Gestorías

Análisis del sector — gestorías

Firma compuesta a partir de fuentes públicas. No corresponde a ningún cliente real.

La firma tipo

Si en la sala de espera hay alguien con una carpeta de plástico llena de papeles originales esperando su turno, este análisis describe tu gestoría. Es una firma compuesta a partir de webs de colegios profesionales, ofertas de empleo del sector y noticias sobre digitalización administrativa — no de un cliente concreto. Ninguna gestoría real se nombra ni queda identificable, y el rango de tamaño manejado aquí va de las 4 a las 15 personas, un equipo bastante más ajustado que el de una asesoría fiscal-laboral típica, porque buena parte del trabajo sigue siendo atención directa a quien entra por la puerta.

Áreas de trámite. Extranjería (NIE, TIE, renovaciones, arraigo, reagrupación familiar, nacionalidad por residencia), prestaciones y trámites ante la Seguridad Social (altas de autónomos, incapacidades, dependencia), tráfico, herencias y sucesiones, y subvenciones puntuales. A diferencia de una asesoría fiscal o de un despacho de abogados, aquí el cliente mayoritario suele ser una persona particular, no una empresa, y llega muchas veces sin cita previa conseguida por su cuenta ni medios para tramitar nada de forma electrónica.

Organigrama. Un gestor administrativo colegiado al frente —título profesional regulado, distinto del de asesor fiscal o abogado—, uno o dos oficiales especializados en extranjería o en Seguridad Social según la carga de la cartera, y el resto del equipo en atención al público y tramitación general. En las firmas más grandes del rango hay alguien dedicado a mantener al día el software de expedientes.

Quién dirige. El titular suele tener entre 40 y 65 años y ha construido su cartera de clientes durante años de confianza personal, no de contrato corporativo. Delega la introducción de datos y el primer filtro de documentación en el equipo, y con frecuencia delega también, sin llegar a saberlo del todo, en la herramienta que ese equipo usa para acelerar ese filtro.

Cómo se usa la IA hoy en este sector

El sector arrastra dos velocidades a la vez. Por un lado, han aparecido programas de gestión de expedientes pensados para extranjería que incorporan IA para revisar la documentación que sube el cliente y avisar de plazos: si un padrón supera los tres meses de antigüedad, si un pasaporte está a punto de caducar, si falta un sello. Por otro lado, para todo lo que ese software no cubre — entender una instrucción nueva de la Seguridad Social, resumir un cambio normativo, redactar un escrito de alegaciones — el gestor recurre a una IA generalista de la misma forma que cualquier oficina, sin que ese uso esté acotado por escrito en ningún sitio.

El propio Consejo General de Colegios de Gestores Administrativos ha señalado en público que la digitalización de los trámites solo funciona si va acompañada de profesionales cualificados que la apliquen bien, y ha pedido a la Administración notificaciones digitales más racionales — una forma de decir, desde dentro del propio colectivo, que automatizar sin supervisión no es la solución. Esa tensión no es exclusiva de la gestoría: la mayoría de las empresas españolas busca eficiencia con la IA sin medir después si la consigue [fuente: Adigital, informe IA en empresas españolas 2026, ya verificado en docs/estrategia/analisis-sectores.md, comprobado el 2026-08-28], y la falta de formación es la barrera que las propias empresas señalan con más frecuencia [fuente: KPMG, barreras de gobernanza IA, citado en docs/estrategia/analisis-sectores.md, comprobado el 2026-08-28]. En una gestoría ese vacío de formación tiene un matiz añadido: no lo sufre solo la empresa que lo permite, sino la persona cuyo expediente tramita.

Las tres tareas donde más se usa y menos se controla

1. Expedientes de extranjería. Validar con IA la documentación de un NIE, un TIE, una renovación de arraigo o una solicitud de nacionalidad implica manejar pasaporte, huella y datos que revelan el origen del solicitante — justo las categorías de dato que el RGPD protege de forma reforzada, ya sea por su condición biométrica o porque revelan origen étnico o racial [HN-13]. Subir esa documentación a una herramienta generalista sin verificar antes qué hace esa herramienta con lo que recibe no es un detalle técnico: es tratar datos de la categoría más protegida de todo el reglamento.

2. Prestaciones e incapacidades ante la Seguridad Social. Tramitar una incapacidad, una dependencia o un ingreso mínimo obliga a manejar datos de salud del solicitante, otra de las categorías especiales del art. 9 RGPD [HN-13]. Aquí el riesgo no es solo de protección de datos: una IA generalista que resume mal un requisito o da por vigente un baremo ya derogado puede llevar a presentar un expediente incompleto, y a diferencia de una empresa que puede corregir una liquidación, la persona que espera esa prestación no siempre tiene margen para esperar una segunda vuelta.

3. Recursos y alegaciones redactados con IA generalista. Un escrito de alegaciones o un recurso contra una resolución de Extranjería o de la Seguridad Social tiene plazos preclusivos: pasado el plazo, el derecho se pierde, no se aplaza. Pedirle a una IA generalista un borrador y presentarlo sin contrastarlo contra la normativa y el plazo concretos del expediente traslada al trámite administrativo el mismo problema que ya ha costado caro en el sector jurídico vecino — no es el mismo caso ni la misma profesión, pero ilustra bien cómo reacciona una institución cuando alguien confía en una IA sin verificarla (detalle en ventas/materiales/informe-sanciones-ia.md).

