Sustituir el nombre de un cliente por «Cliente A» antes de pedir a una IA que resuma un documento reduce parte de la exposición. No convierte automáticamente el documento en anónimo. Un cargo poco habitual, una dirección, una fecha precisa o la descripción de una situación pueden seguir permitiendo identificar a la persona.
La CNIL distingue la anonimización, que busca impedir la identificación de forma irreversible, de la seudonimización, que sustituye identificadores pero permite volver a atribuir la información mediante datos adicionales. Los datos seudonimizados siguen siendo datos personales. Esta distinción debe orientar el lenguaje utilizado en una interfaz, un contrato o una política interna.
Partir de la tarea, no del documento completo
Imagine un despacho profesional que quiere reformular una carta. Para mejorar su tono o estructura, ¿necesita el modelo el nombre del cliente, su fecha de nacimiento y todo el historial del expediente? A menudo puede eliminarse parte del texto antes de considerar cualquier mecanismo de sustitución.
Este ejemplo describe un método de preparación, no una garantía aplicable a todos los casos. La confidencialidad profesional, las categorías de datos y las normas específicas de la profesión deben evaluarse con los especialistas adecuados de la organización.
Buscar también los indicios indirectos
Una preparación rigurosa examina nombres, datos de contacto, referencias de expedientes, ubicaciones precisas, importes distintivos, fechas y combinaciones de información. También considera los adjuntos, los nombres de archivo y los metadatos cuando estos elementos se transmiten al servicio.
Una herramienta automática puede ayudar a detectar y sustituir información. Sin embargo, su calidad depende del formato, el idioma y el contexto. Un escaneo mal reconocido o un identificador escrito de forma inusual pueden pasar inadvertidos. Antes del envío sigue siendo necesaria una revisión proporcionada a la sensibilidad del material.
Proteger la tabla de correspondencias
Si una tabla permite relacionar «Cliente A» con un nombre real, necesita un acceso separado y limitado. Enviarla junto al texto sustituido anularía la utilidad práctica de mantener ambos elementos separados.
Considere también las copias temporales y los registros. Una interfaz puede mostrar el texto preparado mientras una traza técnica conserva el documento original. Describir el recorrido completo de los datos ayuda a detectar diferencias entre lo que ve el usuario y lo que procesa realmente el sistema.
Elegir el servicio y los usos permitidos
Preparar los documentos no sustituye la evaluación del proveedor. Las condiciones de reutilización, la conservación, los subencargados, los lugares de tratamiento y los procedimientos de eliminación siguen siendo cuestiones independientes. La CNIL anima a las organizaciones a definir los usos permitidos y formar a los usuarios sobre las limitaciones de los sistemas generativos.
Para su equipo, una regla explícita es más útil que una instrucción general de prudencia. Especifique las categorías de documentos permitidas, la información que debe retirarse, el procedimiento de revisión y la persona de contacto en caso de duda. Prevea también qué hacer ante una divulgación accidental.
Probar antes de ampliar el uso
Prepare documentos ficticios que representen sus formatos habituales: cartas, tablas, notas de reuniones y escaneos. Incluya deliberadamente identificadores directos e indirectos y observe qué se detecta, qué pasa inadvertido y qué se elimina por error.
Esta prueba ayuda a definir el papel de la herramienta y las comprobaciones que deben realizar las personas. Por sí sola no determina jurídicamente que se haya logrado la anonimización. Nuestro enfoque de seguridad y control de los datos parte de un alcance concreto de este tipo antes de elegir la integración y las protecciones adecuadas.
