Ley 29733 e IA en salud: guía de cumplimiento práctica

Desde el 31 de marzo de 2025 rige un reglamento nuevo de la Ley 29733, el DS 016-2024-JUS, y trae un plazo que casi ninguna clínica tiene cubierto: ante un incidente de seguridad sobre datos sensibles hay que notificar a la ANPD dentro de las 48 horas de haber tomado conocimiento (art. 34.1). Más estricto que las 72 horas del GDPR. El error más caro al meter IA en una clínica no es usar IA — es no poder documentar la base legal del tratamiento cuando alguien la pide.

Esta guía está pensada para responsables de cumplimiento, gerentes generales y áreas legales de clínicas y laboratorios peruanos. Cubre los conceptos críticos de la Ley 29733 al implementar IA, la escala real de sanciones y dónde consultar los procedimientos de la ANPD, la comparación con HIPAA y GDPR, y un checklist accionable de 14 puntos.

Qué es la Ley 29733 y por qué los datos de salud son “sensibles”

La Ley 29733 de Protección de Datos Personales se publicó en 2011 y se reglamentó en 2013 con el DS 003-2013-JUS. Ojo con esto: ese reglamento ya no es el vigente. Desde el 31 de marzo de 2025 rige el DS 016-2024-JUS, publicado el 30 de noviembre de 2024, que lo sustituyó. Si tu política de privacidad o tu consentimiento citan el reglamento de 2013, están desactualizados.

La ley define cómo organizaciones públicas y privadas pueden recolectar, almacenar, usar y compartir datos personales de ciudadanos, y los clasifica en dos categorías:

• Datos personales generales: nombre, DNI, dirección, teléfono, email. Tratamiento posible bajo varias bases legales.
• Datos personales sensibles: los datos biométricos que por sí mismos identifican al titular, el origen racial y étnico, los ingresos económicos, las opiniones o convicciones políticas, religiosas, filosóficas o morales, la afiliación sindical y la información relacionada a la salud o la vida sexual (artículo 2.5 de la Ley 29733). Tratamiento mucho más restringido. Nota fina que vale una reunión: la ley dice ingresos económicos, no “información financiera” — el historial de deudas o los movimientos de una cuenta son dato personal, no dato sensible.

Los datos de salud (historia clínica, diagnósticos, medicamentos, genética, imagenología, facturación a EPS) son sensibles. Esto activa requisitos especiales:

• Base legal explícita y específica (no genérica)
• Consentimiento informado escrito para cada finalidad
• Plazos de conservación justificados
• Medidas técnicas de seguridad reforzadas
• Registro obligatorio del banco de datos ante la ANPD
• Notificación del incidente de seguridad a la ANPD dentro de las 48 horas de haber tomado conocimiento (art. 34.1 del reglamento); si notificas después, tienes que sustentar la demora

Consentimiento informado para procesamiento por IA

Aquí está el quid: el consentimiento que el paciente firma al ingresar a la clínica NO autoriza automáticamente el procesamiento por IA.

El consentimiento debe ser:

1. Específico: indicar la finalidad concreta (ej. “uso de IA para asistir el triaje pre-consulta”)
2. Informado: explicar qué datos se procesan, por qué, qué decisiones automatizadas se toman, qué proveedor de IA participa
3. Libre: otorgado sin error, mala fe, violencia ni dolo (art. 2 y 3 del reglamento). Condicionar un servicio a datos que no son indispensables para prestarlo afecta esa libertad: el paciente debe poder negarse al uso de IA sin perder la atención
4. Inequívoco: firma escrita o checkbox digital activo (no opt-out por default)
5. Revocable: el paciente puede retirar consentimiento en cualquier momento

Dónde se cae este consentimiento en la práctica

Si la ANPD pregunta, no basta con afirmar que el paciente consintió: la carga de la prueba del consentimiento recae siempre en el titular del banco de datos o en el responsable del tratamiento (art. 9 del reglamento). Un consentimiento general “para tratamiento médico” no prueba nada sobre un flujo con IA que el documento nunca mencionó — y el que tiene que demostrarlo eres tú, no el paciente.

