Si usas Claude o ChatGPT con datos de clientes, tu hoja de encargo debe decirlo: qué herramienta, en qué posición, dónde están los datos y con qué garantía.
Una skill es una habilidad que le enseñas una vez a la IA para que haga siempre igual algo que tú ya haces de una manera concreta.
Yo le di a Claude dos o tres hojas de encargo mías, con su maquetación, su logo y mis cláusulas. Y le pedí que montara una skill con ellas.
Desde entonces solo tengo que darle los datos del cliente y los honorarios.
Para el vídeo le pedí una con un cliente inventado: un despido nulo, cinco mil euros de honorarios más IGIC, una provisión de fondos y el resto a pagar antes del juicio. Se lo dicté de viva voz.
Un minuto y cincuenta y cinco segundos después, la tenía.
Pero lo que más me gustó no fue la velocidad.
Fue que añadió tres cosas que yo no le había pedido. Y me avisó, por si prefería quitarlas:
Avenencia anticipada: si el asunto termina con un acuerdo antes del juicio, lo pendiente se paga en la fecha de ese acuerdo.
Exclusiones de cobertura: el recurso de suplicación, el de casación para la unificación de doctrina y la ejecución quedan fuera y se presupuestan aparte.
Plazo de caducidad: el recordatorio al cliente de los veinte días hábiles para accionar frente al despido, en los que no se cuentan sábados, domingos ni festivos en la sede del órgano (art. 103.1 LRJS).
Las tres, bien traídas.
Y las tres, avisadas. Que es lo que tiene que hacer una buena herramienta: proponer, no colar.
Aquí lo tienes, en directo:
2. Lo que tiene que llevar una hoja de encargo
Todo encargo profesional, sea un despido ante la Sección de lo Social del Tribunal de Instancia, una actuación ante la Inspección de Trabajo o una reclamación al INSS, debería ir con su hoja de encargo.
¿Para qué?
Para que quede claro, por escrito y firmado, lo que luego siempre se discute.
Cuánto cuesta. Qué incluye. Qué NO incluye. Cuándo se paga. Qué tiene que aportar el cliente.
La mía tiene trece cláusulas:
Objeto del encargo.
Honorarios.
Provisión de fondos.
Forma y plazos de pago.
Cobertura del servicio.
Gastos no incluidos.
Aportación de documentación y veracidad.
Autorización para el uso del certificado digital.
Autorización para el uso de herramientas de inteligencia artificial y transferencia internacional de datos.
Protección de datos.
Duración y finalización del encargo.
Aceptación.
Firmas.
Las dos que casi nadie tiene son la del certificado digital y la de la IA.
Y las dos son de las que te salvan el día que algo se tuerce.
Montar una skill como la mía es del curso avanzado. Pero antes hay que saber a qué herramienta le das el expediente y en qué condiciones, y eso se ve en el curso básico de IA que empiezo el 9 de noviembre.
En la sesión 3, «No le des el expediente a cualquiera», vemos qué datos no deben salir nunca de tu despacho y qué pasa con las IA gratuitas. Es justo el fondo de la cláusula 9.
Y en la 4, «Claude y ChatGPT, cara a cara», sales con las dos instaladas en tu ordenador y configuradas para tu despacho.
Curso básico de IA para el despacho laboral
La IA no te va a quitar el trabajo. Te va a quitar el caos.
Diez sesiones de hora y media, en directo y desde cero, para trabajar con Claude y ChatGPT en el despacho: por qué la IA se equivoca, a cuál no darle nunca el expediente, cómo instruirla, un proyecto por asunto y cómo verificar normas, sentencias y cifras antes de firmar. Después llega el curso avanzado, para convertirla en tu propio sistema.
Primera convocatoria: del 9 al 30 de noviembre, lunes, martes y jueves por la tarde, por Zoom. Treinta plazas.
390 € + impuestos · grupo de 30 · sesiones grabadas · ¿Aún no? Lista prioritaria
3. Por qué la IA tiene que estar en tu hoja de encargo
Vamos al grano.
Cuando un cliente te entrega su documentación, tú recoges sus datos personales. Y en ese momento el art. 13 del RGPD te obliga a informarle de una serie de cosas.
Entre ellas, dos que nos importan mucho aquí:
Los destinatarios o las categorías de destinatarios de sus datos (art. 13.1.e).
