¿Puedo subir documentos de clientes a una herramienta de inteligencia artificial?
La pregunta tiene respuesta, y no es «sí» ni «no»: es «depende de qué firmó el proveedor». Qué protege el secreto notarial, qué agrega la Ley N.º 18.331 y las nueve preguntas que conviene hacer antes de subir el primer título.
Publicada el . Última revisión de contenido: . Redactada por el equipo de NotaryData sobre las normas que se citan al pie.
No hay una norma uruguaya que lo prohíba ni una que lo autorice en bloque. La respuesta depende de tres condiciones que se pueden verificar antes de subir nada.
Primera: que el proveedor sea encargado del tratamiento y no un tercero al que se le ceden los datos — el artículo 14 del Decreto N.º 414/009 dice que el acceso del encargado, necesario para prestar el servicio, no se considera cesión. Segunda: que el contrato cumpla el artículo 30 de la Ley N.º 18.331, que prohíbe usar los datos con fin distinto al del contrato, cederlos a otros «ni aún para su conservación» y obliga a destruirlos al terminar. Tercera: que la salida de los datos del país encuadre en el artículo 23.
Por encima de las tres rige el deber de reserva, que no es contractual sino funcional: el artículo 11 de la Ley N.º 18.331 —que remite expresamente al artículo 302 del Código Penal— y el artículo 274 numeral II literal c) del Reglamento Notarial, que hace falta grave violar el principio de reserva.
Dicho de otro modo: la pregunta no es si la herramienta es buena. Es qué figura jurídica ocupa el proveedor y qué firmó.
Verificado en agosto de 2026 contra los textos publicados por IMPO de la Ley N.º 18.331, el Decreto N.º 414/009, la Ley N.º 19.670, el Decreto N.º 64/020 y el artículo 302 del Código Penal; contra el texto íntegro del Reglamento Notarial aprobado por Acordada N.º 7.533 de 22 de octubre de 2004; y contra los canales oficiales de la Unidad Reguladora y de Control de Datos Personales.
Qué protege el secreto notarial, y dónde está escrito
Buscar «secreto profesional» en el Reglamento Notarial no da resultado, y eso ya es información. El deber existe y es exigible; lo que no existe es una norma notarial que lo enuncie con ese nombre.
- El Código Penal, artículo 302
El tipo penal dice que el que, sin justa causa, revelare secretos que hubieran llegado a su conocimiento, en virtud de su profesión, empleo o comisión, será castigado, cuando el hecho causare perjuicio, con 100 U.R. a 600 U.R. de multa.
Tres piezas conviene leer despacio, porque acotan el tipo: exige que la revelación sea sin justa causa, exige que el hecho cause perjuicio —no es un delito de peligro— y la pena prevista es de multa, en unidades reajustables.
Qué constituye «justa causa» —si el consentimiento del cliente lo es, si un contrato con un encargado del tratamiento lo es— es cuestión doctrinaria que esta guía no resuelve y que no encontramos zanjada.
- La Ley N.º 18.331, artículo 11
Es la norma que une las dos mitades, y lo hace el propio legislador. Quien obtiene legítimamente información de una base de datos está obligado a utilizarla en forma reservada y exclusivamente para las operaciones habituales de su giro, con prohibida toda difusión de la misma a terceros. Y quien accede a esas bases por su relación laboral debe guardar estricto secreto profesional sobre los mismos (artículo 302 del Código Penal) cuando los datos se recogieron de fuentes no accesibles al público.
Dos consecuencias prácticas. La primera: la remisión al Código Penal está escrita en la ley de datos, con el número de artículo entre paréntesis. La segunda: la obligación subsiste después de finalizada la relación con el responsable de la base.
- El Reglamento Notarial, por tres puertas y ninguna directa
Este es el hallazgo que más sorprende al buscarlo: la Acordada N.º 7.533 de la Suprema Corte de Justicia no tiene un artículo titulado «secreto profesional» ni «deber de reserva». La reserva llega por tres lugares distintos.
