Viernes, seis de la tarde, en un centro médico de Talca. La doctora Carolina tiene que derivar a una paciente al cardiólogo y la ficha trae cuatro años de controles. Le quedan tres pacientes en sala de espera. Copia la ficha completa en un chat de IA y escribe: «Resume esto en un párrafo para una interconsulta».
El resumen sale bien. La pregunta es qué pasó con la ficha en el camino.
Dos leyes miran la misma ficha
La primera es la Ley 20.584, sobre derechos y deberes de los pacientes, que trata la ficha clínica como reservada. La segunda es la Ley 21.719: para ella, los datos relativos a la salud son datos sensibles (artículo 2°, letra g), y el artículo 16 bis les pone reglas propias. Con el consentimiento expreso del paciente, los datos de salud sólo se pueden tratar para los fines que prevén las leyes especiales en materia sanitaria. Y sin consentimiento, sólo en los casos que el mismo artículo enumera, entre ellos cuando el tratamiento es necesario para el «diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario» (artículo 16 bis, letra e).
Derivar a una paciente es exactamente eso. La ley no le impide a Carolina usar la ficha para hacer la interconsulta. Encima de todo está el secreto profesional, y la Ley 21.719 suma el deber de secreto del responsable, que alcanza a quienes tratan los datos bajo su responsabilidad (artículo 14 bis).
La pregunta es por dónde pasa la ficha
Cuando Carolina pega la ficha en una IA, aparece alguien más que trata esos datos: el proveedor del chat. Para la ley, quien trata datos por cuenta de otro es un encargado (artículo 2°, letra x), y la relación tiene que regirse por un contrato que diga el objeto del encargo, su duración, la finalidad, el tipo de datos, de quiénes son y los derechos y obligaciones de cada parte (artículo 15 bis). El encargado, además, queda obligado al secreto y a las medidas de seguridad.
¿Quién firma ese contrato? El responsable: quien decide para qué y cómo se usan los datos. Si Carolina trabaja en el centro médico, normalmente es el centro; si atiende en su consulta propia, es ella. Lo que no sirve es la cuenta personal de un chat gratuito: ahí no hay contrato entre el responsable y el proveedor, sólo las condiciones que alguien aceptó a título personal. El concepto de responsable y encargado está explicado en La Ley 21.719 en tres conceptos, y lo que tiene que decir el contrato, en El contrato de encargo.
Y si los modelos corren fuera de Chile, la ficha sale del país. Eso es una transferencia internacional, que la ley permite si el país de destino tiene un nivel adecuado de protección o si hay cláusulas contractuales u otros instrumentos con garantías adecuadas (artículo 27). Más en Cuando los datos salen de Chile.
Lo que el resumen necesita, y lo que no
Una interconsulta necesita la historia clínica relevante. No necesita el RUT, la dirección, el teléfono, el nombre del marido ni el colegio donde trabaja la paciente. Es el principio de proporcionalidad: sólo los datos «necesarios, adecuados y pertinentes» para el fin (artículo 3°, letra c).
Ejemplo. Antes: «María José Fuentes, RUT 15.234.567-8, 58 años, vive en 2 Sur 1450, profesora del liceo de Pelarco, hipertensa desde 2021…». Después: «Mujer de 58 años, hipertensa desde 2021, en tratamiento con dos antihipertensivos, consulta por palpitaciones de tres semanas, electrocardiograma con…». El nombre lo pone Carolina en la orden de derivación, que vive en la ficha.
El contexto también identifica. «Profesora del liceo de Pelarco» puede bastar para saber quién es en una comuna chica, aunque no diga su nombre. Si un dato no cambia la conducta clínica, no tiene por qué ir.
Y lo que vuelve
Dos cosas más. La primera: la ley pide que los datos sean exactos (artículo 3°, letra d). Una IA puede equivocarse al resumir —un año mal puesto, una dosis que no era— y lo que firme Carolina pasa a la ficha y a otro médico. El resumen se lee antes de firmarlo.
La segunda: la conversación en el chat es otra copia de datos de salud. Conviene borrarla cuando el resumen ya está en la ficha.
Dónde entra Plumii
Plumii es un chat de IA con una regla por tipo de dato: con la plantilla de partida, nombres, RUT, correos, teléfonos y direcciones se tapan antes de llegar al modelo, y en un centro médico la relación queda en un contrato de encargo. Pero el filtro no reconoce los datos sensibles: el diagnóstico, los medicamentos y la historia llegan al modelo, fuera de Chile y con un proveedor bajo contrato que no puede usarlos para entrenar. Lo que Plumii logra es que lleguen sin el nombre: «{NAME}, hipertensa desde 2021…». Y si la ficha se sube como PDF, un modelo distinto al del chat la lee entera una vez, tal cual y sin la regla, para poder buscar en ella. Por eso el resumen se arma con lo que la interconsulta necesita, no con la ficha completa. Más en privacidad por diseño.
Si el trabajo con datos de salud es administrativo —agenda, correos, derivaciones—, sigue en La secretaria de una consulta médica y la IA.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.