Anonimización vs seudonimización: qué exige la ANPD

Cuando los datos van a ser procesados por terceros (especialmente fuera de Perú, como APIs de OpenAI o Anthropic), una técnica común para reducir riesgo es eliminar identificadores directos. Pero hay diferencias críticas:

Técnica	Qué hace	Estado regulatorio
Anonimización	Eliminación irreversible de identificadores. Imposible reidentificar al titular.	En la práctica se trata como fuera del alcance de la ley, aunque ninguna norma peruana lo dice con esas palabras. Lo que sí dice el reglamento es que no se configura infracción cuando media anonimización o disociación (art. 132)
Seudonimización	Reemplazo de identificadores por códigos. Reidentificación posible con tabla de mapeo.	Sigue siendo dato personal. Aplica Ley 29733.

En la práctica: anonimización real es muy difícil con datos médicos (combinaciones de edad + diagnóstico + región pueden reidentificar). La mayoría de implementaciones usan seudonimización + cláusulas contractuales con el proveedor de IA.

Transferencia internacional de datos: OpenAI, Anthropic, Google

Si tu IA usa APIs que procesan datos en USA o Europa, técnicamente estás haciendo transferencia internacional de datos personales. La Ley 29733 lo permite, pero exige una de estas:

1. El país destino tiene nivel adecuado de protección. No existe una lista general de países: el nivel adecuado lo declara la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales mediante resolución, caso por caso, de oficio o a solicitud de parte (art. 19 del reglamento). Nuestra lectura: como no hay lista general publicada, en la práctica conviene apoyarse en las opciones 2 y 3.
2. Garantías adecuadas por contrato: cláusulas contractuales modelo u otros instrumentos que impongan al receptor cuando menos las mismas obligaciones que tienes tú (art. 20). Los proveedores grandes ya las tienen: OpenAI publica su Data Processing Addendum y los términos comerciales de Anthropic incorporan un DPA por referencia.
3. Consentimiento expreso del titular para esa transferencia específica.

Y una obligación que se pasa por alto: en cualquier caso, el flujo transfronterizo debe ponerse en conocimiento de esa Dirección General e inscribirse en el Registro Nacional (art. 21.2). No es opcional aunque tengas las cláusulas firmadas.

Nuestra recomendación: si manejas datos sensibles directos, usa modelos self-hosted (Llama, Mistral y similares corriendo en infraestructura propia). Elimina el problema de transferencia internacional de raíz, y es más barato de defender ante la ANPD que cualquier contrato.

Sanciones: la escala real y dónde consultar los casos

El artículo 39 de la Ley 29733 fija tres tramos, y conviene citarlos en UIT porque el monto en soles cambia cada año:

Gravedad	Multa (art. 39)	Equivalente con la UIT 2026 de S/ 5,500
Leve	Desde 0.5 hasta 5 UIT	S/ 2,750 – S/ 27,500
Grave	Más de 5 hasta 50 UIT	S/ 27,500 – S/ 275,000
Muy grave	Más de 50 hasta 100 UIT	S/ 275,000 – S/ 550,000

Hay un tope adicional que casi nadie menciona: en ningún caso la multa puede exceder el 10 % de los ingresos brutos anuales que el infractor percibió el ejercicio anterior. En las clínicas medianas con las que trabajamos, ese techo suele morder antes que las 100 UIT.

¿Y los casos? No hay que fiarse de tablas de terceros: la ANPD publica cada procedimiento sancionador con el nombre del reclamado y el número de expediente en su repositorio público de resoluciones, y varios alcanzan a operadores del sector salud — por ejemplo el PAS a Oncosalud S.A.C. (expediente 158-2020-JUS/DPDP-PAS, resuelto en segunda instancia el 8 de marzo de 2023). Antes de citar una sanción en un comité, ábrela ahí y lee la resolución. Más allá del costo monetario, las sanciones son públicas: cualquiera puede consultar quién fue sancionado.

Checklist de 14 puntos para implementar IA legalmente

Antes de poner en producción cualquier sistema con IA que toque datos de salud, valida:

1. ¿Identificaste la base legal específica del tratamiento? (consentimiento, ejecución contractual, interés vital)
2. ¿Tu banco de datos está registrado ante la ANPD? (gratis, portal en línea)
3. ¿El consentimiento informado menciona explícitamente el uso de IA y el proveedor?
4. ¿Definiste el plazo de conservación de los datos procesados por IA?
5. ¿Los datos están seudonimizados o anonimizados antes de ir a APIs externas?
6. ¿Tienes un DPA firmado con tu proveedor de IA? (OpenAI publica el suyo; los términos comerciales de Anthropic incorporan uno por referencia; si consumes Claude vía Amazon Bedrock, el acuerdo de tratamiento lo firmas con AWS, no con Anthropic)
7. ¿Implementaste medidas técnicas de seguridad? (cifrado en tránsito y reposo, control de accesos, logs auditables)
8. ¿El paciente puede ejercer derechos ARCO sobre sus datos procesados por IA? (Acceso, Rectificación, Cancelación, Oposición)
9. ¿El sistema permite revocar consentimiento y borrar datos derivados?
10. ¿Tienes un protocolo de respuesta a incidentes que te permita notificar a la ANPD dentro de las 48 horas de haber tomado conocimiento?
11. ¿Hay un responsable interno designado para el cumplimiento (DPO si aplica)?
12. ¿Las decisiones automatizadas son revisadas por humano antes de impactar la atención?
13. ¿El paciente tiene derecho a solicitar revisión humana de decisiones automatizadas?
14. ¿Tienes auditoría documentada del flujo de datos (de dónde vienen, dónde se procesan, dónde se guardan)?

Si no contestás SÍ a las 14, hay riesgo. Empieza por las que son blockers (1, 2, 3, 6) y avanza.

Diferencias con HIPAA y GDPR

Aspecto	Ley 29733 (Perú)	HIPAA (USA)	GDPR (EU)
Cobertura	Toda data personal	Solo healthcare	Toda data personal
Multa máxima	100 UIT = S/ 550,000 en 2026	USD 1.5M al año por violaciones de una misma disposición (importe estatutario, ajustado por inflación)	€20M o 4% facturación
Consentimiento	Específico por finalidad	Implícito (TPO) + autorización para más	Específico, libre, informado
BAA / DPA	Cláusulas contractuales tipo	BAA obligatorio	DPA obligatorio
Notificación de brecha	48 horas (art. 34.1 del reglamento)	60 días	72 horas
Derecho al olvido	Sí (art. 20)	No general	Sí (art. 17)

Comparando ambos textos, una empresa que ya cumple GDPR tiene la mayor parte del camino andado — pero no todo. Quedan dos obligaciones peruanas que el GDPR no resuelve solo: inscribir el banco de datos en el Registro Nacional y notificar el incidente en 48 horas, no en 72. Si vendes a Europa o EE. UU., vale la pena adoptar el marco más estricto desde el inicio y añadir esas dos piezas encima.

El error más caro en healthcare no es usar IA. Es usarla sin documentar la base legal del tratamiento.

Este checklist es el que aplicamos antes de encender cualquier modelo en un proyecto de IA aplicada a procesos.