El artículo 106 declara que los Registros Notariales son, en general, reservados, y enumera taxativamente quiénes tienen derecho a examinarlos: los miembros del Poder Judicial en cumplimiento de resoluciones o visitas, las partes y sus causahabientes y apoderados, y los funcionarios autorizados por la Caja Notarial para comprobar el pago de los montepíos. Los artículos 107 y 108 agregan que la exhibición la hace el propio escribano, abarca únicamente los actos pertinentes, y que respecto de cualquier otra persona queda librada a su racional y prudente arbitrio.
El artículo 110 le impone tomar todas las providencias necesarias para la conservación e integridad de los Registros mientras estén en su poder, y agrega algo que conviene tener presente antes de elegir dónde se guarda un documento: hay presunción de culpa de parte del Escribano en toda pérdida o falta de integridad de sus Registros.
Y el artículo 274, numeral II, literal c) califica como falta grave la actuación en violación de los principios generales reguladores de la función notarial, en especial los de veracidad, imparcialidad y reserva.
Verificado sobre el texto íntegro de la Acordada N.º 7.533, de 22 de octubre de 2004, que sustituyó al Reglamento aprobado por Acordada N.º 4.716 de 1971.
Vale la pena mirar cómo procede el legislador uruguayo cuando efectivamente quiere levantar el secreto profesional del escribano: lo hace con una norma expresa y acotada. El artículo 23 de la Ley N.º 19.574 dispone que el cumplimiento de buena fe del deber de informar una operación sospechosa no configurará violación de secreto o reserva profesional ni mercantil, y que no genera responsabilidad de ninguna especie. Cómo funciona ese régimen está en su propia guía.
No hay ninguna norma equivalente que habilite comunicar información amparada por el secreto a un proveedor tecnológico. Eso no significa que esté prohibido —significa que la habilitación, si existe, hay que construirla con las figuras de la ley de datos, que es exactamente lo que hacen las secciones que siguen.
Encargado del tratamiento o cesión a un tercero
Es la distinción que decide la respuesta entera, y la que casi ningún material comercial explica. La Ley N.º 18.331 define las dos figuras en su artículo 4: el responsable decide sobre la finalidad, el contenido y el uso; el encargado trata los datos por cuenta del responsable.
La tabla se desliza hacia el costado.
| Encargado del tratamiento | Cesión a un tercero | |
|---|---|---|
| Qué es | Alguien que trata los datos por cuenta del escribano y siguiendo su finalidad (artículo 4 literal H). | Alguien a quien se le comunican los datos y los trata para sus propios fines. |
| ¿Requiere consentimiento del cliente? | Por ese solo hecho, no. El artículo 14 del Decreto N.º 414/009 dispone que no se considera comunicación ni cesión el acceso de un encargado del tratamiento que resulte necesario para prestarle un servicio al responsable. | Sí. El artículo 14 exige el previo consentimiento del titular para la comunicación o cesión a terceros, además de que responda a un interés legítimo de ambas partes. |
| Qué le está prohibido | Usar los datos con un fin distinto al que figure en el contrato de servicios, cederlos a otras personas «ni aún para su conservación», y conservarlos terminada la prestación (artículo 30 de la Ley N.º 18.331). | Nada de eso rige igual: el cesionario trata para sus fines, y por eso la ley pone el control antes, en el consentimiento. |
| Qué pasa al terminar el contrato | Los datos deben ser destruidos, salvo autorización expresa del escribano cuando se presuman ulteriores encargos, y aun entonces con un tope de dos años de almacenamiento (artículo 30). | Depende de lo que se haya consentido. |
| Quién sigue respondiendo | El escribano, que es el responsable del tratamiento (artículo 4 literal K). Delegar la tarea no delega la responsabilidad. | El escribano responde por haber cedido; el cesionario, por lo que haga después. |
La columna de la izquierda es la que vuelve practicable el uso de cualquier herramienta, y se paga con tres prohibiciones concretas que el artículo 30 le impone al proveedor. La primera —no aplicarse o utilizarse con un fin distinto al que figure en el contrato de servicios— es la que hay que leer con los términos de servicio al lado, porque entrenar un modelo con los documentos de sus clientes es un fin distinto de prepararle una escritura.
