Historia clínica e IA: cómo usarla sin exponer pacientes

En consultorios y clínicas de todo el Perú la inteligencia artificial ya se usa para cosas concretas: poner en limpio una nota de evolución, redactar un informe médico para la aseguradora, explicar una indicación en palabras sencillas, preparar un caso para la reunión clínica. Y la tentación es siempre la misma: copiar un trozo de la historia clínica y pegarlo en el chat.

Esta guía explica qué es la historia clínica en Perú y quién puede verla, qué dicen la Ley General de Salud, la Ley 29733 y la norma técnica del MINSA sobre la reserva de la información clínica, y qué tapar del paciente antes de pegar cualquier cosa en una herramienta de IA. Está pensada para médicos, odontólogos, psicólogos, obstetras, nutricionistas y para el personal administrativo de clínicas y consultorios.

La historia clínica y la Ley General de Salud

La Ley 26842, Ley General de Salud, dice que todo acto médico debe estar sustentado en una historia clínica veraz y suficiente (artículo 29). Es el documento donde queda todo: los antecedentes, la anamnesis, el examen, los diagnósticos, las indicaciones y la evolución del paciente.

La regla central para esta guía está en el artículo 25 de la misma ley: toda información relativa al acto médico es reservada. El profesional de la salud, el técnico o el auxiliar que la divulgue responde civil o penalmente, además de las sanciones que correspondan por el código de ética de su profesión. La ley prevé excepciones, entre ellas:

• el consentimiento por escrito del paciente;
• el requerimiento judicial;
• el uso con fines académicos o de investigación, siempre que la información de la historia clínica se consigne de forma anónima;
• la información a familiares o allegados para beneficio del paciente, salvo que él lo prohíba;
• las enfermedades de declaración obligatoria, ante la Autoridad de Salud;
• la información a la aseguradora o al financiador, para el reembolso, el pago, la fiscalización o la auditoría;
• la continuidad de la atención del paciente.

Ninguna de esas excepciones habla de un servicio de IA externo. Por eso la pregunta no es si la IA está permitida, sino qué información del paciente le llega. Si le llega un texto que no permite identificarlo, no hay información reservada que se divulgue.

Quién puede acceder a la historia clínica

La norma técnica de gestión de la historia clínica del MINSA (NTS 139-MINSA/2018/DGAIN, aprobada por la R.M. 214-2018-MINSA) desarrolla esa reserva para el día a día de los establecimientos. Lo que más importa para esta guía:

• Todo establecimiento de salud debe asegurar la confidencialidad de la historia clínica y que solo acceda a ella el personal autorizado.
• El soporte físico es del establecimiento, pero la información clínica es del paciente.
• Para entregar información a terceros hace falta una autorización escrita del paciente, con un contenido mínimo: quién la pide, para qué, qué alcance tiene, fecha y firma.
• La historia clínica se conserva varios años: un período en el archivo activo desde la última atención y otro, más largo, en el pasivo.

Con esa norma en la mano, la respuesta a «¿quién puede acceder a la historia clínica de un paciente?» es corta: el paciente, el personal autorizado del establecimiento y los terceros que la ley o el propio paciente autoricen. Un proveedor de IA no está en esa lista. Esa autorización del paciente a veces llega como una carta poder con firma legalizada, y la notaría que la certifica tiene sus propios cuidados con la IA, que contamos en IA en la notaría.

Historia clínica electrónica en Perú: la Ley 30024 y el RENHICE

La historia clínica electrónica tiene en el Perú el mismo valor clínico y legal que la manuscrita, según la norma técnica del MINSA, siempre que garantice la autenticación del profesional, la trazabilidad de los accesos, la integridad y la confidencialidad. En una historia clínica electrónica no se borra ningún dato: las correcciones se hacen como un registro nuevo.

La Ley 30024 creó el Registro Nacional de Historias Clínicas Electrónicas (RENHICE). La Ley 31750, publicada en El Peruano el 24 de mayo de 2023, modificó la Ley 30024 y define el RENHICE como la infraestructura tecnológica del MINSA que guarda la historia clínica electrónica de respaldo. Pueden acceder el paciente, su representante y los profesionales de la salud que el paciente haya autorizado antes. La misma ley prohíbe el uso comercial, financiero o económico de esa información y permite entregar datos disociados, que no permiten identificar al titular, a instituciones académicas para investigación.

