Cómo autorizar el uso de ChatGPT en un despacho o asesoría: checklist para el DPO

28 de octubre de 2026 · 13 min de lectura

Si asesoras en protección de datos a un despacho, una gestoría o una asesoría, la pregunta ya no es si van a usar ChatGPT o Copilot: es con qué reglas. Esta guía es un checklist de doce puntos para autorizarlo con criterio: qué revisar del proveedor, qué datos no pueden entrar nunca, qué dejar documentado y cómo ponerlo por escrito. Al final tienes una plantilla de política de uso de IA en Word, editable, para adaptarla a cada cliente.

Por qué prohibir no funciona

Una política que dice «aquí no se usa IA» rara vez consigue que no se use. Consigue que se use en la sombra: desde el móvil, con la cuenta personal, pegando el borrador de una demanda o una nómina en la versión gratuita. Sin contrato con el proveedor, sin configuración, sin formación y sin que nadie lo sepa. El riesgo no desaparece: deja de verse.

La alternativa razonable es autorizar con reglas, y hay un buen ejemplo cerca. La propia AEPD publicó en noviembre de 2025 una política interna para usar IA generativa en sus procesos y en enero de 2026 publicó un resumen de obligaciones y recomendaciones. No prohíbe: pide aprobar cada caso de uso, mantener un inventario de las herramientas, contratar en modalidad empresarial, formar a los usuarios, revisar a mano los resultados y no introducir datos personales en sistemas no autorizados. El checklist de abajo sigue esa misma lógica, adaptada a una organización pequeña.