La segunda —ni cederlos a otras personas, ni aún para su conservación— alcanza a los subencargados, que en cualquier servicio real existen: alojamiento, almacenamiento, correo, el proveedor del modelo. Y la tercera obliga a destruir los datos cumplida la prestación, con un tope de dos años de almacenamiento aun cuando el escribano lo autorice expresamente previendo ulteriores encargos.
Una consecuencia que conviene tener presente antes de firmar nada: el responsable del tratamiento sigue siendo el escribano. Delegar la tarea no delega la responsabilidad, y el artículo 12 de la Ley N.º 18.331 —en la redacción dada por el artículo 39 de la Ley N.º 19.670— le impone un régimen de responsabilidad proactiva, con privacidad desde el diseño y por defecto.
Qué cambia cuando el documento sale del país
El artículo 23 de la Ley N.º 18.331 prohíbe, como regla, la transferencia de datos personales con países u organismos internacionales que no proporcionen niveles de protección adecuados de acuerdo a los estándares del Derecho Internacional o Regional. Después enumera excepciones tasadas —cooperación judicial, datos médicos por razones de salud pública, transferencias bancarias o bursátiles, tratados internacionales, cooperación entre organismos de inteligencia— y una lista de supuestos admitidos, de los cuales el practicable en un estudio notarial es el primero: el consentimiento inequívoco del interesado.
El propio artículo agrega la salida contractual: la autoridad puede autorizar la transferencia a un país sin protección adecuada cuando el responsable ofrezca garantías suficientes respecto a la protección de la vida privada mediante cláusulas contractuales apropiadas. Los artículos 34 a 39 del Decreto N.º 414/009 regulan ese procedimiento de autorización y los códigos de conducta.
Lo más nuevo y lo más accionable. El 17 de abril de 2026 la Unidad Reguladora y de Control de Datos Personales aprobó la Resolución N.º 8/026, por la que recomienda adoptar las cláusulas contractuales modelo del Consejo de Europa para transferencias internacionales, en tres modalidades según los roles de las partes. La que corresponde a esta relación es la de responsable a encargado. Es una recomendación y no una obligación, y aun así es lo más cercano a una respuesta de la autoridad uruguaya a esta pregunta.
Y una confusión que conviene deshacer. Uruguay está reconocido por la Comisión Europea como país con nivel adecuado de protección de datos, por la Decisión de Ejecución 2012/484/UE de 21 de agosto de 2012. Eso habilita que los datos vengan desde la Unión Europea hacia Uruguay. No dice nada sobre la dirección inversa, que es la de esta pregunta: un documento que sale de Montevideo hacia un servidor en otro país se rige por el artículo 23 de la ley uruguaya y por lo que ofrezca ese país de destino.
No pudimos leer el texto íntegro de la Resolución N.º 8/026: la verificamos contra la comunicación oficial de la propia Unidad Reguladora, no contra el instrumento. Tampoco encontramos publicada una lista oficial de países que la autoridad uruguaya considere con nivel adecuado de protección, que es la pieza que permitiría cerrar el análisis sin pasar por cláusulas ni consentimiento. Si el punto le resulta determinante, corresponde consultarlo directamente a la Unidad.
Tres obligaciones que quedan de su lado, contrate lo que contrate
La evaluación de impacto previa. El artículo 6 del Decreto N.º 64/020 la exige, entre otros supuestos, ante el tratamiento permanente de datos sensibles, la creación de perfiles, el tratamiento de grandes volúmenes de datos y las transferencias internacionales a países sin niveles adecuados de protección. Es previa: hacerla después no la cumple.
Las 72 horas de la vulneración de seguridad. El artículo 38 de la Ley N.º 19.670 obliga a informar inmediata y pormenorizadamente al titular de los datos y a la autoridad, y el artículo 4 del Decreto N.º 64/020 fija un plazo máximo de setenta y dos horas para la comunicación a la Unidad Reguladora, desde que se conoce la vulneración. El plazo le corre a usted aunque el incidente haya ocurrido en la infraestructura del proveedor.