Qué está en juego

En una gestoría, «revisado» acaba significando «con el formato comprobado». El formulario está bien relleno, los campos coinciden con la plantilla, el sello está donde toca — y todo eso se puede verificar de un vistazo, así que se verifica. Lo que no se verifica es el dato concreto del expediente: si el NIE es el de este cliente y no el del anterior, si la fecha de la resolución es la que consta, si el importe corresponde a este caso. En un despacho, un escrito con un argumento raro chirría al leerlo. Aquí no chirría nada, porque el documento tiene exactamente el aspecto que debe tener.

Esa costumbre de mirar la forma y no el fondo no nace de la dejadez, nace de cómo se gana dinero en este sector. Un despacho factura pocas horas caras; una gestoría tramita muchos expedientes baratos. Ese volumen alto y ese margen bajo por expediente son justo lo que empuja a automatizar, y lo que hace que revisar a fondo cada uno resulte económicamente incómodo — no porque nadie quiera hacerlo bien, sino porque el negocio no está pensado para pagar ese tiempo expediente a expediente.

Aquí no se juega una multa. Se juega que las tres tareas anteriores afectan a personas particulares en trámites que la ley protege de forma expresa, y un error en ellos no siempre tiene vuelta atrás. Subir a una IA generalista el expediente de extranjería o de Seguridad Social de un cliente equivale, en la inmensa mayoría de los casos, a encargar a un tercero el tratamiento de esos datos: la ley exige elegir un encargado que ofrezca garantías suficientes [HN-15], darle instrucciones documentadas sobre qué puede hacer con esa información [HN-16] y comprobar que la borra cuando termina [HN-17]. Cuando esos datos son biométricos, de origen o de salud, como ocurre en la mayoría de los expedientes descritos arriba, la protección reforzada del RGPD entra en juego de forma directa [HN-13].

Guardar lo que se sabe de un cliente tampoco es obligación exclusiva de la abogacía o de la asesoría fiscal: el Código Penal castiga con carácter general a quien, por razón de su oficio o su profesión, divulgue secretos ajenos [HN-20], una previsión que arranca de la propia Constitución [HN-18]. Una gestoría conoce del cliente su origen, su salud y su historial administrativo completo — información al menos tan sensible como la que maneja cualquier despacho o asesoría.

Hay una línea clara entre lo que exige la norma y lo que es, sin más, el criterio propio de Epokan. Lo que exige la norma: desde el 2 de febrero de 2025, el artículo 4 del Reglamento de IA obliga a alfabetizar en IA a todo el personal, con una exigencia proporcional al puesto de cada persona [HN-01] [HN-03] [HN-04] — sin que eso implique garantizar un resultado idéntico para cada trabajador [HN-02], y sin dejar el diseño de esa formación al gusto de cada organización, porque la propia norma remite a marcos de competencias por rol y no a un curso único para todos [HN-09]. Quien recibe al cliente en el mostrador no necesita saber lo mismo que quien firma un recurso contra un plazo que no admite prórroga. Una gestoría capaz de mostrar, expediente a expediente, qué revisó una persona y qué propuso una IA queda en mejor posición no solo ante una inspección, sino ante el cliente cuyo expediente de extranjería o cuya prestación depende de ese trabajo.

Fuentes

Este análisis no incluye cifras propias del sector de gestorías: no existe un barómetro sectorial con fuente primaria verificable, y se ha preferido no citar ninguna antes que apoyarse en una fuente débil.

• Consejo General de Colegios de Gestores Administrativos de España, declaraciones públicas de su presidente sobre digitalización, simplificación normativa y notificaciones electrónicas — reproducidas en Demócrata: https://www.democrata.es/economia/gestores-administrativos-adelantar-administracion-europa/ (comprobado el 2026-08-28)
• El Confidencial Digital, sobre la tensión entre digitalización de Extranjería y atención presencial: https://www.elconfidencialdigital.com/judicial/articulo/rumor-de-togas/ia-revoluciona-extranjeria-mientras-citas-siguen-colapsadas/20260721050000019809.html (comprobado el 2026-08-28)
• Ejemplos de software para gestorías de extranjería, citados como ilustración de la oferta de mercado, no como fuente de datos cuantitativos: AccioGest, que en su propia web se posiciona hacia la automatización de trámites más que hacia la IA explícita (https://acciogest.com/blog/software-gestion-extranjeria-gestoria/), y GestoLab, que sí destaca la validación con IA en su propuesta (comprobado el 2026-08-28)
• Adigital y KPMG — ya citados y verificados en docs/estrategia/analisis-sectores.md (comprobado el 2026-08-28)
• producto/biblioteca/nucleo/HECHOS-NORMATIVOS.md: HN-01, HN-02, HN-03, HN-04, HN-09, HN-13, HN-15, HN-16, HN-17, HN-18, HN-20 (comprobado el 2026-08-28)
• ventas/materiales/informe-sanciones-ia.md, citado como sector vecino ilustrativo, no como caso equivalente

Estudio de herramientas — gestorías

Este estudio parte del trabajo real de la firma tipo (00-analisis-del-sector.md), no de lo primero que devuelve un buscador. El análisis del sector ya señaló que aquí el documento con un dato mal transcrito tiene el mismo aspecto que uno correcto, y que el plazo lo marca la Administración, no la gestoría: por eso cada categoría que sigue mira primero qué pasa cuando ese dato viene mal antes de mirar qué tan bien redacta la herramienta.

Cada dato de producto se ha comprobado en la web del propio fabricante y lleva fecha; cuando una condición relevante no está publicada, la tabla dice "no publicado, preguntar antes de contratar" en lugar de dar por buena una suposición.