El reglamento de la Ley 30024, el D.S. 009-2017-SA, fue modificado por el D.S. 020-2025-SA, publicado el 28 de noviembre de 2025. Entre otras cosas, pide que la autorización del paciente sea previa, libre, expresa, informada e inequívoca, dice que a la información que el paciente marca como sensible solo se accede con su autorización expresa y regula con detalle el uso de datos disociados para investigación, con un comité de ética de por medio.

Lo que esto enseña para la IA es simple: el propio Estado, cuando comparte historias clínicas para investigar, lo hace con datos disociados. Es el mismo criterio que conviene aplicar antes de pegar cualquier cosa en un chat.

Datos de salud: datos sensibles por definición

La Ley 29733, Ley de Protección de Datos Personales, incluye la información relacionada con la salud entre los datos sensibles, la categoría que recibe la protección más alta. El artículo 2 de la ley pone en esa lista la información relacionada con la salud y con la vida sexual, junto con los datos biométricos, el origen racial y étnico, los ingresos económicos, las convicciones religiosas o políticas y la afiliación sindical. El Reglamento amplía la idea a la salud física o mental y a los datos genéticos. Y para tratar datos sensibles, la ley pide que el consentimiento del titular sea, además, por escrito (artículo 13).

En la práctica, esto significa que un diagnóstico, una receta o un resultado de laboratorio no son «datos clínicos» sueltos: son datos personales sensibles cuando se pueden asociar a una persona. Y basta poco para asociarlos. En una ciudad intermedia, la combinación de edad, distrito, ocupación y fecha de atención puede identificar a alguien aunque no aparezca su nombre.

El Reglamento vigente de la ley, el D.S. 016-2024-JUS, en vigencia desde el 30 de marzo de 2025, regula la disociación como el procedimiento que impide identificar al titular y que es reversible (artículo 41). Es lo que hace Nonimo en tu computadora: cambia los datos que identifican al paciente por etiquetas antes de pegar y los devuelve a su lugar después. Qué diferencia hay entre anonimizar y disociar lo explicamos en anonimización y disociación de datos.

La lista completa de datos sensibles está en datos sensibles según la Ley 29733.

El secreto profesional del médico

Además de la ley, el médico tiene un deber de secreto en su propio código. El Código de Ética y Deontología del Colegio Médico del Perú, en su tercera edición de 2025, dice que el médico debe guardar secreto de lo que el paciente le confía y de lo que deduce en la anamnesis, la exploración o las pruebas, y que no debe divulgarlo ni compartirlo sin autorización expresa (artículo 136). Ese deber no termina con la muerte del paciente (artículo 137) y alcanza a la historia clínica en cualquier soporte, física, digitalizada o electrónica (artículo 141).

El Código tiene además un capítulo sobre telesalud y tecnologías de la información. Allí dice que en la atención a distancia rigen los mismos principios éticos que en la consulta presencial y que el médico debe asegurar que el almacenamiento y la transferencia de la información del paciente preserven su confidencialidad (artículos 77 y 84). No menciona la inteligencia artificial, pero la regla se aplica igual: pegar un texto en un chat es transferir información.

Y en el plano penal, el artículo 165 del Código Penal castiga a quien revela, sin consentimiento del interesado, secretos conocidos por razón de su profesión, cuando eso pueda causar daño.

IA para hacer historias clínicas: lo que se hace hoy

Los usos más frecuentes que vemos en consultorios y clínicas son estos:

• Ordenar la nota de evolución dictada o escrita a la carrera durante la consulta.
• Redactar informes médicos para la EPS, la aseguradora o el empleador del paciente.
• Explicar indicaciones en palabras sencillas: cómo tomar un medicamento, qué dieta seguir, qué signos de alarma vigilar.
• Resumir antecedentes largos de un paciente crónico antes de la consulta.
• Preparar casos para reuniones clínicas, docencia o presentaciones.

En todos estos usos la IA necesita el contenido clínico, no la identidad del paciente. Para explicar cómo tomar un antihipertensivo, la IA necesita la indicación, no el nombre ni el celular de quien lo va a tomar.

Y una advertencia para todos los casos: la IA no decide un diagnóstico ni un tratamiento. Puede ayudar a ordenar, redactar y explicar. Lo que se firma en la historia clínica lo firma el profesional, y responde por ello.

