¿Es seguro pasar datos de clientes
por herramientas gratuitas de documentos?

Subir el archivo de un cliente cambia su función legal

Entregar el documento de un cliente a una herramienta gratuita cambia su función: de custodiar documentación pasa a divulgarla, y ese cambio es lo que la mayoría de los consejos sobre herramientas gratuitas omiten. El documento no es suyo. Usted lo custodia bajo un deber profesional de confidencialidad, y en el momento en que lo coloca en el servidor de un tercero, ha realizado una divulgación que las normas consideran suya para justificar.

El Instituto Americano de Contadores Públicos Certificados traza la línea en el Código de Conducta Profesional de la AICPA. La Regla 1.700.001, la Regla de Información Confidencial del Cliente, establece que un miembro en ejercicio público no divulgará información confidencial del cliente sin el consentimiento específico de este. La interpretación que rige su consulta es la 1.700.040, sobre la divulgación de información a un proveedor de servicios externo. Parte de la premisa de que su uso puede amenazar el cumplimiento normativo y ofrece solo dos salidas: celebrar un acuerdo contractual que obligue al proveedor a mantener la información confidencial, u obtener el consentimiento específico del cliente antes de la divulgación. Una herramienta web gratuita con la que nunca firmó un contrato es el caso contra el que advierte la interpretación.

Los datos fiscales son aún más restrictivos. Según la Sección 7216 del Código de Rentas Internas, un preparador de declaraciones de impuestos que divulga a sabiendas o por imprudencia información proporcionada para la preparación de una declaración es culpable de un delito menor, con una multa de hasta $1,000 o hasta un año de prisión. Una sanción civil conforme a la Sección 6713 añade $250 por cada divulgación no autorizada, con un tope de $10,000 en un año calendario. La categoría es amplia: cubre la información suministrada en relación con la preparación de una declaración, y la identidad del cliente y sus documentos de ingresos son exactamente eso.

La relación también está regulada. La Ley Gramm-Leach-Bliley y la Regla de Salvaguardas de la Comisión Federal de Comercio clasifican a los profesionales de impuestos y contabilidad como instituciones financieras, lo que les obliga a mantener un plan escrito de seguridad de la información, conocido como WISP. El IRS establece que el plan debe hacer más que proteger su propia oficina. Requiere que usted seleccione proveedores de servicios que puedan mantener salvaguardas adecuadas y se asegure de que su contrato exija al proveedor mantenerlas. Elegir la herramienta es parte del plan, no una decisión separada.

Lo que está en juego no es teórico. En agosto de 2025, el IRS y sus socios de Security Summit informaron que en la primera mitad del año se produjeron casi 300 filtraciones de datos que afectaron a hasta 250,000 clientes (IRS IR-2025-88). Los pequeños despachos son objetivos precisamente porque los datos están concentrados y las salvaguardas son escasas.

Los profesionales ya perciben el intercambio. Cuando un contador compartió un conversor gratuito de estados de cuenta bancarios en r/quickbooksonline, la respuesta fue contundente: "Ten cuidado al alimentar la información privada de tus clientes en aplicaciones 'gratuitas'. Cuestan algo y probablemente usan los datos de los usuarios" (r/quickbooksonline). El instinto es correcto. La pregunta útil es cómo reemplazarlo con algo que realmente puedas verificar.

Las cinco preguntas que determinan si una herramienta gratuita es segura para los datos de los clientes

Cinco preguntas separan una herramienta gratuita por la que puedes pasar documentos de clientes de una que no deberías, y cada una tiene una respuesta que puedes encontrar antes de subir nada. Son las preguntas que harían un regulador, un cliente o tu propia aseguradora de responsabilidad civil, y se corresponden con las divulgaciones de manejo de datos que publica cada herramienta.

• 1. ¿Dónde se almacenan y procesan los archivos? Una copia en un servidor en una jurisdicción en la que tendrías que reportar una filtración es un riesgo distinto de una copia en un servidor a la vuelta de la esquina.
• 2. ¿Durante cuánto tiempo se retiene el archivo? Una ventana medida en minutos y una medida en meses conllevan riesgos muy diferentes, y la ventana generalmente se indica en la política de privacidad, no en la página del producto.
• 3. ¿Se utiliza el contenido subido para entrenar o mejorar modelos? Para datos fiscales, cualquier uso más allá de preparar la declaración es un propósito que las reglas no permiten sin consentimiento.
• 4. ¿Quiénes son los subprocesadores? Un subprocesador es cualquier empresa a la que la herramienta pasa tu archivo para su procesamiento, como un proveedor de inferencia o un host de almacenamiento. Su período de retención se aplica al documento de tu cliente tanto como el de la propia herramienta.
• 5. ¿Cuál es tu relación legal con el proveedor? Los términos de servicio no son un contrato de confidencialidad. Solo un acuerdo de procesamiento de datos, o el consentimiento por escrito del cliente, satisface el estándar de la AICPA.

