra el sector jurídico estadounidense. La compañía cifra en 455 las entidades jurídicas mencionadas en sitios de filtración de información entre septiembre de 2025 y agosto de 2026, un 39 % más que en el periodo comparativo anterior. También señala que las actividades maliciosas observadas contra este sector proceden mayoritariamente de actores motivados económicamente. Son cifras procedentes de la inteligencia de amenazas de una empresa privada y referidas a su ámbito de análisis, por lo que deben interpretarse con esa cautela.
Ambas noticias permiten plantear una cuestión que trasciende la seguridad informática: ¿qué ocurre cuando la información confiada a un abogado puede quedar expuesta por la intrusión en los sistemas que utiliza para ejercer su profesión?
El secreto profesional en la sociedad digital
El secreto profesional no es una mera regla de cortesía ni una obligación accesoria de la relación entre abogado y cliente. Es una garantía esencial de la defensa jurídica y de la confianza en las instituciones. Quien solicita asesoramiento debe poder comunicar hechos, documentos y circunstancias delicadas sin que esa información quede indebidamente expuesta. De esa confianza depende, en buena medida, que la defensa pueda ejercerse de manera efectiva.
En España, el artículo 16 de la Ley Orgánica 5/2024, de 11 de noviembre, del Derecho de Defensa, establece la confidencialidad de las comunicaciones entre el profesional de la abogacía y su cliente y desarrolla la protección del secreto profesional. Esta garantía se complementa con los artículos 21 y 22 del Estatuto General de la Abogacía Española, aprobado por el Real Decreto 135/2021, de 2 de marzo. Este último delimita el ámbito del secreto, que comprende los hechos, comunicaciones, datos, informaciones, documentos y propuestas conocidos, emitidos o recibidos en el ejercicio profesional.
La transformación digital no reduce la relevancia de estas obligaciones. Por el contrario, amplía los medios a través de los cuales puede producirse una exposición indebida de la información. Un expediente puede quedar comprometido mediante el acceso ilícito a una cuenta, la vulneración de un proveedor, el uso indebido de credenciales o la explotación de una vulnerabilidad de los programas empleados por el despacho. La inteligencia artificial puede aumentar la eficacia de determinadas operaciones ofensivas, pero conviene evitar una explicación simplista: los ataques también dependen de técnicas tradicionales, fallos de organización y errores humanos.
La cuestión jurídica, por tanto, no consiste únicamente en determinar si el abogado ha revelado voluntariamente un secreto. También requiere examinar cómo se protege la información que recibe y qué medidas razonables se adoptan para preservar su confidencialidad. No cabe afirmar que todo ciberataque constituye automáticamente una infracción deontológica o genera responsabilidad profesional. Es necesario valorar las circunstancias concretas, las obligaciones aplicables, la previsibilidad del riesgo y las medidas preventivas adoptadas. Ahora bien, la confidencialidad no puede quedar al margen de las condiciones técnicas en las que se desarrolla actualmente la profesión.
Existe, además, una disposición particularmente significativa para esta reflexión. El artículo 16 del Estatuto General de la Abogacía Española regula los servicios jurídicos en línea y exige adoptar las medidas necesarias para garantizar el secreto profesional. Su apartado cuarto dispone que las comunicaciones confidenciales deberán enviarse encriptadas y con firma electrónica segura siempre que las circunstancias del cliente lo permitan. La norma muestra que la protección del secreto y el uso de medios tecnológicos no son realidades separadas: el ejercicio profesional a través de internet debe incorporar garantías adecuadas.
La diligencia profesional ante nuevos riesgos
El Reglamento General de Protección de Datos ofrece otro punto de referencia. Su artículo 32 exige aplicar medidas técnicas y organizativas apropiadas al riesgo, atendiendo, entre otros factores, al estado de la técnica y a la naturaleza del tratamiento. Entre las medidas que contempla figuran el cifrado, la capacidad de garantizar la confidencialidad e integridad de los sistemas y la evaluación periódica de la eficacia de las medidas de seguridad.
Esto no significa que el RGPD y el secreto profesional sean conceptos idénticos. El primero protege los datos personales y establece obligaciones específicas para su tratamiento; el segundo posee un ámbito propio dentro de la relación profesional y de la garantía del derecho de defensa. Ambos pueden concurrir ante un mismo incidente y deben analizarse conforme a sus respectivas reglas.
La primera consecuencia práctica es la necesidad de revisar las condiciones de seguridad de los despachos. La autenticación reforzada, la limitación de los accesos a los expedientes, las copias de seguridad protegidas, la actualización de los sistemas y la comprobación de las garantías ofrecidas por los proveedores son medidas que merecen una atención prioritaria. No eliminan todo riesgo, pero permiten reducir vulnerabilidades y limitar las consecuencias de un incidente.
