Historia clínica e IA: cómo usarla sin exponer pacientes

La historia clínica es probablemente el documento más delicado que circula en Colombia: lleva el nombre y la cédula del paciente junto con sus diagnósticos, sus medicamentos y lo que le contó a su médico. Y es justo el tipo de texto que más tienta pasarle a una IA: para resumir una evolución larga, redactar una epicrisis, preparar una remisión o explicarle a un paciente un diagnóstico en palabras sencillas.

Esta guía explica qué dice la norma colombiana sobre la historia clínica (la Resolución 1995 de 1999, la Ley 2015 de 2020 de interoperabilidad y la Ley 1581 de 2012 de protección de datos), quién puede acceder a ella, qué la hace reservada y cómo usar la IA sin que los datos del paciente salgan de la IPS o del consultorio. Las normas se leyeron el 22 de octubre de 2026 en su fuente oficial; lo que sigue es un resumen y no reemplaza la asesoría jurídica de tu institución.

Historia clínica electrónica en Colombia: el marco

Tres normas se cruzan cuando se habla de historia clínica en Colombia:

norma	qué regula	lo más relevante para la IA
Resolución 1995 de 1999 (Minsalud)	el manejo de la historia clínica	es privada, obligatoria y sometida a reserva; quién accede; seguridad del archivo
Ley 2015 de 2020	la historia clínica electrónica interoperable	titularidad del paciente; prohibición de divulgar; plan de seguridad
Ley 1581 de 2012	la protección de datos personales	los datos de salud son sensibles; tratamiento prohibido salvo excepciones

La Resolución 1995 de 1999 y su estado

La Resolución 1995 de 1999 del Ministerio de Salud establece las normas para el manejo de la historia clínica, y es la base de todo lo demás. Tuvo modificaciones posteriores en lo relativo a los tiempos de conservación, así que no tomes el plazo de su artículo 15 sin revisar la norma vigente.

Un aviso importante: en julio de 2026, el Ministerio de Salud publicó para comentarios un proyecto de resolución sobre la historia clínica, cuya memoria justificativa habla de reemplazar la Resolución 1995 de 1999 y sus modificaciones para actualizar el régimen a la historia clínica electrónica. A la fecha de esta guía no encontramos la resolución nueva expedida. Si vas a citar la 1995 en un documento oficial de tu institución, revisa antes en la página de normatividad de Minsalud si ya hay una norma que la sustituya.

La reserva de la historia clínica

El artículo 1 de la Resolución 1995 de 1999 define la historia clínica como «un documento privado, obligatorio y sometido a reserva», en el cual se registran cronológicamente las condiciones de salud del paciente, los actos médicos y los demás procedimientos del equipo de salud. Y agrega: «Dicho documento únicamente puede ser conocido por terceros previa autorización del paciente o en los casos previstos por la ley.»

Esa frase es la que hay que tener presente con la IA. Un servicio de inteligencia artificial externo es un tercero. Pegarle un resumen de historia clínica con el nombre del paciente es darle a conocer el documento a un tercero, sin autorización del paciente y fuera de los casos previstos por la ley.

La Ley 2015 de 2020 lo refuerza para la historia clínica electrónica. Su artículo 12 prohíbe la divulgación de los datos de cualquier persona consignados en la historia clínica electrónica por parte de quien haya tenido acceso a esa información. Y su artículo 8 pide que la historia contenga los datos clínicos relevantes con los más altos niveles de confidencialidad.

Los datos de salud son sensibles

La Ley 1581 de 2012 incluye en su artículo 5, entre los datos sensibles, «los datos relativos a la salud». Y el artículo 6 prohíbe su tratamiento salvo excepciones: la autorización explícita del titular, el interés vital cuando está incapacitado, la defensa de un derecho en un proceso judicial, y la finalidad histórica, estadística o científica con supresión de la identidad. Además, el artículo 10 permite tratar datos sin autorización en casos de urgencia médica o sanitaria, y el artículo 26 exceptúa de la prohibición de transferencia internacional el intercambio de datos médicos cuando lo exija el tratamiento del titular por razones de salud o higiene pública.