La inscripción de la base de datos. El artículo 29 de la Ley N.º 18.331 dispone que toda base de datos, pública o privada, debe inscribirse en el registro que habilite el órgano de control, declarando entre otras cosas las medidas de seguridad, el destino de los datos y sus destinatarios, y el plazo de conservación. Un estudio que lleva datos de clientes está, en principio, alcanzado.
Sobre el delegado de protección de datos: el artículo 40 de la Ley N.º 19.670 y el artículo 10 del Decreto N.º 64/020 lo exigen a las entidades públicas, a las privadas que traten datos sensibles como negocio principal y a las que traten grandes volúmenes de datos, con un umbral cuantitativo en el decreto. Un estudio notarial corriente no parece caer en esos supuestos, pero no verificamos la redacción exacta del umbral y por eso no publicamos la cifra.
Nueve preguntas para hacerle a un proveedor
Están escritas para ser incómodas de contestar, no fáciles de aprobar. Cada una remite a un artículo concreto: no son buenas prácticas genéricas, son obligaciones que la ley uruguaya le impone a usted y que sólo puede cumplir si el proveedor le contesta por escrito.
¿Actúa como encargado del tratamiento? ¿Lo dice el contrato con esas palabras?
De esto depende todo lo demás. Si el proveedor es encargado del tratamiento por cuenta del escribano, el artículo 14 del Decreto N.º 414/009 dice que su acceso no es una cesión de datos. Si trata los documentos para sus propios fines, es un tercero, y ahí hace falta el consentimiento del cliente. La pregunta no se contesta con una página de marketing: se contesta con la cláusula del contrato.
¿Con qué finalidad puede tratar los documentos? ¿Los usa para entrenar modelos?
El artículo 30 de la Ley N.º 18.331 prohíbe aplicar o utilizar los datos con un fin distinto al que figure en el contrato de servicios. Entrenar un modelo con los documentos de sus clientes es un fin distinto de prepararle una escritura. La respuesta útil es la cláusula, no la declaración: pregunte dónde está escrito y con qué alcance.
¿Cede los documentos a subencargados? ¿Publica cuáles son?
La misma norma prohíbe cederlos a otras personas ni aún para su conservación. Casi ningún servicio moderno funciona sin subprocesadores —alojamiento, almacenamiento, correo, el proveedor del propio modelo—, así que la respuesta honesta rara vez es «ninguno»: es una lista publicada, con el nombre de cada uno y qué hace. Una lista que no existe es una respuesta.
¿Qué pasa con los documentos cuando termina el contrato, y en qué plazo?
El artículo 30 exige la destrucción una vez cumplida la prestación, y admite conservarlos sólo con autorización expresa del escribano, cuando razonablemente se presuman ulteriores encargos, y por un período de hasta dos años. Un proveedor que no sabe contestar en cuántos días borra, y de dónde, no está en condiciones de decirle que cumple.
¿En qué país están los documentos? ¿Puede comprometer una región?
El artículo 23 de la Ley N.º 18.331 prohíbe la transferencia de datos personales a países u organismos que no proporcionen niveles adecuados de protección, con excepciones tasadas. Para poder analizar si la transferencia encuadra hay que saber, primero, hacia dónde va. Un «la nube» no es una respuesta: el nombre del proveedor de infraestructura y la región lo son.
¿Firma cláusulas contractuales para la transferencia internacional?
El propio artículo 23 admite que la autoridad autorice transferencias a países sin protección adecuada cuando el responsable ofrezca garantías suficientes respecto a la protección de la vida privada mediante cláusulas contractuales apropiadas. Y en abril de 2026 la Unidad Reguladora y de Control de Datos Personales recomendó, por su Resolución N.º 8/026, usar las cláusulas contractuales modelo del Consejo de Europa, con una modalidad específica de responsable a encargado, que es exactamente esta relación.
¿Cómo y en cuánto tiempo le avisa si hay una vulneración de seguridad?
Este plazo corre contra usted, no contra el proveedor. El artículo 38 de la Ley N.º 19.670 obliga a informar la vulneración de seguridad inmediata y pormenorizadamente al titular y a la autoridad, y el artículo 4 del Decreto N.º 64/020 fija 72 horas desde que se conoce el hecho para comunicarlo a la Unidad Reguladora. Si el proveedor le avisa a la semana, usted ya incumplió.
