IA generativa en auditoría: secreto profesional, RGPD y riesgos para las firmas

Introducir información confidencial de un cliente de auditoría en una herramienta de IA sin las garantías adecuadas puede comprometer el deber de secreto profesional previsto en el artículo 31 de la Ley 22/2015 y, cuando existan datos personales, generar riesgos adicionales de incumplimiento del RGPD. Usar estas herramientas no supone por sí solo una infracción.

Como ejemplo hipotético, imagina una escena: un senior tiene que redactar el apartado de hechos posteriores de una memoria, son las 21:30, lleva once horas con el encargo y abre un asistente de IA en su navegador. Copia tres columnas del balance de situación del cliente, las pega y escribe "resúmeme los riesgos relevantes en formato NIA-ES 315". Después tiene un borrador. Cierra la pestaña y sigue trabajando.

En ese caso, la firma puede no saber que ha ocurrido: sin política escrita ni registro de uso, el hecho no queda reflejado en ningún sitio. Habría que analizar si la información pegada puede afectar al deber de secreto del artículo 31 de la Ley 22/2015 y, si había datos personales, si existe un riesgo de incumplimiento del RGPD.

Dónde está el riesgo: la versión de la herramienta y los datos#

Las herramientas de IA generativa tienen utilidad real para tareas como redactar secciones, resumir actas o contrastar ideas. En un equipo pueden usarse sin que la dirección lo sepa si la firma no ha fijado normas.

El punto crítico es qué versión de la herramienta se usa y con qué datos. Introducir información de un cliente en una cuenta personal, sin un contrato con la firma y sujeta a las condiciones de uso del proveedor, puede no ofrecer las garantías que exige la confidencialidad del encargo. Cada caso requiere revisar la versión, la configuración y el contrato aplicables.

Artículo 31 de la Ley 22/2015: qué dice el deber de secreto#

Conviene distinguir cuatro planos: la obligación legal vigente, su interpretación razonable, el riesgo que genera un uso concreto y las buenas prácticas que lo reducen.

El artículo 31 de la Ley 22/2015 de Auditoría de Cuentas impone el deber de secreto a quienes firman el informe, a la sociedad de auditoría, a sus socios y a los auditores designados, así como a cualquier persona que haya intervenido en la auditoría. Además, prohíbe usar la información para fines distintos de los de la propia auditoría. Una lectura razonable es que esa segunda prohibición se relaciona con los usos secundarios que un proveedor pueda hacer de los datos; el precepto obliga a las personas que enumera, no al proveedor. El precepto se entiende sin perjuicio del deber de denuncia del artículo 262 de la Ley de Enjuiciamiento Criminal.

El artículo 73 del Real Decreto 2/2021 alcanza a quienes participan o colaboran en la actividad de auditoría, formen o no parte de la organización interna del auditor, y a quienes conocen la información de esa actividad. Eso no permite deducir sin más que cualquier proveedor tecnológico tenga la misma condición jurídica: depende de su papel, de sus compromisos y del tratamiento que haga de la información.

El artículo 72.d) de la Ley 22/2015 tipifica como infracción muy grave el incumplimiento del deber de secreto. Que una conducta encaje en ese tipo exige valorar sus circunstancias; el uso de una herramienta no es, por sí solo, una infracción acreditada. Las cuantías dependen del sujeto:

• Auditor individual (artículo 75.1). Revocación de la autorización; suspensión de dos años y un día a cinco; o multa de seis a nueve veces la cantidad facturada por el trabajo, con mínimo de 18.001 euros y máximo de 36.000. El máximo no rige cuando el trabajo es de una entidad de interés público (artículo 75.1.c). Si la infracción no se refiere a un trabajo concreto, la multa va de 18.001 a 36.000 euros.
• Sociedad de auditoría (artículo 76.1). Retirada de la autorización, o multa de entre el 3 % y el 6 % de los honorarios facturados por la actividad de auditoría en el último ejercicio declarado, sin que pueda ser inferior a 24.000 euros.
• Auditor que firma en nombre de la sociedad (artículo 76.2). Retirada de la autorización, suspensión de dos años y un día a cinco, o multa de 12.001 a 24.000 euros, cuando la sociedad es corresponsable de la infracción muy grave.
• Entidades de interés público (artículo 77). Cuando la multa derive de un trabajo en una entidad de interés público, puede incrementarse hasta un 20 %, con mínimos y máximos en la misma proporción. Además de la multa, puede imponerse a la sociedad y a los auditores responsables la suspensión para auditar entidades de interés público: hasta dos años en infracciones graves y hasta cinco en muy graves.
• Sujetos no auditores (artículo 79). Multa de 18.000 a 36.000 euros por incumplir el deber de secreto.

