Los litigios contemporáneos ya no dependen únicamente de contratos impresos, testimonios o documentos físicos.

Una parte creciente de la evidencia se encuentra en:

• correos electrónicos;
• conversaciones de WhatsApp o Telegram;
• archivos almacenados en la nube;
• fotografías;
• videos;
• grabaciones;
• registros de acceso;
• bases de datos;
• historiales de versiones;
• dispositivos móviles;
• sistemas empresariales;
• redes sociales.

El problema, por tanto, ha dejado de ser solamente encontrar un documento.

Ahora debemos saber cómo preservarlo, cómo localizarlo dentro de enormes volúmenes de información, cómo revisar su contexto y cómo demostrar que aquello que aparece en una pantalla corresponde realmente con la evidencia que pretendemos presentar.

Ésta es una competencia indispensable para la abogacía contemporánea.

No significa que cada abogado deba convertirse en especialista en informática forense.

Significa que debe conocer lo suficiente para formular las preguntas correctas, identificar riesgos, trabajar adecuadamente con técnicos y evitar que una prueba importante pierda valor por una preservación deficiente.

Una captura de pantalla no es toda la evidencia

Cuando una persona muestra a su abogado una conversación digital, la primera reacción suele ser obtener una captura de pantalla.

Puede ser útil.

Pero no siempre es suficiente.

Una captura muestra lo que era visible en determinado momento, pero puede omitir:

• mensajes anteriores;
• mensajes posteriores;
• archivos adjuntos;
• identidad completa de la cuenta;
• fecha real de creación;
• zona horaria;
• información sobre edición;
• metadatos;
• contexto completo de la conversación.

Incluso puede ocurrir que una captura aparentemente contundente haya sido recortada, modificada o extraída de una conversación mucho más amplia que cambia radicalmente su significado.

Por eso debemos distinguir entre varias capas de evidencia digital.

El contenido visible

Es aquello que puede leerse directamente en la pantalla.

El archivo original

Es el objeto digital conservado en su formato nativo.

Los metadatos

Son datos relacionados con el archivo:

• fecha;
• autor;
• modificaciones;
• ubicación;
• aplicación utilizada;
• historial de versiones;
• identificación del dispositivo;
• propiedades técnicas.

El contexto

Incluye todo aquello necesario para interpretar adecuadamente el contenido:

• mensajes anteriores;
• participantes;
• conversaciones paralelas;
• archivos relacionados;
• hechos externos;
• políticas internas.

La procedencia

Permite responder:

• ¿de dónde salió el archivo?;
• ¿quién lo obtuvo?;
• ¿cómo se conservó?;
• ¿qué ocurrió con él posteriormente?

Una conversación digital no debería analizarse solamente preguntando:

“¿Qué dice?”

También debemos preguntar:

“¿De dónde proviene, qué contexto tiene, cómo sabemos que está completa y qué conclusión permite realmente sostener?”

Preservar antes de analizar

Uno de los errores más graves consiste en comenzar a investigar la evidencia sin haberla preservado correctamente.

Los datos digitales cambian constantemente.

Pueden desaparecer por:

• borrado automático;
• sustitución de dispositivos;
• eliminación de cuentas;
• actualización de sistemas;
• sobrescritura de respaldos;
• mensajes temporales;
• depuración de servidores;
• rotación de registros.

Imaginemos que una empresa sospecha que un empleado autorizó transferencias irregulares.

Si el abogado espera varias semanas antes de identificar los sistemas relevantes, algunos registros podrían desaparecer automáticamente.

Por ello, cuando existe una posibilidad razonable de que cierta información sea relevante para un litigio, investigación o reclamación, debe analizarse inmediatamente su preservación.

La regla debería ser:

primero preservar; después revisar.

Qué debe preservarse

No se trata de guardar absolutamente todo.

Una preservación excesivamente amplia puede generar:

• costos innecesarios;
• riesgos de privacidad;
• volumen inmanejable;
• exposición de información irrelevante;
• mayores dificultades de revisión.

Por eso es necesario identificar con precisión:

• personas relevantes;
• dispositivos;
• cuentas;
• sistemas;
• periodos;
• categorías documentales;
• plataformas;
• proveedores externos;
• fuentes de respaldo.