¿Qué registro deja de quién accedió a qué, y puede usted verlo?
El artículo 10 de la Ley N.º 18.331 le impone al responsable adoptar las medidas necesarias para garantizar la seguridad y confidencialidad, evitando el tratamiento no autorizado y permitiendo detectar desviaciones de información. Sin un historial de accesos que el escribano pueda ver, no hay forma de acreditar que ese control existió.
¿Qué hace si una autoridad extranjera le pide los documentos?
Es la pregunta que casi nadie hace y la que más define el riesgo real, porque el documento deja de estar bajo la ley uruguaya en el momento en que sale del país. La respuesta a buscar es procedimental: si el proveedor se compromete a notificarle, a oponerse cuando corresponda, y a qué régimen queda sometido el pedido. Las cláusulas modelo recomendadas por la autoridad uruguaya contemplan justamente este punto.
Un criterio para leer las respuestas: la que llega con seguridad y sin documento vale menos que la que llega con un límite declarado. Un proveedor que le dice «esto todavía no lo tenemos firmado» le está dando una información que puede usar; uno que le dice que todo está cubierto y no le muestra dónde, no.
Estas nueve preguntas son criterio nuestro, armado sobre las normas citadas. No son un formulario oficial ni existe uno: la Unidad Reguladora no ha publicado, hasta donde pudimos relevar, una guía específica sobre inteligencia artificial.
Cinco caminos posibles, y sólo uno pasa por contratar algo
Antes de evaluar herramientas conviene saber que hay respuestas que no las necesitan. Van primero por esa razón.
- No usar ninguna herramienta para esos documentos
Es una opción legítima y en algunos asuntos es la correcta. El costo es de tiempo y el beneficio es que no hay análisis de transferencia internacional, ni contrato de encargado, ni evaluación de impacto que hacer. Ningún argumento de productividad justifica saltearse un análisis que no se hizo.
- Disociar antes de subir
La propia Ley N.º 18.331 trabaja con la noción de dato disociado, y su artículo 18 exceptúa del régimen de datos sensibles los tratamientos con finalidades estadísticas o científicas cuando los titulares no pueden ser identificados. Trabajar sobre un documento sin nombres, documentos de identidad ni padrón cambia la naturaleza del tratamiento. El límite práctico es evidente: en un expediente notarial el dato identificatorio suele ser justamente el que interesa.
Que un documento efectivamente disociado quede fuera del alcance de la ley es una lectura razonable de su régimen, no una afirmación que hayamos verificado contra un dictamen de la autoridad.
- Correr el modelo en la propia máquina o en el propio servidor
Si el documento no sale del estudio, no hay transferencia internacional que analizar ni encargado del tratamiento que contratar: hay una obligación de seguridad —artículo 10— que sigue siendo suya. Es la vía técnicamente más exigente y la jurídicamente más simple.
- Pedir el consentimiento informado del cliente
El literal A) del artículo 23 admite la transferencia cuando el interesado ha dado su consentimiento inequívoco, y el artículo 18 exige que para datos sensibles ese consentimiento sea expreso y escrito. No es un trámite cosmético: para ser informado, el consentimiento tiene que decirle al cliente a quién van sus documentos y para qué.
El consentimiento resuelve la transferencia. No resuelve por sí solo el deber de reserva del artículo 274 del Reglamento Notarial, que es una obligación funcional del escribano y no un derecho disponible del cliente. No encontramos fuente que lo aclare, y por eso lo dejamos planteado.
- Contratar un proveedor que conteste las nueve preguntas por escrito
Es la vía que la mayoría va a tomar, y la que exige la lista de arriba. Lo que la vuelve defendible no es la reputación del proveedor: son las cláusulas, la lista de subencargados, el plazo de destrucción y el compromiso de notificación en un plazo compatible con las 72 horas que le corren a usted.
Y ya que estamos: ¿qué contesta NotaryData?
