Es martes por la tarde. Alguien de tu equipo tiene una lista de pacientes o de clientes, necesita redactar mensajes de seguimiento y piensa: “se lo pego a un chatbot y me lo resuelve en un minuto”. Lo hace de buena fe. Y en ese minuto, los datos de tus clientes salieron de tu negocio hacia un servicio que no controlas.
Esto pasa todos los días, también en negocios pequeños. No es un problema de mala intención sino de falta de reglas. Aquí te explico qué marco legal existe en el Perú, qué es lo más delicado y qué puedes hacer hoy mismo.
Este artículo es informativo y no reemplaza la asesoría legal.
El marco en el Perú: lo esencial
La norma central es la Ley N.º 29733, Ley de Protección de Datos Personales. Su nuevo reglamento es el Decreto Supremo N.º 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024 y vigente desde fines de marzo de 2025, es decir, 120 días después de su publicación.
La autoridad encargada es la Autoridad Nacional de Protección de Datos Personales, que depende del Ministerio de Justicia y Derechos Humanos.
Tres puntos del nuevo reglamento merecen tu atención:
- Reporte de incidentes de seguridad: el reglamento pide informar los incidentes a la autoridad, en principio dentro de las 48 horas de conocerlos, y justificar cualquier demora.
- Oficial de Datos Personales: es una figura nueva, de designación progresiva, pensada para quienes tratan grandes volúmenes de datos o datos sensibles como parte principal de su actividad.
- Empresas extranjeras: las que ofrecen bienes o servicios a personas en el Perú deben designar un representante.
Los datos de salud son datos sensibles
Si tu negocio es una clínica, un consultorio o cualquier servicio de salud, esto te toca de cerca: los datos de salud son datos sensibles. Eso significa que el cuidado debe ser mayor. Un nombre y un teléfono ya son datos personales; un nombre junto con un tratamiento, un diagnóstico o una radiografía es otra categoría de riesgo.
Por qué pegar datos en un chatbot es un riesgo
Cuando pegas información en una herramienta de IA, esa información viaja a los servidores de otra empresa. Según el proveedor y el plan que uses, las condiciones sobre qué hacen con ella cambian, y en las herramientas gratuitas suelen ser menos claras o menos protectoras. Tú tienes la responsabilidad frente a tu cliente; el chatbot no.
El riesgo no es solo legal. También es de confianza: un paciente que descubre que sus datos se usaron para “probar una herramienta” difícilmente vuelve.
Qué puedes hacer desde hoy
1. No pegues datos identificables en herramientas gratuitas
Nombres, documentos de identidad, teléfonos, correos, historias clínicas, fotos. Si la tarea se puede hacer sin ellos, hazla sin ellos. Y si dudas de qué hace el servicio con lo que escribes, trátalo como si fuera público.
2. Minimiza los datos
Pregúntate qué necesita realmente la herramienta para hacer su trabajo. Muchas veces basta con describir la situación sin identificar a nadie: “paciente adulto con una cita pendiente de control” en lugar de nombre y DNI.
3. Pide consentimiento claro e informado
Tus clientes deben saber qué datos recoges, para qué los usas y si intervienen herramientas de terceros. Un aviso de privacidad redactado en lenguaje común es mejor que uno ilegible. Si vas a usar IA con sus datos, dilo.
4. Revisa los contratos con tus proveedores
Antes de usar una herramienta con datos de clientes, lee qué dice sobre el tratamiento de la información, dónde se almacena y si la usa para entrenar sus modelos. Si la herramienta es para uso profesional, busca un plan empresarial con condiciones por escrito. En caso de duda, consúltalo con tu abogado.
5. Escribe una política de uso de IA para tu equipo
No tiene que ser un documento largo. Una página con tres secciones basta para empezar:
- Qué herramientas están permitidas.
- Qué datos jamás se pegan en ellas.
- A quién se avisa si alguien se equivoca.
Lo importante es que exista y que todos la conozcan. Sin regla escrita, cada persona decide por su cuenta.
6. Controla accesos y respaldos
Cuentas a nombre del negocio, no personales. Doble factor de verificación. Cada persona accede solo a lo que necesita. Y copias de respaldo que alguien haya probado restaurar de verdad, porque un respaldo que nunca se probó es una esperanza, no un respaldo.
7. Ten un plan para cuando algo salga mal
Si el reglamento pide reportar incidentes de seguridad en principio dentro de 48 horas, no puedes empezar a pensar quién hace qué cuando ya ocurrió. Define de antemano quién decide, quién avisa y cómo se registra lo sucedido.
Lista rápida para esta semana
- Pregunta a tu equipo qué herramientas de IA usan hoy, sin reproches. Necesitas saberlo.
- Escribe la política de una página.
- Revisa si tu aviso de privacidad menciona el uso de herramientas de terceros.
- Verifica que las cuentas importantes estén a nombre del negocio y con doble factor.
- Haz una prueba de restauración de tu respaldo.
Siguiente paso
Si quieres saber cuánto riesgo tiene hoy tu negocio sin que tengas que adivinarlo, empieza por el test de madurez digital. Y si prefieres revisar con alguien tus usos de IA y el tratamiento de datos de tus clientes, conversemos. Recuerda: este artículo es informativo y no reemplaza la asesoría legal.