Checklist para autorizar ChatGPT o Copilot

Haz el inventario de lo que ya se usa. Pregunta sin buscar culpables: ChatGPT, Copilot, Gemini, Claude, extensiones del navegador, transcriptores de reuniones y las funciones de IA que ya vienen dentro del software contratado (gestión de expedientes, correo, contabilidad). De ahí sale una lista cerrada de herramientas autorizadas; lo que no esté en ella no se usa con información de la organización. Para cada una, apunta cómo funciona, para qué se usa, quién la usa y su nivel de riesgo, como pide la AEPD para su propio inventario.
Cuenta corporativa, nunca personal. Con una cuenta personal, la relación es entre el empleado y el proveedor: la organización no controla la configuración, la conservación ni qué pasa cuando esa persona se va. En las versiones de consumo de ChatGPT, OpenAI puede usar las conversaciones para entrenar sus modelos salvo que el usuario lo desactive en los controles de datos («Mejorar el modelo para todos»). En sus planes para empresas, según OpenAI, los datos no se usan para entrenar por defecto. En Microsoft, Copilot y Copilot Chat usados con la cuenta de trabajo de la organización quedan bajo su Data Protection Addendum y sus Product Terms, con Microsoft como encargado del tratamiento.
Contrato de encargo (art. 28 RGPD) y uso para entrenamiento. Si van a llegar datos personales al proveedor, hace falta un contrato de encargo aplicable al plan concreto que se contrata. OpenAI declara que firma un DPA para ChatGPT Business, ChatGPT Enterprise y la API; Microsoft cubre con el suyo Copilot y Copilot Chat cuando los usa una organización. Revisa en cada caso: que no se entrena con los datos, cuánto se conservan las conversaciones, qué subencargados intervienen y cómo se borran. Y mira lo que queda fuera: en Copilot, las búsquedas web que el asistente genera hacia Bing no están cubiertas por el DPA (Microsoft actúa ahí como responsable independiente), y los agentes o conectores de terceros tienen sus propios términos.
Ubicación y transferencias internacionales. Averigua dónde se procesan y almacenan los datos. Si es fuera del Espacio Económico Europeo, se aplica el capítulo V del RGPD: una decisión de adecuación (para Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU., que solo cubre a las empresas adheridas) o garantías como las cláusulas contractuales tipo. Algunos proveedores ofrecen residencia de datos en Europa solo en ciertos planes de empresa: comprueba si el tuyo la incluye y qué servicios quedan fuera. Anota la fecha de cada comprobación: estas condiciones cambian a menudo.
Define qué datos no entran nunca. La regla por defecto: nada que identifique a clientes, contrapartes, testigos, trabajadores o familiares; nada de categorías especiales del art. 9 RGPD (salud, afiliación sindical, convicciones, vida sexual, datos biométricos…) ni de datos penales; nada de contraseñas ni credenciales; nada de información no pública. En una gestoría o asesoría eso incluye nóminas, declaraciones, DNI, IBAN y números de la Seguridad Social. Aunque haya contrato de encargo, sigue valiendo la minimización (art. 5.1.c): a la IA llega solo lo necesario para la tarea.
Anonimiza o seudonimiza antes de usar la IA. Es lo que hace practicable el punto anterior: el texto se puede trabajar con la IA si antes se le quitan los datos personales. Hay dos niveles. Si nadie puede volver a identificar a las personas con medios razonables, el texto deja de ser dato personal (considerando 26). Si se guarda una tabla para revertir la sustitución, es seudonimización (art. 4.5): el texto sigue siendo dato personal para quien tiene la tabla, pero la IA solo ve etiquetas, y es una de las medidas que el art. 32.1.a nombra expresamente. Lo importante es que se haga en el propio equipo: si para anonimizar hay que subir el documento a otro servicio en la nube, el problema solo cambia de proveedor. La diferencia jurídica está explicada en anonimización vs. seudonimización.
Revisión humana de lo que devuelve la IA. Los modelos se equivocan con seguridad: inventan sentencias, citan normas derogadas, calculan mal. Nada de lo que produce la IA va a un cliente, a un juzgado o a la Administración sin que lo revise y lo asuma quien lo firma. La AEPD lo pone así en su propia política: prohibido incluir contenido generado por IA en textos con efectos jurídicos sin revisión y validación humana.
Refléjalo en el registro de actividades (art. 30 RGPD y 31 LOPDGDD). Si en algún tratamiento se usan datos personales con la herramienta, el registro debe recoger al proveedor como encargado, las transferencias y los plazos. La excepción para organizaciones de menos de 250 personas no se aplica si el tratamiento no es ocasional o incluye categorías especiales o datos penales (art. 30.5), que es lo habitual en despachos y gestorías. Si la regla es «sin datos personales» y se cumple, deja documentada esa decisión.
Decide si hace falta una EIPD (art. 35). Es obligatoria cuando es probable un alto riesgo. La lista de la AEPD (art. 35.4) indica que en la mayoría de los casos hace falta cuando el tratamiento cumple dos o más de sus criterios, y uno de ellos es usar nuevas tecnologías o un uso innovador de tecnologías consolidadas. En el otro extremo, el considerando 91 dice que el tratamiento de datos de clientes por un solo abogado no debe considerarse a gran escala ni la EIPD obligatoria. Un despacho pequeño que aplica la regla «sin datos personales» está en una situación muy distinta a una asesoría laboral grande que procesa nóminas con IA. Sea cual sea la conclusión, déjala escrita.
Formación y alfabetización en IA. El art. 4 del Reglamento de IA (UE) 2024/1689 se aplica desde el 2 de febrero de 2025 a los «responsables del despliegue», que son quienes usan un sistema de IA bajo su autoridad salvo en una actividad personal no profesional: un despacho que usa ChatGPT en su trabajo lo es. Pide adoptar medidas de alfabetización en IA del personal, teniendo en cuenta sus conocimientos y el contexto de uso. En la práctica: una sesión sobre qué datos no entran, cómo anonimizar, cómo revisar y a quién avisar si algo sale mal, con registro de quién la recibió.
Política escrita y firmada. Todo lo anterior cabe en dos o tres páginas: herramientas y cuentas autorizadas, datos prohibidos, anonimización previa, revisión de resultados, formación, incidentes y revisión. Cada persona la lee y firma, incluidas las personas en prácticas y el personal administrativo. Abajo tienes una plantilla.
Revisión periódica e incidentes. Las herramientas cambian de nombre, de modelos y de condiciones. Revisa la política cada seis meses y cada vez que se autorice una herramienta o cambie un plan. Y define qué pasa si alguien pega datos de un cliente donde no debía: lo comunica enseguida, sin borrar nada, y el DPO valora si es una brecha de datos personales que haya que notificar a la AEPD (art. 33 RGPD).

