Ley 29733 e IA en salud: guía de cumplimiento práctica

Una clínica privada en San Isidro fue multada con 35 UIT (~USD 50,000) en 2024 por enviar resultados de exámenes a un chatbot conectado a la API de OpenAI sin consentimiento informado específico. El error no fue usar IA — fue no documentar la base legal del tratamiento.

Esta guía está pensada para responsables de cumplimiento, gerentes generales y áreas legales de clínicas y laboratorios peruanos. Cubre conceptos críticos de la Ley 29733 al implementar IA, casos reales de sanciones de la ANPD, comparación con HIPAA y GDPR, y un checklist accionable de 14 puntos.

Qué es la Ley 29733 y por qué los datos de salud son "sensibles"

La Ley 29733 de Protección de Datos Personales entró en vigencia en Perú en 2011 y se reglamentó en 2013 (DS 003-2013-JUS). Define cómo organizaciones públicas y privadas pueden recolectar, almacenar, usar y compartir datos personales de ciudadanos.

La ley clasifica datos en dos categorías:

• Datos personales generales: nombre, DNI, dirección, teléfono, email. Tratamiento posible bajo varias bases legales.
• Datos personales sensibles: origen étnico, opiniones políticas, creencias religiosas, vida sexual, ingresos económicos, información financiera, biométricos y de salud. Tratamiento mucho más restringido.

Los datos de salud (historia clínica, diagnósticos, medicamentos, genética, imagenología, facturación a EPS) son sensibles. Esto activa requisitos especiales:

• Base legal explícita y específica (no genérica)
• Consentimiento informado escrito para cada finalidad
• Plazos de conservación justificados
• Medidas técnicas de seguridad reforzadas
• Registro obligatorio del banco de datos ante la ANPD
• Notificación de brechas en plazo perentorio

Consentimiento informado para procesamiento por IA

Aquí está el quid: el consentimiento que el paciente firma al ingresar a la clínica NO autoriza automáticamente el procesamiento por IA.

El consentimiento debe ser:

1. Específico: indicar la finalidad concreta (ej. "uso de IA para asistir el triaje pre-consulta")
2. Informado: explicar qué datos se procesan, por qué, qué decisiones automatizadas se toman, qué proveedor de IA participa
3. Libre: el paciente puede negarse sin afectar la atención básica
4. Inequívoco: firma escrita o checkbox digital activo (no opt-out por default)
5. Revocable: el paciente puede retirar consentimiento en cualquier momento

Anonimización vs seudonimización: qué exige la ANPD

Cuando los datos van a ser procesados por terceros (especialmente fuera de Perú, como APIs de OpenAI o Anthropic), una técnica común para reducir riesgo es eliminar identificadores directos. Pero hay diferencias críticas:

En la práctica: anonimización real es muy difícil con datos médicos (combinaciones de edad + diagnóstico + región pueden reidentificar). La mayoría de implementaciones usan seudonimización + cláusulas contractuales con el proveedor de IA.

Transferencia internacional de datos: OpenAI, Anthropic, Google

Si tu IA usa APIs que procesan datos en USA o Europa, técnicamente estás haciendo transferencia internacional de datos personales. La Ley 29733 lo permite, pero exige una de estas:

1. El país destino tiene nivel adecuado de protección (lista de la ANPD: USA NO está, EU SÍ está)
2. Cláusulas contractuales tipo con el proveedor (OpenAI Enterprise y Anthropic Business ofrecen DPAs)
3. Consentimiento expreso del titular para esa transferencia específica

Recomendación: si manejas datos sensibles directos, usa modelos self-hosted (Llama 3, Mistral, modelos en infraestructura propia) o servicios con BAA equivalente. Esto elimina el problema de transferencia internacional completamente.

Sanciones reales: casos 2023-2025

Datos públicos de la ANPD muestran un patrón creciente de fiscalizaciones al sector salud:

Las multas oscilan entre USD 21,000 y 145,000 según la gravedad y reincidencia. Más allá del costo monetario, las sanciones son públicas y afectan la reputación.

Checklist de 14 puntos para implementar IA legalmente

Antes de poner en producción cualquier sistema con IA que toque datos de salud, valida:

1. ¿Identificaste la base legal específica del tratamiento? (consentimiento, ejecución contractual, interés vital)
2. ¿Tu banco de datos está registrado ante la ANPD? (gratis, portal en línea)
3. ¿El consentimiento informado menciona explícitamente el uso de IA y el proveedor?
4. ¿Definiste el plazo de conservación de los datos procesados por IA?
5. ¿Los datos están seudonimizados o anonimizados antes de ir a APIs externas?
6. ¿Tienes un DPA firmado con tu proveedor de IA (OpenAI Enterprise, Anthropic Business)?
7. ¿Implementaste medidas técnicas de seguridad? (cifrado en tránsito y reposo, control de accesos, logs auditables)
8. ¿El paciente puede ejercer derechos ARCO sobre sus datos procesados por IA? (Acceso, Rectificación, Cancelación, Oposición)
9. ¿El sistema permite revocar consentimiento y borrar datos derivados?
10. ¿Tienes un protocolo de respuesta a brechas (notificación al titular y ANPD en plazo)?
11. ¿Hay un responsable interno designado para el cumplimiento (DPO si aplica)?
12. ¿Las decisiones automatizadas son revisadas por humano antes de impactar la atención?
13. ¿El paciente tiene derecho a solicitar revisión humana de decisiones automatizadas?
14. ¿Tienes auditoría documentada del flujo de datos (de dónde vienen, dónde se procesan, dónde se guardan)?

Si no contestás SÍ a las 14, hay riesgo. Empieza por las que son blockers (1, 2, 3, 6) y avanza.

Diferencias con HIPAA y GDPR

Una empresa que cumpla GDPR cumple Ley 29733 prácticamente sin esfuerzo adicional. Si vendes a Europa o EEUU, vale la pena adoptar el marco más estricto desde el inicio.

El error más caro en healthcare no es usar IA. Es usarla sin documentar la base legal del tratamiento.