Una gestoría tiene en sus carpetas más información sensible que casi cualquier otro negocio: nóminas, contratos, bajas médicas, declaraciones de la renta, extractos bancarios, embargos. De sus clientes y de los trabajadores de sus clientes.
Por eso la pregunta “¿puedo usar IA con esto?” no se contesta con un sí o un no. Se contesta sabiendo qué obligaciones tienes tú y qué hace la herramienta con lo que le das.
Este artículo va de lo primero y de lo segundo, con una advertencia: el régimen de secreto de un asesor fiscal no es el de un abogado, y conviene no mezclarlos.
Qué deber de confidencialidad tienes (depende de quién seas)
Es habitual leer que el asesor tiene “secreto profesional” como el abogado. No exactamente. El asesoramiento fiscal no es una profesión regulada en España, y el deber de reserva te llega por vías distintas según tu perfil.
| Perfil | De dónde viene tu deber de reserva |
|---|---|
| Gestor administrativo colegiado | Su Estatuto Orgánico (Decreto 424/1963) incluye en el art. 24, entre las obligaciones del gestor, guardar el secreto profesional de lo que conozca por razón de su actividad |
| Graduado social colegiado | Los estatutos y códigos deontológicos de su colegio profesional, que recogen el deber de secreto sobre lo conocido en el ejercicio |
| Asesor fiscal o contable sin colegiación específica | El contrato con el cliente y, si perteneces a una asociación o colegio, su código deontológico |
| Todos, sin excepción | La normativa de protección de datos: el principio de confidencialidad del RGPD (art. 5.1.f) y el deber de confidencialidad del art. 5 de la LOPDGDD, que alcanza a todas las personas que intervienen en el tratamiento, también a tus empleados |
A esto se suma el Código Penal. El art. 199 castiga a quien revela secretos ajenos conocidos por su oficio o sus relaciones laborales, y de forma agravada al profesional que, incumpliendo su obligación de sigilo o reserva, los divulga. Es un delito de divulgación, no de “usar una herramienta”. Pero dice mucho de cómo trata el ordenamiento la información que te confían.
La conclusión práctica es sencilla: tengas el perfil que tengas, la confidencialidad no es opcional, y el RGPD te obliga igual que a cualquier otro.
El punto que casi nadie mira: eres encargado del tratamiento
Cuando llevas las nóminas o la contabilidad de una empresa, en la mayoría de los casos no tratas esos datos por tu cuenta. Los tratas por encargo de tu cliente, que es el responsable. Por eso firmáis un contrato de encargo del tratamiento.
Y aquí está la clave. El RGPD, en su art. 28.2, dice que el encargado no puede recurrir a otro encargado sin autorización previa por escrito, específica o general, del responsable.
Una herramienta de IA a la que envías los datos de los trabajadores de tu cliente es, a efectos prácticos, otro encargado. Traducido:
- Revisa qué dicen tus contratos de encargo sobre subencargados.
- Si la herramienta va a tratar datos personales de los clientes, eso tiene que estar cubierto.
- Y el proveedor tiene que ofrecerte a ti las mismas garantías que tú ofreces a tu cliente.
No es un trámite de papel. Si mañana un cliente pregunta qué herramientas tratan los datos de su plantilla, tienes que poder contestar.
Los datos de una nómina no son datos cualquiera
El RGPD da protección reforzada a ciertas categorías de datos (art. 9). Y una gestoría laboral los maneja sin darse cuenta:
- Afiliación sindical, que aparece cuando la nómina descuenta la cuota sindical.
- Datos de salud, implícitos en una baja por incapacidad temporal o en el grado de discapacidad que se comunica para calcular la retención.
- Situaciones personales delicadas, como un embargo de salario o las pensiones que el trabajador comunica para ajustar su retención.
Nada de eso debería acabar en una conversación con una herramienta de uso personal. Y casi ninguna tarea que quieras delegar lo necesita.
