IA para despachos de abogados en México: confidencialidad

TL;DR

Un despacho jurídico LATAM de 10 abogados necesita una arquitectura IA de tres capas para cumplir simultáneamente con la LFPDPPP de México, la Ley 1581 de Colombia y la Ley 25.326 de Argentina. Estos son los puntos clave:

• ChatGPT.com gratuito y Google Gemini público no son opciones válidas para expedientes activos: incumplen la LFPDPPP mexicana, la Ley 1581 colombiana y la Ley 25.326 argentina, y contradicen los Lineamientos Éticos de la Barra Mexicana de octubre 2025 [source: https://www.bma.org.mx/wp-content/uploads/2025/10/Lineamientos-Eticos-sobre-el-uso-de-IA-BMA-OCTUBRE-2025.pdf].
• Los LLMs generalistas alucinan al menos 58% en consultas jurídicas específicas y hasta 88% con Meta Llama 2 según el estudio Hallucinating Law del RegLab de Stanford (2024) [source: https://law.stanford.edu/2024/01/11/hallucinating-law-legal-mistakes-with-large-language-models-are-pervasive/]. Las herramientas jurídicas verticales Lexis+ AI, Westlaw AI-Assisted Research y Ask Practical Law AI todavía alucinan entre 17% y 33% [source: https://reglab.stanford.edu/publications/hallucination-free-assessing-the-reliability-of-leading-ai-legal-research-tools/].
• La matriz operativa es de tres capas: datos públicos van a SaaS empresarial (ChatGPT Enterprise, Anthropic Claude for Work, Microsoft 365 Copilot); datos internos van a VPC dedicada (Azure OpenAI en región México, AWS Bedrock, Google Vertex AI); datos privilegiados o M&A van a LLM local con Ollama.
• Los Lineamientos BMA de octubre 2025 son el primer marco ético formal de un colegio de abogados LATAM sobre IA. Fijan responsabilidad profesional completa del abogado sin exención por errores de la IA [source: https://www.bma.org.mx/wp-content/uploads/2025/10/Lineamientos-Eticos-sobre-el-uso-de-IA-BMA-OCTUBRE-2025.pdf].
• Solo 41% de las firmas jurídicas globales tiene política formal de GenAI y solo 20% mide ROI, según el Thomson Reuters 2025 GenAI in Professional Services Report [source: https://www.lawnext.com/2025/04/thomson-reuters-survey-over-95-of-legal-professionals-expect-gen-ai-to-become-central-to-workflow-within-five-years.html]. Ejecutar las cuatro prácticas básicas (política escrita, capacitación, matriz por sensibilidad, medición trimestral) coloca al despacho en el top 20% mundial y probablemente en el top 5% LATAM.

Key Stats (para citación rápida)

1. 58%: tasa mínima de alucinación de GPT-3.5, Meta Llama 2 y Google PaLM 2 en consultas jurídicas específicas [source: https://law.stanford.edu/2024/01/11/hallucinating-law-legal-mistakes-with-large-language-models-are-pervasive/].
2. 88%: tasa máxima de alucinación observada con Meta Llama 2 en el mismo estudio [source: https://law.stanford.edu/2024/01/11/hallucinating-law-legal-mistakes-with-large-language-models-are-pervasive/].
3. De 17% a 33%: rango de alucinación de Lexis+ AI, Thomson Reuters Westlaw AI-Assisted Research y Ask Practical Law AI según Stanford RegLab [source: https://reglab.stanford.edu/publications/hallucination-free-assessing-the-reliability-of-leading-ai-legal-research-tools/].
4. US$5,000: sanción impuesta por el juez Kevin Castel en Mata v. Avianca, Inc. (S.D.N.Y. 2023) contra los abogados Peter LoDuca y Steven Schwartz por citar seis casos federales inexistentes generados por ChatGPT [source: https://www.law.berkeley.edu/wp-content/uploads/archive/2025/12/Mata-v-Avianca-Inc.pdf].
5. 95%+: proporción de profesionales legales que espera que GenAI sea central en su flujo de trabajo dentro de cinco años [source: https://www.lawnext.com/2025/04/thomson-reuters-survey-over-95-of-legal-professionals-expect-gen-ai-to-become-central-to-workflow-within-five-years.html].
6. 26%: proporción de organizaciones jurídicas que ya usan GenAI activamente en 2025, frente a 14% un año antes [source: https://www.lawnext.com/2025/04/thomson-reuters-survey-over-95-of-legal-professionals-expect-gen-ai-to-become-central-to-workflow-within-five-years.html].
7. 7 días: retención estándar de logs de la API de Anthropic desde septiembre 2025 (antes 30 días) [source: https://privacy.claude.com/en/articles/8956058-i-have-a-zero-data-retention-agreement-with-anthropic-what-products-does-it-apply-to].