Las dos categorías, y por qué estas y no otras

De las tres tareas de mayor riesgo que señala el análisis del sector, dos tienen hoy un proveedor que publica estas garantías: la lectura de documentación de extranjería que incorpora datos biométricos y de origen [HN-13], y la redacción de recursos o alegaciones con plazo preclusivo hecha con un asistente generalista sin control. De ahí las dos categorías de este estudio. La tercera —prestaciones e incapacidades ante la Seguridad Social— no dispone de ese proveedor, y por eso no tiene ficha aquí. No hay una categoría para tráfico porque, aunque es un área de trámite del sector, el análisis no la señaló como tarea de riesgo; y la atención por WhatsApp con avisos de cita, que en otros sectores sería una categoría propia, aquí ya viene integrada como un módulo más del software de gestión de expedientes, no como un producto aparte que compita por sí solo.

Categoría: Software de gestión de expedientes de extranjería, con lectura automática de documentos (IA)

Para qué sirve: el cliente sube desde el móvil o por WhatsApp su pasaporte, empadronamiento o contrato, la IA extrae los datos, avisa si un documento está a punto de caducar o si un dato no encaja, y rellena el formulario EX correspondiente para que el gestor solo lo revise antes de presentarlo. Es la tarea de mayor riesgo del sector: estos documentos incorporan con frecuencia datos biométricos y de origen, categorías especiales de datos que el RGPD protege de forma reforzada [HN-13].

Herramientas que dominan en España: GestoLab y Aproba, ambas nacidas para el mercado español de extranjería y con precio publicado por planes.

Criterios de elección:

Fuentes de la tabla, comprobadas el 2026-08-29: GestoLab (gestolab.com), Aproba (aproba-software.com).

Precio de GestoLab: plan Básico desde 79 €/mes, Pro 99 €/mes, Empresa 199 €/mes, facturación mensual con descuento por pago anual [fuente: gestolab.com, comprobado el 2026-08-29].

Precio de Aproba: plan Starter 49 €/mes más IVA (20 expedientes/mes), Pro 99 €/mes más IVA (50 expedientes/mes), Business 199 €/mes más IVA (expedientes ilimitados) [fuente: aproba-software.com, comprobado el 2026-08-29].

Qué riesgo introduce: aquí un error no chirría, porque el formulario EX generado tiene exactamente el aspecto que debe tener; lo que falla es un dato dentro de él, y ese dato solo se descubre cuando la Administración lo rechaza o cuando ya pasó el plazo para corregirlo. Subir esa documentación a un proveedor sin verificar antes qué garantías ofrece equivale, casi siempre, a encargar a un tercero el tratamiento de datos de un cliente, y eso trae consigo tres condiciones que la norma no deja al gusto de cada proveedor: que sea uno que ofrezca garantías suficientes [HN-15], que reciba por escrito qué puede y qué no puede hacer con esos datos [HN-16], y que los elimine al terminar el servicio en lugar de conservarlos sin plazo [HN-17].

Cómo usarla sin meterse en un problema: pedir por escrito, antes de firmar, las cinco columnas de esta tabla en la versión que cada proveedor no publica por iniciativa propia, y comparar el dato del expediente con el documento original antes de presentar el trámite, no después de que la IA lo dé por bueno.

Categoría: Asistentes generalistas usados sin control

Para qué sirve: redactar un escrito de alegaciones contra una resolución de Extranjería, un recurso ante la Seguridad Social o la respuesta a un cliente que pregunta por su expediente, con un asistente de IA generativa de propósito general. Es el segundo riesgo señalado por el análisis del sector: estos plazos son preclusivos y, a diferencia de una liquidación que se puede corregir después, el derecho perdido por un recurso presentado tarde no tiene vuelta atrás.

Herramientas que dominan en España: Microsoft 365 Copilot, integrado en Word y Outlook, y ChatGPT Business, de OpenAI.

Criterios de elección:

Fuentes de la tabla, comprobadas el 2026-08-29: Microsoft Learn (learn.microsoft.com/es-es/copilot/microsoft-365/microsoft-365-copilot-privacy), OpenAI (openai.com/business-data, openai.com/enterprise-privacy; contenido de estas dos últimas contrastado vía motor de búsqueda, verificar de nuevo antes de contratar).

Precio de ChatGPT Business: 25 USD por usuario y mes con facturación mensual, 20 USD por usuario y mes con facturación anual, mínimo de dos puestos [fuente: openai.com/business/chatgpt-pricing; contenido contrastado vía motor de búsqueda, verificar de nuevo antes de contratar, comprobado el 2026-08-29].

Qué riesgo introduce: que un borrador con tono seguro pase por criterio ya contrastado sin que nadie lo compare con el expediente concreto: si el NIE es el de este cliente y no el del anterior, si la fecha de la resolución impugnada es la que consta, si el plazo que cita la IA sigue vigente o ya cambió con la última instrucción de la Seguridad Social. Además, el gestor administrativo conoce del cliente su origen, su salud y su situación administrativa completa, y el secreto profesional no es exclusivo de la abogacía: revelar secretos ajenos conocidos por razón del oficio es delito general en el Código Penal [HN-20], con raíz en la Constitución [HN-18].

Cómo usarla sin meterse en un problema: ningún borrador sustituye la revisión de quien firma el escrito ante la Administración, y pegar el expediente completo de un cliente en el cuadro de texto de un asistente generalista es, casi siempre, encargarle a un tercero un tratamiento de datos sin haberlo instruido por escrito sobre qué puede hacer con ellos [HN-16].

Qué obliga la ley y qué es criterio de Epokan

Toda referencia [HN-xx] de este documento es texto normativo comprobado contra su fuente oficial, no una lectura propia. Que un documento de extranjería contenga datos biométricos o de origen protegidos de forma reforzada, o que un encargado deba tratar los datos siguiendo instrucciones documentadas y borrarlos al terminar, lo dice la norma y puede comprobarse en producto/biblioteca/nucleo/HECHOS-NORMATIVOS.md.