Cómo leer la respuesta del proveedor
Piensa en lo que vas a meter de verdad: un lote de nóminas en PDF, un modelo 100 con los datos de la familia, el contrato de un trabajador de tu cliente. Con eso delante, estas son las preguntas y lo que deberías oír.
| Qué preguntar | Respuesta aceptable | Señal de alarma |
|---|---|---|
| Cuando subo un lote de nóminas o una declaración, ¿cuánto tiempo guardáis el fichero y lo que la herramienta extrae de él? | Un plazo concreto y la opción de borrarlo tú | “Lo conservamos para mejorar el servicio”, sin plazo |
| ¿Podéis firmar un contrato de encargo que encaje con lo que yo he firmado con mis clientes, incluida la lista de subencargados? | Sí, con condiciones del art. 28 RGPD y lista de subencargados publicada | Solo unos términos de uso genéricos, sin contrato |
| ¿Dónde se procesan esos datos fiscales y laborales? | En el Espacio Económico Europeo, o fuera con garantías explicadas por escrito | “En la nube”, sin más detalle |
| ¿Se usa lo que envío para entrenar modelos? | No, y consta en el contrato o en las condiciones de la versión que contratas | Depende de un ajuste que cada empleado tiene que desactivar en su cuenta |
| ¿Quién puede ver mi información, dentro de vuestra empresa y dentro de la mía, y queda registro? | Accesos limitados y un historial que puedes consultar | No hay forma de saber quién ha subido qué ni cuándo |
Si el proveedor no te contesta por escrito, esa ya es la respuesta. Y si no puedes explicarle a un cliente qué pasa con las nóminas de su plantilla, esa herramienta no debería verlas.
Hábitos que te protegen en el día a día
Con la herramienta bien elegida, el cumplimiento se juega en cómo trabaja tu equipo.
Antes de pegar nada, pregúntate qué dato necesita de verdad la tarea. Para clasificar facturas no hace falta el nombre del proveedor persona física, y para explicar una nómina no hace falta el NAF del trabajador.
Lo que sí haga falta puede ir con nombres genéricos: “el trabajador A”, “la empresa cliente”, “[IMPORTE]”. El modelo trabaja igual de bien y tú reduces el riesgo. En la guía de prompts de IA para gestorías tienes ejemplos ya preparados así.
Cierra la puerta a las cuentas personales. El riesgo más habitual está en el empleado que, con buena intención, pega un contrato en su cuenta gratuita desde el móvil, más que en la herramienta que elige la dirección. Una política interna clara y una herramienta aprobada evitan eso mejor que cualquier prohibición.
Guarda la traza de cada uso. Deberías poder reconstruir qué se pidió, qué devolvió la IA y quién lo revisó. Si un cliente o la AEPD preguntan, esa trazabilidad es tu prueba de diligencia. Y también es lo que te cubre si hay un error: lo explicamos en quién responde si la IA se equivoca en una asesoría.
Formar al equipo también es cumplir
Casi todos los riesgos de este artículo son de uso, no de tecnología. Por eso la solución pasa por que la gente que usa la IA sepa lo que está haciendo.
Además, ya no es solo prudencia: el AI Act ya obliga a formar en IA a quien la usa, sin umbral de tamaño, gestorías incluidas.
En nuestra formación en IA para gestorías y asesorías el RGPD entra en el método desde el primer día, junto a cada proceso: qué datos entran, con qué herramienta, con qué trazabilidad y con tu revisión antes de que nada llegue al cliente.
Por dónde empezar mañana
Una gestoría puede trabajar con IA y seguir guardando la reserva que le deben sus clientes. El problema aparece cuando nadie en la oficina sabe qué herramienta ve qué datos, ni con qué contrato.
Conoce de dónde viene tu deber de reserva, revisa tus contratos de encargo, elige una herramienta que dé garantías por escrito y minimiza lo que entra. Con eso tienes lo básico resuelto.
Esto es orientación práctica, no asesoramiento jurídico. Tu situación concreta depende de tu perfil profesional, de tus contratos con clientes y de las herramientas que uses; conviene revisarla con tu delegado de protección de datos o con un especialista.
Si quieres ver cómo encaja esto en tu asesoría, lo hablamos cuando te venga bien.