Evalúa esas cinco preguntas contra cuatro herramientas reales que la gente usa para documentos de clientes, utilizando la política publicada de cada herramienta. La diferencia es el punto.

Lea la última columna y la segunda juntas. Una herramienta elimina el archivo en dos horas, otra puede conservar una coincidencia de seguridad del contenido 180 días, y una tercera le devuelve la obligación de confidencialidad a usted en sus propios términos. Las cuatro son gratuitas y no son intercambiables para la documentación de un cliente. Las fuentes son las páginas propias de las herramientas, y cualquiera de ellas puede cambiar: la página de seguridad de iLovePDF, la política de privacidad de OCR.space, los términos de uso de PDF24 y la política de privacidad de FreeOCR.AI. Vuelva a consultarlas antes de confiar en cualquiera de esto.

Cómo verificar una herramienta en unos diez minutos

Las respuestas ya están publicadas, y leerlas toma unos diez minutos por herramienta. El trabajo consiste en saber qué página abrir y qué frase cuenta como respuesta.

Si una herramienta falla en el paso 3, deténgase ahí. Según la interpretación del AICPA sobre proveedores de servicios externos, sus dos opciones son un contrato de confidencialidad o el consentimiento específico del cliente, y una herramienta gratuita para consumidores de la que no puede obtener ninguna de las dos no es utilizable para datos de clientes, sin importar lo bien que funcione en su documento de prueba. Para clientes de la UE, las obligaciones del proveedor como procesador se establecen en lo que el RGPD exige a un proveedor de extracción.

El riesgo está en lo no documentado, no en el precio

El precio no dice nada sobre el manejo de datos. Dos de las herramientas anteriores publican períodos de retención cortos y una certificación ISO/IEC 27001, y son gratuitas. Una plataforma empresarial de pago tampoco es automáticamente más segura, y las firmas que la compran igualmente deben verificar retención, jurisdicción y rastro de auditoría, que es la evaluación que esas firmas realizan en nuestra comparación de herramientas para firmas contables.

Tenga cuidado con la tranquilidad que le da un período de retención corto. Dos horas reducen la exposición sin eliminarla. Una política es una promesa que el proveedor puede modificar, y los términos que aceptó al subir el archivo son los que rigen. PDF24 lo dice en lenguaje claro, colocando la responsabilidad de la protección de datos y cualquier obligación de confidencialidad profesional en el usuario (la misma página de términos citada anteriormente). Una certificación como ISO 27001 habla del sistema de gestión del proveedor, no de su relación específica con el cliente, y no dice nada sobre cuánto tiempo permanece su archivo ni si se usa para entrenar un modelo.

Por eso la opción más segura suele ser un flujo de trabajo donde el archivo nunca sale de la máquina, en lugar de una mejor herramienta gratuita. Cuando la relación con el cliente es la restricción, cuánto tiempo debe conservar los registros después es una cuestión aparte, cubierta en requisitos de retención de documentos en EE. UU..

Cuando el Nivel Gratuito Deja de Ser Viable

Llega un punto en el que la respuesta correcta no es una mejor herramienta gratuita, sino una relación que puedas formalizar por escrito. Ese punto llega cuando procesas datos fiscales de clientes en múltiples casos, donde la cláusula de proveedores de la Safeguards Rule y la interpretación del AICPA exigen conjuntamente un contrato o consentimiento documentado, separación por cliente y algún registro de lo realizado. Un formulario web gratuito y anónimo no puede proporcionar nada de eso.

Quedan dos caminos honestos a esa escala. El primero es permanecer local, utilizando procesamiento de escritorio o en el navegador y asumiendo el costo de configuración y precisión. El segundo es migrar a una herramienta que firme un acuerdo de procesamiento de datos y se comprometa por escrito a no entrenar con tus documentos. Esa conversación suele implicar un nivel de pago o contratado, y es el momento en que una herramienta gratuita deja de ajustarse al trabajo con clientes.