Por qué un despacho LATAM de 10 abogados no puede usar ChatGPT.com como asistente

ChatGPT.com en su plan gratuito y en el plan Plus estándar no ofrece acuerdo de tratamiento de datos (DPA) ni compromiso contractual de no-training, lo que lo excluye como herramienta válida para tratar datos personales de clientes en México, Colombia o Argentina. Empecemos por el error más común. El socio junior descubre ChatGPT, lo usa para resumir un dictamen de la contraparte, pega el expediente en la caja de texto y ahorra dos horas. Nadie se entera. La firma no tiene política escrita. Todos hacen lo mismo.

Ese es el escenario que los reguladores LATAM están mirando ahora.

En México, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) exige consentimiento del titular y aviso de privacidad para cualquier transferencia de datos personales a un tercero. Cuando un abogado pega un expediente en ChatGPT.com sin plan empresarial con acuerdo de tratamiento, transfiere datos a OpenAI sin base legal clara. El INAI puede sancionar; en nuestra guía de cumplimiento LFPDPPP e INAI para IA desglosamos los artículos que se activan en cada supuesto. Los Lineamientos Éticos sobre el uso de IA de la Barra Mexicana, publicados en octubre de 2025, son explícitos: las herramientas de IA usadas por el abogado no deben transmitir información confidencial de clientes a servidores no autorizados [source: https://www.bma.org.mx/wp-content/uploads/2025/10/Lineamientos-Eticos-sobre-el-uso-de-IA-BMA-OCTUBRE-2025.pdf].

En Colombia, la Circular Externa 002 de 2024 de la Superintendencia de Industria y Comercio (SIC) exige un estudio de impacto en privacidad previo antes de tratar datos personales con sistemas de IA, con contenido mínimo definido por la propia SIC [source: https://sedeelectronica.sic.gov.co/transparencia/normativa/circular-externa-2-de-2024-de-la-superintendencia-de-industria-y-comercio-lineamientos-sobre-el-tratamiento-de-datos]. Omitirlo expone a la firma a sanciones de la SIC.

En Argentina, la Resolución 161/2023 de la Agencia de Acceso a la Información Pública (AAIP) creó el Programa de Transparencia y Protección de Datos Personales en el uso de IA bajo la Ley 25.326, con principios rectores de supervisión y decisión humanas obligatorios [source: https://www.boletinoficial.gob.ar/detalleAviso/primera/293363/20230904].

A esto se suma el problema técnico. Investigadores del RegLab de Stanford midieron más de 200,000 consultas jurídicas contra GPT-3.5, Meta Llama 2 y Google PaLM 2. El resultado: los modelos generalistas alucinan al menos 58% de las veces en consultas jurídicas específicas y hasta 88% con Llama 2; en preguntas sobre holdings de tribunales la tasa sube a al menos 75%; y en relaciones precedenciales entre casos, “no lo hacen mejor que adivinar al azar” [source: https://law.stanford.edu/2024/01/11/hallucinating-law-legal-mistakes-with-large-language-models-are-pervasive/].

Y no es solo hipótesis académica. En Mata v. Avianca, Inc., 678 F.Supp.3d 443 (S.D.N.Y. 2023), el juez Kevin Castel sancionó con US$5,000 a los abogados Peter LoDuca y Steven Schwartz y a la firma Levidow, Levidow & Oberman por presentar seis decisiones federales inexistentes generadas por ChatGPT [source: https://www.law.berkeley.edu/wp-content/uploads/archive/2025/12/Mata-v-Avianca-Inc.pdf]. El detalle relevante: cuando Schwartz preguntó a ChatGPT si esos casos eran reales, ChatGPT confirmó que sí. Los inventó dos veces.