El detalle está en la Ley de Auditoría de Cuentas.

El artículo 74 del Real Decreto 2/2021 somete al RGPD y a la Ley Orgánica 3/2018 el tratamiento de datos personales que hacen los auditores, incluidos los papeles de trabajo. Si la firma externaliza actividades de auditoría, de control de calidad o de conservación de la documentación, debe cumplir la Ley Orgánica 3/2018. Es un punto de conexión útil con el RGPD.

Cuando un miembro del equipo introduce información de un cliente en una herramienta externa, la cuestión jurídica es si esa comunicación puede comprometer el deber de secreto y en qué condiciones. Para responderla hay que examinar el proveedor, la versión utilizada, sus condiciones y la configuración, no solo la marca de la herramienta.

Qué información de un encargo puede estar cubierta por el deber de secreto#

En un encargo de auditoría típico, el deber de secreto puede alcanzar, según las circunstancias, a información como:

• Estados financieros completos (balance, PyG, ECPN, EFE, memoria)
• Libro mayor y libro diario, en cualquier formato
• Balances de comprobación y sumas y saldos
• Listados de clientes y proveedores, con CIF e importes
• Antigüedad de deudores y acreedores
• Nóminas, salarios individualizados, esquemas retributivos
• Contratos comerciales, financieros y laborales
• Actas de consejo y junta
• Correspondencia con la dirección
• Información sobre litigios y contingencias
• Documentación fiscal y comunicaciones con la AEAT
• Cualquier hecho posterior conocido por razón del encargo

Buena parte de lo que maneja un equipo de auditoría puede estar cubierta por el deber de secreto. Una lectura razonable es que el hecho de que parte de esa información sea pública no basta por sí solo para descartar el deber de secreto: las cuentas anuales depositadas no equivalen a los papeles de trabajo, a los mayores, a los desgloses analíticos ni a las conciliaciones bancarias.

Qué dicen los proveedores sobre sus datos, y qué no dicen#

Las condiciones dependen del producto, del plan y de la configuración. Un mismo proveedor puede ofrecer una cuenta personal y una contratación empresarial con reglas distintas, y no conviene suponer que todas sus versiones son iguales. La tabla recoge, para cada producto, lo que indica su documentación oficial, consultada el 27 de octubre de 2026, sobre entrenamiento, conservación, revisión humana y contrato de tratamiento. Cuando una página oficial no describe un punto, la celda lo indica expresamente. La residencia de los datos no se compara aquí, porque depende de la configuración y de cada documento. Las condiciones vigentes son las que publica cada proveedor y pueden cambiar.

Que un proveedor no entrene con los datos no resuelve por sí solo el cumplimiento del RGPD. Para evaluar cualquier servicio hay que revisar también:

• la confidencialidad y las condiciones contractuales;
• el contrato de encargo del tratamiento, si existe, y su contenido;
• el plazo de conservación, con fines técnicos, de seguridad o legales;
• quién tiene acceso a los datos, incluidos los subencargados;
• dónde se almacenan y procesan los datos, y con qué garantías de transferencia;
• los controles que aplica la propia firma sobre su uso.

Un mismo proveedor puede ofrecer garantías distintas según el producto. Por eso el criterio debe ser la documentación contractual, el tratamiento real de los datos y las garantías aplicables, no la marca de la herramienta.

RGPD: qué obligaciones debe revisar una firma antes de utilizar IA#

El RGPD se aplica cuando el tratamiento incluye datos personales, como nóminas, listados de clientes que son personas físicas o correspondencia con personas identificables. No toda información financiera o empresarial es un dato personal, así que el RGPD no está siempre en juego. El deber de secreto del artículo 31 de la Ley 22/2015 es un plano distinto, que se analiza según las circunstancias del encargo.

Los preceptos que conviene revisar son estos. Cada uno describe una obligación o un riesgo que debe evaluarse; ninguno declara por sí mismo una infracción.

