¿Cómo seudonimizar los datos antes de enviarlos a una IA?

¿Qué campos se cambian, cuáles se quitan y cuáles se dejan?

Seudonimizar consiste en decidir, campo por campo, qué necesita la IA para responder, sin tachar por sistema todo lo que suene a persona. Cada campo acaba en uno de estos tres grupos:

• Se cambia por un código lo que identifica pero hace falta para distinguir: el nombre del cliente o del trabajador, el nombre comercial de un autónomo, la matrícula de un vehículo.
• Se quita lo que identifica y no aporta nada a la respuesta: DNI, teléfono, correo, dirección completa, número de cuenta.
• Se deja lo que la pregunta necesita y no señala a nadie por sí solo: importes, fechas, tipo de producto, provincia.

Lo decide la pregunta. Para saber qué clientes pagan más tarde, la IA necesita distinguir a unos de otros, así que hacen falta códigos; para saber cuánto se ha cobrado este mes, no necesita a nadie, y basta con el total.

¿Por qué el código tiene que ser siempre el mismo?

Si «Ana Ruiz» aparece como 0193 en una fila y como 0417 en otra, la IA contará dos personas donde hay una. Por eso cada persona o empresa recibe el mismo código en todas las filas de una consulta y, en general, también de una consulta a otra, para que las comparaciones entre meses cuadren.

Ese código no se fabrica a partir del nombre ni del DNI, que permitiría adivinarlo, sino que se asigna al azar y se guarda en una tabla de correspondencias. Esa tabla nunca viaja a la IA. Hay un matiz: un código que no cambia nunca permite, con el tiempo, reunir mucha información sobre una misma persona aunque no lleve nombre. Por eso se decide también en qué consultas tiene sentido mantener el código de un mes a otro y en cuáles basta con códigos que solo valen dentro de una pregunta.

El riesgo escondido en las observaciones

Los campos con nombre claro son fáciles. Los difíciles son los de texto libre: «observaciones», «notas del técnico», «comentarios del pedido». Ahí la gente escribe lo que le sirve en el momento: «llamar a Julián, el hijo de la dueña, después de las cinco», «la clienta está de baja por operación», «pagar en la cuenta nueva que nos pasó por WhatsApp».

Cambiar el nombre del cliente por un código no sirve de mucho si la nota de al lado lo cuenta todo. Hay dos salidas: dejar fuera esos campos cuando la pregunta no los necesita, que es lo más frecuente, o tratarlos antes del envío para localizar nombres, teléfonos y otros datos y taparlos. Lo que no conviene es enviarlos tal cual pensando que el código ya protege.

¿Cómo queda una consulta seudonimizada?

¿Por qué seudonimizar no es anonimizar?

Porque se puede deshacer. Mientras exista la tabla de correspondencias, alguien puede volver del código al nombre, y eso basta para que el dato siga siendo personal. Y a veces la combinación de datos que se dejan delata a la persona aunque no lleve nombre: un código postal pequeño, una fecha de nacimiento y una profesión poco común pueden señalar a una sola persona.

La consecuencia práctica es que seudonimizar es una buena medida de protección, pero no saca los datos del alcance de las normas de protección de datos. Qué te exige la ley en tu caso depende de qué datos usas, para qué y quién interviene, y conviene revisarlo con quien te asesore. Recuerda también que los datos de una sociedad no son, en general, datos personales, aunque sí lo son los de sus contactos y los de los autónomos.

¿Dónde se guarda la tabla y quién la usa?

• Se guarda dentro de tu instalación, en tu servidor o en el servidor dedicado solo para tu empresa.
• Solo el sistema la usa, y solo para volver a poner los nombres en la pantalla de quien tiene permiso.
• No se envía a la IA ni se copia a ningún otro sitio.
• Su acceso está limitado y queda registrado como el resto de consultas.

Así, la empresa de IA trabaja con códigos, tu equipo ve los nombres que le corresponde ver y el registro permite comprobar después qué vio cada uno.