Lo que sí es criterio de Epokan es no dar por buena la palabra de ningún proveedor sin comprobarla en su propia web, y comparar cada dato del expediente con el documento original antes de presentarlo, no después. Ningún artículo obliga a pedir estas cinco columnas en este formato exacto. Pero cuando el dato que falla no se ve a simple vista y el plazo para corregirlo lo marca la Administración y no la gestoría, tratar esa comprobación como un lujo opcional es la forma más fácil de convertir un trámite rutinario en un derecho perdido.

Fuentes

Los proveedores de producto (GestoLab, Aproba, Microsoft Learn, OpenAI) llevan su cita y su fecha dentro de la tabla correspondiente. Los hechos normativos citados con [HN-xx] están en producto/biblioteca/nucleo/HECHOS-NORMATIVOS.md: HN-13, HN-15, HN-16, HN-17, HN-18, HN-20. La firma tipo y los dos riesgos que justifican las categorías vienen de 00-analisis-del-sector.md.

Mapa de roles y riesgo — gestorías

Cómo se decide el riesgo de un puesto

El nivel de riesgo de un puesto no se decide por la impresión de que su trabajo "parece delicado". Se decide respondiendo, para cada rol, las tres mismas preguntas:

1. ¿El puesto decide algo sobre una persona? Tramitar un NIE, una reagrupación familiar o una incapacidad cambia la situación real de alguien. Introducir una factura en el programa de contabilidad, no.
2. ¿El resultado sale de la gestoría? Un borrador que se queda dentro, pendiente de que otra persona lo revise, arriesga menos que un formulario que llega a Extranjería, a la Dirección General de Tráfico o al organismo que resuelve una subvención.
3. ¿Hay revisión antes de firmar? Es la pregunta que más mueve el riesgo real. La misma tarea hecha con IA es de riesgo bajo si alguien la contrasta contra el expediente antes de presentarla, y de riesgo alto si esa revisión no existe o llega demasiado tarde para servir de algo.

Un puesto es de riesgo alto solo cuando las tres respuestas empujan hacia el riesgo a la vez: decide sobre una persona, el resultado sale de la gestoría, y nadie lo revisa a tiempo con garantías. Con una sola respuesta o con dos, el riesgo baja a medio o a bajo — no porque la tarea deje de importar, sino porque hay un punto de la cadena que la contiene antes de que llegue a alguien fuera de la gestoría. No hay una cuarta pregunta ni una cláusula que sume dos respuestas parciales para forzar un nivel alto: si un puesto preocupa pero solo dos de las tres preguntas empujan, se queda en medio, y la gravedad se explica en el texto, no se cuela en el nivel.

El volumen de expedientes que maneja un puesto no cambia esta valoración: quien tramita extranjería puede llevar cientos de expedientes con datos biométricos al año y quien contabiliza facturas puede llevar solo unas pocas decenas al mes, y eso no sube ni baja el nivel de riesgo de ninguno de los dos — cambia qué módulo de formación necesita cada uno con más profundidad, una decisión ya tomada en el mapa de despachos y que aquí se mantiene igual.

Las columnas del mapa remiten al núcleo de la biblioteca: N1 (qué exige el artículo 4), N2 (cómo falla la IA generativa al dar por buena una norma derogada o un baremo caducado con el mismo tono seguro que uno vigente), N3 (confidencialidad y secreto profesional), N4 (supervisión humana antes de firmar) y N5 (evaluación y trazabilidad de qué generó la IA y quién lo revisó). No todos los roles necesitan los cinco módulos con la misma profundidad, y esa diferencia es justo lo que muestra la tabla siguiente.

El mapa

Las tres columnas centrales — si el puesto decide sobre una persona, si el resultado sale de la gestoría, si hay revisión antes de firmar — no describen ninguna gestoría real: son las respuestas de la firma tipo de 00-analisis-del-sector.md, un negocio de entre 4 y 15 personas con plazos preclusivos y donde revisar tiende a significar comprobar que el formulario tiene el aspecto correcto, no que el dato que contiene sigue vigente. Lo que muestran es cómo las tres preguntas anteriores, aplicadas con el mismo criterio fila a fila, llegan a un nivel de riesgo — no un hallazgo verificado sobre ningún puesto concreto. En un diagnóstico real esas respuestas las da la propia gestoría, rol a rol, y pueden no parecerse a las de aquí.

Respuestas de la firma tipo. En un diagnóstico real las da la gestoría.

Este mapa aplica el mismo criterio a los cinco puestos del organigrama tipo descrito en 00-analisis-del-sector.md. Contable-fiscal (R4) no aparece descrito en ese análisis ni en 01-estudio-de-herramientas.md: donde las fuentes no describen el puesto, esta tabla lo dice así en lugar de suponerlo.

Los puestos de mayor riesgo

Dos puestos de este mapa tienen sus tres preguntas empujando hacia el riesgo a la vez, sin que ningún punto de la cadena las contenga antes de llegar fuera de la gestoría: tramitación (R2) y laboral (R3).