Fuentes

1. Ley N.° 29733, Ley de Protección de Datos Personales — Congreso de la República, Plataforma del Estado Peruano. Publicada el 3 de julio de 2011 (consultada el 28 de agosto de 2026). Respalda la definición de datos sensibles y de datos de salud (art. 2, num. 5), la diferencia entre anonimización irreversible y disociación reversible (art. 2, num. 14 y 15), los requisitos del consentimiento —previo, informado, expreso e inequívoco, por escrito para datos sensibles y revocable en cualquier momento— (art. 13.5 a 13.7), el flujo transfronterizo (art. 15), el derecho de supresión (art. 20), el derecho al tratamiento objetivo frente a decisiones automatizadas (art. 23), el Registro Nacional de Protección de Datos Personales (art. 34) y la escala de multas de hasta 100 UIT para infracciones muy graves (art. 39).
2. Decreto Supremo N.° 016-2024-JUS — Reglamento de la Ley N.° 29733 — Autoridad Nacional de Protección de Datos Personales (ANPD) / MINJUSDH. Publicado el 30 de noviembre de 2024 y vigente desde el 31 de marzo de 2025, en sustitución del DS 003-2013-JUS. Respalda el deber de informar sobre decisiones automatizadas, elaboración de perfiles y plazo de conservación (art. 6), el consentimiento por escrito para datos sensibles (art. 8), la carga de la prueba del consentimiento sobre el responsable (art. 9), la revocación (art. 10), el tratamiento por medios tecnológicos tercerizados (art. 28 y 29), la notificación de incidentes de seguridad a la ANPD dentro de las 48 horas (art. 34), el flujo transfronterizo y la determinación del nivel adecuado de protección mediante resolución (art. 18 y 19), el procedimiento de disociación (art. 41), la obligación de inscripción de bancos de datos (art. 42) y el derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados sin intervención humana (art. 87).
3. Inscribir banco de datos en el Registro Nacional de Protección de Datos Personales — ANPD, ficha de trámite actualizada el 22 de mayo de 2026. Respalda que la inscripción es obligatoria para todo titular de un banco de datos, gratuita, virtual (plataforma SIPDP) y de aprobación automática sujeta a fiscalización posterior.
4. Resoluciones de los procedimientos sancionadores — ANPD (consultado el 28 de agosto de 2026). Repositorio público con los procedimientos administrativos sancionadores resueltos por la autoridad, incluidos varios contra operadores del sector salud.
5. Resolución Directoral N.° PAS: Oncosalud S.A.C. — ANPD, 8 de marzo de 2023 (expediente 158-2020-JUS/DPDP-PAS). Ejemplo real y verificable de un procedimiento sancionador contra un operador de salud peruano.
6. Unidad Impositiva Tributaria (UIT) — SUNAT (consultado el 28 de agosto de 2026). Respalda el valor de la UIT usado para convertir las multas: S/ 5,500 para 2026 (D.S. N.° 301-2025-EF) y S/ 5,350 para 2025.
7. Reglamento (UE) 2016/679 — RGPD — Diario Oficial de la Unión Europea, 27 de abril de 2016 (texto consolidado en EUR-Lex). Respalda la notificación de violaciones de seguridad en 72 horas (art. 33), el derecho de supresión o «derecho al olvido» (art. 17) y las multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global (art. 83).
8. Breach Notification Rule — U.S. Department of Health and Human Services, Office for Civil Rights (consultado el 28 de agosto de 2026). Respalda el plazo máximo de 60 días para notificar una brecha bajo HIPAA.
9. HITECH Act Enforcement Interim Final Rule — U.S. Department of Health and Human Services (consultado el 28 de agosto de 2026). Respalda el tope de USD 1,500,000 por todas las violaciones de una misma disposición en un año; es el importe estatutario, que HHS ajusta anualmente por inflación.
10. OpenAI Data Processing Addendum — OpenAI, actualizado el 1 de diciembre de 2025, en vigor desde el 1 de enero de 2026. Respalda que OpenAI actúa como encargado del tratamiento y que existe un DPA suscribible por el cliente.
11. Anthropic Commercial Terms of Service — Anthropic (consultado el 28 de agosto de 2026). La sección «Data Privacy» incorpora por referencia el Anthropic Data Processing Addendum.

Preguntas frecuentes

¿Puedo enviar datos de pacientes a ChatGPT o Claude?

Solo si están seudonimizados y bajo consentimiento informado específico. Recomendado: APIs empresariales con DPA firmado — OpenAI publica su Data Processing Addendum y los términos comerciales de Anthropic incorporan uno; si usas Claude a través de Amazon Bedrock, el acuerdo de tratamiento se firma con AWS. Para datos sensibles directos, modelos self-hosted eliminan el riesgo.

¿Necesito registrar mi banco de datos ante la ANPD?

Sí, todo banco de datos personales debe registrarse. El registro es gratuito en el portal ANPD. Para datos de salud (sensibles), debe especificar finalidades, destinatarios y plazos.

¿Qué multa máxima aplica por incumplimiento de Ley 29733?

Hasta 100 UIT por infracción muy grave: S/ 550,000 con la UIT de 2026 (S/ 5,500). Las graves van de más de 5 a 50 UIT y las leves de 0.5 a 5 UIT. Además, la multa nunca puede exceder el 10 % de los ingresos brutos anuales del ejercicio anterior. Datos de salud califican casi siempre como muy graves.

¿La Ley 29733 prohíbe usar IA con datos médicos?

No, la regula. Requiere base legal explícita, consentimiento informado, proporcionalidad, derecho al olvido y medidas de seguridad.

¿Cómo se diferencia la Ley 29733 de HIPAA y GDPR?

Similar a GDPR en estructura. HIPAA es más específica para healthcare con BAA obligatorio. Puestos uno al lado del otro, una empresa que ya cumple GDPR tiene la mayor parte del camino andado, pero le faltan dos cosas propias del Perú: inscribir el banco de datos en el Registro Nacional y notificar los incidentes de seguridad en 48 horas, no en 72.