La conclusión es clara: usar ChatGPT.com sobre expedientes activos combina riesgo regulatorio LATAM, riesgo técnico de alucinación y responsabilidad profesional plena. No es innovación, es exposición.

El marco legal por país: LFPDPPP (MX), Ley 1581 (CO), Ley 25.326 (AR) y los Lineamientos BMA

Un despacho que opera en dos o tres países LATAM debe cumplir con el mínimo común denominador de las tres jurisdicciones, no optimizar para una sola. Aquí está el mapa operativo por país.

México: LFPDPPP más Lineamientos BMA 2025

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) obliga a consentimiento, aviso de privacidad y a que cualquier transferencia internacional respete los mismos deberes que el responsable original. Para IA, esto significa que si un despacho mexicano envía datos a un proveedor cuyo procesamiento ocurre en Estados Unidos, necesita contrato de tratamiento y un aviso al titular que lo prevea.

Los Lineamientos Éticos de la Barra Mexicana de octubre 2025 añaden cinco obligaciones. Traducidas a controles técnicos [source: https://www.bma.org.mx/wp-content/uploads/2025/10/Lineamientos-Eticos-sobre-el-uso-de-IA-BMA-OCTUBRE-2025.pdf]:

1. Confidencialidad: las herramientas no deben transmitir información confidencial a servidores no autorizados. Traducción operativa: plan empresarial con acuerdo de tratamiento firmado, o VPC, o on-premise.
2. Responsabilidad: responsabilidad profesional completa del abogado sobre cualquier salida. No hay “la IA se equivocó”.
3. Verificación humana: verificación y validación humana obligatorias antes de comunicar resultados. Ningún borrador sale sin lectura.
4. Riesgo de IAs públicas: herramientas públicas señaladas como riesgo mayor al privilegio abogado-cliente.
5. Control interno: preferencia por soluciones con control interno.

A esto se suma la NOM-151, que regula la conservación de mensajes de datos con constancia digital. Si la IA genera documentos que necesitan integridad probatoria, un Drive compartido sin más no basta.

Colombia: Ley 1581 más Circular SIC 002/2024

La Ley 1581 de 2012 (Habeas Data) y la Ley Estatutaria 1266 de 2008 aplican a todo tratamiento de datos personales en Colombia sin importar el medio tecnológico. La Circular Externa 002 de 2024 de la SIC añadió cuatro criterios explícitos para tratar datos personales con IA, que hoy funcionan como el mejor checklist LATAM para comprar IA jurídica [source: https://sedeelectronica.sic.gov.co/transparencia/normativa/circular-externa-2-de-2024-de-la-superintendencia-de-industria-y-comercio-lineamientos-sobre-el-tratamiento-de-datos]:

• Idoneidad: la IA debe ser apta para la finalidad declarada.
• Necesidad: solo tratar datos personales estrictamente necesarios para el resultado. Anonimizar antes de enviar suele bajar el criterio a un nivel más manejable.
• Razonabilidad: el volumen de datos debe ser proporcional al beneficio.
• Proporcionalidad en sentido estricto: el impacto sobre el titular debe ser tolerable frente al beneficio esperado.

La SIC recomienda expresamente técnicas de privacidad diferencial para evitar identificación de titulares [source: https://sedeelectronica.sic.gov.co/transparencia/normativa/circular-externa-2-de-2024-de-la-superintendencia-de-industria-y-comercio-lineamientos-sobre-el-tratamiento-de-datos]. Un despacho colombiano de 10 abogados que quiera usar IA sobre datos de clientes debe archivar ese estudio de impacto en privacidad antes de contratar el primer plan.

Argentina: Ley 25.326 más Resolución AAIP 161/2023

La Ley 25.326 (Ley de Protección de Datos Personales) sigue plenamente vigente en Argentina. La Resolución 161/2023 de la AAIP creó el Programa de Transparencia y Protección de Datos Personales en IA con cinco principios rectores: transparencia y explicabilidad, seguridad y protección, equidad y no discriminación, derecho a la intimidad y protección de datos, y supervisión y decisión humanas [source: https://www.boletinoficial.gob.ar/detalleAviso/primera/293363/20230904].