Sería incómodo publicar nueve preguntas y esquivarlas. NotaryData es una de las respuestas posibles a esta pregunta, no la única ni necesariamente la que a usted le sirve, y estas son las contestaciones de hoy — no las de cuando se cierren los trámites pendientes.
Lo que sí está. Los documentos de cada estudio están aislados de los de cualquier otro, con esa separación aplicada por código y probada tabla por tabla. Cada acción sobre un documento queda registrada en un historial, dentro de la misma transacción que la modificación: si no se puede dejar constancia, la operación entera se deshace. Los respaldos se cifran antes de subirse. Una carpeta eliminada se purga de verdad —la fila y los archivos— después de treinta días en la papelera.
Lo que todavía no está, y por eso no lo afirmamos. El acuerdo de tratamiento de datos y la cláusula de retención cero con el proveedor de los modelos están en trámite y no se pueden mostrar firmados. Hasta que existan, NotaryData no afirma que sus documentos no se usan para entrenar modelos, aunque sea la condición que está contratando. El almacenamiento está configurado sin región fija, de modo que hoy no se puede comprometer una jurisdicción determinada. Y el cifrado en reposo es el del proveedor de almacenamiento, no una capa propia.
Traducido a las nueve preguntas: las dos que más pesan —la sexta, sobre cláusulas de transferencia, y la quinta, sobre región— hoy tienen una respuesta parcial, y está publicada como tal. Las dos listas separadas —lo que el código sostiene y lo que todavía no se puede garantizar por escrito— están en la página de seguridad, con los cuatro puntos pendientes enumerados uno por uno. Y la lista de subencargados —la tercera pregunta— está publicada con nombre.
Si después de leer eso la conclusión es que todavía no corresponde subir el título de un cliente, es una conclusión razonable y la preferimos a la contraria tomada sin datos. La cuenta de prueba abre con un expediente de demostración, con documentos ficticios: se puede recorrer el producto entero sin subir nada real.
Esta sección no dice nada que la página de seguridad no sostenga por escrito, y esa es su única regla de redacción. Si alguna de estas afirmaciones cambia, cambia primero allá.
Preguntas frecuentes
¿Un escribano uruguayo puede subir documentos de clientes a una herramienta de inteligencia artificial?
No hay en Uruguay, a agosto de 2026, una norma que lo prohíba ni una que lo autorice en bloque. La respuesta depende de tres condiciones verificables. Primera: que el proveedor actúe como encargado del tratamiento y no como un tercero al que se le ceden los datos, porque el artículo 14 del Decreto N.º 414/009 dispone que el acceso del encargado, necesario para prestar el servicio, no se considera comunicación ni cesión. Segunda: que el contrato cumpla el artículo 30 de la Ley N.º 18.331, que prohíbe usar los datos con un fin distinto al del contrato, cederlos a otras personas ni aún para su conservación, y obliga a destruirlos terminada la prestación. Tercera: que la salida de los datos del país encuadre en alguno de los supuestos del artículo 23. Por encima de las tres rige el deber de reserva: el artículo 11 de la Ley N.º 18.331, que remite al artículo 302 del Código Penal, y el artículo 274 numeral II literal c) del Reglamento Notarial, que hace falta grave violar el principio de reserva.
¿Dónde está escrito el secreto profesional del escribano uruguayo?
No en un artículo del Reglamento Notarial: la Acordada N.º 7.533 de la Suprema Corte de Justicia no contiene un artículo titulado secreto profesional ni deber de reserva. El deber surge de tres lugares distintos. Del artículo 302 del Código Penal, que castiga a quien sin justa causa revelare secretos conocidos en virtud de su profesión, cuando el hecho causare perjuicio. Del artículo 11 de la Ley N.º 18.331, que obliga a utilizar en forma reservada la información obtenida de una base de datos, prohíbe toda difusión a terceros, remite expresamente al artículo 302 del Código Penal y aclara que la obligación subsiste después de finalizada la relación. Y del propio Reglamento Notarial por vía indirecta: los artículos 106 a 108 declaran reservados los Registros Notariales y enumeran quién puede examinarlos, el artículo 110 impone la conservación e integridad con presunción de culpa del escribano, y el artículo 274 numeral II literal c) califica de falta grave la violación del principio de reserva.
