Una IA puede leer una resolución en segundos.
El problema aparece cuando parece entenderla.
Y el riesgo aumenta cuando, para obtener una respuesta rápida, se entrega información que nunca debió salir del expediente.
¿Es seguro subir un expediente de extranjería a una herramienta de inteligencia artificial?
No siempre. Un expediente de extranjería puede contener pasaporte, NIE, antecedentes, datos familiares, laborales, económicos, médicos o de menores. Antes de usar una IA hay que verificar la herramienta, minimizar datos, evitar documentos completos, anonimizar cuando proceda y revisar jurídicamente cualquier respuesta. La IA ayuda, pero no sustituye criterio profesional.
Este artículo ha sido elaborado con apoyo de herramientas de inteligencia artificial para su investigación y estructuración inicial, y revisado y validado por el equipo de Gestrámites, que asume la responsabilidad editorial sobre su contenido.
Por qué este tema importa en extranjería
Una persona recibe una denegación.
Hace una foto del documento.
La sube a una herramienta de inteligencia artificial.
Pregunta: “¿Qué puedo hacer?”
La respuesta llega rápido. Parece ordenada. Cita normas. Propone un recurso. Incluso calcula un plazo.
Pero puede estar equivocada.
Puede confundir un recurso de reposición con un recurso de alzada. Puede aplicar un reglamento derogado. Puede no distinguir entre justificante de presentación, comunicación de inicio, habilitación provisional y resolución expresa. Puede inventar un artículo. Puede no detectar que una notificación ya está fuera de plazo. Puede interpretar como “permiso de trabajo” un documento que solo acredita presentación.
En extranjería, ese error no es abstracto. Puede afectar al trabajo, a la residencia, a la familia, a la empresa que contrata, a una renovación o a una estrategia de recurso.
La IA puede ser útil en un despacho jurídico. Puede ayudar a resumir, ordenar, traducir, clasificar o preparar una primera estructura. Pero no convierte un expediente complejo en una consulta automática. Tampoco elimina las obligaciones de confidencialidad, protección de datos y revisión profesional.
El Reglamento europeo de IA define el sistema de IA como un sistema basado en máquina que puede generar resultados como predicciones, contenidos, recomendaciones o decisiones; también define proveedor, responsable del despliegue, finalidad prevista, datos personales, elaboración de perfiles y ultrasuplantación, entre otros conceptos. Esa terminología importa porque un despacho, una empresa o una administración pueden tener posiciones jurídicas distintas según desarrollen, pongan en servicio o utilicen una herramienta bajo su propia autoridad.
Qué datos puede contener un expediente de extranjería
Un expediente de extranjería rara vez contiene “solo papeles”.
Puede contener datos identificativos: nombre, fecha de nacimiento, nacionalidad, domicilio, pasaporte, NIE, TIE, firma, fotografía, teléfono, correo electrónico.
Puede contener datos familiares: matrimonio, pareja, hijos, dependencia económica, convivencia, tutela, guarda, menores, antecedentes de protección o situaciones de vulnerabilidad.
Puede contener datos laborales y económicos: contrato, nóminas, vida laboral, medios económicos, informes de empresa, alta en Seguridad Social, actividad profesional, ayudas o prestaciones.
Puede contener datos especialmente delicados: salud, discapacidad, violencia, protección internacional, razones humanitarias, antecedentes penales, sanciones, informes sociales, empadronamientos históricos, movimientos de entrada y salida, resoluciones previas o datos de terceros.
Por eso, subir “el expediente completo” a una herramienta no aprobada no es una práctica prudente. El RGPD ya exigía antes del Reglamento de IA principios como minimización, exactitud, integridad, confidencialidad y responsabilidad proactiva; la AEPD ha insistido en que los tratamientos con IA deben analizarse desde el diseño y con gestión del riesgo, minimización, exactitud y evaluación de impacto cuando proceda.