El mensaje operativo para despachos argentinos es directo: la IA no puede tomar decisiones sobre clientes sin supervisión humana efectiva, y el sistema debe ser explicable. Los LLMs de caja negra cumplen esa última parte con dificultad; hay que documentar los prompts, los modelos y las revisiones.

Las tres reglas prácticas que aplican en los tres países

Tres reglas operativas sirven en México, Colombia y Argentina sin ambigüedad:

1. No-training contractual: el proveedor no debe entrenar con los prompts del despacho. Sin acuerdo escrito, asume que sí lo hace.
2. Localización y derechos ARCO: los datos deben poder localizarse. Si un titular pide acceso, rectificación, cancelación u oposición, el despacho debe poder ejecutarlo.
3. Firma humana: la IA propone, el abogado decide y responde.

Los tres niveles de sensibilidad de datos y qué IA puede tocar cada uno

La matriz por sensibilidad es una tabla de decisión que asigna cada tarea del despacho a un nivel de datos (1, 2 o 3) y cada nivel a un tipo de IA permitida. Cópiala en la wiki interna del despacho y úsala como filtro antes de cada tarea. Si quieres verla aplicada a otros verticales (fintech, salud, retail), revisa nuestra matriz de sensibilidad de datos para IA en empresa.

Nivel	Qué contiene	Ejemplos de tareas	IA permitida
1. Público / no sensible	Jurisprudencia abierta, doctrina publicada, plantillas sin datos de cliente	Búsqueda jurisprudencial exploratoria, redacción de artículos internos, resumen de leyes	OpenAI ChatGPT plan pagado con opt-out de training, Anthropic Claude plan Pro, Google Gemini plan pagado. SaaS público basta.
2. Interno / confidencial no privilegiado	Correos internos, borradores no comunicados, datos anonimizados de casos cerrados	Drafting de contratos con placeholders, resumen de reuniones internas, transcripción de audios internos, revisión de precedentes propios	SaaS empresarial con acuerdo de tratamiento (OpenAI ChatGPT Enterprise, Anthropic Claude for Work, Microsoft 365 Copilot con residencia MX) o VPC dedicada.
3. Privilegiado / alta sensibilidad	Expedientes activos, estrategia procesal, comunicaciones abogado-cliente, M&A, litigio penal, arbitrajes bajo NDA estricto	Análisis de estrategia, redacción con datos reales de cliente, revisión de due diligence, casos penales de alto perfil	VPC dedicada con retención mínima (Microsoft Azure OpenAI Service en región Mexico Central, AWS Bedrock con Zero Data Retention de Anthropic) o LLM local (Ollama con Meta Llama 3 o Alibaba Qwen 2.5). Nunca SaaS público.

La regla práctica que evita accidentes es simple: si hay duda entre nivel 2 y nivel 3, es nivel 3. La firma no pierde nada por sobreproteger. Sí pierde, y mucho, por subproteger una sola vez.

Stack tier 1: SaaS empresariales que sí cumplen

El tier 1 agrupa soluciones SaaS multi-tenant con acuerdo de tratamiento (DPA) y compromiso contractual de no-training, aptas para datos de nivel público e interno. Hay tres opciones defendibles hoy en LATAM.

OpenAI ChatGPT Enterprise y ChatGPT Team

OpenAI ChatGPT Enterprise incluye acuerdo de tratamiento de datos (DPA), certificación SOC 2 Type II, cifrado en reposo y en tránsito, y compromiso contractual de no entrenar con datos del cliente. OpenAI ChatGPT Team es la versión de menor tamaño con las mismas garantías de no-training pero menos controles administrativos. Para un despacho de 10 abogados, ChatGPT Team suele ser el punto de entrada razonable, con migración a Enterprise cuando aparezca el primer cliente corporativo que exija DPA formal; revisamos las diferencias contractuales concretas en ChatGPT Team vs Enterprise para datos de cliente en LATAM. Verifica las tarifas actuales en la página oficial de OpenAI antes de comparar.