R2 decide sobre una persona real cada vez que abre un expediente de extranjería: un NIE, un TIE o una reagrupación familiar cambian la situación legal de alguien, y ese expediente suele incorporar huella, pasaporte y datos que revelan el origen del solicitante — justo las categorías de dato que el RGPD protege de forma reforzada [HN-13]. El resultado sale directo hacia Extranjería, Tráfico o el organismo que resuelve la subvención, no hacia una bandeja de revisión interna, y el plazo para corregir un error lo pone la Administración, no la gestoría: si se descubre tarde, el trámite caduca, se archiva o hay que empezar de nuevo. Eso vacía de sentido la tercera pregunta tal y como se plantea en otros sectores, porque aquí una revisión que llega después del plazo no es una revisión, es un lamento. Y la revisión que sí llega a tiempo tiende a mirar la forma: como el volumen es alto y el margen por expediente es bajo, el hábito que se instala es comprobar que el formulario EX tiene el aspecto correcto, no que el NIE o la fecha que contiene son los de este cliente y no los del anterior. Un escrito con un argumento raro se nota al leerlo en un despacho; un formulario con un dato mal transcrito no se nota en una gestoría, porque el documento tiene exactamente el aspecto que debe tener.

R3 también decide sobre una persona real: una incapacidad, una dependencia o un ingreso mínimo mal tramitados cambian el ingreso o la cobertura de alguien, y el expediente incorpora datos de salud, categoría especial del mismo artículo del RGPD [HN-13]. El resultado sale directo a la Seguridad Social, sin bandeja de revisión interna de por medio. Y en la firma tipo tampoco lo contiene la tercera pregunta: nadie contrasta el requisito o el baremo que cita la IA con la versión vigente antes de presentar — el mismo hábito de mirar la forma y no el fondo que ya describe el análisis del sector para el resto del trámite, y que aquí deja pasar un baremo derogado con el mismo aspecto correcto que uno vigente. Con las tres respuestas empujando a la vez, R3 se suma a Alto igual que R2 — no porque su tarea se parezca más a la de R2 de lo que ya se parecía, sino porque tampoco aquí hay, en la firma tipo, una revisión que lo frene a tiempo.

Qué obliga la ley y qué es criterio de Epokan

El artículo 4 del Reglamento de IA es aplicable desde el 2 de febrero de 2025 [HN-03]. Es una obligación de medios, no de resultado medible: exige "adopta[r] medidas para apoyar" la alfabetización, y el propio artículo aclara que eso "no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular" [HN-02]. Tampoco deja el diseño de esa formación al gusto de cada gestoría: encarga al Consejo de IA recomendaciones que tengan en cuenta los marcos europeos de competencias, lo que empuja a organizar la formación por rol y por competencia, no como un curso único para todo el equipo [HN-09] — quien recibe al cliente en el mostrador no necesita lo mismo que quien presenta un formulario EX con un plazo que no admite prórroga.

La ley no entra en cuánto módulo necesita cada uno de los cinco puestos de este mapa, ni con qué hondura. Ese reparto concreto lo fija Epokan mirando lo que cada rol hace de verdad con la IA en esta gestoría: R2 se lleva los cinco módulos porque su expediente combina dato biométrico, plazo preclusivo y revisión de formato; R4 se queda con dos porque, con lo que hoy hay documentado de ese puesto, no hay indicio de que decida sobre la situación de nadie ni de que su asiento salga de la gestoría; y R1, que decide qué IA compra el resto del equipo pero no maneja expedientes con dato biométrico ni de salud, no necesita N2 ni N3 con la misma hondura que sus compañeros de mostrador o de trámite.

Subir el expediente de extranjería o de Seguridad Social de un cliente a una herramienta de IA equivale, en la inmensa mayoría de los casos, a encargar a un tercero el tratamiento de esos datos: la norma exige elegir "únicamente un encargado que ofrezca garantías suficientes" [HN-15], que ese encargado trate los datos "únicamente siguiendo instrucciones documentadas del responsable" [HN-16], y que los suprima o devuelva al terminar el servicio, salvo que otra norma exija conservarlos [HN-17]. Ninguna de las tres condiciones dice qué cláusula concreta cubre el uso de IA sobre datos biométricos o de salud — eso lo decide quien negocia el contrato con GestoLab, Aproba o el proveedor del asistente generalista que se use.

El secreto profesional, además, no es exclusivo de la abogacía: revelar secretos ajenos conocidos por razón del oficio es delito general en el Código Penal, tanto si se conocen "por razón de su oficio o sus relaciones laborales" [HN-20] como si media una obligación de sigilo propia de una profesión regulada como la de gestor administrativo, con raíz en la garantía constitucional del secreto profesional [HN-18]. Una gestoría conoce del cliente su origen, su salud y su historial administrativo completo — información al menos tan sensible como la que maneja cualquier despacho o asesoría, aunque el cliente aquí sea casi siempre una persona particular y no una empresa.

Fuentes

• Reglamento (UE) 2024/1689, art. 4 — [HN-02] [HN-03] [HN-09], verificado el 2026-08-28.
• Reglamento (UE) 2016/679 (RGPD), arts. 9.1 y 28 — [HN-13] [HN-15] [HN-16] [HN-17], verificado el 2026-08-28.
• Ley Orgánica 10/1995, del Código Penal, art. 199, y Constitución Española, art. 24.2 — [HN-18] [HN-20], verificado el 2026-08-28.
• producto/biblioteca/nucleo/HECHOS-NORMATIVOS.md — filas HN-02, HN-03, HN-09, HN-13, HN-15, HN-16, HN-17, HN-18, HN-20, comprobadas el 2026-08-28.
• 00-analisis-del-sector.md — firma tipo, tareas de mayor riesgo y el rasgo propio del sector (un dato mal transcrito no chirría, el plazo lo pone la Administración).
• 01-estudio-de-herramientas.md — herramientas asignadas a cada puesto en este mapa (GestoLab, Aproba, Microsoft 365 Copilot, ChatGPT Business).