Si vas a transferirlos a un tercer país y con qué garantía: una decisión de adecuación de la Comisión o las garantías adecuadas que correspondan, y cómo obtener una copia de ellas (art. 13.1.f).
Ahora piénsalo.
Si pegas su nómina, su carta de despido o su parte de baja en Claude o en ChatGPT, el proveedor de esa IA recibe sus datos. Es un destinatario.
Y si sus servidores están en Estados Unidos, hay transferencia internacional.
¿Se lo has dicho?
Si tu hoja de encargo y tu información de protección de datos no lo mencionan, la respuesta es no.
La LOPDGDD te permite dar esa información por capas: una información básica y un enlace o medio para consultar el resto (art. 11). Pero lo básico tiene que estar. Y la hoja de encargo, que el cliente lee y firma al empezar, es el sitio perfecto.
Hay un tercer motivo, y en nuestro sector pesa mucho.
Los partes de baja, las resoluciones de incapacidad y los informes médicos son datos de salud, una categoría especial del art. 9 RGPD. Para tratarlos necesitas una de las excepciones del art. 9.2. En un encargo profesional, la natural es la de la letra f): el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones. Hay quien añade, además, el consentimiento explícito del cliente (art. 9.2.a). Yo lo hago.
Y un apunte para cuando tu cliente es una empresa: los datos de sus personas trabajadoras no te los da el propio interesado. Ahí la obligación de informarles, si actúas como responsable del tratamiento, es la del art. 14 RGPD. Y si actúas como encargado de tu cliente, necesitas su instrucción documentada para usar estas herramientas, también respecto de la transferencia internacional (art. 28.3.a RGPD), y su autorización previa por escrito para recurrir a otro encargado (art. 28.2 RGPD). Por eso conviene que vuestro contrato también diga que usas estas herramientas.
4. La pregunta que casi nadie se hace: ¿encargado o responsable?
Esto es lo que más me costó entender. Y lo que más diferencia una cláusula seria de una de relleno.
Cuando contratas un servicio que trata datos por tu cuenta, el proveedor es un encargado del tratamiento. Trata los datos siguiendo tus instrucciones y con un contrato con el contenido del art. 28.3 RGPD. En las herramientas profesionales ese contrato suele llamarse acuerdo de tratamiento de datos, o DPA.
Pero no siempre es así.
Mira lo que dice hoy la política de privacidad de Anthropic, la empresa que hay detrás de Claude, en vigor desde el 10 de septiembre de 2026:
Para los usuarios del Espacio Económico Europeo, el responsable del tratamiento de sus datos personales es Anthropic Ireland, Limited.
Esa política no se aplica al contenido que Anthropic trata por cuenta de los clientes de sus ofertas para empresas. Ese contenido se rige por los contratos con esos clientes.
Traducido a nuestro idioma.
Si usas Claude con un plan de empresa, Anthropic trata los datos por tu cuenta: es tu encargado.
Si lo usas con una suscripción individual, Anthropic los trata como responsable independiente, con su propia política de privacidad.
Y eso cambia mucho las cosas.
Porque entonces ya no es un encargo. Es una comunicación de datos a otra empresa, que decide por sí misma qué hace con ellos dentro de lo que dice su política: cuánto tiempo los conserva, por ejemplo. Y esa misma política dice que puede usar tus conversaciones para entrenar sus modelos salvo que te excluyas en la configuración, y que la exclusión no alcanza a las conversaciones que se marquen para revisión de seguridad.
¿Te suena esto a algo que se pueda hacer sin decírselo al cliente?
A mí no.
Por eso una cláusula seria lo cuenta tal cual: qué herramienta se usa, con qué plan, en qué posición actúa cada proveedor y qué implica.
Y por eso, si puedes, la opción más limpia es usar las versiones de empresa, en las que el proveedor es tu encargado y firma el contrato del art. 28. Con ChatGPT pasa lo mismo: en sus planes de empresa, OpenAI Ireland Limited actúa como encargado del tratamiento en virtud de su acuerdo de tratamiento de datos.
Ojo: esto lo comprobé contra la documentación pública de cada proveedor. Esa documentación cambia. Revísala tú con la de los tuyos antes de redactar la tuya, y vuelve a revisarla de vez en cuando.
5. Por dónde viajan los datos, y con qué garantía
✦ Imagen generada con inteligencia artificial
Aunque la empresa con la que te relacionas esté en Irlanda, los servidores en los que se procesa lo que escribes están, principalmente, en Estados Unidos.