Anthropic Claude for Work

Anthropic Claude for Work es la oferta empresarial de Anthropic con no-training contractual, y la API comercial de Anthropic redujo su retención estándar de logs de 30 a 7 días desde septiembre de 2025, sin usar datos para entrenar modelos comerciales [source: https://privacy.claude.com/en/articles/8956058-i-have-a-zero-data-retention-agreement-with-anthropic-what-products-does-it-apply-to]. Anthropic ofrece además Zero Data Retention (ZDR) aplicado caso por caso sobre la API comercial, Claude Code vía API y Claude Code Enterprise, previa revisión [source: https://privacy.claude.com/en/articles/8956058-i-have-a-zero-data-retention-agreement-with-anthropic-what-products-does-it-apply-to]. Para tareas de razonamiento largo (revisión de contratos extensos, análisis de dictámenes complejos), Claude es referencia de calidad entre despachos que han probado ambos vendors; ampliamos la comparativa en Claude de Anthropic vs OpenAI para empresas reguladas.

Microsoft 365 Copilot con residencia México

Microsoft 365 Copilot integra IA en Word, Outlook y Teams con la promesa contractual de que los datos permanecen dentro del tenant del cliente. Para despachos que ya viven en Microsoft 365, es el camino de menor fricción de adopción. Verifica la residencia de datos en México (o al menos multi-región Americas) antes de firmar. En algunos SKUs los datos siguen viajando a Estados Unidos, lo que puede requerir un acuerdo específico bajo LFPDPPP y aviso al cliente.

Sobre herramientas jurídicas verticales

Los jugadores verticales relevantes hoy son Harvey, Thomson Reuters CoCounsel, vLex Vincent, Lexfania y Maite.ai. Observación honesta: investigadores del RegLab de Stanford midieron que Lexis+ AI, Thomson Reuters Westlaw AI-Assisted Research y Ask Practical Law AI todavía alucinan entre 17% y 33% de las veces [source: https://reglab.stanford.edu/publications/hallucination-free-assessing-the-reliability-of-leading-ai-legal-research-tools/]. Mejor que un LLM abierto, sí. Suficiente para citar sin verificar, no. Y en LATAM, la cobertura de jurisprudencia mexicana, colombiana y argentina todavía es irregular fuera de vLex.

Stack tier 2: VPC dedicada para expedientes activos

El tier 2 es una VPC (Virtual Private Cloud) dedicada donde el modelo corre dentro de la suscripción cloud del despacho, con aislamiento contractual y técnico frente al proveedor del modelo. Cuando la tarea toca datos reales de cliente, el SaaS multi-tenant deja de ser suficiente.

Microsoft Azure OpenAI Service en región Mexico Central

Microsoft Azure OpenAI Service despliega los modelos GPT-4o, GPT-4 Turbo y o1 en la suscripción Azure del despacho con residencia de datos configurable. Azure ofrece región Mexico Central para clientes mexicanos. Los datos no se comparten con OpenAI y no se usan para entrenar modelos comerciales. El despacho puede conectar el modelo a un índice privado con sus expedientes vía Azure AI Search y construir un asistente interno respondiendo sobre ellos. Para el paso a paso técnico revisa la guía de despliegue de Azure OpenAI VPC en México.

Este es el patrón más adoptado en despachos medianos LATAM en 2026. El costo depende del volumen de tokens y del tamaño del índice; presupuéstalo variable y revisa el billing cada mes.

AWS Bedrock con Anthropic Claude o Meta Llama

AWS Bedrock es la plataforma de modelos gestionados de Amazon Web Services, y la documentación oficial de AWS es explícita: los prompts y outputs de los Amazon Foundation Models “no se usan para entrenar los modelos subyacentes, salvo que el cliente lo consienta” [source: https://aws.amazon.com/bedrock/amazon-models/privacy/]. Bedrock permite acceder a Anthropic Claude, Meta Llama y modelos Amazon propios dentro de la VPC AWS del despacho. Combinado con el ZDR de Anthropic sobre la API comercial, es la ruta más limpia si el despacho quiere Claude sin depender del SaaS directo de Anthropic [source: https://privacy.claude.com/en/articles/8956058-i-have-a-zero-data-retention-agreement-with-anthropic-what-products-does-it-apply-to].

