La conversación siempre empieza igual. Un socio de un despacho, la gerente de una asesoría o el director de una clínica cuentan lo mismo con distintas palabras: «esto nos vendría de maravilla, pero nosotros estamos regulados». Y ahí se acaba. La frase funciona como un cierre de reunión, no como un análisis. Nadie pregunta qué parte exactamente está regulada, ni si lo que se quería automatizar caía dentro de esa parte.
La tesis en una frase: en las profesiones con secreto profesional el límite no lo pone el modelo, lo pone la responsabilidad. Quien firma el informe médico, la declaración fiscal o el escrito de demanda responde igual, haya usado IA o no. Y eso, lejos de cerrar la puerta, la coloca en su sitio: la IA prepara el expediente, el profesional firma. Todo lo que va antes de la firma es terreno abierto; todo lo que sustituye a la firma es una línea que no se cruza.
IA en sectores regulados: qué puede tocar en una clínica, una asesoría o un despacho
«Sector regulado» es una etiqueta demasiado ancha para tomar una decisión. Lo que de verdad está regulado en una clínica, una asesoría o un despacho no es el uso de software: son tres cosas concretas. El deber de secreto sobre lo que te confía el cliente o el paciente. La reserva de actividad —qué actos solo puede realizar y firmar un profesional colegiado—. Y el tratamiento de datos especialmente protegidos, que en salud son la norma y no la excepción.
Ninguna de las tres dice nada sobre quién prepara el borrador, quién ordena la documentación, quién resume ochocientas páginas de expediente o quién detecta que falta un justificante. Ese trabajo —que es la mayor parte de las horas facturables de un despacho medio y de la carga administrativa de una consulta— no está reservado a nadie. Está simplemente mal repartido: lo hace el profesional más caro porque nunca ha habido otra forma de hacerlo.
El límite no lo pone el modelo, lo pone quién firma
La pregunta útil no es «¿puede la IA hacer esto?», sino «¿quién responde si sale mal?». Y esa respuesta no cambia con la tecnología: responde el profesional que firma, el colegiado que asume el acto, la sociedad que emite la factura. Un modelo no puede ser demandado, no está colegiado y no tiene póliza de responsabilidad civil. Eso no es un defecto del modelo: es la razón por la que la firma existe.
De ahí sale un criterio operativo que funciona en las tres profesiones y que no necesita abogado para aplicarse:
- Si el resultado sale de tu casa con una firma, la firma es de una persona. El sistema puede llegar hasta el borrador completo, con sus citas y sus cálculos. Nunca hasta el envío.
- Si el resultado no sale, o sale como trabajo interno, puede ir mucho más lejos. Ordenar, clasificar, extraer, comparar, avisar de que falta algo: ahí no hay acto reservado ni responsabilidad delegada.
- Si el paso decide sobre una persona —un diagnóstico, un despido, una reclamación—, la revisión humana no es un extra. Es la condición para que el paso exista.
Este reparto tiene nombre técnico y una mecánica que no es opinable: es el diseño de humano en el bucle en una automatización con IA, donde lo importante no es que haya una persona mirando, sino que la persona tenga el contexto, el tiempo y la autoridad real para decir que no.
Lo que sí puede tocar hoy, sin discusión
Cuando se aplica el criterio anterior, la lista de lo automatizable en un despacho, una asesoría o una clínica deja de ser corta. Es prácticamente todo lo que un profesional hace antes de pensar:
- Preparar el expediente. Reunir la documentación de un asunto, ordenarla cronológicamente, detectar qué falta y dejar un resumen con enlaces al documento original de cada afirmación.
- Extraer el dato de un documento que llega en cualquier formato. La factura del proveedor, el parte, la escritura, el certificado. El trabajo duro no es leer el PDF: es que cada emisor lo maqueta a su manera.
- Traducir el burocrático a lenguaje entendible. El primer borrador de una carta al cliente, de un consentimiento informado o de una explicación de la liquidación, que después revisa quien sabe.
- Vigilar plazos, requerimientos y cambios normativos y avisar a quien corresponde antes de que venza, en lugar de depender de que alguien mire una carpeta.
- Preparar la respuesta a la pregunta repetida. En una asesoría, el 80% de los correos de enero se parecen entre sí. Que el borrador exista no quita criterio a nadie: quita mecanografía.
Todo eso comparte una propiedad: si el sistema se equivoca, el error lo ve una persona antes de que salga. Es la definición práctica de riesgo aceptable, y no depende de lo bueno que sea el modelo.
Lo que no debería tocar, y no por miedo: por diseño
La otra mitad de la lista es igual de importante, y conviene escribirla en positivo y no como una prohibición vaga. Un sistema no debería emitir un diagnóstico, presentar una declaración, registrar un escrito ni responder a un requerimiento sin que una persona lo haya visto y aprobado. No porque la ley lo diga con esas palabras en todos los casos, sino porque el día que salga mal la pregunta será quién lo revisó, y «nadie, iba solo» no es una respuesta que se pueda dar dos veces.