La LOPDGDD recuerda además el deber de confidencialidad de responsables, encargados y personas que intervengan en cualquier fase del tratamiento, complementario del secreto profesional cuando resulte aplicable.
Una resolución de extranjería no es un documento neutro
Una resolución no solo dice “concedido” o “denegado”.
Puede contener hechos, fundamentos jurídicos, fechas, advertencias, pie de recursos, órgano competente, notificación, plazo, vía administrativa, antecedentes, valoración de documentos y, a veces, errores administrativos que deben detectarse.
Una IA puede resumirla. Pero resumir no es defender.
Puede decir que “procede recurso” sin identificar bien cuál. Puede señalar un plazo sin verificar la fecha de notificación. Puede no advertir que la persona recibió antes un requerimiento. Puede no distinguir entre silencio administrativo y resolución expresa. Puede no valorar si conviene recurrir, volver a presentar o cambiar de vía.
En un expediente de extranjería, la pregunta no es solo qué dice el documento. Es qué efectos produce en esa persona concreta.
Privacidad, confidencialidad y secreto profesional
Cuando un despacho utiliza IA con documentación de clientes, no basta con pensar en productividad.
Debe preguntarse qué datos se introducen, para qué finalidad, en qué herramienta, con qué contrato, con qué garantías, si hay conservación de información, si puede haber entrenamiento del modelo, si existen transferencias internacionales y quién revisa el resultado.
La AEPD, en su decálogo sobre uso responsable de IA, aconseja no compartir con herramientas de IA datos personales como nombre completo, DNI/NIE, imágenes de personas o información delicada, y recomienda usar casos ficticios cuando sea posible para evitar identificación.
En extranjería esto exige especial rigor. No debería introducirse sin control un pasaporte completo, una TIE, una firma, un certificado de antecedentes, un informe médico, un documento de protección internacional, una resolución con códigos de verificación o información relativa a menores.
La confidencialidad no se protege con buenas intenciones. Se protege con protocolo.
Minimización: por qué no debe subirse el expediente completo
La minimización significa usar solo los datos necesarios para la finalidad concreta.
Si la finalidad es estudiar el tono de un escrito, no hace falta introducir datos identificativos. Si la finalidad es explicar en lenguaje claro una parte de una resolución, puede bastar con un fragmento anonimizado. Si la finalidad es ordenar una cronología, quizá no sea necesario incluir pasaporte, firma, foto, teléfono o dirección.
La IA tiende a invitar al exceso: “sube todo y lo resumo”.
Ese hábito es peligroso.
En extranjería, el exceso documental puede revelar más de lo necesario: situación administrativa, domicilio, familia, empleo, estado de salud, vulnerabilidad, nacionalidad, menores o antecedentes. Una buena práctica profesional debería empezar por una pregunta simple: ¿qué necesita saber realmente la herramienta para cumplir esta tarea?
La AEPD ha analizado específicamente la calidad, exactitud y minimización de datos personales en tratamientos con sistemas de IA y ofrece criterios para aplicar los principios del RGPD en estos entornos.
Anonimización y riesgo de reidentificación
Anonimizar no es solo borrar el nombre.
En un expediente de extranjería, una combinación de nacionalidad, municipio, fecha de entrada, nombre de empleador, número de expediente, parentesco, país de origen y situación familiar puede permitir identificar a una persona aunque se haya borrado el pasaporte.
Por eso conviene diferenciar:
anonimización real, cuando la persona ya no puede ser identificada razonablemente;
seudonimización, cuando se sustituyen identificadores pero sigue existiendo posibilidad de reidentificación;
y simple ocultación parcial, que muchas veces no basta.
En la práctica profesional, lo prudente es trabajar con versiones reducidas del caso: iniciales ficticias, fechas aproximadas cuando no sean determinantes, supresión de CSV, ocultación de números de documento y eliminación de datos de terceros que no aportan nada a la consulta.
Exactitud: el dato de entrada y la respuesta de salida
Una IA puede equivocarse porque el dato de entrada está mal.