• Artículo 28 (encargado del tratamiento). Antes de exigir un contrato de encargo, hay que determinar si existen datos personales, qué entidad actúa como responsable y cuál como encargada, y qué tratamiento realiza realmente el proveedor. Si el proveedor trata los datos por cuenta de la firma, el artículo 28.3 exige un contrato u otro acto jurídico escrito con instrucciones documentadas, confidencialidad del personal, autorización para subencargados, asistencia en el ejercicio de derechos, supresión o devolución de los datos al terminar y posibilidad de auditorías. Si el proveedor determina los fines y medios, es responsable de ese tratamiento (artículo 4.7); y si un encargado los determina infringiendo el Reglamento, el artículo 28.10 lo considera responsable. Por ejemplo, si usa los datos para entrenar. La firma debe entonces justificar con qué base jurídica se los comunica. No cabe presuponer que la firma sea siempre responsable de todos los datos personales que maneja.
• Artículo 32 (seguridad del tratamiento). Las medidas deben ser apropiadas al riesgo. El uso de una herramienta no autorizada puede evidenciar deficiencias organizativas o de seguridad, pero no debe presentarse como infracción acreditada sin evaluar las circunstancias.
• Artículos 44 a 49 (transferencias internacionales). Una transferencia fuera del Espacio Económico Europeo no es necesariamente ilegal. El RGPD prevé mecanismos como las decisiones de adecuación, las cláusulas contractuales tipo cuando correspondan y otros instrumentos y excepciones legalmente previstos. Para Estados Unidos, la Decisión de Ejecución (UE) 2023/1795 declaró adecuado el marco UE-EE. UU. de privacidad de datos, pero solo para las entidades estadounidenses adheridas a ese marco; no cubre a cualquier proveedor de ese país. El Tribunal General desestimó el recurso de anulación en la sentencia de 3 de septiembre de 2025 (asunto T-553/23; comunicado del Tribunal de Justicia n.º 106/25). Contra esa sentencia se interpuso recurso de casación el 31 de octubre de 2025 (asunto C-703/25 P; anuncio en el Diario Oficial de la Unión Europea, C/2025/6610). Conviene comprobar el estado del asunto en el registro del Tribunal de Justicia antes de basar una transferencia solo en esa decisión.
• Artículos 5 y 25. Los principios de integridad y confidencialidad, de minimización y de responsabilidad proactiva, junto con la protección de datos desde el diseño y por defecto, orientan qué datos deben introducirse en una herramienta y con qué configuración.
• Artículo 6, artículo 5.1.b y capítulo III (base jurídica, finalidad y derechos). Todo tratamiento de datos personales necesita una base jurídica del artículo 6 que la firma debe identificar, y si el proveedor actúa por su cuenta, la comunicación de los datos exige además justificarla. El artículo 5.1.b exige fines determinados y legítimos y prohíbe tratar después los datos de forma incompatible con ellos. Una lectura razonable es que esa limitación conecta con el deber de secreto del artículo 31. Los derechos de los interesados (capítulo III: acceso, rectificación, supresión, oposición y limitación) deben poder atenderse también cuando los datos han pasado por una herramienta externa.

Estas obligaciones son distintas del deber de secreto del artículo 31 de la Ley 22/2015, que el ICAC supervisa en el ámbito de la auditoría. Están relacionadas, pero no se confunden.

Trazabilidad: ¿puede una firma saber qué ha pasado con sus datos?#

Hay una capa adicional, particularmente incómoda para los socios. Si a una firma le preguntaran qué datos de sus clientes han pasado por herramientas de IA no corporativas en los últimos doce meses, es posible que no pudiera responder. Sin registros, sin política escrita y sin inventario de herramientas, esa respuesta no está disponible.

Esa dificultad es, en sí misma, una cuestión de control interno de la firma. La NIA-ES 220 (Revisada) trata la gestión de la calidad en el encargo, y su guía de aplicación (apartado A64) advierte de que el uso inadecuado de recursos tecnológicos puede originar amenazas para el cumplimiento de los requerimientos de ética aplicables, por ejemplo los relacionados con la confidencialidad. Un uso no controlado de herramientas con datos de cliente puede ser, por tanto, un riesgo que conviene identificar y tratar dentro del propio sistema de calidad de la firma.

Buenas prácticas de gobierno y control del uso de IA en firmas de auditoría#

En las fuentes consultadas el 27 de octubre de 2026 no se ha localizado una obligación específica del ICAC que exija una política de inteligencia artificial, un inventario de herramientas, una cláusula de IA en todas las cartas de encargo o registros concretos de prompts o conversaciones. La NIA-ES 220 (Revisada) prevé en su apartado A65 que las políticas de la firma puedan regular el uso de herramientas tecnológicas aprobadas por la firma. Como recomendación prudente de buenas prácticas, conviene valorar:

• política interna sobre usos autorizados y no autorizados;
• evaluación previa de proveedores, con sus condiciones contractuales y de configuración documentadas;
• clasificación de la información confidencial del cliente;
• formación del personal, con registro;
• procedimientos de autorización para incorporar nuevas herramientas;
• medidas de seguridad técnicas y organizativas;
• registros proporcionados al riesgo;
• supervisión y revisión de los resultados;
• procedimiento de respuesta ante incidentes.