Eso es una transferencia internacional. Y solo es lícita con alguna de las garantías del Capítulo V del RGPD.
Las dos que vas a ver en la práctica:
Una decisión de adecuación. Para Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU. (Decisión de Ejecución (UE) 2023/1795). Pero solo cubre a las empresas adheridas a él. Si tu proveedor no lo invoca en su documentación, no lo pongas en tu cláusula.
Las cláusulas contractuales tipo aprobadas por la Comisión Europea (art. 46.2.c RGPD y Decisión de Ejecución (UE) 2021/914). Es la vía que declaran hoy en su documentación, por ejemplo, Anthropic y OpenAI.
¿Y el consentimiento del cliente a la transferencia, el del art. 49.1.a RGPD?
Cuidado aquí, que es donde más se patina.
Esa excepción solo funciona en ausencia de una decisión de adecuación o de garantías adecuadas del art. 46. Lo dice el propio art. 49.1. Y el Comité Europeo de Protección de Datos insiste en que esas excepciones se interpretan de forma restrictiva y en que solo se recurre a ellas cuando faltan los mecanismos de los arts. 45 y 46 (Directrices 2/2018).
Así que, si tu proveedor ampara la transferencia en las cláusulas contractuales tipo, no metas el art. 49.1.a «por si acaso». No suma: confunde.
Lo que sí tienes que hacer es explicarle al cliente la garantía que usa cada proveedor, dónde puede obtener una copia de ella y los riesgos: que en Estados Unidos rige otra normativa de protección de datos, que sus autoridades pueden acceder a los datos en los supuestos que prevé su legislación y que ejercer derechos frente a una empresa de fuera de la Unión puede ser más complicado.
Contarle esto al cliente no le asusta.
Le trata como a un adulto.
6. Qué tiene que decir la cláusula: ocho puntos
Si tuviera que resumirlo en una lista para pegar en la pantalla, sería esta:
1. Qué herramientas usas y de qué empresa son.
2. Con qué plan y en qué posición actúa cada proveedor: encargado del tratamiento, con contrato, o responsable independiente, con su propia política.
3. Para qué las usas: analizar la documentación, investigar normativa y jurisprudencia, preparar y revisar escritos. Finalidad concreta, no «para lo que sea».
4. Qué datos van a pasar por ellas, incluidos los de salud, y con qué base: la defensa de reclamaciones (art. 9.2.f) y, si lo pides, el consentimiento explícito (art. 9.2.a).
5. Dónde se tratan y con qué garantía: servidores fuera del Espacio Económico Europeo y la garantía que declara cada proveedor.
6. Los riesgos de la transferencia, contados sin dramatismo y sin esconderlos.
7. Tus garantías: la IA no decide, todo lo revisa y valida el profesional, solo se incorporan los datos necesarios, el entrenamiento está desactivado (con las salvedades que declare cada proveedor) y todo queda bajo el secreto profesional.
8. Cómo retirar el consentimiento y qué pasa entonces: el encargo sigue, pero sin esas herramientas.
Y una cosa que se olvida siempre: coherencia.
Si en la cláusula de IA dices que los datos van a un proveedor de IA, la información de protección de datos del final no puede decir «no se cederán datos a terceros». Y la aceptación tiene que mencionar expresamente la autorización de la IA.
Una cláusula buena y un pie de página que la contradice valen menos que ninguna.
7. Llévate la cláusula completa
La lista de arriba es el esqueleto. Pero la cláusula entera tiene siete apartados, dos variantes según tu proveedor actúe como encargado o como responsable independiente, y dos textos más de tu hoja que tienen que cuadrar con ella.
Te la regalo. En Word, para que la edites, y en PDF.
Los huecos que tienes que rellenar van resaltados en amarillo, y lleva una guía de ocho pasos para adaptarla sin meter la pata.
Gratis, a cambio de tu correo
Llévate la cláusula completa, en Word
Los siete apartados, con las dos variantes según tu proveedor de IA actúe como encargado o como responsable independiente, los dos textos de tu hoja que tienen que cuadrar con ella y una guía de ocho pasos para adaptarla. En Word, para que la edites, y en PDF.
Los huecos que tienes que rellenar van resaltados en amarillo. Y sí: hay que adaptarla.
Descarga inmediata · Sin coste · Te la mando también al correo
Lo que no te recomiendo nunca es la versión de una línea: «El cliente autoriza el uso de herramientas de inteligencia artificial».