La segunda afecta al uso de herramientas de inteligencia artificial generativa. Introducir escritos procesales, contratos, informes o comunicaciones de clientes en una plataforma sin examinar previamente sus condiciones de tratamiento puede comprometer información reservada. Antes de utilizar estas herramientas deben valorarse la sensibilidad de los documentos, la política de conservación de los datos, los accesos de terceros, las condiciones contractuales y las garantías técnicas disponibles. La comodidad de una aplicación no sustituye al juicio profesional ni permite ignorar las obligaciones de confidencialidad.
La tercera aparece cuando el incidente ya se ha producido. Si existe una brecha de datos personales, debe evaluarse su alcance y determinarse si procede la notificación prevista en el artículo 33 del RGPD. Cuando la brecha pueda entrañar un riesgo para los derechos y libertades de las personas, la notificación a la autoridad de control debe realizarse sin dilación indebida y, de ser posible, dentro de las 72 horas desde que se tenga constancia de ella. Si existe un alto riesgo para las personas afectadas, puede ser necesaria también la comunicación prevista en el artículo 34. Estas obligaciones no se activan automáticamente en idénticos términos ante cualquier incidente: dependen de la naturaleza de la brecha y de la evaluación del riesgo.
La respuesta, en definitiva, no consiste en renunciar a la innovación, sino en integrarla responsablemente en el ejercicio profesional. La seguridad no puede descansar exclusivamente en la pericia técnica de un proveedor externo ni en la confianza abstracta en que una plataforma será segura. Requiere criterios internos, formación, revisión de riesgos y capacidad de reacción.
El secreto profesional ha sido siempre una garantía de confianza. Hoy necesita también una cultura de seguridad tecnológica proporcionada a la naturaleza de la información que se custodia. La inteligencia artificial ofensiva añade presión a un problema que ya existía, pero no modifica su fundamento jurídico: el abogado debe preservar la confidencialidad de aquello que conoce por razón de su profesión.
La pregunta decisiva no es si la inteligencia artificial sustituirá al abogado. Es si los profesionales y las organizaciones en las que trabajan están preparados para proteger la información de sus clientes cuando las herramientas utilizadas para atacarlos pueden hacerse cada vez más accesibles y sofisticadas. La respuesta exige combinar deontología, protección de datos, prevención tecnológica y responsabilidad profesional. También exige comprender que la defensa jurídica comienza, en ocasiones, mucho antes de llegar al juzgado: comienza protegiendo aquello que el cliente ha confiado a su abogado.
Notas y fuentes de verificación
Reuters. (2026, 29 de octubre). Chinese AI model carries out complex cyberattacks in controlled tests, researchers say. Reuters. Consultar noticia original.
CrowdStrike. (2026, 28 de octubre). 2026 Legal Threat Landscape Report: Cybercriminals Blur Digital and Physical Lines in Attacks on U.S. Law Firms. CrowdStrike. Consultar informe y datos publicados.
España. (2024). Ley Orgánica 5/2024, de 11 de noviembre, del Derecho de Defensa, especialmente artículo 16. Boletín Oficial del Estado. Texto legal consolidado.
España. (2021). Real Decreto 135/2021, de 2 de marzo, por el que se aprueba el Estatuto General de la Abogacía Española, especialmente artículos 16, 21 y 22. Boletín Oficial del Estado. Texto legal.
Unión Europea. (2016). Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, especialmente artículos 32, 33 y 34. Diario Oficial de la Unión Europea. Texto oficial en español. Agencia Española de Protección de Datos. Notificación de brechas de datos personales a la autoridad de control. Criterios prácticos de la AEPD.
Propiedad intelectual y licencia de uso
© Santiago Carretero. Todos los derechos reservados, salvo los expresamente concedidos mediante la licencia que se indica a continuación.
Los artículos originales publicados en Blog de la IA Actual están sujetos a la licencia Creative Commons Atribución 4.0 Internacional (CC BY 4.0), disponible en https://creativecommons.org/licenses/by/4.0/deed.es.
Esta licencia permite copiar, distribuir, comunicar públicamente y adaptar los artículos, incluso con fines comerciales, siempre que se reconozca adecuadamente la autoría de Santiago Carretero, se identifique la fuente original mediante un enlace a la publicación, se incluya un enlace a la licencia y se indique si se han realizado modificaciones. En ningún caso podrá sugerirse que el autor respalda al usuario o el uso que este haga de la obra sin autorización expresa.
La licencia se aplica exclusivamente a los contenidos originales sobre los que el autor ostente los derechos necesarios para concederla. Quedan excluidos los textos, imágenes, documentos, citas, marcas y demás materiales de terceros, que se regirán por sus propias condiciones de uso y por la legislación aplicable. La licencia tampoco supone la renuncia a los derechos morales que correspondan al autor conforme a la legislación vigente.
La utilización de los contenidos implica la aceptación de las condiciones de la licencia indicada, sin perjuicio de los usos permitidos por la ley y de los derechos que no hayan sido objeto de concesión expresa.
Comentarios
Publicar un comentario