ChatGPT y contables: secreto profesional y datos de los clientes

Redactar una carta de reclamación de pago, resumir una nota fiscal, preparar un comentario del balance, entender un asiento atípico: los usos de la IA generativa en un despacho de contabilidad son numerosos y a menudo pertinentes. Pero un despacho también maneja a diario algunos de los datos más sensibles de sus clientes: contabilidad detallada, nóminas, datos bancarios, situación fiscal. Este artículo se basa en el Derecho francés, que regula la profesión de expert-comptable (el contable colegiado en Francia). Antes de pegar un archivo en ChatGPT o en otro asistente, se superponen dos marcos jurídicos: el secreto profesional propio de la profesión y el RGPD.

El secreto profesional del expert-comptable

La ordenanza francesa n.º 45-2138, de 19 de septiembre de 1945, que organiza la profesión, establece que los expert-comptables, los expert-comptables en prácticas y algunos empleados de los despachos están sujetos al secreto profesional, en las condiciones y con las penas previstas en el artículo 226-13 del Código Penal francés (artículo 21).¹ El artículo 226-13 del Código Penal francés castiga con un año de prisión y 15 000 euros de multa la revelación de una información de carácter secreto por parte de una persona que la conoce por razón de su profesión.²

La pregunta que plantea la IA generativa es, por tanto, sencilla de formular: ¿es compatible con este secreto transmitir los datos de un cliente a un servicio de terceros que los trata y los conserva en sus servidores? Hasta donde sabemos, no existe jurisprudencia que resuelva este punto para los asistentes de IA, y la respuesta depende de las condiciones concretas (contrato, conservación, acceso, naturaleza de los datos). Lo que es seguro es que los datos que no se envían no plantean la cuestión. De ahí el interés de la minimización, que se presenta más abajo.

Lo que añade el RGPD

Los expedientes de los clientes contienen datos personales: los de los directivos, los de los empleados cuyas nóminas elabora el despacho, los de los proveedores y los de los clientes que figuran en los asientos. Según el encargo, el despacho puede actuar como responsable del tratamiento o como encargado del tratamiento de su cliente; cada situación requiere un análisis.

Cuando actúa como encargado del tratamiento, por ejemplo para las nóminas, el RGPD le prohíbe recurrir a otro encargado sin la autorización previa por escrito, específica o general, del responsable del tratamiento (artículo 28, apartado 2).³ Un servicio de IA que trate las nóminas por cuenta del despacho entra potencialmente en este marco. En todos los casos, se aplican los principios de minimización (artículo 5) y de seguridad (artículo 32).³

La CNIL, la autoridad francesa de protección de datos, recomienda para la IA generativa regular los usos mediante una política interna, implicar al delegado de protección de datos y formar a los usuarios.⁶ Detallamos estos pasos en nuestro artículo ChatGPT y RGPD en la empresa.

Los datos en juego: FEC, nóminas, IBAN, NIR

• El fichero de asientos contables (FEC): cuando la contabilidad está informatizada, la empresa inspeccionada entrega una copia electrónica a la administración tributaria francesa (artículo L47 A del Livre des procédures fiscales, el código francés de procedimientos tributarios).⁴ Recoge todos los asientos del ejercicio, con las descripciones y las cuentas de terceros, a menudo nominativas.
• Las nóminas: salarios, primas, ausencias, embargos de salario y, a veces, indicaciones relacionadas con la salud (bajas por enfermedad) que pertenecen a las categorías especiales del artículo 9 del RGPD.³
• El número de la seguridad social francesa (NIR), que los empleadores utilizan para las nóminas pero cuyo uso, recuerda la CNIL, está limitado a casos muy concretos, casi siempre relacionados con la protección social.⁵
• Los datos bancarios: IBAN de clientes, proveedores y empleados, extractos bancarios.
• La información estratégica: previsiones, proyectos de venta de la empresa, dificultades financieras, que también entran en el secreto empresarial del cliente.

Cuenta personal o plan profesional

El tipo de cuenta cambia el marco contractual. En sus servicios de consumo, OpenAI indica que puede utilizar los contenidos enviados para mejorar sus modelos, salvo que el usuario lo desactive.⁸ Para ChatGPT Business, Enterprise y la API, el proveedor indica que no entrena sus modelos con los datos de los clientes por defecto, y ofrece un anexo de tratamiento de datos.⁷ Microsoft, Anthropic y Google también publican compromisos para sus planes profesionales, entre ellos no entrenar sus modelos con los datos de los clientes por defecto.^10,11,12

Un plan profesional es, por tanto, un requisito previo razonable. No exime de pensar en lo que se envía: un contrato regula el tratamiento por parte del proveedor, pero no elimina la transmisión en sí.