Ninguna de esas excepciones está pensada para «le pedí a ChatGPT que me resumiera la evolución». Lo explicamos con más detalle en la guía de datos sensibles.

Quién puede acceder a la historia clínica

El artículo 14 de la Resolución 1995 de 1999 dice que pueden acceder a la información de la historia clínica, en los términos previstos en la ley:

1. el usuario;
2. el equipo de salud;
3. las autoridades judiciales y de salud, en los casos previstos en la ley;
4. las demás personas determinadas en la ley.

Y su parágrafo agrega que el acceso se entiende «única y exclusivamente para los fines que de acuerdo con la ley resulten procedentes», manteniendo en todo caso la reserva legal.

Otras reglas que ayudan a entender el sistema:

• La custodia es del prestador que generó la historia, que puede entregarle copia al usuario o a su representante legal cuando lo solicite (artículo 13). Si un prestador necesita información de otro, puede pedir copia con autorización del usuario.
• La copia gratuita. La Ley 2015 de 2020, artículo 9, dice que todo paciente tiene derecho a que le suministren su historia clínica por cualquier medio electrónico, de forma gratuita, completa y rápida.
• La titularidad. La misma ley, en su artículo 6, dice que cada persona es titular de su historia clínica electrónica, y en su artículo 7, que solo el titular puede autorizar el uso por terceros de la información, salvo los casos en que la ley no exige autorización.

La lista de quién puede acceder no incluye a los proveedores de inteligencia artificial. Si la IPS usa una herramienta de IA dentro de su propio sistema, con un contrato que la convierte en encargada del tratamiento, la conversación es otra y la lleva el área jurídica. Lo que esta guía cubre es el caso más común: un profesional que copia texto de la historia y lo pega en un chat público.

Interoperabilidad: la Ley 2015 de 2020

La Ley 2015 de 2020 tiene por objeto, según su artículo 1, regular la interoperabilidad de la historia clínica electrónica, a través de la cual se intercambiarán los elementos de datos clínicos relevantes, así como los documentos y expedientes clínicos del curso de vida de cada persona. Lo central:

• Obligación de disponer los datos. Los prestadores de servicios de salud están obligados a diligenciar y disponer los datos, documentos y expedientes de la historia clínica en la plataforma de interoperabilidad que disponga el Gobierno (artículo 3).
• Guarda y custodia. Los prestadores, públicos o privados, siguen siendo responsables de la guarda y custodia de las historias clínicas en sus propios sistemas (artículo 5).
• Plan de seguridad. Quienes traten la información deben establecer un plan de seguridad y privacidad de la información, seguridad digital y continuidad del servicio, con evaluaciones periódicas del riesgo (artículo 13).

La interoperabilidad hace que la historia clínica circule más entre prestadores autorizados. No cambia la reserva frente a terceros: al contrario, la ley la repite.

Seguridad del archivo de historias clínicas

La Resolución 1995 de 1999 también dice cómo se protege el archivo:

• Artículo 16. La historia clínica se archiva en un área restringida, con acceso limitado al personal de salud autorizado, en condiciones que garanticen su integridad sin adulteración.
• Artículo 18. Los sistemas automatizados para manejar historias clínicas deben tener mecanismos de seguridad que impidan modificarlas una vez guardadas; debe protegerse la reserva mediante mecanismos que impidan el acceso de personal no autorizado; y debe poder identificarse quién hizo cada registro, con hora y fecha.

Copiar un fragmento de la historia a un chat externo saca la información de ese entorno controlado. Y lo que sale ya no tiene el registro de quién accedió ni la restricción de acceso que exige la norma.

Qué datos de la historia clínica identifican al paciente

El artículo 9 de la Resolución 1995 de 1999 dice cuáles son los contenidos mínimos de la identificación del usuario: datos personales de identificación, apellidos y nombres completos, estado civil, documento de identidad, fecha de nacimiento, edad, sexo, ocupación, dirección y teléfono del domicilio y lugar de residencia, nombre y teléfono del acompañante, nombre, teléfono y parentesco de la persona responsable, aseguradora y tipo de vinculación.