Una instrucción de preservación debería indicar, por ejemplo:

• qué asunto la motiva;
• qué información debe conservarse;
• quiénes podrían tenerla;
• qué sistemas están involucrados;
• desde qué fecha;
• qué procesos automáticos deben suspenderse;
• quién supervisará el cumplimiento.

La indicación genérica:

“No borren nada”

suele ser poco útil.

Es preferible explicar qué debe conservarse y por qué.

Construir un mapa de información

Antes de buscar documentos resulta muy útil construir un mapa de posibles fuentes.

Por ejemplo:

Fuente	Información posible	Riesgo
Correo electrónico	Instrucciones, decisiones, adjuntos	Eliminación automática
WhatsApp	Conversaciones, imágenes, audios	Cambio de teléfono
Nube corporativa	Versiones de documentos	Modificación continua
Sistema financiero	Pagos y autorizaciones	Retención limitada
Videovigilancia	Imágenes	Sobrescritura rápida
Redes sociales	Publicaciones	Eliminación
Dispositivos personales	Mensajes y archivos	Control limitado

Este mapa obliga a preguntar:

• ¿Quién participó?
• ¿Qué cuentas utilizaba?
• ¿Existían canales informales?
• ¿Qué plataforma almacenaba los documentos?
• ¿Los datos están en manos de terceros?
• ¿Cuánto tiempo se conservan?
• ¿Hay copias de respaldo?
• ¿Qué información puede desaparecer primero?

Un error frecuente consiste en revisar únicamente el correo corporativo.

Quizá las decisiones más importantes se tomaron por WhatsApp, mensajes directos o llamadas registradas en otra plataforma.

El archivo original importa

Convertir todo a PDF puede facilitar la lectura, pero también puede eliminar información valiosa.

Por ejemplo, una hoja de cálculo puede contener:

• fórmulas;
• celdas ocultas;
• comentarios;
• vínculos;
• historial de modificaciones.

Un documento de texto puede conservar:

• autores;
• cambios;
• comentarios;
• versiones.

Un correo puede contener:

• encabezados;
• rutas técnicas;
• identificación de servidores;
• direcciones completas.

Por ello, en asuntos importantes conviene preservar el archivo en su formato original y generar copias para revisión.

El principio es sencillo:

trabajar con copias, conservar los originales.

Los metadatos pueden contar otra historia

Los metadatos pueden ser extremadamente útiles.

Pueden revelar, por ejemplo, que un documento:

• fue creado después de la fecha que aparece en su contenido;
• fue modificado varias veces;
• tuvo distintos autores;
• procede de una plantilla diferente;
• conserva comentarios eliminados posteriormente;
• se encontraba en una carpeta relacionada con otro proyecto.

Pero también debemos ser prudentes.

Los metadatos pueden cambiar legítimamente cuando un archivo:

• se copia;
• se descarga;
• se migra;
• se convierte;
• se abre en otro sistema.

Por eso, encontrar una fecha extraña no significa automáticamente que el documento haya sido falsificado.

Debe preguntarse:

• ¿qué campo estamos observando?;
• ¿qué significa técnicamente?;
• ¿puede modificarse automáticamente?;
• ¿cómo estaba configurado el dispositivo?;
• ¿qué zona horaria utilizaba?;
• ¿el archivo fue convertido?

El dato técnico necesita interpretación.

Qué significa realmente un hash

En informática forense se utiliza con frecuencia el denominado valor hash.

Puede imaginarse como una huella digital matemática del archivo.

Si el contenido cambia, normalmente cambiará también el hash.

Esto puede servir para demostrar que un archivo analizado posteriormente es idéntico al que fue preservado originalmente.

Sin embargo, el hash no demuestra todo.

No prueba automáticamente:

• quién creó el documento;
• quién utilizó el dispositivo;
• si el contenido es verdadero;
• si el archivo ya había sido manipulado antes;
• si la conversación está completa.

El hash demuestra principalmente estabilidad desde el momento en que fue calculado.

Por eso, no debe decirse:

“El hash demuestra que el documento es auténtico”.

Sería más preciso afirmar:

“El hash permite comprobar que esta copia coincide con el archivo preservado en determinado momento”.

La diferencia es importante.