Para el paso de extracción en sí, el mecanismo merece separarse de la cuestión del manejo de datos. ImageToTable.ai es una herramienta de extracción de datos con IA en la misma categoría que las herramientas anteriores: escribes los nombres de las columnas que deseas y completa una tabla leyendo cada documento. Ese enfoque, llamado Extracción de Columnas Personalizadas, significa que el resultado contiene las columnas que nombraste en lugar de todo el documento convertido en filas, lo que mantiene los campos no relacionados fuera del archivo que luego debes proteger. Una vez que una herramienta supera las cinco preguntas anteriores, la extracción en sí es la parte fácil, que es el flujo de trabajo detrás de convertir un extracto bancario en una hoja de cálculo. Las mismas cinco preguntas siguen aplicándose a ImageToTable.ai, y deberías planteárselas. Cómo se ve eso a un volumen real de teneduría de libros se desarrolla en cuánto cuesta la extracción a volumen de freelancer.

Preguntas Frecuentes

¿Es ilegal usar una herramienta gratuita para procesar documentos de clientes?

No por sí mismo. La ley y la profesión restringen lo que puede divulgarse sin consentimiento. La Sección 7216 del IRC convierte la divulgación no autorizada de información de declaraciones de impuestos en un delito menor con una sanción civil asociada, y la Regla de Información Confidencial del Cliente de la AICPA prohíbe la divulgación sin consentimiento específico. La herramienta en sí no infringe ninguna regla. La exposición proviene de una divulgación que no puede documentar, por lo que el manejo de datos de la herramienta se convierte en su responsabilidad.

¿Qué es un subprocesador y por qué es importante?

Un subprocesador es cualquier empresa a la que la herramienta envía su archivo para realizar su trabajo, como un proveedor de inferencia de IA, una empresa de alojamiento o un servicio de almacenamiento. Su política de retención se aplica al documento de su cliente junto con la de la propia herramienta. Una herramienta puede anunciar una eliminación en dos horas mientras que un subprocesador que utiliza retiene el contenido durante 180 días, como una de las herramientas anteriores indica en su propia política. Siempre lea la divulgación de subprocesadores, no solo el número de retención principal.

¿Las herramientas OCR gratuitas son alguna vez seguras para datos de clientes?

Sí, cuando se cumplen tres condiciones. La herramienta publica un período de retención específico y corto; declara que el contenido cargado no se utiliza para entrenamiento o mejora de modelos; y puede reducir o evitar la carga por completo mediante procesamiento local en el escritorio o navegador. El precio no es la señal. Una herramienta gratuita bien gestionada con una política clara puede ser más segura que una de pago opaca, y las cuatro herramientas de la tabla anterior muestran cuánto difieren las respuestas publicadas.

¿Un certificado SOC 2 o ISO 27001 hace que una herramienta sea segura?

Es evidencia, no una garantía. Una certificación muestra que un auditor revisó los controles de seguridad y confidencialidad del proveedor, lo cual tiene valor. No le indica cuánto tiempo se retiene el archivo de su cliente, si el contenido entrena un modelo ni en qué país se encuentran los servidores. Trátelo como un insumo requerido entre las cinco preguntas, no como un sustituto de las otras cuatro.

¿Necesito el consentimiento de un cliente antes de subir sus documentos a una herramienta?

Según la interpretación del AICPA sobre proveedores de servicios externos, necesita un acuerdo contractual que obligue al proveedor a mantener la confidencialidad, o el consentimiento específico del cliente para la divulgación. La Sección 7216 apunta en la misma dirección para la información de declaraciones de impuestos. Una herramienta gratuita de consumo con la que no tiene contrato casi nunca cumplirá la primera vía, por lo que para esas herramientas la respuesta práctica es el consentimiento por escrito, o usar otra herramienta.

Ya subí documentos de un cliente a una herramienta gratuita. ¿Qué debo hacer ahora?

Lea la política publicada de retención y eliminación de la herramienta para saber qué ocurrió con el archivo y poder describirlo con precisión. Si la herramienta lo retuvo o lo transfirió a un subprocesador, y su relación con el cliente exige consentimiento para ese tipo de divulgación, es una conversación que debe tener con el cliente y no un detalle que dejar sin documentar. Luego aplique las mismas cinco preguntas antes de la próxima subida. Para cualquier caso que involucre información de declaraciones de impuestos, consulte la situación específica con un asesor profesional en lugar de depender de una guía general.

Elija un tipo de documento que maneje cada semana, evalúelo con las cinco preguntas y decida según las respuestas, no según el precio. Pruébelo con sus propios documentos.