Rodrigo es analista de siniestros en una aseguradora de Santiago. Es martes y tiene abierta la carpeta de un choque en la Ruta 68: el parte, las fotos de los dos autos, la declaración del asegurado y el informe de urgencia del conductor del otro auto, que terminó con una fractura de clavícula. Quiere que un chat de IA le ordene todo en un resumen para el liquidador. Copia la carpeta entera y, antes de pegarla, se detiene en el informe de urgencia.
Hace bien en detenerse. Esa carpeta no es un caso más de «datos de clientes»: trae datos de salud, y trae datos de personas que no son clientes de la aseguradora. Esas dos cosas cambian la respuesta.
En seguros, la salud aparece sola
En casi cualquier empresa, un dato de salud es la excepción. En siniestros es lo normal: un choque con lesionados, un seguro de vida, un reembolso de gastos médicos, una invalidez. Y para la Ley 21.719 los datos relativos a la salud son datos sensibles (artículo 2°, letra g). La regla general para ellos es la más exigente de la ley: consentimiento expreso de la persona, salvo las excepciones que enumera el artículo 16. Los conceptos de base están en el pilar de esta serie.
El artículo 16 bis agrega dos cosas propias de la salud. La primera: estos datos sólo pueden tratarse para los fines previstos por las leyes especiales en materia sanitaria. La segunda es un inciso que nombra a los seguros con todas sus letras. Prohíbe tratar y ceder datos de salud cuando fueron recolectados «en el ámbito laboral, educativo, deportivo, social, de seguros, de seguridad o identificación», salvo que la ley expresamente autorice su tratamiento en casos calificados y se trate de alguno de los casos que el mismo artículo enumera.
Con qué base trata tu compañía la salud de cada ramo, y qué autorizan las normas propias del sector, es trabajo para tu área legal; este artículo no lo resuelve. Lo que sí queda claro al leer la ley es que en seguros el dato de salud no es un accidente de la carpeta: está en el centro del trabajo, y la ley le dedica un inciso aparte.
Los terceros: personas que nunca firmaron una póliza
La segunda diferencia es quién aparece en la carpeta. En el choque de Rodrigo hay un asegurado, que firmó una póliza. Pero también están:
- el conductor del otro auto, con su nombre, su RUT, su patente y su diagnóstico;
- los testigos, con sus teléfonos;
- el médico tratante, el taller y, a veces, el familiar que hizo la denuncia.
Todos son titulares de datos, aunque ninguno haya contratado con la aseguradora. Con ellos rigen los mismos principios que con el cliente: sus datos se usan para el fin del siniestro y no para otro (principio de finalidad, artículo 3°, letra b), y sólo los que ese fin necesita (proporcionalidad, artículo 3°, letra c). También tienen los mismos derechos: el conductor lesionado puede pedirle a la compañía que le confirme si trata sus datos, cuáles, de dónde los sacó y para qué (artículo 5°).
Ejemplo. El conductor del otro auto escribe a la aseguradora: «¿Qué datos míos tienen y de dónde los sacaron?». Nunca fue cliente, pero la pregunta es suya por derecho y la compañía tiene que contestarla dentro del plazo del artículo 11: treinta días corridos, prorrogables una sola vez por otros treinta.
Qué necesita la IA para ayudar con un siniestro
La pregunta práctica es la de siempre: ¿qué datos necesita la IA para esta tarea? Para ordenar la cronología de un choque y redactar un resumen, casi ninguno de los que identifican a alguien. Lo que importa son los hechos.
Ejemplo. En vez de pegar el informe de urgencia entero, Rodrigo escribe: «Conductor B: fractura de clavícula, atendido en urgencia el mismo día, con 30 días de reposo indicado. Asegurado: sin lesiones. Ordena la cronología del siniestro con estos hechos». El resumen sale igual de útil. Ni el nombre, ni el RUT, ni la patente del conductor B salieron de la compañía.
El diagnóstico sí viajó, porque el liquidador lo necesita para evaluar el siniestro. Eso es proporcionalidad: no se trata de esconder todo, sino de mandar sólo lo que la tarea usa, y que lo que vaya no diga de quién es.
Hay dos preguntas más que no dependen de Rodrigo sino de la compañía:
- ¿Con qué herramienta? Quien procesa los datos por cuenta de la aseguradora es un encargado, y la ley pide un contrato con el objeto del encargo, su duración, la finalidad, el tipo de datos y de quiénes son (artículo 15 bis). Con la cuenta personal de un chat de IA gratuito ese contrato no existe.
- ¿Dónde se procesan? Si los modelos corren fuera de Chile, es una transferencia internacional, y la ley la permite con resguardos: un país con nivel adecuado de protección, cláusulas contractuales u otros instrumentos con garantías adecuadas (artículo 27). Lo desarrollamos en la Ley 21.719 y la IA.
Cuando la Agencia fija el monto de una multa, uno de los criterios que la ley le pide considerar es si el tratamiento incluye datos sensibles (artículo 37). No es un motivo para dejar de usar IA en siniestros; es un motivo para que la salud de la carpeta viaje sin nombre.
Dónde ayuda Plumii
En Plumii, la regla que pone tu compañía tapa nombres, RUT, teléfonos, direcciones y patentes antes de que el mensaje llegue al modelo. El diagnóstico no: el filtro no reconoce los datos sensibles, así que «fractura de clavícula» llega al modelo, pero llega como «{NAME}, fractura de clavícula». Si subes el PDF de la carpeta, otro modelo lo lee entero una vez, tal cual y sin la regla, para poder buscar en él, y no lo guarda; por eso conviene subir sólo lo que la tarea necesita. Plumii trabaja como encargado bajo contrato, y deja registro de qué datos traía cada mensaje y qué regla se aplicó. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.