También puede equivocarse aunque el dato de entrada esté bien.
La AEPD ha señalado que en tratamientos con IA debe evaluarse la exactitud de los datos de entrada, porque los datos inexactos pueden introducir sesgos y afectar al comportamiento del algoritmo y del tratamiento.
En extranjería esto es especialmente visible.
Si se introduce mal la fecha de notificación, el plazo puede salir mal.
Si se dice “renovación” cuando en realidad es “modificación”, la estrategia cambia.
Si se llama “arraigo social” a un supuesto de “arraigo sociolaboral”, la prueba requerida puede ser distinta.
Si se confunde comunicación de inicio con resolución favorable, el resultado puede ser jurídicamente peligroso.
La exactitud no afecta solo a datos. Afecta también a inferencias.
Una inferencia es lo que el sistema deduce. Y una deducción convincente puede ser falsa.
Alucinaciones jurídicas: cuando la respuesta parece seria, pero no lo es
La IA puede producir alucinaciones jurídicas.
Puede inventar una instrucción.
Puede citar artículos reales para un supuesto equivocado.
Puede mezclar el Reglamento anterior con el Reglamento vigente.
Puede atribuir a una sentencia un alcance que no tiene.
Puede afirmar que un silencio administrativo concede algo cuando no es así.
Puede confundir la obligación de transparencia del artículo 50 del Reglamento de IA con una obligación general de etiquetar cualquier texto en el que se haya usado IA.
Puede afirmar que todo uso de IA en extranjería es de alto riesgo, cuando el Reglamento exige analizar finalidad, operador, caso de uso e influencia en la decisión.
El problema no es solo la invención. Es la apariencia de seguridad.
Por eso la revisión humana no puede ser una lectura rápida. Debe ser revisión jurídica.
Proveedor, responsable del despliegue y responsabilidad editorial
El Reglamento de IA distingue entre varios sujetos.
El proveedor desarrolla o hace desarrollar un sistema de IA y lo introduce en el mercado o lo pone en servicio bajo su nombre o marca. El responsable del despliegue utiliza un sistema de IA bajo su propia autoridad, salvo actividad personal no profesional.
Un despacho que utiliza una herramienta comercial de IA para resumir documentos normalmente no será el proveedor de esa herramienta. Pero puede ser responsable del despliegue respecto del uso que hace en su actividad profesional.
Además, si el despacho publica contenido jurídico apoyado en IA, aparece otra dimensión: la responsabilidad editorial. No basta con decir “lo hizo la IA”. La decisión de publicar, corregir, validar y asumir el contenido sigue siendo humana y profesional.
Las directrices de la Comisión sobre el artículo 50 distinguen la revisión humana real del control meramente formal. La revisión humana implica examen deliberado del contenido por personas con conocimiento y juicio profesional; una corrección ortográfica o gramatical no basta.
Qué sistemas de migración, asilo y fronteras aparecen en el Anexo III
El Anexo III del Reglamento de IA incluye determinados sistemas de IA de alto riesgo en migración, asilo y gestión del control fronterizo.
Aparecen, entre otros, sistemas destinados a ser utilizados por autoridades públicas competentes, o en su nombre, para evaluar riesgos relacionados con seguridad, salud o migración irregular; para ayudar a examinar solicitudes de asilo, visado o permisos de residencia; para valorar la fiabilidad de pruebas; o para detectar, reconocer o identificar personas físicas en contextos de migración, asilo o control fronterizo, con excepción de la verificación de documentos de viaje.
Este punto debe explicarse con cuidado.
Que migración y asilo aparezcan en el Anexo III no significa que cualquier herramienta usada por un despacho de extranjería sea automáticamente de alto riesgo.
No es lo mismo una herramienta utilizada por una autoridad para ayudar a examinar solicitudes de residencia que una herramienta usada por un despacho para ordenar una cronología, resumir una resolución o preparar un borrador interno revisado por una abogada.