¿Puedo mandar los documentos de un cliente a un servidor en el exterior?
El artículo 23 de la Ley N.º 18.331 prohíbe la transferencia de datos personales con países u organismos que no proporcionen niveles adecuados de protección de acuerdo a los estándares del Derecho Internacional o Regional, y enumera excepciones tasadas. Entre los supuestos admitidos está el consentimiento inequívoco del interesado. Además, el mismo artículo permite que la autoridad autorice transferencias a países sin protección adecuada cuando el responsable ofrezca garantías suficientes mediante cláusulas contractuales apropiadas, y en abril de 2026 la Unidad Reguladora y de Control de Datos Personales recomendó, por Resolución N.º 8/026, las cláusulas contractuales modelo del Consejo de Europa, en su modalidad de responsable a encargado. Conviene no confundir la dirección del flujo: la decisión de la Comisión Europea de 2012 que reconoce a Uruguay como país con nivel adecuado de protección habilita que los datos vengan desde la Unión Europea hacia acá, y no resuelve la pregunta inversa.
¿Hay que hacer una evaluación de impacto antes de usar una herramienta de IA?
El artículo 6 del Decreto N.º 64/020 exige evaluación de impacto previa en varios supuestos, entre ellos el tratamiento permanente de datos sensibles, la creación de perfiles, el tratamiento de grandes volúmenes de datos y las transferencias internacionales de datos a países que no tengan niveles adecuados de protección. Subir documentos de clientes a un servicio alojado en el exterior puede caer en ese último supuesto, en cuyo caso la evaluación previa es una obligación y no una recomendación. El artículo 12 de la Ley N.º 18.331, en la redacción dada por el artículo 39 de la Ley N.º 19.670, ya venía imponiendo un régimen de responsabilidad proactiva con privacidad desde el diseño y por defecto.
¿Qué pasa si hay una filtración de datos del estudio?
El artículo 38 de la Ley N.º 19.670 obliga al responsable o encargado que tome conocimiento de una vulneración de seguridad a informarlo inmediata y pormenorizadamente a los titulares de los datos y a la Unidad Reguladora y de Control de Datos Personales. El artículo 4 del Decreto N.º 64/020 fija un plazo máximo de 72 horas desde que se conoce la vulneración para comunicarlo a la Unidad. Ese plazo le corre al escribano como responsable del tratamiento, aunque el incidente haya ocurrido en la infraestructura del proveedor: por eso conviene saber de antemano en cuánto tiempo se compromete el proveedor a avisarle.
¿Existe en Uruguay una ley de inteligencia artificial?
A agosto de 2026 no encontramos una ley uruguaya vigente cuyo objeto sea la inteligencia artificial. Lo que sí existe es la Estrategia Nacional de Inteligencia Artificial 2024-2030, aprobada en noviembre de 2024 en el ámbito de la Agencia de Gobierno Electrónico y Sociedad de la Información y del Conocimiento, que es un instrumento de política pública y no una norma vinculante. La Unidad Reguladora y de Control de Datos Personales tampoco ha emitido, hasta donde pudimos relevar en sus canales oficiales, un dictamen o una guía específica sobre inteligencia artificial: lo más cercano y más reciente es la Resolución N.º 8/026 de abril de 2026 sobre cláusulas contractuales para transferencias internacionales. Mientras tanto, el uso de estas herramientas se rige por las normas generales de protección de datos y por el deber de reserva profesional.