Google Vertex AI

Google Vertex AI ofrece Google Gemini y modelos abiertos con garantías de aislamiento equivalentes dentro del proyecto GCP del despacho. Menor adopción hoy en despachos LATAM comparado con Azure, pero técnicamente equivalente. Si la firma ya vive en Google Workspace, es el camino natural.

Stack tier 3: LLM local para litigio sensible y M&A

El tier 3 corre el LLM entero dentro de la infraestructura física del despacho: los datos no salen del edificio. Es la única respuesta técnica honesta para el 10% de casos donde el cliente exige aislamiento total (M&A confidencial, litigio penal de alto perfil, arbitrajes bajo NDA estricto).

Ollama con Meta Llama 3 o Alibaba Qwen 2.5

Ollama es un runtime open-source que ejecuta modelos abiertos en Mac, Windows o Linux con una sola instalación. Combinado con Meta Llama 3 70B o Alibaba Qwen 2.5 72B, una workstation con GPU de gama alta o un Apple Mac Studio de gama alta alcanza para asistir a 10 abogados con latencia razonable en tareas de resumen, drafting y Q&A sobre documentos internos. El tutorial de Ollama con Llama 3 para despachos jurídicos locales cubre la instalación, el hardware mínimo y el hardening.

Realismo importante: la calidad de Meta Llama 3 sobre jurisprudencia mexicana específica es inferior a la de Anthropic Claude o OpenAI GPT-4. El caso de uso local no es investigación jurídica abierta, es procesamiento de documentos sensibles ya archivados en la firma.

LM Studio como alternativa amigable

LM Studio es una aplicación con interfaz gráfica que corre el mismo tipo de modelos abiertos, útil para probar sin línea de comandos. Es un buen punto de entrada para el socio senior que quiere ver el asistente correr localmente antes de aprobar la inversión de hardware.

La inversión de hardware es única (no hay licencias por usuario), sin dependencia de proveedor cloud y sin billing sorpresa a fin de mes.

Comparativa Tier 1 vs Tier 2 vs Tier 3

Criterio	Tier 1: SaaS empresarial	Tier 2: VPC dedicada	Tier 3: LLM local
Ejemplos	ChatGPT Team/Enterprise, Claude for Work, Microsoft 365 Copilot	Azure OpenAI (México), AWS Bedrock, Google Vertex AI	Ollama + Meta Llama 3 / Alibaba Qwen 2.5, LM Studio
Aislamiento de datos	Multi-tenant con DPA	Tenant dedicado en cloud del cliente	On-premise
No-training	Contractual	Contractual + técnico	Total (los datos no salen)
Costo	Licencia por usuario/mes	Variable por tokens + índice	Inversión única en hardware
Nivel de datos apto	Público (1) e interno (2)	Interno (2) y privilegiado (3)	Privilegiado (3) y crítico
Calidad sobre jurisprudencia LATAM	Alta (Claude, GPT-4)	Alta (mismos modelos)	Media (Llama 3, Qwen 2.5)
Fricción de adopción	Baja	Media	Alta

Cómo desplegar en 30 días en un despacho de 10 abogados

El despliegue en 30 días es un cronograma de cuatro semanas probado en despachos reales, sin BS. Cada semana entrega un artefacto verificable.

Semana 1: Auditoría de estado real. Ejecuta una encuesta anónima interna de tres preguntas: qué IA está usando cada abogado, con qué datos, en qué plan. La respuesta suele sorprender al socio director. Aplica prohibición explícita temporal de pegar expedientes en herramientas públicas mientras se define la política. Redacta la política escrita, corta, dos páginas máximo, con nombre y firma.

Semana 2: Matriz y compras. Adopta la matriz de tres niveles de este artículo, adaptada a los tipos de caso de la firma. Compra OpenAI ChatGPT Team o Anthropic Claude for Work para nivel 1-2. Abre una suscripción Microsoft Azure o AWS para prototipo VPC. Define quién es el “responsable IA” interno, con nombre y correo, no un cargo abstracto.

Semana 3: Piloto VPC. Despliega Microsoft Azure OpenAI Service en región Mexico Central o AWS Bedrock con Anthropic Claude. Conecta un índice pequeño con jurisprudencia interna y un puñado de contratos plantilla. Un solo abogado senior lo prueba durante una semana con casos reales de baja sensibilidad. Documenta errores y aciertos en un doc compartido.