Por qué no toda IA utilizada por un despacho es de alto riesgo
El artículo 6 considera de alto riesgo los sistemas contemplados en el Anexo III, pero también prevé que algunos sistemas incluidos en esos ámbitos pueden no ser de alto riesgo si no plantean un riesgo importante para salud, seguridad o derechos fundamentales, también por no influir sustancialmente en el resultado de la toma de decisiones.
El propio artículo 6 menciona supuestos como tareas de procedimiento limitadas, mejora de una actividad humana previamente realizada, detección de patrones sin sustituir ni influir en la valoración humana previa, o tareas preparatorias para una evaluación. Pero también advierte que los sistemas del Anexo III se consideran siempre de alto riesgo cuando efectúan elaboración de perfiles de personas físicas.
La clasificación exige mirar el uso real.
Una herramienta auxiliar para resumir un documento anonimizado y revisado por el equipo no tiene el mismo perfil de riesgo que un sistema que puntúa expedientes, predice posibilidades de concesión, clasifica solicitantes o recomienda decisiones que afectan a permisos de residencia.
El riesgo aumenta cuando la herramienta influye materialmente en la decisión, evalúa fiabilidad de pruebas, perfila personas, ordena expedientes por prioridad, sugiere denegaciones o sustituye la valoración profesional.
Qué exige el artículo 50 desde el 2 de agosto de 2026
El artículo 50 regula obligaciones de transparencia para determinados sistemas de IA.
No dice que todo uso de IA deba etiquetarse.
Tampoco permite ocultar usos que puedan inducir a error.
Los proveedores de sistemas de IA destinados a interactuar directamente con personas físicas deben diseñarlos para que las personas sepan que interactúan con IA, salvo que resulte evidente por el contexto.
Los proveedores de sistemas que generan contenido sintético de audio, imagen, vídeo o texto deben procurar que los resultados estén marcados en formato legible por máquina y sea posible detectar que han sido generados o manipulados artificialmente, con excepciones cuando el sistema desempeñe una función de apoyo a la edición estándar o no altere sustancialmente los datos de entrada o su semántica.
Los responsables del despliegue de sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas.
Quien despliegue un sistema que genere o manipule imagen, audio o vídeo constitutivo de ultrasuplantación debe hacer público que el contenido ha sido generado o manipulado artificialmente.
Y quien despliegue un sistema que genere o manipule texto publicado para informar al público sobre asuntos de interés público debe divulgar que el texto fue generado o manipulado artificialmente, salvo, entre otros supuestos, cuando el contenido haya sido sometido a revisión humana o control editorial y exista responsabilidad editorial por la publicación.
Marcado técnico, etiqueta visible y control editorial
El marcado técnico no es lo mismo que la advertencia visible.
El marcado técnico busca que el contenido pueda detectarse como generado o manipulado por IA. La advertencia visible busca que una persona pueda comprender, sin herramientas especiales, que está ante un contenido generado o manipulado artificialmente.
La Comisión explica que los responsables del despliegue no pueden apoyarse solo en el marcado legible por máquina del proveedor cuando tienen obligación de informar de forma clara a las personas expuestas a una ultrasuplantación.
Respecto a textos sobre asuntos de interés público, las directrices de la Comisión precisan que deben concurrir publicación, finalidad informativa dirigida al público y materia de interés público. También aclaran que la revisión humana debe ser sustantiva, realizada por personas con conocimiento y juicio profesional, y que el control editorial implica autoridad real para aprobar, modificar o rechazar el contenido por razones de fondo.
Esto es relevante para Gestrámites.
Un artículo jurídico elaborado con apoyo de IA, revisado por una abogada especialista, contrastado con fuentes oficiales, corregido y asumido editorialmente por el despacho no debe tratarse igual que un texto automatizado publicado sin revisión real.
Pero esa revisión debe existir de verdad. Debe ser trazable. Debe poder explicarse.