Normas citadas y alcance de esta guía
- Código Penal (Ley N.º 9.155), artículo 302 (revelación de secreto profesional)
- Ley N.º 18.331 de Protección de Datos Personales: artículo 1 (naturaleza del derecho), artículo 4 literales E), H) y K) (datos sensibles, encargado del tratamiento y responsable), artículo 10 (principio de seguridad), artículo 11 (principio de reserva), artículo 12 en la redacción dada por el artículo 39 de la Ley N.º 19.670 (principio de responsabilidad), artículo 18 (datos sensibles), artículo 23 (transferencia internacional), artículo 29 (inscripción registral) y artículo 30 (prestación de servicios informatizados de datos personales)
- Decreto N.º 414/009, artículo 14 (el acceso del encargado del tratamiento no constituye cesión) y artículos 34 a 39 (procedimiento de transferencia internacional y códigos de conducta)
- Ley N.º 19.670, artículos 37 (ámbito de aplicación territorial), 38 (vulneraciones de seguridad) y 40 (delegado de protección de datos)
- Decreto N.º 64/020, artículo 4 (comunicación de la vulneración en 72 horas), artículo 6 (evaluación de impacto previa) y artículo 10 (delegado de protección de datos)
- Reglamento Notarial, Acordada N.º 7.533 de la Suprema Corte de Justicia, de 22 de octubre de 2004: artículos 106 a 108 (reserva de los Registros Notariales), artículo 110 (conservación e integridad, con presunción de culpa) y artículo 274 numeral II literal c) (violación del principio de reserva como falta grave)
- Ley N.º 19.574, artículos 22 (obligación de reserva) y 23 (exención de responsabilidad por el cumplimiento de buena fe)
- Resolución N.º 8/026 de la Unidad Reguladora y de Control de Datos Personales, de 17 de abril de 2026 (recomendación de las cláusulas contractuales modelo del Consejo de Europa)
Lo que esta guía no verificó
Quedaron abiertos seis puntos. Primero: qué constituye justa causa a los efectos del artículo 302 del Código Penal —si el consentimiento del cliente o un contrato de encargo lo son—, y si el delito es perseguible a instancia de parte. Segundo: el texto íntegro de la Resolución N.º 8/026 de la Unidad Reguladora, que verificamos contra su comunicación oficial y no contra el instrumento. Tercero: si existe una lista oficial uruguaya de países con nivel adecuado de protección. Cuarto: la redacción exacta del umbral cuantitativo del artículo 10 del Decreto N.º 64/020 para el delegado de protección de datos, que por eso no publicamos. Quinto: si el consentimiento del cliente alcanza para relevar el deber de reserva del artículo 274 del Reglamento Notarial, que es una obligación funcional y no un derecho disponible del cliente. Sexto: no pudimos descartar de forma exhaustiva la existencia de un proyecto de ley uruguayo sobre inteligencia artificial; lo verificable es que no hay ley vigente sobre la materia.
Esta guía describe la práctica y la normativa de referencia; no es asesoramiento profesional ni sustituye el criterio del escribano que autoriza el acto. Las normas cambian: si el dato que le importa es un plazo, una alícuota o un umbral, contrólelo contra el texto vigente antes de usarlo. Si encuentra un error, escríbanos y lo corregimos con la fecha a la vista.
La respuesta correcta puede ser «todavía no»
Esta guía existe porque la pregunta es buena y casi nadie la contesta con las normas en la mano. Si le resulta útil, úsela para evaluar a cualquier proveedor —el nuestro incluido— con las nueve preguntas al lado.
Sin tarjeta de crédito. Sin renovación automática.
Y si encuentra un error o una norma que se nos pasó, escríbanos: se corrige con la fecha a la vista, como el resto de las guías.
El alta pide un código de invitación
Estamos abriendo de a pocos estudios por vez para acompañar cada incorporación como corresponde. Si todavía no tiene su código, déjenos su correo y le llega el suyo cuando abra el próximo lugar.
Para seguir
- ¿Qué controles de lavado de activos debe hacer un escribano uruguayo?
Qué obliga la Ley N.º 19.574 al escribano como sujeto obligado, qué operaciones quedan alcanzadas y qué documentación hay que conservar.
- ¿Qué debe contener una escritura de compraventa en Uruguay?
La anatomía del documento, parte por parte: qué función cumple cada tramo, qué dato entra en cuál y por qué el orden no es decorativo. No es un modelo para copiar y no lo va a ser: es el mapa para leer y controlar el que usted redacta.
- ¿Qué se revisa en un estudio de títulos?
Los pasos del estudio, por qué el plazo dejó de ser de treinta años en 2020 y cuáles son los cinco datos del título que más se transcriben mal a la escritura.