Fichas de rol

R1 — Gerencia

Especificaciones del puesto

Gerencia decide qué herramientas de inteligencia artificial entran en la gestoría — GestoLab, Aproba o un asistente generalista de redacción — y negocia el alta con cada proveedor. No tramita el expediente de ningún cliente: esa carga la reparte entre R2, R3 y R4, y su papel se limita a decidir con qué software van a trabajar y a revisar, de cuando en cuando, el resultado del equipo. Sí redacta o revisa, con un asistente generalista, comunicaciones que salen con su firma hacia el colegio profesional, además de los informes internos de gestión que se quedan dentro de la gestoría.

Dónde entra la IA en sus tareas

Antes de dar el alta a GestoLab o Aproba, gerencia tendría que resolver una pregunta que ninguna de las dos webs contesta con la misma claridad: dónde residen los datos y si el proveedor reentrena su modelo con ellos. GestoLab dice tener servidores en la Unión Europea pero no concreta país ni proveedor de infraestructura, y no publica si reentrena; Aproba sí declara por escrito que los documentos del cliente no alimentan ningún entrenamiento, y enlaza desde su propia web el contrato de encargado de tratamiento que firma con cada gestoría. Subir el expediente de un cliente a cualquiera de las dos equivale, en la práctica, a encargar a un tercero el tratamiento de esos datos [HN-15], lo que exige que el contrato documente instrucciones específicas sobre qué hace el proveedor con ellos [HN-16] y qué ocurre cuando termina la relación [HN-17] — tres condiciones que gerencia es quien tiene que exigir por escrito antes de firmar, no después.

Nivel de riesgo y por qué

El mapa sitúa a R1 en riesgo bajo. No es un veredicto sobre esta gestoría concreta: es la respuesta que la firma tipo da a las mismas tres preguntas que se hacen los otros cuatro puestos. Gerencia decide sobre el equipo — quién entra, con qué IA trabaja —, pero no tramita el expediente de un cliente concreto; parte de lo que redacta se queda dentro de la gestoría, y lo que sale hacia el colegio profesional rara vez pasa antes por una segunda persona, porque es él quien revisa el trabajo ajeno.

Aprendizajes individuales

Lo que corresponde solo a este puesto: primero, qué exigir por escrito a GestoLab o Aproba antes de dar de alta el programa que va a tocar el expediente de todos los clientes de la gestoría — dónde residen los datos, si se reentrena con ellos, y qué cláusula cubre el borrado al terminar el contrato — sin dar por resuelta la pregunta solo porque una de las dos webs suene más tranquilizadora que la otra. Segundo, qué hacer cuando un error de R2 o R3 llega a gerencia después de que el plazo administrativo ya ha vencido: en este sector, un aviso tardío no permite corregir nada, así que lo único que gerencia puede decidir en ese momento es cómo informar al cliente y si cabe todavía un recurso, no cómo evitar el error ya cometido. Tercero, montar el circuito de revisión que hoy falta sobre las propias comunicaciones al colegio profesional, en vez de asumir que dirigir la gestoría sustituye una segunda lectura. Ninguno de los tres depende de tramitar un expediente concreto, que es justo lo que distingue a este puesto de R2, R3, R4 y R5.

Itinerario

Módulos N1, N4 y N5, en ese orden. N1 primero: la base común sobre qué exige de verdad el marco normativo antes de trasladarlo al resto del equipo. Después N4, supervisión humana efectiva, para diseñar el circuito de revisión que hoy no cubre el trabajo del propio gerente. Cierra N5, evaluación y trazabilidad: el registro de qué se contrató, con qué garantías y quién lo aprobó, que sostiene cualquier respuesta futura frente a un cliente o un colegio profesional.

R2 — Tramitación (tráfico, extranjería, subvenciones)

Especificaciones del puesto

Tramitación lleva los expedientes de extranjería, tráfico, subvenciones y recursos contra una resolución. Para el expediente de extranjería carga en GestoLab o en Aproba lo que envía el cliente — con frecuencia una foto por WhatsApp — y deja que el sistema lo lea, calcule el plazo y complete el formulario EX; para tráfico, subvenciones y recursos, en cambio, se apoya en un asistente generalista de redacción. Es, de los cinco puestos, el que trabaja con mayor volumen y menor margen por expediente: un NIE, un TIE o una reagrupación familiar cambian la situación legal real de alguien, y el ritmo de trabajo no deja demasiado tiempo para pararse en cada uno.

Dónde entra la IA en sus tareas

El expediente de extranjería incorpora con frecuencia datos biométricos y de origen, dentro de las categorías especiales que el RGPD protege con una base específica [HN-13]. El "Copiloto de extranjería" de GestoLab acompaña cada respuesta con la norma en que se apoya — la LOEx, el RD 1155/2024 —, pero no aclara si enlaza al texto oficial ni si permite comprobar el pasaje exacto que cita; Aproba, en cambio, no ofrece respuestas con referencia normativa, solo extracción y validación documental. La vía habitual de entrada es WhatsApp, un canal que llega sin metadatos claros sobre a qué expediente pertenece cada foto o PDF, lo que traslada a quien tramita la responsabilidad de emparejar cada documento con el cliente correcto antes de que la IA lo lea.

Nivel de riesgo y por qué

El mapa sitúa a R2 en riesgo alto: las tres preguntas empujan a la vez, sin que nada de la cadena las frene antes de que el expediente salga de la gestoría. Decide sobre una persona real, el resultado va directo a Extranjería, Tráfico o el organismo que resuelve la subvención, y el plazo lo fija la Administración, no la gestoría — así que una revisión que llega tarde no corrige nada, el trámite ya ha caducado. Y la revisión que sí llega a tiempo, en un puesto de volumen alto y margen bajo, tiende a comprobar que el formulario tiene el aspecto correcto, no que el NIE o la fecha de este expediente en concreto son los que corresponden.