Lo que dice la profesión

El Conseil national de l’ordre des experts-comptables, el consejo nacional del colegio profesional francés, publicó en 2024 una guía práctica, «¿Cómo utilizar ChatGPT?», destinada a los despachos. En ella formula una consigna sin rodeos: no cargar datos personales, sensibles o confidenciales, «ni correos de clientes, ni FEC, ni DSN… sin anonimizar» en sitios no controlados, en nombre del respeto del RGPD y del secreto profesional.⁹

La consigna coincide con el análisis jurídico: el dato mejor protegido es el que no sale. Las recomendaciones de la profesión evolucionan con las herramientas; antes de cualquier decisión, conviene consultar las publicaciones más recientes del colegio profesional y del consejo regional del que depende el despacho.

Las buenas prácticas para un despacho

La medida más eficaz sigue siendo la más sencilla: sustituir los nombres, las cuentas de terceros, los IBAN y los NIR por etiquetas antes del envío. Un control de asientos, la explicación de una variación o un comentario del balance se hacen perfectamente con datos seudonimizados. Comparamos los métodos posibles en nuestra guía para anonimizar los datos antes de usar ChatGPT, y ofrecemos una plantilla de política de uso de la IA para adaptar al despacho.

Para apoyar esta regla con herramientas, Tacite-IA detecta en el equipo, antes del envío a los asistentes de IA en Chrome y Edge, los IBAN, los números de seguridad social, los correos electrónicos, los nombres precedidos de un tratamiento, los datos de salud y otros datos sensibles, y propone una versión anonimizada. Los archivos Excel, Word o PDF se leen en el equipo: se envía una copia de texto anonimizada en lugar del original, y los PDF escaneados, ilegibles, se señalan como no verificables. El análisis se realiza sin IA y sin transmitir el contenido a nuestros servidores. Las aplicaciones de escritorio, como ChatGPT para ordenador, no están cubiertas.

Preguntas frecuentes

Fuentes

1. Ordonnance n° 45-2138 du 19 septembre 1945, article 21 (ordenanza francesa sobre la profesión de expert-comptable: secreto profesional). Légifrance (portal oficial del Derecho francés). En francés. Consultado el 8 de octubre de 2026.
2. Code pénal, article 226-13 (Código Penal francés: revelación de secretos profesionales). Légifrance (portal oficial del Derecho francés). En francés. Consultado el 8 de octubre de 2026.
3. Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (Reglamento general de protección de datos, RGPD). EUR-Lex. Consultado el 5 de octubre de 2026.
4. Livre des procédures fiscales, article L47 A (código francés de procedimientos tributarios: fichero de asientos contables). Légifrance (portal oficial del Derecho francés). En francés. Consultado el 8 de octubre de 2026.
5. Qui peut me demander mon numéro de sécurité sociale (NIR) ?. CNIL (autoridad francesa de protección de datos). En francés. Consultado el 8 de octubre de 2026.
6. Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative. CNIL (autoridad francesa de protección de datos), 18 de julio de 2024. En francés. Consultado el 5 de octubre de 2026.
7. Enterprise privacy at OpenAI. OpenAI, página actualizada el 8 de enero de 2026. Consultado el 5 de octubre de 2026.
8. How OpenAI handles data in consumer services. OpenAI Help Center. Consultado el 5 de octubre de 2026.
9. Comment utiliser ChatGPT ? Notice pour les cabinets d’expertise comptable. Conseil national de l’ordre des experts-comptables (consejo nacional del colegio francés de expert-comptables), 2024. En francés. Consultado el 8 de octubre de 2026.
10. Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat. Microsoft Learn. Consultado el 5 de octubre de 2026.
11. Is my data used for model training?. Anthropic Privacy Center. Consultado el 5 de octubre de 2026.
12. Generative AI in Google Workspace Privacy Hub. Google Workspace. Consultado el 5 de octubre de 2026.

ChatGPT es una marca de OpenAI, Copilot de Microsoft, Claude de Anthropic, Gemini de Google y Cursor de Anysphere. Los demás nombres de productos citados pertenecen a sus respectivos propietarios. Tacite-IA no está afiliado a ninguno de estos proveedores. Artículo informativo, que no constituye asesoramiento jurídico.