IA en el despacho: cómo recuperar horas sin abrir un riesgo nuevo
Un despacho que digitaliza facturas con una IA genérica y sin trazabilidad no está ahorrando tiempo: está aplazando el problema al día en que algo falla delante de la Agencia Tributaria.
Lo que estamos viendo en el sector
Hablando con despachos y asesorías nos encontramos el mismo patrón una y otra vez. Carteras enteras de clientes siguen ancladas a documentación física — tickets, facturas en papel, escrituras — que alguien tiene que picar a mano. Para aliviar esa carga, muchos despachos han empezado a apoyarse en IA genérica (ChatGPT y similares) sin ningún tipo de formación ni control sobre cómo se usa.
El resultado no es solo ineficiencia. Es riesgo real: errores flagrantes y alucinaciones en escritos oficiales dirigidos a la Hacienda Pública, generados por un modelo que redacta con total seguridad algo que no es cierto. No es un caso hipotético — ya ha pasado en el ámbito legal internacional, con abogados sancionados por presentar escritos judiciales con citas y jurisprudencia inventadas por IA generativa. El mecanismo es idéntico si el destinatario es un juzgado o la Delegación de Hacienda: un modelo sin control no distingue entre un dato verificado y uno inventado con la misma fluidez.
Por qué esto no se arregla "teniendo cuidado"
El problema no es la herramienta, es la ausencia de trazabilidad y de control humano en el punto donde importa. Tres frentes que casi ningún despacho tiene resueltos hoy:
- Formación: usar IA generativa para redactar o resumir documentación fiscal sin entender sus límites (que "alucine" con total seguridad es una característica del modelo, no un fallo puntual).
- AI Act (Reglamento UE 2024/1689): conviene saber qué obliga ya y qué no. Desde febrero de 2025 es aplicable el deber de alfabetización en IA (art. 4): quien usa estos sistemas en su organización debe garantizar que el personal que los maneja tenga formación suficiente sobre sus límites. Desde el 2 de agosto de 2026 son aplicables las obligaciones de transparencia del art. 50 — avisar de que se está interactuando con una IA y etiquetar el contenido generado por ella —, que recaen sobre todo en quien proporciona el sistema. Las obligaciones exigentes, las de los sistemas de alto riesgo, se aplazaron al 2 de diciembre de 2027 (Anexo III) y al 2 de agosto de 2028 (Anexo I) por el Reglamento Ómnibus (UE) 2026/1744, y en todo caso el uso ordinario de IA generativa en un despacho para resumir o redactar no encaja en esas categorías. El punto, por tanto, no es que un despacho esté hoy incumpliendo el AI Act por usar ChatGPT: es que la norma sitúa la responsabilidad de la formación en la organización que despliega la herramienta, mientras el riesgo operativo —el escrito con un dato inventado— lo asume íntegramente el despacho.
- Encargo de tratamiento (art. 28 RGPD): al tratar datos de sus clientes, el despacho actúa normalmente como encargado, y el proveedor de IA que contrata pasa a ser subencargado. Eso implica dos cosas que rara vez se revisan al adoptar una herramienta "por probar": que exista contrato de encargo con el proveedor de IA con las garantías del art. 28.3 (finalidad, confidencialidad, seguridad, ubicación de los datos y transferencias internacionales), y que el contrato con el cliente permita esa subcontratación —el art. 28.2 exige autorización del responsable—. En las versiones gratuitas o de consumo de las IA generativas de uso general ese contrato sencillamente no está disponible, y por defecto lo que se pega en el chat puede usarse para mejorar el modelo.
A esto se suma un matiz específico del sector: la acreditación de los Sistemas Informáticos de Facturación (SIF) bajo el RD 1007/2023 y la Orden HAC/1177/2024 exige un nivel de control y trazabilidad pensado para un ritmo normativo mucho más lento que el de la IA aplicada al tratamiento de datos. Un despacho puede tener el sistema de facturación en regla y, al mismo tiempo, estar generando riesgo por el lado de cómo trata la documentación con IA sin control — son dos capas de cumplimiento distintas, y la segunda casi nadie la tiene mapeada.
Qué significa "IA con control" en la práctica
No se trata de dejar de usar IA — se trata de dónde y cómo se usa:
| IA genérica sin control | IA con control y trazabilidad | |
|---|---|---|
| Origen del dato | Se pega texto suelto en un chat externo | Entra desde el documento fuente, con registro de origen |
| Verificación | Ninguna — el modelo redacta con la misma seguridad si acierta o si alucina | Punto de control humano antes de cualquier escrito con efectos ante la Administración |
| Trazabilidad | No hay registro de qué generó la IA ni con qué datos | Cada salida queda vinculada a su fuente y a quién la validó |
| Tratamiento de datos de clientes | Sin contrato de encargo que lo cubra — habitual en versiones de consumo | Cubierto por contrato de encargo con el proveedor (art. 28.3 RGPD) y autorizado por el cliente (art. 28.2) |
| Riesgo ante requerimiento AEAT | Alto — no hay forma de justificar cómo se generó un dato | Acotado — la cadena de origen y validación está documentada y es justificable |
La diferencia no está en la tecnología, está en el diseño del proceso alrededor de ella. Un despacho que audita primero dónde entra la documentación física, qué se automatiza y qué punto de control humano se mantiene, recupera las horas perdidas en tareas manuales sin heredar el riesgo de una IA sin trazabilidad.
Preguntas frecuentes
¿Usar ChatGPT para resumir documentación fiscal es ilegal?
No, no es ilegal. Lo que expone al despacho no es la herramienta, es usarla sin control ni trazabilidad para generar contenido con efectos ante la Administración: errores no detectados de los que responde el despacho, y un tratamiento de datos de clientes que probablemente no esté cubierto por ningún contrato de encargo (art. 28 RGPD). En el AI Act, ese uso ordinario no entra en la categoría de alto riesgo; lo que sí aplica ya es el deber de que el personal que maneja la herramienta tenga formación suficiente (art. 4, desde febrero de 2025) y las obligaciones de transparencia del art. 50, aplicables desde el 2 de agosto de 2026.
¿Qué tiene que ver esto con VeriFactu?
Son capas distintas. VeriFactu (RD 1007/2023) regula la integridad del sistema de facturación. El uso de IA generativa sin control es un riesgo aparte, en cómo se trata la documentación y se redactan escritos — un despacho puede cumplir VeriFactu al 100% y tener este riesgo sin resolver.
¿Hace falta un DPA para cualquier herramienta de IA que use el despacho?
Si la herramienta trata datos personales de los clientes del despacho por cuenta de estos, sí: hace falta contrato de encargo con el proveedor (art. 28.3 RGPD) y que el contrato con el cliente permita esa subcontratación (art. 28.2). El obstáculo práctico es que las versiones gratuitas o de consumo de las IA generativas de uso general no ofrecen ese contrato — para tenerlo hay que ir a las modalidades empresariales o de API que sí lo incluyen.
¿Por dónde se empieza a poner esto en control?
Por una auditoría del proceso: dónde entra la documentación física, qué tareas se automatizan con IA, y qué punto de validación humana se mantiene antes de que cualquier escrito llegue a la Administración. Automatizar sin ese punto de control es donde aparece el riesgo.
¿Tu gestoría necesita resolver esto de verdad, no solo leerlo?
Pídenos una demo →