Directrices de la Comisión: qué son y qué no son
Las directrices de la Comisión sobre el artículo 50 fueron publicadas el 20 de julio de 2026 para orientar a autoridades, proveedores y responsables del despliegue en el cumplimiento de las obligaciones de transparencia, aplicables desde el 2 de agosto de 2026.
No son el Reglamento.
No modifican el Reglamento.
No sustituyen la obligación legal.
Sirven para interpretar el alcance del artículo 50 y favorecer una aplicación uniforme, proporcionada y coherente. La Comisión indica que las directrices aclaran quién debe cumplir, qué obligaciones se aplican a sistemas interactivos y cómo funcionan el marcado y etiquetado de contenido generado por IA.
Para publicar con rigor hay que separar siempre la fuente: el Reglamento establece; las directrices explican; el Código ayuda a demostrar cumplimiento; la AEPD orienta desde protección de datos; AESIA forma parte de la gobernanza española en construcción.
Código de Buenas Prácticas: voluntario, pero útil
El Código de Buenas Prácticas sobre transparencia de contenido generado por IA apoya el cumplimiento de las obligaciones de marcado y etiquetado vinculadas al artículo 50. La Comisión indica que su adhesión es voluntaria, aunque las obligaciones del artículo 50 son obligaciones legales.
El Código tiene dos secciones: una dirigida a proveedores, centrada en marcado y detección de contenido generado o manipulado; y otra dirigida a responsables del despliegue, centrada en etiquetado de deepfakes y texto generado o manipulado.
La formulación correcta es esta:
El Código es voluntario. Las obligaciones del artículo 50 no lo son.
No adherirse al Código no significa incumplir automáticamente. Pero tampoco libera de cumplir. Quien no se adhiera tendrá que demostrar por otros medios que sus medidas son adecuadas.
RGPD, AEPD y Reglamento de IA: marcos complementarios
El Reglamento de IA no sustituye al RGPD.
Un mismo uso de IA puede estar sometido al Reglamento de IA, al RGPD, a la LOPDGDD, al secreto profesional y a normas sectoriales.
Si una empresa utiliza IA para analizar documentación de una persona extranjera candidata a un puesto de trabajo, puede haber tratamiento de datos personales, posible impacto laboral, confidencialidad, minimización, exactitud y riesgo de decisiones automatizadas o asistidas.
Si un despacho utiliza IA para preparar un borrador de recurso, puede haber tratamiento de datos de cliente, deber de confidencialidad, secreto profesional, seguridad de la información, responsabilidad editorial y revisión jurídica.
La AEPD no es la fuente del artículo 50. La fuente es el Reglamento de IA. Pero la AEPD sí es fuente relevante para comprender cómo deben tratarse datos personales en sistemas de IA y cómo se aplican principios como minimización, exactitud, seguridad y responsabilidad activa.
Supervisión humana: leer no equivale a revisar
La supervisión humana no puede reducirse a “le eché un vistazo”.
En sistemas de alto riesgo, el Reglamento incorpora obligaciones específicas de supervisión humana, transparencia, gestión de riesgos, gobernanza de datos, precisión, solidez y ciberseguridad.
Aunque un despacho no esté usando un sistema clasificado como alto riesgo, la idea profesional sigue siendo aplicable: la IA no debe sustituir la valoración jurídica.
Revisar jurídicamente significa comprobar norma vigente, procedimiento correcto, plazo, competencia, vía de recurso, hechos, prueba, documentos, notificaciones, doctrina aplicable y estrategia.
Corregir redacción no es revisar jurídicamente.
Aceptar el resultado porque “suena bien” no es revisar.
Copiar una respuesta de IA en un recurso sin verificarla es un riesgo profesional.
Responsabilidad profesional y editorial
Cuando un despacho publica contenido jurídico, la responsabilidad no se desplaza a la herramienta.
La IA no colegia.
La IA no firma.
La IA no responde ante el cliente.