Estas medidas pueden relacionarse con los principios del sistema de gestión de la calidad. La Agencia Española de Protección de Datos publicó el 27 de enero de 2026 una nota de prensa con un decálogo de recomendaciones dirigido a la ciudadanía sobre privacidad y herramientas de IA; entre ellas figura no compartir información confidencial de la organización o de sus clientes. Es una recomendación, no una obligación impuesta por el ICAC.

El Laboratorio de Privacidad de la AEPD publicó el 25 de agosto de 2026 una entrada de blog que expresa la opinión de sus autores; la propia página advierte de que no refleja ni sustituye las comunicaciones oficiales, la visión o las directrices de la Agencia. En ella se afirma que introducir información en una herramienta de IA generativa «no es un acto neutro» y que, si se usa con datos personales por cuenta de la organización, el artículo 28 del RGPD «no es opcional» (entrada del blog). El estudio El reto de la inteligencia artificial para la auditoría, elaborado por el ICAC con la ASEPUC y publicado en abril de 2025, es un estudio y no una norma.

Que un miembro del equipo use una herramienta por su cuenta no sustituye la responsabilidad de la firma y de su dirección sobre la organización y la supervisión del trabajo.

Qué automatizar con IA en un encargo y qué no#

La pregunta útil no es si la IA sustituye al auditor, sino qué tareas puede asistir y con qué riesgo. Una herramienta puede ayudar en cruces y conciliaciones, extracción estructurada de información, análisis de variaciones, identificación preliminar de anomalías, preparación de borradores y organización de documentación.

Que una tarea pueda automatizarse no equivale a obtener evidencia de auditoría suficiente y adecuada. Sus resultados requieren una revisión proporcional al riesgo y a la finalidad. Fijar la materialidad, evaluar el control interno o formar la opinión exigen juicio profesional, y ese juicio tiene que quedar documentado por el auditor, no por la herramienta.

El borrador es un papel de trabajo del auditor; la formulación de las cuentas anuales corresponde a los administradores (artículo 253 de la Ley de Sociedades de Capital).

Una lectura razonable de la NIA-ES 230 es que la documentación debe permitir a un auditor experimentado entender las decisiones tomadas. La herramienta puede registrar datos; el razonamiento debe quedar documentado por el auditor, como interpretación de esa norma. Los datos de cliente que se introduzcan en una herramienta externa siguen siendo información del encargo, y su tratamiento debe valorarse con independencia de la función que cumpla la herramienta.

Criterios para elegir una herramienta de IA#

Prohibir sin ofrecer alternativa puede empujar el uso fuera de los canales de la firma. Una opción razonable es ofrecer al equipo una herramienta corporativa con garantías documentadas y limitar el uso de las demás cuando haya información de clientes. Como criterios verificables en la documentación de cualquier proveedor, conviene comprobar:

• el plan y la versión contratados, y si el uso es corporativo o personal;
• si los datos se usan para entrenar y qué configuración lo controla;
• los plazos de conservación y si hay revisión humana;
• si existe un contrato de encargo del tratamiento, o unas condiciones equivalentes, y quién lo firma;
• dónde se tratan los datos y con qué mecanismo de transferencia, cuando proceda;
• los subencargados y su comunicación;
• los controles de acceso y los registros que la firma pueda obtener.

Son criterios de evaluación, no garantías de que una herramienta concreta los cumpla. Cada firma debe comprobarlos con la documentación del proveedor y con la configuración que vaya a utilizar.

Adoptar la IA con criterio#

Usar IA en una firma de auditoría no se reduce a prohibir o permitir. Exige saber qué herramienta se usa, en qué versión y con qué datos; proteger la información del cliente conforme al deber de secreto y, cuando haya datos personales, al RGPD; y mantener el juicio profesional del auditor sobre cada resultado, con independencia de la herramienta que lo haya producido.

Antes de extender cualquier herramienta al equipo, conviene documentar la evaluación del proveedor, la decisión adoptada y las instrucciones de uso. Una política escrita y una formación básica suelen ser un primer paso razonable mientras se revisa cada caso.