Eso no informa de nada.
Y una autorización sin información es papel mojado.
8. Y el correo al cliente, en dos minutos
La segunda parte del vídeo la grabé en directo.
Con la hoja hecha, le pedí a Claude que se la mandara al cliente. Bueno, que la dejara preparada: todavía no tenía su dirección de correo.
Le dicté lo que quería decir. Que le adjuntábamos la hoja de encargo, que la leyera con calma, que nos planteara cualquier duda, que si estaba conforme nos la devolviera firmada y que no se olvidara de mandarnos la documentación que ya le habíamos pedido.
Usó mi conector de Outlook. Redactó el correo con mi formato y mi firma, lo dejó en borradores sin destinatario y le adjuntó el PDF.
Y aquí viene lo bonito: el PDF no estaba guardado en ningún sitio. Así que se buscó la vida. Lo descargó en la carpeta de descargas y desde ahí lo adjuntó.
Dos minutos.
Hoja de encargo y correo, en menos de cuatro.
Son tareas pequeñas. Administrativas. De las que no se facturan.
Y son justo las que te comen el día.
9. ¿Te obliga el Reglamento de IA a avisar al cliente?
Me lo preguntan mucho, así que lo dejo claro.
Las obligaciones de transparencia del Reglamento de Inteligencia Artificial (art. 50 del Reglamento (UE) 2024/1689) se refieren a otros supuestos: sistemas diseñados para interactuar directamente con personas, contenido sintético que hay que marcar, reconocimiento de emociones o ultrasuplantaciones. No hay en ese artículo un deber específico de decirle a tu cliente que te has ayudado de una IA para preparar su escrito.
Pero eso no te libra de nada.
Si por la IA pasan datos personales de tu cliente, el deber de informarle viene del RGPD. Y ese ya lo tienes, hoy, sin esperar a ninguna norma nueva.
Además, el Reglamento de IA sí te pide otra cosa: que adoptes medidas para apoyar la alfabetización en IA de quienes la usan en tu despacho (art. 4). O sea, que sepas lo que estás haciendo.
Que es, en el fondo, de lo que va esta cláusula.
Glosario
Hoja de encargo: documento que firman el profesional y el cliente al empezar un asunto, con el objeto, los honorarios, la cobertura, la forma de pago y las demás condiciones del servicio.
Skill: instrucciones que se le dan a la IA una sola vez para que haga siempre igual una tarea repetitiva, con un formato y unas reglas concretas.
Encargado del tratamiento: quien trata datos personales por cuenta del responsable para prestarle un servicio, siguiendo sus instrucciones y con el contrato del art. 28.3 RGPD.
Responsable independiente: entidad que decide por sí misma los fines y los medios del tratamiento. Si le pasas datos de tu cliente, no te está prestando un encargo: le estás comunicando esos datos.
Acuerdo de tratamiento de datos (DPA): nombre habitual del contrato de encargo en las herramientas profesionales.
Transferencia internacional: envío de datos personales fuera del Espacio Económico Europeo. Solo es lícita con las garantías del Capítulo V del RGPD.
Cláusulas contractuales tipo: modelos de contrato aprobados por la Comisión Europea que permiten transferir datos a países sin decisión de adecuación (art. 46.2.c RGPD).
Consentimiento explícito: consentimiento dado mediante una declaración expresa. Es una de las bases para tratar datos de salud (art. 9.2.a) y una de las excepciones para transferir datos (art. 49.1.a).
Avenencia: acuerdo entre las partes que pone fin al conflicto, ya sea en conciliación o antes del juicio.
Caducidad: plazo cuyo transcurso extingue la acción sin posibilidad de interrupción. En el despido son veinte días hábiles (art. 103.1 LRJS).
¿Es obligatorio incluir una cláusula de IA en la hoja de encargo?
Ninguna norma exige una cláusula con ese nombre. Lo que sí es obligatorio es informar al cliente, cuando se recogen sus datos, de los destinatarios y de las transferencias internacionales (art. 13.1.e y f RGPD). Si usas herramientas de IA con sus datos, el proveedor es un destinatario y, si sus servidores están fuera del Espacio Económico Europeo, hay transferencia. La hoja de encargo es el lugar más natural para dar esa información, completada con tu política de privacidad.
¿Necesito el consentimiento del cliente para usar la IA con sus datos?