Cómo preparar el texto antes de pegarlo

1. Pega solo lo que hace falta. Si quieres una indicación clara, pega la indicación, no la historia completa.
2. Revisa los datos del paciente. Nombre, DNI, celular, dirección: Nonimo los tapa y te los muestra marcados para que los revises.
3. Revisa lo que identifica sin nombre. Número de historia clínica, número de cama, fecha exacta de ingreso, ocupación poco común, distrito pequeño. Cámbialo por algo general.
4. Piensa si el caso se reconoce. Una enfermedad rara en una ciudad pequeña identifica al paciente aunque taches todo lo demás.
5. Lee la respuesta entera antes de incorporarla a la historia o entregarla al paciente.

Un ejemplo, antes y después

Para esto hicimos Nonimo, una app para Windows y Mac que trabaja en tu computadora antes de que el texto llegue al chat. Cambia por etiquetas los datos personales, como nombres, correos, celulares, direcciones, el DNI o el RUC, y te los muestra marcados para que los revises. Este es el texto que alguien quiere pegar:

Paciente: Yesenia Ticona Apaza
Celular: +51 900 000 000
Dirección: Calle Inexistente 000, Puno

Mujer de 34 años, hipertensión controlada, cefalea de una semana. Redacta una indicación clara para que la paciente entienda cómo tomar su medicación.

Y esto es lo que le llega al chat después de presionar la tecla, tal como sale de Nonimo:

Paciente: [PERSONA_1]
Celular: [TELEFONO_1]
Dirección: [DIRECCION_1]

Mujer de 34 años, hipertensión controlada, cefalea de una semana. Redacta una indicación clara para que la paciente entienda cómo tomar su medicación.

Fíjate en lo que queda a la vista: la edad, el sexo y el cuadro clínico. Es lo que la IA necesita para redactar la indicación, y por sí solo no identifica a nadie. Pero si el texto dijera además «docente del único colegio de Capachica», habría que cambiarlo a mano. Cuando copias la respuesta y presionas la misma tecla, los datos vuelven a su lugar en tu computadora. A Nonimo no le llega el texto.

Interconsultas, referencias y telesalud

Una interconsulta o una referencia a otro establecimiento lleva un resumen de la historia clínica, y suele circular por correo o por mensajería. Si usas la IA para redactar el resumen, tapa los datos antes de pegar y complétalos después, en tu computadora, antes de enviarlo.

La telesalud tiene su propio marco: la Ley 30421, Ley Marco de Telesalud, ampliada por el Decreto Legislativo 1490, que dice que la telesalud se presta respetando la protección de los datos personales y la confidencialidad que exige la ley (artículo 9). Si en una teleconsulta usas la IA para preparar la nota o el informe, se aplica lo mismo que en la consulta presencial: los datos del paciente se tapan antes de pegar.

Reuniones clínicas, docencia e investigación

Presentar un caso en una reunión clínica o en una clase es una práctica de siempre, y la IA ayuda a ordenar la presentación. La Ley General de Salud lo dice expresamente: para fines académicos o de investigación, la información de la historia clínica se consigna de forma anónima. El caso se presenta sin datos que permitan identificar al paciente. Con la IA, la diferencia es que los datos pasan además por un servidor externo antes de llegar a la presentación. Por eso conviene preparar el caso ya disociado desde el principio, y no tapar al final.

Para investigación, las reglas son más estrictas y pasan por un comité de ética. Esta guía no cubre ese caso.

Otras profesiones de la salud, el mismo cuidado

Odontólogos, psicólogos, obstetras, nutricionistas, tecnólogos médicos y enfermeras trabajan con la misma información sensible y tienen sus propios códigos de ética. En psicología el cuidado es todavía mayor: las notas de una sesión cuentan cosas que la persona no le contaría a nadie más. Para esas notas, la regla más segura es no pegarlas, ni siquiera tapadas: usa la IA para la estructura del informe o para material general, no para el contenido de la sesión.

El deber es parecido al de otros oficios con secreto. Lo que se discute hoy entre abogados sobre la IA, y que sirve también en salud, está en secreto profesional del abogado e IA.

Escribas de IA y grabación de la consulta

Hay herramientas que graban la consulta, la transcriben y redactan la nota automáticamente. Ahorran mucho tiempo, pero la conversación entera, con todo lo que el paciente dijo, pasa por el proveedor. Antes de usar una, pregunta dónde se procesa el audio, si se guarda, por cuánto tiempo y quién puede escucharlo. Y pide el consentimiento del paciente antes de grabar: no es un trámite, es su consulta.

Los derechos del paciente sobre su historia clínica

El paciente tiene derecho a recibir copia de su historia clínica. La Ley General de Salud lo dice en dos lugares: el médico o el odontólogo debe entregarla si el paciente o su representante la pide (artículo 29), y al alta el paciente recibe su informe de alta y, si lo pide, copia de la epicrisis y de la historia clínica (artículo 44). La norma técnica del MINSA fija un plazo corto para entregarla.