Es, en la práctica, la lista de lo que debe salir antes de que un texto clínico llegue a una IA. Y hay que sumar lo que identifica sin estar en esa lista:

• el número de historia clínica y los números de orden o de autorización;
• las fechas exactas de ingreso, cirugía o egreso;
• el nombre del médico tratante, que en una ciudad pequeña delata la IPS;
• un diagnóstico poco frecuente combinado con la edad y el municipio;
• el nombre de la EPS o de la medicina prepagada cuando, con lo demás, reduce el universo.

Cómo usar la IA con una historia clínica sin exponer al paciente

La regla de fondo es simple: la IA necesita el contenido clínico para la tarea, no la identidad del paciente. Un resumen de evolución, una carta de remisión o una explicación para el paciente se hacen igual de bien con [PERSONA_1] que con el nombre.

Un ejemplo: el resumen de una consulta

Con datos de ejemplo, esta es la salida real de Nonimo:

ANTES
Resumen de atención
Paciente: Kelly Johana Polo Escorcia
Dirección: Calle Inexistente 0, Barranquilla
Celular: +57 300 000 0000
Motivo de consulta: dolor lumbar de tres semanas, sin trauma previo.
Diagnóstico: lumbalgia mecánica. Se ordena terapia física y control en un mes.

DESPUÉS
Resumen de atención
Paciente: [PERSONA_1]
Dirección: [DIRECCION_1]
Celular: [TELEFONO_1]
Motivo de consulta: dolor lumbar de tres semanas, sin trauma previo.
Diagnóstico: lumbalgia mecánica. Se ordena terapia física y control en un mes.

Datos de ejemplo: el nombre es inventado, la calle no existe y el celular es de ceros.

El nombre, la dirección y el celular salieron tapados. El motivo de consulta y el diagnóstico quedaron, porque son lo que la IA necesita para redactar. Si el texto trae el número de historia clínica, el nombre de la EPS o una fecha exacta de cirugía, revísalos antes de pegar.

Antes de pegar: cinco preguntas

1. ¿Qué le voy a pedir a la IA? Un resumen, una carta, una explicación. Copia solo la parte de la historia que sirve para eso, no la historia entera.
2. ¿Quedó algún dato de identificación? Repasa la lista del artículo 9: nombre, documento, fecha de nacimiento, dirección, teléfono, acompañante, aseguradora.
3. ¿Quedó algo que identifique sin nombre? Número de historia, fechas exactas, médico tratante, un diagnóstico raro con la edad y el municipio.
4. ¿Hay datos de un menor de edad? La Ley 1581, artículo 7, proscribe el tratamiento de datos de niños, niñas y adolescentes salvo los de naturaleza pública.
5. ¿Con qué cuenta voy a pegar? Una cuenta personal puede usar lo que escribes para entrenar si no se desactiva. Lo explicamos en ¿es seguro ChatGPT?.

Lo que no conviene pedirle a la IA

• Diagnosticar o decidir un tratamiento. La IA puede ayudar a ordenar información; la decisión clínica es del profesional y queda registrada como suya.
• Interpretar imágenes diagnósticas de un paciente real subiéndolas a un servicio externo. Una imagen con los datos del paciente impresos es la historia clínica entera en una foto. Qué pasa con las imágenes que se suben a ChatGPT lo contamos en ¿ChatGPT guarda las fotos que le subes?.
• Redactar la historia clínica directamente en el chat. Lo que se escribe ahí queda en los servidores del proveedor, no en el sistema de la IPS, y no cumple los requisitos de registro del artículo 18.

Si eres paciente: tu historia clínica y la IA

Cada vez más pacientes piden su historia clínica para entenderla con ayuda de una IA: qué quiere decir un diagnóstico, qué significan unos resultados, qué preguntarle al médico en el próximo control. Es un uso razonable, y la historia es tuya: la Ley 2015 de 2020 dice que cada persona es titular de su historia clínica electrónica, y que todo paciente tiene derecho a que se la entreguen por medios electrónicos, de forma gratuita, completa y rápida. La copia se pide al prestador que la tiene, sea la IPS o la clínica donde te atendieron; la EPS te puede orientar sobre dónde está.