Aquí es donde el argumento del sector se vuelve del revés. La objeción habitual —«no podemos, estamos regulados»— se usa para no hacer nada, cuando lo que la regulación exige es exactamente lo que un sistema bien montado da y un proceso manual no: trazabilidad. Saber qué se hizo, con qué dato, con qué permiso y quién lo aprobó. Eso es gobernanza y control de la automatización con IA, y un despacho con logs y aprobaciones registradas está en mejor posición ante una inspección que uno donde todo se decidió por WhatsApp.
El secreto profesional no desaparece porque el proveedor sea grande
Hay un punto donde la prudencia del sector sí está bien fundada, y conviene decirlo sin rebajarlo. Meter el expediente de un cliente o la historia clínica de un paciente en una herramienta contratada a título personal, sin acuerdo de encargado del tratamiento y sin saber dónde se procesa el dato, es un problema real. Y no se arregla con una cláusula de la política de privacidad del proveedor.
La Agencia Española de Protección de Datos publicó en febrero de 2026 unas orientaciones sobre inteligencia artificial agéntica desde la perspectiva de la protección de datos cuya premisa es la que más se ignora en este debate: usar un agente de IA no es sustituir una herramienta por otra más avanzada, sino que puede cambiar la naturaleza misma del tratamiento, su alcance y sus riesgos. Ámbito: España. Traducido a la práctica de un despacho: la decisión no es «¿uso IA o no?», es «¿qué dato sale de aquí, hacia dónde y con qué contrato?». Y esa decisión se toma una vez, al montar el sistema, no cada vez que alguien abre una pestaña.
El secreto profesional, además, no exime del RGPD: lo modula. Es un límite al acceso de terceros, no un salvoconducto que sustituya a las obligaciones de tratamiento. Quien lo entiende al revés acaba con las dos cosas mal.
Por qué el calendario del AI Act no es tu límite principal
Conviene desactivar aquí una confusión que retrasa decisiones. El calendario del Reglamento europeo de IA —qué obliga ya y qué se movió al Ómnibus— está desarrollado en lo que el AI Act te exige desde agosto de 2026, y no lo repetimos aquí. Lo que importa para una profesión colegiada es otra cosa: ese calendario no es el que te aprieta primero.
Los usos de alto riesgo del Anexo III —donde caen algunos usos sanitarios y de decisión sobre personas— se aplazaron al 2 de diciembre de 2027 mediante el paquete Ómnibus acordado en mayo de 2026, según el seguimiento del calendario de aplicación del AI Act publicado por el Future of Privacy Forum. Ámbito: Unión Europea. Pero tu responsabilidad profesional no se aplazó, porque nunca tuvo fecha de entrada: si un informe firmado por ti sale mal, el colegio y el cliente no van a preguntarte por el Anexo III. Por eso el orden correcto es al revés del que se suele seguir: primero decides dónde va la firma humana, y el cumplimiento normativo cae casi solo detrás de esa decisión.
Cómo se monta esto en un despacho que no puede pararse
El orden importa más que la herramienta. En una organización pequeña con obligación de secreto, la secuencia que funciona es esta:
- Empieza por un proceso sin firma. Preparación de expediente, extracción documental, control de plazos. Nada que salga a un tercero. Así el primer error posible es interno y barato.
- Decide el dato antes que la herramienta. Qué información sale de tu sistema, hacia qué proveedor, con qué contrato de encargado y con qué plazo de conservación. Si esa respuesta no cabe en un folio, todavía no estás listo para el paso siguiente.
- Deja la revisión humana en el sitio donde duele. No en todos los pasos —eso mata el ahorro—, sino exactamente en el que tiene consecuencia hacia fuera.
- Registra todo desde el día uno. Qué documento entró, qué extrajo el sistema, qué cambió la persona. El registro no es burocracia: es lo que convierte una inspección incómoda en una carpeta.
- Mide una sola cosa al principio: cuántas horas de profesional colegiado dejan de irse en trabajo que no requería colegiación. Si ese número no se mueve, el proyecto no está funcionando, por muy moderna que sea la demo.
Ese segundo punto —el dato antes que la herramienta— es el que más proyectos hunde y el que menos atención recibe. Es trabajo de gobierno del dato: saber qué información tienes, quién puede tocarla y qué puede salir de tu perímetro, antes de conectar nada. Hacerlo después es reescribir el sistema entero con el cliente ya dentro.
Lo que de verdad cambia
El sector regulado no va a automatizar el juicio profesional, y quien lo venda miente. Lo que va a automatizar es todo lo que rodea al juicio profesional y que hoy se lo come: la preparación, la búsqueda, el orden, el borrador, el aviso. Un despacho donde el socio dedica el 70% de su tiempo a preparar y el 30% a decidir no compite con uno donde esa proporción se invierte. Y esa inversión no requiere cambiar la ley, ni el colegio profesional, ni la póliza. Requiere decidir dónde va la firma y montar todo lo demás por debajo.
«Estamos regulados» seguirá siendo verdad. Deja de ser una excusa el día que alguien pregunta qué parte, exactamente.