Semana 4: Capacitación y checklist de auditoría. Sesión de dos horas para los 10 abogados sobre la matriz, la política escrita y las tres herramientas aprobadas. Define el checklist de auditoría trimestral con cuatro puntos: qué prompts se están enviando, quién revisó cada salida, qué acuerdos de tratamiento están firmados con cada vendor, y qué estudio de impacto en privacidad se levantó (obligatorio en Colombia bajo la Circular SIC 002/2024) [source: https://sedeelectronica.sic.gov.co/transparencia/normativa/circular-externa-2-de-2024-de-la-superintendencia-de-industria-y-comercio-lineamientos-sobre-el-tratamiento-de-datos]. Puedes partir de nuestro checklist de auditoría de IA para LATAM y guardarlo en un tablero simple, no en una carpeta que nadie abre.

Sobre el presupuesto: la mezcla de tier 1 SaaS (por licencia × 10), tier 2 VPC (variable por volumen) y tier 3 hardware (inversión única) más una persona técnica part-time suele quedar por debajo del costo total cargado de un asociado junior de perfil medio. Corre el cálculo con tarifas actuales de cada vendor antes de decidir la mezcla, no con estimaciones ajenas.

Un dato del Thomson Reuters 2025 GenAI in Professional Services Report resume el estado del mercado: 26% de organizaciones jurídicas usa GenAI activamente (frente a 14% un año antes), pero solo 41% de las firmas tiene política formal de GenAI, solo 40% da capacitación al staff y solo 20% mide ROI [source: https://www.lawnext.com/2025/04/thomson-reuters-survey-over-95-of-legal-professionals-expect-gen-ai-to-become-central-to-workflow-within-five-years.html]. Un despacho LATAM que ejecute las cuatro prácticas básicas (política escrita, capacitación, matriz por sensibilidad, medición trimestral) queda en el top 20% de firmas globales y probablemente en el top 5% LATAM.

Key Takeaways

• ChatGPT.com gratuito y Plus estándar están excluidos para datos de clientes en México, Colombia y Argentina; solo Team y Enterprise cumplen para niveles 1-2.
• Los Lineamientos BMA de octubre 2025 son el primer marco ético formal de un colegio de abogados LATAM sobre IA y fijan responsabilidad profesional plena del abogado sobre las salidas.
• La Circular SIC 002/2024 de Colombia exige estudio de impacto en privacidad previo, con cuatro criterios: idoneidad, necesidad, razonabilidad y proporcionalidad.
• La Resolución 161/2023 AAIP de Argentina obliga a supervisión y decisión humanas efectivas bajo la Ley 25.326.
• Las alucinaciones son sistémicas: 58% a 88% en LLMs generalistas y 17% a 33% en herramientas jurídicas verticales líderes; la verificación humana no es negociable.
• La matriz de tres capas (SaaS empresarial para nivel 1-2, VPC dedicada para nivel 2-3, LLM local para nivel 3+) es la arquitectura defendible hoy en LATAM.
• Solo 41% de firmas jurídicas globales tiene política formal de GenAI; ejecutar las cuatro prácticas básicas coloca al despacho en el top 20% mundial.

Un paso concreto para esta semana

Antes de comprar nada, ejecuta esta encuesta interna de tres preguntas por Slack o WhatsApp del despacho:

1. ¿Qué herramientas de IA estás usando esta semana? (nombres exactos, no “chat gpt más o menos”)
2. ¿Estás pegando texto de expedientes o correos de clientes en ellas?
3. ¿Sabes en qué plan estás (gratuito, Plus, Team, Enterprise)?

Con esas respuestas tienes tu línea base de riesgo real. La política y el stack se diseñan después de saber dónde estás, no antes.

Si te ayuda tener una segunda opinión sobre la arquitectura antes de firmar contratos con Microsoft, AWS o Anthropic, agenda una audit call con Kreante. Miramos tu volumen, tu jurisdicción, tu presupuesto y te devolvemos qué stack tiene sentido para tu firma en particular, sin comisión de vendor.