En la historia clínica electrónica, además, el paciente tiene derecho a acceder a sus datos de forma inteligible y a pedir que se corrijan. Y como la información de salud es un dato personal, se suman los derechos de la Ley 29733: saber quién trata sus datos, para qué y con quién se comparten. Si un paciente pregunta si su historia pasó por una herramienta de IA, la respuesta más fácil de dar es «no con sus datos»: lo que llegó a la herramienta fue un texto disociado.

Documentos para EsSalud, la EPS, el SIS y el propio paciente

Los informes médicos, certificados y formularios para EsSalud, las EPS, el SIS, las aseguradoras privadas o el empleador del paciente son de los documentos que más se redactan con ayuda de la IA, porque son repetitivos. Funciona bien con los datos tapados: la IA prepara el texto con [PERSONA_1] y tú completas en tu computadora antes de imprimir o enviar.

Ojo con el destinatario. Un informe para el empleador no debería llevar el diagnóstico si no hace falta: con los días de descanso suele bastar. Lo mismo cuando el informe pasa por un corredor de seguros: que lleve lo que la aseguradora necesita para el reembolso o el siniestro, y nada más.

Y cuando el documento ya está hecho y hay que mandarlo a alguien que no necesita todos los datos, por ejemplo un informe en PDF para una auditoría interna o para una presentación, conviene taparlo de verdad y no con un recuadro negro encima, que se puede quitar. Cómo hacerlo está en la guía para censurar un PDF.

Cuando la IA se equivoca: quien firma, responde

La IA redacta con mucha seguridad, y se equivoca con la misma seguridad: inventa dosis, confunde medicamentos con nombres parecidos, mezcla guías de práctica clínica de distintos países. Todo lo que la IA escribe y termina en una historia clínica, en una receta o en una indicación al paciente lo tiene que leer y verificar el profesional que firma.

Errores frecuentes en la consulta

• Pegar la historia clínica entera para pedir un resumen.
• Subir la foto de una receta o de un resultado de laboratorio con el nombre del paciente.
• Usar la cuenta personal del celular para consultar casos del trabajo.
• Copiar la respuesta de la IA a la historia sin leerla completa.
• Pensar que tachar el nombre basta, cuando el caso por sí solo identifica al paciente.

La mayoría de estos errores tienen que ver con archivos: una foto, un PDF, una historia exportada. Antes de subir cualquier documento a un chat, lee qué pasa al subir documentos a ChatGPT.

Si los datos de un paciente salieron por error

Puede pasar: alguien del consultorio pegó en un chat un resumen con el nombre y el diagnóstico de un paciente. Lo primero es no borrar nada todavía. Anota qué salió, en qué herramienta, a qué hora y a qué paciente afecta. Después avisa a quien sea responsable de los datos en el establecimiento.

Como se trata de datos de salud, que son sensibles, el Reglamento de la Ley 29733 pide notificar el incidente a la Autoridad Nacional de Protección de Datos Personales en un plazo de 48 horas (artículo 34 del D.S. 016-2024-JUS), y avisar al titular cuando el incidente lo afecta. Qué hacer paso a paso está en la guía de filtración de datos personales.

Nonimo en el consultorio y en la clínica

Nonimo funciona en la computadora de cada profesional: seleccionas el texto, presionas una tecla y pegas en ChatGPT, Claude, Gemini o Copilot. Los datos del paciente ya viajan como etiquetas. Un número de historia clínica o un diagnóstico que identifica por sí solo lo revisas tú: se cambia a mano o no se pega.

En una clínica con muchas computadoras, el área de TI puede instalar la extensión de navegador por política, para que funcione igual en todos los equipos. Y para que todo el personal trabaje con la misma regla, hay un modelo para copiar en política de uso de IA en empresas.

Hay una página con más detalle para médicos y clínicas.

Cómo trabaja Nonimo por dentro, y por qué a nosotros no nos llega ningún texto, lo contamos en nuestra página de seguridad.

Una regla para la consulta

Antes de pegar cualquier cosa del paciente en un chat, una pregunta: si este texto lo leyera alguien que conoce al paciente, ¿lo reconocería? Si la respuesta es sí, todavía falta tapar algo.

Lo de arriba resume normas peruanas y no reemplaza la opinión de un abogado ni las normas de tu establecimiento sobre tu caso concreto.