Ninguna detección automática de datos personales es infalible, y un caso se puede reconocer por los hechos aunque no tenga nombres (un cargo, una fecha, un lugar). Por eso la política tiene que decir que la persona revisa el texto anonimizado antes de pegarlo: la herramienta ayuda, no sustituye ese paso.

En un despacho, el secreto profesional va aparte

Para los abogados hay una capa más. El Estatuto General de la Abogacía Española (Real Decreto 135/2021) impone el deber y el derecho de guardar secreto de los hechos y noticias que se conozcan por la actuación profesional (art. 21.1). Alcanza a todos los hechos, comunicaciones, datos, informaciones, documentos y propuestas (art. 22.1), el abogado debe hacerlo respetar a sus colaboradores (art. 22.4) y dura después de terminar el encargo (art. 22.5).

Un contrato de encargo hace lícito el tratamiento a efectos del RGPD, pero no cambia que el expediente esté en manos de un tercero. Por eso en un despacho la regla «sin datos identificables» no es solo minimización: es la forma más directa de no comprometer el secreto. En gestorías y asesorías, el equivalente es el deber de confidencialidad del art. 5 LOPDGDD, que alcanza a todas las personas que intervienen en el tratamiento y se mantiene aunque termine la relación. Más detalle en IA para abogados: cómo usarla sin romper el secreto profesional.

La plantilla: política de uso de IA en Word

Para que no tengas que empezar de cero con cada cliente, hemos convertido este checklist en una política interna lista para adaptar: objeto y alcance, herramientas autorizadas, qué no se introduce nunca, anonimización previa, uso de los resultados, cuentas y configuración, formación, errores e incidentes, registro y revisión, incumplimiento, un anexo de cinco preguntas «antes de pegar un texto en una IA» y la hoja de aceptación. Los huecos entre corchetes (herramientas, responsable, canal de avisos) son los que rellenas tú.

Plantilla de política de uso de IA (Word, editable, gratuita). Úsala y compártela con tus clientes; revísala con el caso concreto antes de aprobarla.
Descargar la plantilla (.docx)

Cómo encaja una herramienta local en esa política

La regla «se puede usar IA, pero sin datos personales» necesita una forma práctica de cumplirse, o se acaba saltando. Anonimizar es una app de escritorio pensada para ese hueco:

Quita los datos en el equipo del usuario. Detecta nombres, documentos de identidad, domicilios, teléfonos, cuentas y otros datos, y los sustituye por etiquetas consistentes (PERSONA_01, DNI_01). El documento no se sube a ningún sitio: sin nube, sin cuenta y sin telemetría.
Con revisión humana. Marca cada reemplazo para revisarlo antes de exportar, y permite añadir o quitar detecciones a mano.
Irreversible por defecto, reversible si se elige. Por defecto no guarda ninguna tabla que permita deshacer la sustitución. Si el usuario activa el mapa, puede rehidratar la respuesta de la IA con los datos reales en su propio equipo; en ese caso el resultado es seudonimización y el mapa es un archivo confidencial que se guarda aparte.

Dos matices que un DPO agradecerá oír claros. Sin mapa, la sustitución es irreversible desde la herramienta, pero que el texto sea anónimo en el sentido del considerando 26 depende también del contexto, y eso lo valora una persona. Y si a pesar de todo llegan datos personales a la IA, el contrato de encargo con ese proveedor sigue haciendo falta: la herramienta reduce lo que llega, no sustituye esas garantías.