Aprendizajes individuales

Lo propio de este puesto: primero, un protocolo para emparejar cada documento que llega por WhatsApp con el expediente y el cliente correctos antes de que la IA lo procese, porque el canal informal no arrastra esa garantía por sí solo. Segundo, cómo comprobar el pasaje normativo que cita el Copiloto de extranjería de GestoLab contra el texto oficial de la LOEx o el RD 1155/2024, en vez de dar por buena la cita solo porque la respuesta suene segura. Tercero, qué hacer cuando un error se descubre después de que el plazo de Extranjería, Tráfico o el organismo correspondiente ya ha vencido: a diferencia de un borrador que se corrige antes de salir, aquí el trámite caducado no siempre admite un segundo intento, y hace falta un protocolo para lo que sí queda por hacer — informar al cliente, valorar un recurso — en vez de limitarse a apuntar el error para la próxima vez. Ninguno de los tres pesa igual en R1, R3, R4 o R5, porque ninguno de ellos trabaja contra un plazo que, una vez vencido, no da segundas oportunidades.

Itinerario

Los cinco módulos, con este orden: N1 primero, la base normativa común. Después N3, confidencialidad y RGPD, porque el dato biométrico y de origen aparece en la mayoría de los expedientes de este puesto y conviene fijar ese criterio pronto. Sigue N2, cómo falla por defecto la IA generativa, en particular al citar una norma sin garantizar el pasaje exacto. Después N4, supervisión humana efectiva, centrado en revisar el dato contra el expediente y no solo el aspecto del formulario. Cierra N5, evaluación y trazabilidad: el registro de qué expediente se tramitó con qué herramienta y quién lo validó, la única defensa disponible cuando un trámite caduca y hay que reconstruir qué pasó.

R3 — Laboral

Especificaciones del puesto

Laboral gestiona el alta de autónomos y las solicitudes de incapacidad y dependencia que se presentan ante la Seguridad Social; cuando la Seguridad Social deniega la prestación o se retrasa en resolverla, recurre a un asistente generalista para redactar el escrito de recurso. A diferencia de R2, que trabaja sobre todo con documentación y plazos administrativos, este puesto decide sobre una prestación concreta: la solicitud que presenta este mes puede depender de un requisito o un baremo que cambia con el ejercicio, y de eso depende que la Seguridad Social la resuelva a favor o en contra.

Dónde entra la IA en sus tareas

El expediente de una incapacidad o una dependencia incluye con frecuencia datos de salud, una de las categorías especiales que el RGPD protege con una base de tratamiento específica [HN-13]. El asistente generalista que redacta el escrito de recurso no está entrenado sobre baremos ni requisitos actualizados de la Seguridad Social: escribe con el mismo tono seguro tanto si el requisito que cita sigue vigente como si corresponde a una versión anterior, y nada en la herramienta distingue una cosa de otra por sí sola.

Nivel de riesgo y por qué

El mapa sitúa a R3 en riesgo alto. Decide sobre una prestación real de una persona real, con datos de salud de por medio, y el resultado llega directo a la Seguridad Social sin pasar antes por una bandeja de revisión interna. Lo que falla es la tercera pregunta: en la firma tipo nadie contrasta el requisito o el baremo que cita el asistente con la versión vigente antes de presentar, porque la revisión que existe se fija en si el escrito tiene el aspecto correcto, no en si el dato normativo que contiene sigue siendo el que toca este ejercicio.

Aprendizajes individuales

Lo propio de este puesto: primero, un hábito de contraste que no dependa de una segunda persona, porque en este puesto esa segunda revisión con frecuencia no existe — comprobar el requisito o el baremo de incapacidad o dependencia contra la versión vigente del ejercicio en curso antes de presentar, no antes de firmar. Segundo, qué instrucción documentada exigir cuando el expediente incluye datos de salud, porque el asistente generalista no distingue por diseño esa categoría especial de cualquier otro dato del cliente. Tercero, cómo actuar si la Seguridad Social ya ha resuelto sobre un requisito desactualizado: a diferencia de una nómina que se corrige el mes siguiente, una prestación denegada o mal calculada puede exigir un recurso completo, no una simple corrección. Ninguno de los tres pesa igual en R1, R2, R4 o R5, porque ninguno de ellos presenta cada semana una solicitud que depende de un baremo que cambia de un ejercicio a otro.

Itinerario

Cuatro módulos, en este orden: N1 primero, la base normativa común. Después N3, confidencialidad y RGPD, por el dato de salud que aparece con frecuencia en este expediente. Sigue N2, cómo falla por defecto la IA generativa al redactar sobre un requisito o un baremo que puede haber cambiado. Cierra N4, supervisión humana efectiva, centrado en el hábito de contraste que aquí no siempre respalda una segunda persona. El mapa no suma aquí un módulo de evaluación y trazabilidad: sin una bandeja de revisión intermedia por la que pase cada solicitud, hay menos flujo de expedientes que registrar aquí que en R2, donde el volumen y el número de organismos destinatarios sí lo justifican.

R4 — Contable-fiscal

Especificaciones del puesto

Contable-fiscal carga en el software de gestión las facturas y la documentación contable de autónomos y pequeñas empresas clientas, con un lector de texto (OCR) que ayuda a clasificar cada línea como gasto o como ingreso. Es lo único que dicen de este puesto tanto el análisis del sector como el estudio de herramientas: ninguno de los dos documentos describe si ese asiento sale de la gestoría antes de una presentación, quién lo revisa, o si el puesto llega a decidir algo sobre la situación de un cliente. Esta ficha no completa esos huecos con lo verosímil: los deja en blanco, tal y como los deja el mapa que la sostiene.