La IA no conoce necesariamente la última instrucción, el criterio administrativo aplicado en una oficina concreta ni el expediente completo.
Por eso una política profesional responsable debe distinguir tres planos:
el uso interno de IA para apoyo;
la revisión jurídica de resultados;
y la responsabilidad editorial o profesional por lo que se entrega o publica.
En contenidos de blog, redes o guías para clientes, el despacho debe poder explicar si hubo apoyo de IA, qué revisión se hizo, qué fuentes oficiales se consultaron y quién asumió la publicación.
Régimen sancionador del artículo 99
El artículo 99 del Reglamento de IA establece que los Estados miembros deben fijar sanciones y medidas de ejecución efectivas, proporcionadas y disuasorias. También prevé advertencias u otras medidas no pecuniarias y exige atender a los intereses y viabilidad económica de pymes y empresas emergentes.
Los máximos son relevantes, pero no son sanciones automáticas.
El incumplimiento de prácticas prohibidas del artículo 5 puede llegar hasta 35 millones de euros o, para empresas, hasta el 7 % del volumen de negocios mundial total del ejercicio anterior si esa cuantía es superior.
El incumplimiento de ciertas obligaciones de operadores, organismos notificados y obligaciones de transparencia del artículo 50 puede llegar hasta 15 millones de euros o el 3 % del volumen de negocios mundial total, si esta cuantía es superior.
La presentación de información inexacta, incompleta o engañosa a organismos notificados o autoridades nacionales competentes puede llegar hasta 7,5 millones de euros o el 1 % del volumen de negocios mundial total.
Para pymes y empresas emergentes, el Reglamento prevé que cada multa pueda imponerse por el porcentaje o el importe correspondiente, según cuál sea menor.
Al graduar la sanción deben valorarse circunstancias como gravedad, duración, finalidad del sistema, número de personas afectadas, daños, multas ya impuestas por otras autoridades, tamaño del operador, beneficios obtenidos, cooperación, medidas técnicas y organizativas, negligencia o intencionalidad y medidas adoptadas para mitigar perjuicios.
Concurrencia con RGPD y otras responsabilidades
No debe afirmarse que el Reglamento de IA elimina la aplicación del RGPD.
Tampoco debe presentarse una acumulación automática de sanciones.
Puede haber concurrencia de marcos: una misma actividad puede vulnerar obligaciones de transparencia del Reglamento de IA y, al mismo tiempo, principios del RGPD si se tratan datos personales sin base, sin información suficiente, con exceso de datos, sin medidas de seguridad o sin respetar derechos.
La respuesta debe respetar proporcionalidad, coordinación de autoridades y garantías procedimentales. El propio artículo 99 prevé que, al fijar la multa, se tenga en cuenta si otras autoridades ya han impuesto multas por la misma infracción o por infracciones derivadas de la misma actividad u omisión.
AESIA: qué existe y qué sigue en construcción
España cuenta con la Agencia Española de Supervisión de Inteligencia Artificial. Su estatuto fue aprobado por el Real Decreto 729/2023, de 22 de agosto, y el BOE la configura como entidad de derecho público con personalidad jurídica pública, patrimonio propio y autonomía de gestión.
Su sede institucional está en A Coruña.
Además, el Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, destinado a adaptar el marco español al Reglamento europeo, identificar organismos de supervisión y establecer régimen sancionador.
A fecha de esta revisión, el Congreso recoge el Proyecto de Ley Orgánica 121/000096 como presentado el 28 de mayo de 2026, calificado el 8 de junio de 2026 y en situación de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con ampliación de enmiendas hasta el 2 de septiembre de 2026.
Por tanto, conviene formular con precisión:
AESIA existe institucionalmente.
El Reglamento europeo es directamente aplicable conforme a su calendario.
La distribución nacional completa de competencias, autoridades y régimen sancionador español se encuentra vinculada al desarrollo legislativo en tramitación.