La cadena de custodia

Cuando la evidencia digital será controvertida, debemos poder explicar qué ocurrió con ella desde su obtención hasta su presentación.

Esto es la cadena de custodia.

Debe permitir reconstruir:

• quién obtuvo el archivo;
• cuándo;
• de qué dispositivo;
• con qué herramienta;
• cómo se almacenó;
• quién tuvo acceso;
• qué copias se hicieron;
• qué análisis se realizaron;
• cómo se verificó la integridad.

Una cadena de custodia bien documentada aumenta la capacidad para responder preguntas como:

“¿Cómo sabemos que este archivo es el mismo que estaba en el dispositivo original?”

o:

“¿Qué impide que alguien lo haya modificado?”

No todo elemento exige una operación forense compleja.

La intensidad del procedimiento debe ser proporcional a:

• importancia de la prueba;
• probabilidad de impugnación;
• dificultad técnica;
• consecuencias del asunto.

Buscar no significa escribir una palabra en el buscador

Cuando existen miles o millones de documentos, la estrategia de búsqueda resulta fundamental.

Supongamos que investigamos pagos irregulares.

Buscar solamente la palabra “soborno” probablemente resultará inútil.

Las personas pueden utilizar:

• abreviaturas;
• apodos;
• cantidades;
• códigos;
• palabras aparentemente neutrales;
• errores ortográficos;
• nombres de proyectos.

Por ejemplo:

• “apoyo”;
• “gestión”;
• “comisión”;
• “pendiente”;
• “favor”;
• “ajuste”.

Una buena búsqueda puede combinar:

• términos;
• frases;
• personas;
• fechas;
• cantidades;
• remitentes;
• destinatarios;
• tipos de archivo;
• proximidad entre palabras;
• conceptos relacionados.

También debe probarse.

La pregunta no es únicamente:

“¿Cuántos documentos encontramos?”

Debemos preguntar:

“¿Estamos encontrando los documentos que sabemos que deberían aparecer?”

La búsqueda debe evolucionar

Una investigación digital raramente puede diseñarse completamente desde el primer día.

Los primeros documentos suelen revelar:

• nuevos nombres;
• nuevas abreviaturas;
• otras cuentas;
• proveedores desconocidos;
• periodos relevantes;
• códigos utilizados internamente.

Por eso, la búsqueda debe ser iterativa.

Puede funcionar así:

1. Búsqueda inicial.
2. Revisión de muestra.
3. Identificación de nuevo vocabulario.
4. Ajuste de términos.
5. Nueva búsqueda.
6. Comparación de resultados.

El abogado debe aprender del propio conjunto documental.

Recolectar más no siempre significa investigar mejor

Existe una falsa sensación de seguridad cuando se recopila una enorme cantidad de información.

Más datos significan también:

• más costos;
• más tiempo;
• mayor exposición de información confidencial;
• más documentos duplicados;
• mayor probabilidad de error humano.

La proporcionalidad resulta esencial.

La estrategia debe concentrarse primero en:

• personas centrales;
• sistemas principales;
• periodo relevante;
• tipos de documentos decisivos.

Después puede ampliarse si los resultados lo justifican.

La finalidad no consiste en almacenar todo.

Consiste en reunir lo necesario para resolver adecuadamente el problema jurídico.

Revisar grandes volúmenes requiere criterios comunes

Una vez recuperados los documentos, comienza otra dificultad: revisarlos.

Si varios abogados trabajan sobre miles de archivos y cada uno utiliza un criterio distinto, el resultado será inconsistente.

Por ello deben definirse categorías claras.

Por ejemplo:

Relevante

Documento que apoya, contradice o contextualiza un hecho importante.

Crítico

Documento capaz de modificar la teoría del caso.

Confidencial

Contiene información que debe circular de manera restringida.

Potencialmente protegido

Puede estar cubierto por alguna forma de confidencialidad profesional o privilegio.

Requiere análisis técnico

Su interpretación depende de metadatos, sistemas o conocimientos especializados.

Cada documento importante puede relacionarse con:

• hecho;
• persona;
• fecha;
• teoría jurídica;
• problema probatorio;
• acción posterior.

La revisión debe producir conocimiento, no únicamente etiquetas.