Antes de pegarla en un chat, ten en cuenta tres cosas:

• No hace falta pegarla entera. Para entender un diagnóstico basta con el párrafo del diagnóstico y, si acaso, los resultados que lo sustentan.
• Quita tus datos de identificación de lo que vas a pegar: nombre, documento, dirección, celular, número de historia. La IA no los necesita para explicarte nada.
• La IA no reemplaza a tu médico. Puede ayudarte a preparar preguntas; las respuestas sobre tu caso son de quien te atiende.

Y si subes la historia en PDF o una foto de un examen, recuerda que en ChatGPT el archivo queda guardado aparte del chat, en la Biblioteca, hasta que lo borres de allí.

Usos de la IA que sí ayudan en una IPS

Con los datos del paciente fuera, hay mucho trabajo en el que la IA ahorra tiempo de verdad:

• Material educativo para pacientes: cómo prepararse para un examen, qué cuidados tener después de un procedimiento, explicado en un lenguaje claro y en el tono de tu institución.
• Cartas de remisión y resúmenes para otro especialista, a partir de un texto ya tapado.
• Protocolos internos y listas de chequeo, que no llevan datos de pacientes.
• Respuestas a PQRS que no requieren entrar en el caso clínico, una vez tapados los datos de quien escribe.
• Análisis de indicadores con tablas agregadas, sin una fila por paciente.

En todos esos casos, la IA trabaja con contenido clínico o administrativo, y la identidad del paciente se queda en el sistema de la IPS.

Para la IPS: reglas internas y documentos sueltos

Una IPS o un consultorio no puede depender de que cada profesional se acuerde de tapar a mano. Lo que funciona es una regla corta, escrita y conocida:

• Qué tareas se pueden hacer con IA (resúmenes, cartas, material educativo) y cuáles no (diagnóstico, registro en la historia).
• Qué datos nunca se pegan (la lista del artículo 9 y los demás identificadores).
• Qué herramientas están permitidas y con qué cuenta.
• Qué hacer si algo sale. Si un dato de un paciente terminó en un servicio externo, la Ley 1581 obliga al responsable a informar a la Superintendencia de Industria y Comercio cuando se presentan violaciones a los códigos de seguridad y existen riesgos para la información (artículo 17, literal n). Lo contamos en incidente de seguridad con datos personales.

Un modelo de política está en la política de uso de IA en la empresa.

Y para documentos sueltos, como un PDF de resultados o una epicrisis que hay que enviar sin datos del paciente, la herramienta para censurar un PDF tapa los datos personales, como nombres, correos, celulares o direcciones, sin instalar nada.

Lo que hace Nonimo en una IPS o un consultorio

Nonimo es una app para Mac y Windows que, en el computador del profesional, cambia por etiquetas los datos personales de un texto antes de que llegue a ChatGPT, Claude, Copilot o Gemini, y los devuelve a su lugar cuando se copia la respuesta. Nonimo tapa los datos del paciente, como el nombre, la cédula, el correo, el celular o la dirección, y te los enseña marcados para que los revises. A Nonimo no le llega el texto.

Lo que el contexto pueda delatar, como un diagnóstico raro o una fecha exacta, sigue siendo revisión del profesional. Cómo encaja Nonimo en el trabajo de una IPS lo contamos en la página para médicos e IPS.

Fuentes

• Resolución 1995 de 1999 del Ministerio de Salud, arts. 1, 9, 13, 14, 16 y 18. Leída el 22 de octubre de 2026. Con modificaciones posteriores sobre conservación; proyecto de Minsalud de julio de 2026 en consulta, sin resolución expedida encontrada a esa fecha.
• Ley 2015 de 2020, arts. 1, 3, 5 a 9, 12 y 13. Secretaría del Senado, leída el 22 de octubre de 2026.
• Ley Estatutaria 1581 de 2012, arts. 5, 6, 7, 10, 17 y 26. Secretaría del Senado, leída el 22 de octubre de 2026.