No debe afirmarse, sin matiz, que AESIA ya sanciona cualquier infracción del Reglamento de IA si esa competencia concreta depende de la norma nacional aún en tramitación.
Aplicación temporal: qué empezó y qué no
El Reglamento entró en vigor a los veinte días de su publicación, pero su aplicación es escalonada. El artículo 113 establece aplicación general desde el 2 de agosto de 2026, con excepciones: capítulos I y II desde el 2 de febrero de 2025; determinadas partes, como gobernanza, modelos de uso general y sanciones, desde el 2 de agosto de 2025; y el artículo 6.1 con sus obligaciones correspondientes desde el 2 de agosto de 2027.
Respecto al artículo 50, la Comisión confirma que las obligaciones de transparencia se aplican desde el 2 de agosto de 2026.
Existe un periodo limitado hasta el 2 de diciembre de 2026 solo para sistemas introducidos en el mercado antes del 2 de agosto de 2026 y respecto de la obligación de marcado y detección del artículo 50.2. No hay que presentar esto como una moratoria general del artículo 50.
Ejemplo práctico: la denegación mal interpretada
Una persona sube a una IA una denegación de residencia.
JLa herramienta responde que puede presentar recurso en un mes. Pero no revisa bien la vía administrativa. Tampoco identifica si la notificación se abrió electrónicamente días antes. No advierte que hubo un requerimiento previo no contestado. Y añade que puede seguir trabajando porque “el expediente está en trámite”.
Ese último punto puede ser falso.
En extranjería hay que distinguir presentación, admisión, comunicación de inicio, habilitación provisional, silencio administrativo y resolución expresa.
Una respuesta automática puede mezclarlo todo.
El resultado puede ser una decisión perjudicial: trabajar sin habilitación, dejar pasar un plazo, presentar un recurso incorrecto o repetir una solicitud sin corregir el defecto real.
Protocolo interno de Gestrámites para uso profesional de IA
Un protocolo realista de uso profesional de IA en expedientes de extranjería debería incluir estas reglas:
Primero, finalidad concreta de cada uso. No se usa IA “para ver qué dice”. Se usa para una tarea delimitada: resumir un fragmento, ordenar fechas, preparar una estructura, revisar claridad o comparar documentos previamente anonimizados.
Segundo, herramientas autorizadas. No toda herramienta gratuita o abierta es adecuada para trabajar con información de clientes.
Tercero, tipos de cuenta y condiciones. Hay que revisar si los datos se conservan, si se usan para entrenamiento, dónde se alojan y qué garantías contractuales existen.
Cuarto, prohibición de introducir expedientes íntegros en herramientas no aprobadas.
Quinto, minimización. Solo se introduce lo necesario para la tarea concreta.
Sexto, anonimización o seudonimización cuando proceda, con revisión del riesgo de reidentificación.
Séptimo, separación entre información pública e información de clientes. No es lo mismo trabajar con una nota oficial del BOE que con una resolución individual.
Octavo, prohibición de introducir pasaportes, NIE, TIE, firmas, menores, antecedentes, informes médicos, códigos de verificación o documentos completos cuando no sea estrictamente necesario.
Noveno, verificación en fuentes oficiales. BOE, EUR-Lex, Comisión Europea, AEPD, AESIA, Ministerio competente, portal oficial o jurisprudencia auténtica.
Décimo, distinción entre dato, inferencia e interpretación. La IA puede extraer una fecha; puede inferir un riesgo; pero la interpretación jurídica debe revisarse.
Undécimo, revisión jurídica por persona competente.
Duodécimo, registro interno de quién revisó y validó el resultado cuando se use en un documento profesional.
Decimotercero, control editorial para publicaciones. Nada se publica solo porque la IA lo produjo.
Decimocuarto, transparencia con clientes cuando proceda.
Decimoquinto, clasificación del nivel de riesgo del uso: bajo, medio, alto o no permitido.
