Paola es analista de prevención en una mutual, en Antofagasta. Tiene que preparar el informe trimestral de accidentabilidad para una constructora adherida: cuarenta y dos accidentes, cada uno con su ficha. «Caída desde andamio, fractura de muñeca, 45 días de reposo.» «Golpe por carga suspendida, TEC leve.» Cada ficha trae el nombre del trabajador, su RUT, la obra, el turno y el diagnóstico. Paola piensa en subirlas todas a un chat de IA y pedirle que encuentre los patrones.
La idea es buena. Lo que cambia es de quién son esos datos y cuántos son.
Lo que cambia en una mutual: salud ajena, a escala
Una empresa cualquiera trata los datos de salud de sus propios trabajadores, y de a poco: una licencia, un accidente. Una mutual hace otra cosa: trata los datos de salud de trabajadores de cientos de empresas adheridas, como parte de su giro, todos los días. Los trabajadores no eligieron a la mutual; la eligió su empleador.
Para la Ley 21.719 los datos relativos a la salud son datos sensibles (artículo 2°, letra g). La regla general para tratarlos es el consentimiento expreso (artículo 16), pero la misma ley abre excepciones que calzan con el trabajo de una mutual: el tratamiento necesario para ejercer derechos y cumplir obligaciones en el ámbito laboral o de seguridad social, en el marco de la ley (artículo 16, letra e), y el necesario para medicina preventiva o laboral, la evaluación de la capacidad laboral, el diagnóstico y la prestación de asistencia (artículo 16 bis, letra e). Si además la mutual atiende al trabajador, su ficha clínica es reservada según la Ley 20.584 sobre derechos y deberes de los pacientes.
Es decir: la mutual tiene base para tratar esas fichas. La pregunta es qué hace con ellas cuando quiere usar IA.
La escala pide una evaluación antes de empezar
El artículo 15 ter obliga al responsable a hacer una evaluación de impacto en protección de datos antes de empezar un tratamiento que pueda producir un alto riesgo para las personas. Y la exige siempre en algunos casos, entre ellos el tratamiento masivo o a gran escala, y el de datos sensibles en las hipótesis en que la ley permite tratarlos sin consentimiento.
Una mutual que quiere procesar sus fichas de accidentes con IA tiene que hacerse esa pregunta en serio: trata datos sensibles sin consentimiento, y a gran escala. La evaluación, según la ley, debe considerar la descripción de las operaciones, su finalidad, si son necesarias y proporcionales, los riesgos y las medidas para mitigarlos; la Agencia de Protección de Datos Personales publicará orientaciones para hacerla. No es un trámite para Paola: es una decisión de la mutual, que se toma antes de que las fichas lleguen a cualquier chat.
Lo que necesita el informe para la empresa adherida
El informe de Paola va a la constructora. Qué puede saber la empresa del diagnóstico de cada trabajador lo fijan las normas propias del sector, y no lo resuelve este artículo. Pero para encontrar patrones, la IA no necesita saber quién se accidentó.
Ejemplo. En vez de subir las cuarenta y dos fichas, Paola arma una tabla con cuatro columnas: tipo de accidente, parte del cuerpo, días de reposo y turno. Le pide a la IA: «Agrupa estos accidentes por tipo y turno, y dime qué se repite». El análisis sale igual. Ningún nombre, RUT ni diagnóstico individual salió de la mutual.
Es la proporcionalidad de la ley: los datos tratados deben limitarse a los necesarios para el fin (artículo 3°, letra c). Y ojo con los detalles que identifican sin nombre: en una obra de cuarenta personas, «el maestro que se cayó del andamio del piso 12 el martes del turno noche» es una sola persona. La ley considera identificable a quien puede reconocerse directa o indirectamente (artículo 2°, letra f).
Ejemplo. «Fractura de muñeca, 45 días de reposo» en una tabla de cuarenta y dos accidentes no apunta a nadie. «Fractura de muñeca del capataz de la obra de calle Prat» sí.
Con qué herramienta
Si la mutual usa un chat de IA, quien procesa los datos por cuenta de ella es un encargado, y la ley pide un contrato que diga qué se le encarga, para qué, qué datos y de quiénes (artículo 15 bis). Si los modelos corren fuera de Chile, hay una transferencia internacional, que la ley permite con resguardos (artículo 27). Y como el tratamiento incluye datos sensibles, si alguna vez hay una vulneración de seguridad con riesgo razonable para los trabajadores, hay que reportarla a la Agencia y avisar también a cada trabajador afectado (artículo 14 sexies). Los conceptos de responsable y encargado están en el pilar de esta serie; el caso de las licencias, en licencias médicas en cajas de compensación y mutuales.
Dónde ayuda Plumii
En Plumii, la regla que pone la mutual tapa nombres, RUT, correos, teléfonos y direcciones antes de que el mensaje llegue al modelo. Los diagnósticos no: el filtro no reconoce los datos sensibles, así que «fractura de muñeca» llega al modelo, aunque sin el nombre. Si Paola sube las fichas como archivo, otro modelo las lee enteras una vez, tal cual y sin la regla, para poder buscar en ellas; no las guarda, pero las lee. Por eso, en una mutual, la tabla sin identificadores vale más que cualquier filtro. Plumii trabaja como encargado bajo contrato y deja registro de qué datos traía cada mensaje y qué regla se aplicó. Así funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.