Para la evaluación técnica (dónde se procesa, qué conexiones hace, cómo se verifican licencia y actualizaciones, y el mapeo a los artículos del RGPD) tienes el dossier de seguridad para DPOs, descargable en PDF. Y si eres consultora o DPO externo y quieres recomendarla a tus clientes, mira el programa de partners.

Preguntas frecuentes

¿Se puede usar ChatGPT cumpliendo el RGPD?

Sí, con condiciones: cuenta y plan de empresa, contrato de encargo, revisión de las transferencias internacionales y de si el proveedor entrena con los datos, reglas claras sobre qué datos no se introducen y revisión humana de los resultados. Lo más sencillo es que no reciba datos personales: anonimizar antes reduce casi todos los problemas.

¿Basta con desactivar el entrenamiento en una cuenta personal?

No. Desactivarlo evita que esas conversaciones se usen para entrenar modelos, pero no crea un contrato de encargo entre la organización y el proveedor ni le da control sobre la cuenta. Para trabajo con información de clientes, cuenta corporativa.

¿Es Copilot más seguro que ChatGPT a efectos del RGPD?

Depende menos de la marca que del plan, la cuenta y el contrato. Copilot con la cuenta de trabajo de la organización entra en el DPA de Microsoft; un plan de empresa de ChatGPT tiene el suyo. En los dos hay que revisar lo que queda fuera (búsquedas web, conectores, modelos de terceros) y dónde se procesan los datos.

¿Hace falta una evaluación de impacto para usar IA generativa?

No siempre. Es obligatoria cuando es probable un alto riesgo; la lista de la AEPD indica que en la mayoría de los casos lo es si se cumplen dos o más de sus criterios, entre ellos el uso de nuevas tecnologías. Si la política impide que lleguen datos personales a la IA, el análisis cambia mucho. En todo caso, conviene documentar el razonamiento.

¿La formación en IA es obligatoria?

El art. 4 del Reglamento de IA obliga a quien usa sistemas de IA en su actividad profesional a adoptar medidas para apoyar la alfabetización en IA de su personal. Una formación breve y registrada sobre la política interna es la forma práctica de cubrirlo.

Si anonimizo con una herramienta, ¿el texto ya no tiene datos personales?

No necesariamente. Si se guarda una tabla para revertir la sustitución, es seudonimización y sigue siendo dato personal. Sin tabla, depende de que nadie pueda reidentificar a las personas con medios razonables, también por el contexto. Por eso la revisión humana es parte del método.

Usar IA sin que los datos de los clientes salgan del equipo

Anonimizar detecta los datos personales de un documento, te deja revisar cada uno y los sustituye por etiquetas antes de que el texto vaya a una IA. Irreversible por defecto; si guardas el mapa, rehidratas la respuesta con los datos reales en tu propio equipo. 100% local, sin nube y sin telemetría.

Pruébala gratis · 15 archivos

Para profundizar: protección de datos en un despacho de abogados (RGPD y LOPDGDD), usar ChatGPT con datos de clientes, anonimización vs. seudonimización e IA para abogados sin romper el secreto profesional.

Este artículo es informativo y no constituye asesoramiento legal. Las referencias al RGPD, a la LOPDGDD, al Reglamento de IA y al Estatuto General de la Abogacía Española, así como las condiciones de OpenAI y Microsoft, son un resumen a 28 de octubre de 2026: las condiciones de los proveedores cambian a menudo, así que conviene comprobar el texto vigente, los criterios de la AEPD y, para un caso concreto, contar con un profesional de protección de datos. La plantilla es un punto de partida y debe adaptarse a cada organización.