Depende de cómo uses la herramienta. Si el proveedor actúa como tu encargado del tratamiento, con contrato, los datos se tratan para ejecutar el encargo y, los de salud, para la defensa de reclamaciones (art. 9.2.f RGPD); la información es obligatoria, pero el consentimiento no es la base. Si el proveedor actúa como responsable independiente, como ocurre con las suscripciones individuales de Claude, le estás comunicando los datos a un tercero, y la autorización expresa del cliente es la vía más segura.
¿Qué hago si el cliente no acepta que use la IA?
Seguir con el encargo sin esas herramientas, o usarlas solo con documentación anonimizada de verdad. Conviene dejarlo previsto en la propia cláusula: la retirada de la autorización no afecta al tratamiento anterior y el encargo continúa sin el uso de la IA.
¿Claude y ChatGPT son encargados del tratamiento?
Depende del plan. Según su política de privacidad en vigor desde el 10 de septiembre de 2026, para los usuarios europeos el responsable es Anthropic Ireland, Limited, y esa política no se aplica al contenido que trata por cuenta de sus clientes de empresa. Es decir: con una suscripción individual, Anthropic actúa como responsable independiente; con un plan de empresa, trata los datos por cuenta del cliente. En los planes de empresa de ChatGPT, OpenAI Ireland Limited actúa como encargado en virtud de su acuerdo de tratamiento de datos. Comprueba siempre la documentación vigente de tu plan.
¿Puedo meter datos de salud de mis clientes en la IA?
Puedes, pero con más cuidado. Son una categoría especial (art. 9 RGPD) y su tratamiento tiene que apoyarse en una de las excepciones del art. 9.2: en un encargo profesional, la defensa de reclamaciones y, si lo recabas, el consentimiento explícito. Incorpora solo lo necesario para cada tarea y, cuando el diagnóstico no aporte nada, anonimízalo.
¿Basta con el consentimiento del cliente para la transferencia a Estados Unidos?
No es la vía. El consentimiento explícito es una de las excepciones del art. 49.1 RGPD, y esas excepciones solo se aplican en ausencia de una decisión de adecuación o de garantías adecuadas del art. 46; el Comité Europeo de Protección de Datos exige además interpretarlas de forma restrictiva. La base es la garantía que use el proveedor: una decisión de adecuación, si está adherido al Marco de Privacidad de Datos UE-EE. UU., o las cláusulas contractuales tipo de la Comisión. Lo que debes hacer es informar al cliente de esa garantía, de cómo obtener una copia y de los riesgos.
¿Me obliga el Reglamento de IA a decirle al cliente que uso IA?
No hay en el art. 50 del Reglamento de IA un deber específico de avisar al cliente de que un escrito se ha preparado con ayuda de una IA: sus obligaciones de transparencia se refieren a otros supuestos. El deber de informar nace del RGPD en cuanto pasan datos personales por la herramienta. Y el art. 4 del Reglamento de IA sí te pide adoptar medidas para apoyar la alfabetización en IA de quienes la usan en el despacho.
Fuentes y referencias
Reglamento (UE) 2016/679, General de Protección de Datos (arts. 9, 13, 28, 46 y 49). EUR-Lex
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (art. 11). BOE-A-2018-16673
Ley 36/2011, de 10 de octubre, reguladora de la jurisdicción social (art. 103.1). BOE-A-2011-15936
Reglamento (UE) 2024/1689, de Inteligencia Artificial (arts. 4 y 50), en la redacción dada por el Reglamento (UE) 2026/1744. EUR-Lex
Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021, relativa a las cláusulas contractuales tipo para la transferencia de datos personales a terceros países. EUR-Lex
Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, sobre el Marco de Privacidad de Datos UE-EE. UU. EUR-Lex
Comité Europeo de Protección de Datos. Directrices 2/2018 sobre las excepciones contempladas en el artículo 49 del Reglamento 2016/679. edpb.europa.eu
Anthropic. Política de privacidad, en vigor desde el 10 de septiembre de 2026. anthropic.com
OpenAI. Acuerdo de tratamiento de datos para servicios de empresa. openai.com
Graduado Social colegiado nº 88 del Ilustre Colegio Oficial de Graduados Sociales de Lanzarote y asesor jurídico laboral en ejercicio en Áurea Laboral (Arrecife). Especialista en derecho del trabajo, Seguridad Social e inteligencia artificial aplicada al empleo. Creador de «IA para Despachos Laborales» y «El Juego de las RRLL» en YouTube.