Del documento a la proposición probatoria

Encontrar un correo electrónico aparentemente perjudicial no significa que el caso esté resuelto.

Debemos distinguir:

• lo que dice el documento;
• lo que intentamos inferir;
• qué explicación alternativa existe;
• qué evidencia adicional necesitamos.

Supongamos que un correo dice:

“Procedamos como acordamos”.

¿Demuestra que se autorizó una operación irregular?

No necesariamente.

Necesitamos saber:

• ¿qué se había acordado?;
• ¿quiénes participaron?;
• ¿cuándo?;
• ¿existen mensajes anteriores?;
• ¿qué ocurrió después?;
• ¿qué documento refleja la operación?;
• ¿quién tenía facultades para autorizarla?

El correo puede ser una pieza importante.

Pero sigue siendo una pieza dentro de una teoría probatoria más amplia.

Confidencialidad y privacidad

La revisión masiva de documentos puede exponer información que nunca debería formar parte de un litigio o investigación.

Por ejemplo:

• información médica;
• datos personales;
• comunicaciones familiares;
• secretos comerciales;
• información financiera;
• comunicaciones abogado-cliente;
• datos de terceras personas.

Por eso deben existir mecanismos para:

• restringir accesos;
• separar material sensible;
• identificar información potencialmente protegida;
• evitar divulgaciones accidentales;
• documentar exclusiones;
• aplicar testados cuando corresponda.

La búsqueda exhaustiva no autoriza una utilización indiscriminada de todo aquello que aparezca.

Inteligencia artificial y revisión documental

La IA puede ser extraordinariamente útil para revisar grandes conjuntos de información.

Puede ayudar a:

• clasificar documentos;
• encontrar conceptos;
• detectar nombres;
• resumir conversaciones;
• ordenar cronologías;
• identificar información sensible;
• agrupar archivos semejantes;
• priorizar documentos potencialmente relevantes.

Pero también introduce riesgos.

Un sistema puede:

• clasificar incorrectamente;
• omitir documentos importantes;
• producir resúmenes defectuosos;
• interpretar mal una conversación;
• revelar información confidencial;
• mezclar contextos.

Por eso, el abogado debe comprender suficientemente:

• qué datos se utilizaron;
• cómo se configuró la herramienta;
• qué criterios aplicó;
• cómo se validaron los resultados;
• qué errores aparecieron;
• quién revisó la salida.

La inteligencia artificial puede ayudar a priorizar.

No debería convertirse en una decisión automática sobre qué prueba importa y cuál puede ignorarse.

Cómo verificar una herramienta

Un método sencillo consiste en tomar una muestra de documentos revisada manualmente y comparar los resultados del sistema.

Debemos observar:

• falsos positivos: documentos señalados como relevantes que no lo son;
• falsos negativos: documentos importantes que la herramienta omitió.

Los falsos negativos son especialmente peligrosos porque generan una ilusión de exhaustividad.

El hecho de que el sistema encuentre muchos documentos relevantes no demuestra que haya encontrado todos los relevantes.

Preparar la evidencia para la audiencia

La gestión digital no termina cuando encontramos el archivo.

Antes de utilizarlo debemos comprobar:

• cómo será presentado;
• si puede visualizarse correctamente;
• quién podrá autenticarlo;
• qué objeciones pueden formularse;
• qué versión utilizaremos;
• si conserva contexto;
• si existen documentos relacionados;
• qué explicación técnica necesitamos.

No es recomendable descubrir durante la audiencia que:

• el video no abre;
• el audio no se escucha;
• la plataforma exige conexión a internet;
• el archivo original está en otro dispositivo;
• nadie puede explicar de dónde salió;
• la fecha visible corresponde a otra zona horaria.

La prueba digital también necesita ensayo.

Cómo impugnar evidencia digital

El abogado tampoco debe limitarse a afirmar:

“Ese archivo pudo ser manipulado”.

En teoría, casi cualquier archivo puede modificarse.

La pregunta importante es si existe alguna razón concreta para dudar de éste.

Un contrainterrogatorio útil puede explorar:

• quién obtuvo el archivo;
• de qué dispositivo;
• cuándo;
• cómo;
• si se preservó el original;
• quién tenía acceso;
• si las credenciales eran compartidas;
• si existen mensajes omitidos;
• si el archivo fue convertido;
• si hubo modificaciones;
• qué zona horaria utilizaba;
• si otra persona pudo utilizar la cuenta.