If you advise a law firm, an accounting practice or a payroll and tax advisory firm (a gestoría or asesoría, in Spain) on data protection, the question is no longer whether they'll use ChatGPT or Copilot: it's under what rules. This guide is a twelve-point checklist for authorising it properly: what to check about the provider, what data must never go in, what to document and how to put it in writing. At the end there's an editable AI use policy template in Word (in Spanish) to adapt for each client.

Why banning it doesn't work

A policy that says "no AI here" rarely stops AI from being used. It pushes it into the shadows: from a phone, on a personal account, pasting a draft claim or a payslip into the free version. No contract with the provider, no configuration, no training and no one aware of it. The risk doesn't go away: it just becomes invisible.

The reasonable alternative is to authorise it with rules, and there's a good example close by. Spain's data protection authority, the AEPD, published an internal policy for using generative AI in its own processes in November 2025, and in January 2026 published a summary of obligations and recommendations (in Spanish). It doesn't ban anything: it requires approving each use case, keeping an inventory of tools, contracting enterprise versions, training users, manually reviewing outputs and not entering personal data into unauthorised systems. The checklist below follows the same logic, scaled to a small organisation.

Checklist for authorising ChatGPT or Copilot

Inventory what's already in use. Ask without looking for culprits: ChatGPT, Copilot, Gemini, Claude, browser extensions, meeting transcribers and the AI features already built into software you pay for (case management, email, accounting). The result is a closed list of authorised tools; anything not on it isn't used with the organisation's information. For each one, note how it works, what it's used for, who uses it and its risk level, as the AEPD requires for its own inventory.
Corporate account, never a personal one. With a personal account, the relationship is between the employee and the provider: the organisation doesn't control settings, retention or what happens when that person leaves. In consumer versions of ChatGPT, OpenAI may use conversations to train its models unless the user turns it off in data controls ("Improve the model for everyone"). For its business plans, OpenAI says data isn't used for training by default. At Microsoft, Copilot and Copilot Chat used with the organisation's work account fall under its Data Protection Addendum and Product Terms, with Microsoft acting as processor.
Processor agreement (GDPR Art. 28) and training. If personal data will reach the provider, you need a data processing agreement that applies to the specific plan you buy. OpenAI says it signs a DPA for ChatGPT Business, ChatGPT Enterprise and the API; Microsoft's covers Copilot and Copilot Chat when used by an organisation. Check in each case: no training on the data, how long conversations are kept, which sub-processors are involved and how data is deleted. And look at what's left out: in Copilot, the web searches the assistant sends to Bing aren't covered by the DPA (Microsoft acts as an independent controller there), and third-party agents or connectors have their own terms.
Location and international transfers. Find out where data is processed and stored. If it's outside the European Economic Area, GDPR Chapter V applies: an adequacy decision (for the US, the EU-US Data Privacy Framework, which only covers companies that have signed up) or safeguards such as standard contractual clauses. Some providers offer European data residency only on certain business plans: check whether yours includes it and which services are left out. Date each check: these terms change often.
Define what data never goes in. The default rule: nothing that identifies clients, opposing parties, witnesses, employees or relatives; no special categories under GDPR Art. 9 (health, trade union membership, beliefs, sex life, biometric data…) and no criminal data; no passwords or credentials; no non-public information. For a payroll or tax advisory firm that includes payslips, tax returns, ID numbers, IBANs and social security numbers. Even with a processor agreement, data minimisation still applies (Art. 5(1)(c)): the AI gets only what the task needs.
Anonymise or pseudonymise before using AI. This is what makes the previous point workable: the text can be used with AI once the personal data is removed. There are two levels. If no one can re-identify the people by reasonable means, the text is no longer personal data (Recital 26). If a table is kept to reverse the replacement, it's pseudonymisation (Art. 4(5)): the text is still personal data for whoever holds the table, but the AI only sees labels, and it's one of the measures Art. 32(1)(a) names explicitly. What matters is that it happens on the user's own computer: if anonymising means uploading the document to another cloud service, the problem just moves to a different provider. The legal difference is explained in anonymisation vs. pseudonymisation.
Human review of what the AI returns. Models get things wrong with confidence: they invent rulings, cite repealed laws, miscalculate. Nothing the AI produces goes to a client, a court or a public authority unless the person who signs it has reviewed it and owns it. The AEPD puts it this way in its own policy: AI-generated content may not be included in texts with legal effects without human review and validation.
Reflect it in the record of processing activities (GDPR Art. 30 and LOPDGDD Art. 31). If personal data is used with the tool in any processing activity, the record must list the provider as processor, the transfers and the retention periods. The exemption for organisations with fewer than 250 people doesn't apply if processing isn't occasional or includes special categories or criminal data (Art. 30(5)), which is the norm in law firms and payroll advisers. If the rule is "no personal data" and it's followed, document that decision.
Decide whether a DPIA is needed (Art. 35). It's mandatory when a high risk is likely. The AEPD's list (Art. 35(4)) says one is needed in most cases where processing meets two or more of its criteria, one of which is using new technologies or an innovative use of established ones. At the other end, Recital 91 says processing of client data by a single lawyer shouldn't be considered large scale, nor the DPIA mandatory. A small firm applying a "no personal data" rule is in a very different position from a large employment advisory firm running payroll through AI. Whatever you conclude, write it down.
Training and AI literacy. Article 4 of the AI Act (Regulation (EU) 2024/1689) has applied since 2 February 2025 to "deployers": anyone using an AI system under their authority, except in a personal non-professional activity. A firm using ChatGPT for work is one. It calls for measures on staff AI literacy, taking into account their knowledge and the context of use. In practice: a session on what data never goes in, how to anonymise, how to review and whom to alert if something goes wrong, with a record of who attended.
A written, signed policy. All of the above fits in two or three pages: authorised tools and accounts, prohibited data, prior anonymisation, output review, training, incidents and review. Everyone reads and signs it, including interns and administrative staff. There's a template below.
Periodic review and incidents. Tools change names, models and terms. Review the policy every six months and whenever a tool is authorised or a plan changes. And define what happens if someone pastes client data where they shouldn't: they report it straight away, without deleting anything, and the DPO assesses whether it's a personal data breach that must be notified to the AEPD (GDPR Art. 33).