Dónde entra la IA en sus tareas

El OCR lee el importe, la fecha y el tipo de IVA de una factura escaneada o fotografiada y propone una clasificación de gasto o ingreso. Ni el análisis del sector ni el estudio de herramientas nombran el programa concreto que usa este puesto ni el proveedor del motor de reconocimiento, así que tampoco hay fuente sobre dónde residen esos datos contables ni si se usan para entrenar nada. Lo único verificable es la propia naturaleza de la tarea: un OCR que lee mal un dígito no cambia el aspecto de la factura ni del asiento contable resultante, que sigue viéndose perfectamente normal.

Nivel de riesgo y por qué

El mapa sitúa a R4 en riesgo bajo, con una salvedad que no comparte ningún otro puesto de este sector: en las tres preguntas centrales, la respuesta no es "no" ni "a veces", es "no documentada", porque ni el análisis del sector ni el estudio de herramientas perfilan este puesto lo bastante como para contestarlas. El riesgo bajo describe aquí lo poco que hoy se sabe, no una comprobación de que este puesto sea seguro. Esto no se cambia: donde la fuente calla, esta ficha calla con ella, en vez de suponer una respuesta razonable.

Aprendizajes individuales

Lo que sí puede trabajarse con lo que hoy se sabe de este puesto: primero, un hábito de contraste específico del OCR — comprobar el importe, la fecha y el tipo de IVA que propone la herramienta contra la factura original antes de dar el asiento por bueno, porque un dígito mal leído produce un número con el mismo aspecto que uno correcto. Segundo, qué preguntar al proveedor del software de gestión sobre este módulo en concreto cuando llegue el diagnóstico, ya que ni el análisis del sector ni el estudio de herramientas lo cubren todavía. Tercero, y distinto de los otros cuatro puestos: no dar por cerrado el nivel de riesgo de este puesto hasta que el diagnóstico lo perfile, porque aquí, a diferencia de R1, R2, R3 o R5, la propia firma tipo no tiene todavía una respuesta que estipular.

Itinerario

Dos módulos, N1 y N3, en ese orden. N1 primero, la base normativa común, igual que en los otros cuatro puestos. Después N3, confidencialidad, porque aunque no haya fuente sobre a quién sale este asiento contable, sí se sabe que maneja documentación económica de clientes, y ese dato mínimo basta para justificar el módulo. El mapa no suma aquí módulos sobre los fallos de la IA generativa, la supervisión humana o la trazabilidad: no porque el diagnóstico haya comprobado que no hacen falta, sino porque, con lo que hoy hay documentado, no hay indicio en qué apoyar la asignación — y ese es exactamente el hueco que el diagnóstico real, no este mapa, tiene que rellenar.

R5 — Atención al cliente

Especificaciones del puesto

Atención al cliente resuelve dudas que llegan en persona, por teléfono y por WhatsApp, y se apoya en un asistente generalista para redactar la respuesta cuando toca explicar por escrito en qué punto está un expediente o qué exige un trámite concreto. A diferencia de su equivalente en una asesoría, que responde casi siempre por escrito, aquí buena parte de la información se da de viva voz o por un canal informal, y solo una parte de lo que se dice queda registrado en algún sitio.

Dónde entra la IA en sus tareas

Para redactar por escrito — un mensaje de WhatsApp, un correo de seguimiento — este puesto recurre a un asistente generalista de redacción, el mismo tipo de herramienta que usa el resto del equipo para tareas de escritura fuera de GestoLab o Aproba. El asistente no conoce el estado real del expediente del cliente salvo que alguien se lo traslade en la conversación, así que redacta con el mismo tono seguro tanto si quien le dicta el dato tiene razón como si se equivoca, sin distinguir una cosa de otra.

Nivel de riesgo y por qué

El mapa sitúa a R5 en riesgo medio. No decide directamente sobre la situación de nadie — es el propio cliente quien decide qué hacer con la información que recibe —, pero lo que dice sale siempre hacia fuera, a menudo por escrito, y en un equipo de este tamaño quien redacta con IA suele enviarlo sin que nadie más lo revise antes.

Aprendizajes individuales

Lo propio de este puesto: primero, cómo dejar constancia de lo que se dice por teléfono o en persona, no solo de lo que se escribe, porque a diferencia de un correo, una respuesta verbal sobre un plazo o un requisito no deja rastro si nadie la anota — y un plazo mal comunicado de palabra caduca igual que uno mal tramitado por escrito. Segundo, qué hacer antes de trasladar al cliente un dato sobre su propio expediente que en realidad depende de R2 o R3: confirmar el estado real antes de redactar la respuesta, en vez de fiarse de lo que el asistente propone completar por su cuenta. Tercero, un criterio mínimo específico para el canal de WhatsApp, distinto del correo: cómo verificar con quién se habla antes de dar cualquier dato de un expediente, porque el canal no ofrece por sí solo esa garantía. Ninguno de los tres pesa igual en R1, R2, R3 o R4, porque ninguno de ellos atiende directamente, y por tres canales distintos, a la persona cuyo expediente está en juego.

Itinerario

Cuatro módulos, en este orden: N1 primero, la base normativa común. Después N2, cómo falla por defecto la IA generativa al redactar con un tono seguro que no distingue un dato confirmado de uno que el propio cliente o el asistente dan por hecho. Sigue N3, confidencialidad, porque cualquiera de los tres canales puede arrastrar datos de un expediente concreto, incluida la conversación de WhatsApp. Cierra N4, supervisión humana efectiva, con atención a cómo construir un hábito de contraste cuando, en un equipo pequeño, no hay una segunda persona que revise antes de responder.