La pregunta no es si usar inteligencia artificial en salud. Es cómo hacerlo sin poner en riesgo a un solo paciente. Esa es la conversación que hoy llega a los comités de dirección de IPS, EPS y aseguradoras—y casi siempre termina igual: el proyecto se aplaza porque nadie quiere firmar la exposición de los datos.

La institución tiene años de historia clínica que podrían entrenar modelos de riesgo, alimentar investigación o comparar el desempeño entre sedes. Y ese activo se queda quieto, no por falta de tecnología, sino por falta de un marco claro para usarlo sin exponer a nadie. La anonimización es lo que cambia esa ecuación: convierte un dato sensible en un dato utilizable, sin que deje de ser útil ni deje de estar protegido.

Qué habilita la anonimización cuando se hace bien

Bien hecha, la anonimización no es un obstáculo para innovar: es lo que permite hacerlo con margen legal y ético. Abre, entre otras, cuatro puertas concretas:

• Analítica sobre el histórico completo, no sobre una muestra reducida «segura» que deja fuera patrones importantes.
• Datasets para entrenar y validar modelos de IA con volumen real, en vez de datos sintéticos que no reflejan la variabilidad clínica real.
• Investigación y estudios de vida real sin pedir una autorización individual por cada paciente incluido.
• Compartir datos con aliados académicos o tecnológicos sin trasladarles el riesgo regulatorio de manejar información identificable.

---

Qué exige la norma en Colombia

La Ley 1581 de 2012 trata el dato de salud como un dato sensible: usarlo de forma identificable exige autorización previa, expresa e informada del titular. A eso se suma el régimen de habeas data y, para la historia clínica propiamente dicha, la Resolución 1995 de 1999 del Ministerio de Salud, que fija cómo debe manejarse, custodiarse y reservarse ese documento.

La norma no prohíbe usar los datos de salud. Prohíbe usarlos identificables sin permiso. Un dato correctamente anonimizado sale de ese régimen de autorización individual, porque deja de ser un dato personal en el sentido que la ley protege: ya no permite identificar, directa ni indirectamente, a la persona de la que proviene.

El punto delicado está en la palabra «bien». Quitar nombres y números de documento no alcanza: la combinación de campos aparentemente inofensivos—fecha de nacimiento, código postal, diagnóstico, fecha de atención—todavía puede señalar a una persona específica cuando se cruzan entre sí. Este es el error más común, y el más caro de corregir después de que el dato ya circuló.

---

Seudonimizar no es anonimizar

Cambiar el número de documento por un código—con una tabla en algún lugar que permite devolver ese código al dato original—es seudonimización, no anonimización. Y mientras esa tabla de reversión exista, el dato sigue siendo, legalmente, un dato personal: alguien con acceso a la tabla puede reidentificar al paciente.

La seudonimización es una técnica de seguridad valiosa—reduce el riesgo en caso de una fuga y limita quién puede ver la identidad real—pero no saca al dato del régimen de autorización de la Ley 1581 por sí sola. Confundir ambos conceptos es el error de diseño más frecuente en proyectos de datos clínicos, y el que más expone a la institución cuando un dato «anonimizado» resulta, en la práctica, reversible.

---

Cómo se anonimiza un dataset clínico en la práctica

Supresión

Eliminar directamente los campos que identifican sin ambigüedad: nombre, documento, dirección exacta, teléfono. Es el primer paso, nunca el único—por sí sola no protege contra la reidentificación por combinación de campos.

Generalización

Reducir la precisión de un dato hasta que deje de señalar a un individuo: una fecha de nacimiento se convierte en rango de edad, un código postal completo se convierte en zona o comuna, una fecha de atención exacta se convierte en mes. La institución pierde precisión, pero gana margen de protección.

K-anonimato

Un dataset cumple k-anonimato cuando cada combinación de atributos identificables aparece, como mínimo, en k registros distintos—de modo que ningún individuo se puede aislar del grupo. Es el estándar técnico más citado en literatura de datos de salud, y el punto de partida razonable para la mayoría de proyectos.

Privacidad diferencial

Una técnica más reciente y más exigente: introduce ruido estadístico calculado en las consultas o en el propio dataset, de forma que el resultado agregado siga siendo útil para análisis, pero no se pueda usar para confirmar si una persona específica está o no en los datos originales. Es la opción con mayor garantía matemática, y la que más cómputo y experiencia técnica exige para implementarse bien.

---

Por qué esto se conecta con interoperabilidad HL7/FHIR

Anonimizar no ocurre en el vacío: ocurre sobre datos que, en la mayoría de instituciones, viven repartidos entre sistemas que no se hablan entre sí. Antes de anonimizar hay que poder reunir la información clínica de un paciente de forma consistente—y ahí es donde entra el estándar HL7 FHIR, la referencia técnica sobre la que se construye la interoperabilidad en salud en Colombia.

Un flujo de datos bien diseñado resuelve ambos problemas en el mismo pipeline: los datos se integran vía HL7/FHIR desde las fuentes clínicas y administrativas, y la anonimización se aplica como una etapa dentro de ese mismo flujo—no como un proyecto aparte que alguien ejecuta manualmente meses después, sobre un extracto que ya quedó desactualizado.

---

El enfoque de Whatoko Health

En Whatoko Health trabajamos la anonimización como un motor que elige la técnica según el tipo de dato y el uso final—supresión, generalización de fechas y edades, k-anonimato, privacidad diferencial según el caso—, mide el riesgo de reidentificación que queda después de aplicar la técnica, y deja trazabilidad de cada transformación realizada sobre el dataset original.

El objetivo no es prometer riesgo cero: es que el comité de dirección decida con una cifra de riesgo residual en la mano, no con una intuición. Esa es la diferencia entre aplazar un proyecto de IA en salud indefinidamente por precaución difusa, y aprobarlo con evidencia concreta de que el dato ya no expone a nadie.

Preguntas frecuentes

¿Se puede usar IA con historias clínicas en Colombia?

Sí, bajo dos rutas: con autorización previa, expresa e informada del paciente para usar el dato identificable, o con el dato correctamente anonimizado, lo que lo saca del régimen de autorización individual que exige la Ley 1581 de 2012.

¿Cuál es la diferencia entre seudonimizar y anonimizar un dato de salud?

Seudonimizar reemplaza el identificador por un código reversible: mientras exista la tabla de reversión, el dato sigue siendo personal ante la ley. Anonimizar elimina la posibilidad de reidentificación, directa o por combinación de campos, y por eso sí saca al dato del régimen de autorización individual.

¿Qué técnica de anonimización conviene para un dataset clínico?

Depende del uso final. Para analítica exploratoria, generalización y k-anonimato suelen bastar. Para compartir datos con terceros o publicar resultados agregados con mayor garantía, la privacidad diferencial ofrece mejor protección, a cambio de mayor complejidad técnica de implementación.

Un diagnóstico de anonimización para su institución

Si su institución tiene historia clínica acumulada que hoy no se usa por precaución sobre el dato, en Whatoko Health revisamos su caso: qué datos tiene, qué uso quiere darles y qué técnica de anonimización aplica sin comprometer su valor analítico ni la protección del paciente.

Solicite un diagnóstico de anonimización de datos clínicos →