No automatic detection of personal data is infallible, and a case can be recognised from its facts even without names (a job title, a date, a place). That's why the policy must say the person reviews the anonymised text before pasting it: the tool helps, it doesn't replace that step.

In a law firm, professional secrecy is a separate track

Lawyers have an extra layer. The General Statute of the Spanish Legal Profession (Royal Decree 135/2021) imposes the duty and right to keep secret the facts and information learned through professional practice (Art. 21.1). It covers all facts, communications, data, information, documents and proposals (Art. 22.1), the lawyer must make collaborators respect it (Art. 22.4), and it survives the end of the engagement (Art. 22.5).

A processor agreement makes the processing lawful under the GDPR, but it doesn't change the fact that the case file is in a third party's hands. That's why in a law firm the "no identifiable data" rule isn't just minimisation: it's the most direct way not to compromise secrecy. For payroll and tax advisers, the equivalent is the duty of confidentiality in LOPDGDD Art. 5, which binds everyone involved in the processing and continues after the relationship ends. More in AI for lawyers without breaking professional secrecy.

The template: AI use policy in Word

So you don't have to start from scratch with every client, we turned this checklist into an internal policy ready to adapt: purpose and scope, authorised tools, what never goes in, prior anonymisation, use of outputs, accounts and settings, training, errors and incidents, record and review, non-compliance, a five-question annex ("before pasting text into an AI") and a sign-off sheet. The bracketed gaps (tools, person in charge, reporting channel) are yours to fill in. The template is in Spanish, since it's written for organisations in Spain.