Decimosexto, comprobación del Anexo III cuando el uso pueda afectar a migración, asilo, control fronterizo, valoración de pruebas o toma de decisiones.
Decimoséptimo, protocolo de incidentes: error jurídico detectado, fuga de datos, uso de herramienta no autorizada, documento subido por error o respuesta generada con datos incorrectos.
Decimoctavo, formación del equipo.
Decimonoveno, revisión periódica del sistema, de las condiciones de la herramienta y de las obligaciones legales aplicables.
Qué debe comprobar una empresa o RRHH
Una empresa que utilice IA con documentación de personas extranjeras debe comprobar qué datos trata, con qué finalidad y si la herramienta influye en decisiones laborales o migratorias.
No es lo mismo usar IA para mejorar una redacción interna que usarla para filtrar candidatos extranjeros, valorar permisos, interpretar documentos de residencia o decidir si una persona puede ser contratada.
RRHH debería revisar:
qué herramienta utiliza;
si introduce pasaportes, NIE, autorizaciones, contratos o datos familiares;
si existe base jurídica para el tratamiento;
si hay información al interesado;
si la herramienta perfila o clasifica;
si hay intervención humana real;
si se conservan registros;
si hay encargado de tratamiento;
si existen transferencias internacionales;
y si el uso puede entrar en una categoría de alto riesgo.
Cuando la contratación de una persona extranjera depende de la interpretación de su situación administrativa, conviene revisar el documento con criterio jurídico, no solo tecnológico.
Qué debería exigir un cliente a un despacho que utiliza IA
Un cliente no tiene que rechazar que su despacho use tecnología.
Debe exigir responsabilidad.
Puede preguntar:
qué herramientas se usan;
si se introduce documentación personal;
si se anonimiza;
si se sube el expediente completo;
si la IA decide o solo apoya;
quién revisa el resultado;
si se consultan fuentes oficiales;
si existe control de confidencialidad;
y quién asume la responsabilidad final.
La respuesta correcta no debería ser “lo hace la IA”.
La respuesta correcta debería ser: la IA puede apoyar, pero la revisión, la decisión y la responsabilidad son del equipo profesional.
Conclusión
La IA puede ser una herramienta útil para trabajar mejor.
Puede ordenar expedientes, ayudar a comprender documentos largos, detectar incoherencias, preparar borradores y mejorar la claridad.
Pero en extranjería no basta con rapidez.
Un expediente contiene datos sensibles, historias familiares, plazos, permisos, trabajo, residencia, recursos y derechos.
Una herramienta puede leer una resolución.
Eso no significa que la entienda.
Puede resumir un requerimiento.
Eso no significa que sepa cómo subsanarlo.
Puede redactar un recurso.
Eso no significa que la estrategia sea correcta.
El uso profesional de IA exige privacidad, minimización, exactitud, supervisión humana, transparencia y responsabilidad editorial.
La tecnología puede apoyar el criterio profesional.
No debe reemplazarlo.
¿Tienes una resolución, requerimiento o denegación y has usado IA para interpretarla?
En Gestrámites revisamos el documento real, el expediente presentado, los plazos, la vía jurídica y la estrategia posible.
No trabajamos con promesas automáticas.
Trabajamos con revisión documental, fuentes oficiales y responsabilidad profesional.
📲 WhatsApp Gestrámites: +34 676 035 990
Consulta y revisión documental en gestramites.com
Fuentes oficiales consultadas
Reglamento de IA: Reglamento (UE) 2024/1689, especialmente artículos 3, 6, 50, 99, 113 y Anexo III.
Comisión Europea: directrices y preguntas frecuentes sobre obligaciones de transparencia del artículo 50.
Código de Buenas Prácticas: Código de transparencia sobre contenido generado por IA, de adhesión voluntaria.
AEPD: guías y notas sobre IA, RGPD, minimización, exactitud, auditoría y recomendaciones de privacidad.
AESIA: Real Decreto 729/2023 y situación institucional.
Legislación española en tramitación: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.