También debe distinguirse entre identificación de una cuenta e identificación de una persona.

Que una operación aparezca realizada bajo determinado usuario no demuestra automáticamente quién estaba físicamente frente al dispositivo.

Puede ser necesario analizar:

• contraseñas compartidas;
• sesiones abiertas;
• accesos remotos;
• direcciones IP;
• autenticación multifactor;
• registros físicos.

Un ejemplo sencillo

Supongamos que una empresa sostiene que un trabajador autorizó determinados pagos irregulares.

Como evidencia presenta:

• capturas de WhatsApp;
• un registro informático con su nombre de usuario.

Antes de concluir que el trabajador realizó personalmente las operaciones, deberíamos preguntar:

• ¿la conversación está completa?;
• ¿quién obtuvo las capturas?;
• ¿se conserva el teléfono?;
• ¿puede exportarse la conversación?;
• ¿quién controlaba la cuenta?;
• ¿las credenciales eran personales?;
• ¿se compartían contraseñas?;
• ¿existía autenticación multifactor?;
• ¿desde qué dirección IP se produjo el acceso?;
• ¿existen otros registros?;
• ¿qué zona horaria utilizaba el sistema?;
• ¿hay cámaras o registros físicos de acceso?

Las respuestas podrían llevar a conclusiones diferentes:

• el trabajador realizó las operaciones;
• otra persona utilizó su cuenta;
• compartir credenciales era una práctica tolerada;
• el registro identifica una cuenta, pero no permite identificar al operador.

La buena abogacía consiste precisamente en distinguir cuál de esas explicaciones se encuentra realmente respaldada.

Errores frecuentes

Entre los errores más habituales podemos encontrar:

• Preservar demasiado tarde.
• Conservar únicamente capturas.
• Eliminar los archivos originales.
• Reenviar correos en vez de preservarlos correctamente.
• Ignorar metadatos.
• Interpretar datos técnicos sin asistencia.
• Confundir hash con autenticidad total.
• Recolectar indiscriminadamente.
• Diseñar búsquedas sin validarlas.
• Ignorar archivos no indexables.
• No revisar los documentos excluidos.
• Utilizar criterios distintos entre revisores.
• Exponer información confidencial.
• Subir expedientes a plataformas de IA no autorizadas.
• Aceptar resúmenes automáticos sin revisar los documentos.
• No documentar la metodología.
• Llegar a la audiencia sin probar la reproducción.

Una metodología básica

El trabajo con evidencia digital puede organizarse en siete pasos:

1. Identificar

Determinar qué fuentes pueden contener información relevante.

2. Preservar

Evitar que la evidencia desaparezca o sea modificada.

3. Recolectar

Obtenerla mediante procedimientos proporcionales y documentados.

4. Buscar

Diseñar estrategias de recuperación ajustadas al lenguaje real del caso.

5. Revisar

Aplicar criterios uniformes y controles de calidad.

6. Contextualizar

Relacionar cada elemento con hechos, inferencias y explicaciones alternativas.

7. Presentar

Preparar autenticación, visualización y contradicción.

Una nueva alfabetización probatoria

La evidencia digital ha cambiado el trabajo del abogado.

Ya no basta con saber leer un documento.

También debemos comprender:

• de dónde proviene;
• qué información conserva;
• qué se perdió al convertirlo;
• quién tuvo acceso;
• cómo se preservó;
• qué contexto lo rodea;
• cómo localizarlo dentro de millones de archivos;
• qué tecnología intervino en su análisis.

La sofisticación técnica puede variar según el asunto.

Pero existe una regla que debería mantenerse siempre:

la evidencia digital no es confiable simplemente porque pueda verse en una pantalla. Su valor depende de que podamos explicar razonablemente su origen, integridad, contexto y significado.

El abogado del presente no necesita convertirse en ingeniero informático.

Pero sí debe saber cuándo preservar, qué preguntar, qué conservar, qué no asumir y cómo convertir un dato digital en una proposición probatoria verdaderamente defendible.

---

También te recomendamos…