AI use policy template (Word, editable, free, in Spanish). Use it and share it with your clients; review it against the specific case before approving it.
Download the template (.docx)

Where a local tool fits in that policy

The rule "AI is allowed, but without personal data" needs a practical way to be followed, or it ends up being skipped. Anonimizar is a desktop app built for that gap:

It removes the data on the user's computer. It detects names, ID numbers, addresses, phone numbers, bank accounts and other data, and replaces them with consistent labels (PERSONA_01, DNI_01). The document isn't uploaded anywhere: no cloud, no account, no telemetry.
With human review. It flags each replacement for review before exporting, and lets you add or remove detections by hand.
Irreversible by default, reversible if you choose. By default it keeps no table that could undo the replacement. If the user turns on the map, they can re-hydrate the AI's answer with the real data on their own machine; in that case the result is pseudonymisation and the map is a confidential file kept separately.

Two points a DPO will want stated plainly. Without the map, the replacement can't be reversed from the tool, but whether the text is anonymous in the sense of Recital 26 also depends on context, and that's for a person to judge. And if personal data still reaches the AI, the processor agreement with that provider is still required: the tool reduces what gets there; it doesn't replace those safeguards.

For the technical assessment (where processing happens, what network connections it makes, how licences and updates are verified, and the mapping to GDPR articles) there's the security dossier for DPOs (in Spanish, downloadable as PDF). And if you're a consultancy or external DPO and want to recommend it to your clients, see the partner programme.

Frequently asked questions

Can you use ChatGPT and comply with the GDPR?

Yes, with conditions: a business account and plan, a processor agreement, a check of international transfers and of whether the provider trains on the data, clear rules on what data never goes in, and human review of outputs. The simplest route is for it not to receive personal data at all: anonymising first removes most of the problems.

Is turning off training on a personal account enough?

No. It stops those conversations being used to train models, but it doesn't create a processor agreement between the organisation and the provider or give the organisation control over the account. For work with client information, use a corporate account.

Is Copilot safer than ChatGPT for GDPR purposes?

It depends less on the brand than on the plan, the account and the contract. Copilot with the organisation's work account falls under Microsoft's DPA; a ChatGPT business plan has its own. In both cases you need to check what's left out (web searches, connectors, third-party models) and where data is processed.

Do you need a DPIA to use generative AI?

Not always. It's mandatory when a high risk is likely; the AEPD's list says that's the case in most situations meeting two or more of its criteria, including the use of new technologies. If the policy keeps personal data away from the AI, the analysis changes a lot. Either way, document your reasoning.

Is AI training mandatory?

Article 4 of the AI Act requires anyone using AI systems in a professional activity to take measures to support their staff's AI literacy. A short, recorded training session on the internal policy is the practical way to cover it.

If I anonymise with a tool, is the text free of personal data?

Not necessarily. If a table is kept to reverse the replacement, it's pseudonymisation and still personal data. Without a table, it depends on no one being able to re-identify the people by reasonable means, including from context. That's why human review is part of the method.

Use AI without client data leaving the computer

Anonimizar detects the personal data in a document, lets you review each item and replaces it with labels before the text goes to an AI. Irreversible by default; if you keep the map, you re-hydrate the answer with the real data on your own machine. 100% local, no cloud, no telemetry.

Try it free · 15 files

To go deeper: data protection in a law firm (GDPR and LOPDGDD), using ChatGPT with client data, anonymisation vs. pseudonymisation and AI for lawyers without breaking professional secrecy.

This article is informational and does not constitute legal advice. The references to the GDPR, the LOPDGDD, the AI Act and the General Statute of the Spanish Legal Profession, as well as OpenAI's and Microsoft's terms, are a summary as of 28 October 2026: provider terms change often, so check the current text, the AEPD's guidance and, for a specific case, consult a data protection professional. The template is a starting point and must be adapted to each organisation.