IA para informes médicos: qué datos del paciente quitar

Si trabajas en una consulta, ya conoces la escena: alguien copia un informe, lo pega en ChatGPT y pide un resumen para el médico de cabecera o una carta para la mutua. La parte clínica le hace falta a la IA. La cabecera, con el nombre, el DNI y la historia, no.

Te cuento qué quitaría antes de pegar, qué dicen la ley y el código de la profesión, y qué hacer si ya se ha pegado. Si trabajas con el fichero entero, lee antes por qué un recuadro negro no borra la cabecera de un PDF.

Cómo usar ChatGPT para hacer informes médicos sin identificar al paciente

Casi todo lo que se le encarga a un chat en una consulta parte de un informe ya escrito, y escribe mucha gente: a finales de 2025 el INE contaba 1.038.354 sanitarios colegiados, con 322.787 médicos, 358.036 enfermeros y 47.396 psicólogos con especialidad sanitaria. A eso súmale la recepción, que también copia y pega.

Mira tu caso en esta tabla. De todo el informe, solo pegaría la columna del medio.

La última fila es la que menos me gusta. En esas notas el contexto identifica más que la cabecera, y me lo pensaría mucho antes de pegarlas. Si van en un .txt no esconden nada, así que un archivo de texto se limpia leyendo frase a frase.

Si el informe de partida es un Word corregido por varios, lo tachado con el control de cambios sigue dentro.

Para una clínica privada tienes la página para clínicas, con el caso de la clínica dental y su carta a la mutua.

Qué datos del paciente lleva un informe médico, parte por parte

Para saber qué quitar, me fijo primero en lo que obliga a poner la norma. El Real Decreto 1093/2010 fija los datos de cada informe clínico del Sistema Nacional de Salud. Su anexo III es el de consultas externas, y sus apartados sirven también para leer el informe de una consulta privada.

Partes según el anexo III del Real Decreto 1093/2010. Paciente, médica, hospital y pueblo son inventados. En naranja, lo que identifica.

Lo que más se escapa no figura en ninguna casilla: con quién vino, a qué se dedica o en qué pueblo vive. Una diabetes tipo 2 no delata a nadie; una enfermedad rara en un municipio de dos mil habitantes, sí. Para repasarlo con orden, usa la lista de datos que señalan sin nombre.

Esto es lo que pide la norma en el bloque del paciente. La última columna te dice cuánto te va a costar encontrar cada dato. Lo que tiene forma fija sale solo, y la letra del DNI se puede comprobar; lo demás hay que buscarlo con cuidado.

Real Decreto 1093/2010, anexo III, en la redacción del Real Decreto 572/2023. «Obligatorio» es lo que la norma llama conjunto mínimo.

La tarjeta engaña. El Real Decreto 183/2004 obliga a imprimir en el anverso dos números: el de la comunidad, como el SIP valenciano o el NUHSA andaluz, y el código personal del Sistema Nacional de Salud, único a lo largo de la vida. Yo buscaría los dos en cada cabecera.

Datos de salud y RGPD: por qué el informe entero es categoría especial

Todo el informe es dato de salud, según la definición del artículo 4.15 del RGPD, y no solo la línea del diagnóstico. El artículo 9 prohíbe tratarlo salvo excepción. La de la consulta es la asistencia sanitaria, atada al secreto profesional. La asesoría laboral y el abogado se apoyan en otras letras del mismo apartado.

Por eso a mí no me vale pensar que los números de la cabecera son administrativos. Un texto que solo diga «historia 000000, revisión el martes» ya habla de la salud de alguien, aunque no nombre ninguna enfermedad. El resto de exigencias están en nuestro repaso del RGPD aplicado a la IA.

Secreto médico y Ley 41/2002: lo que pesa antes de abrir un chat

Además del RGPD está el secreto, mucho más antiguo que la IA. Lo sostienen a la vez una ley sanitaria, el código de la profesión y el Código Penal. Mira cada uno; ninguno se escribió pensando en un chat, y yo no los leería como si lo hubieran hecho.

Si presentas un caso con diapositivas, ese dato identificativo puede estar donde nadie mira: en las notas del orador o en una diapositiva oculta.

Del artículo 16.3 me quedo con el gesto, aunque hable de otra cosa: lo clínico sale y la identificación se queda en casa. Es lo que haría con cualquier informe.

¿Cómo se llama el ChatGPT para médicos? ChatGPT Salud y ChatGPT for Clinicians

OpenAI tiene tres productos de nombre parecido y es fácil confundirlos. No elegiría ninguno por el nombre: mira para quién son y dónde están disponibles.

Ayuda de OpenAI sobre Health in ChatGPT y ChatGPT for Clinicians, a 7 de noviembre de 2026. Puede cambiar: compruébala antes de decidir.

Para una consulta en España yo no contaría con ninguno de los tres hasta verlo por escrito. Si te hablan de un BAA, es un contrato de la ley sanitaria de Estados Unidos; lo que aquí menciona el artículo 28 del RGPD es el contrato de encargo, y eso es lo que hay que preguntar.

Si quieres que el informe no salga del centro, lo que hace falta es un modelo instalado en sus propios servidores, con su coste en equipos y personas.

¿ChatGPT comparte tu información? Qué cambia según el plan de la consulta

Con el informe limpio, queda decidir dónde pegarlo. Elige tu plan. La última línea no cambia en ninguno, y es la que miraría primero. Todo esto, con más detalle y sus excepciones, está en qué hace ChatGPT con tus datos.

Con una cuenta personal abierta en el navegador del despacho, nada de pacientes. El centro no sabe qué se conserva ni quién más entra, y la AEPD recomienda seguir las políticas de seguridad de cada organización. Una cuenta personal queda fuera de todas.

El plan de empresa es un paso adelante real, pero regula qué hace el proveedor con el informe, no evita que le llegue. Y ChatGPT no es la única vía:

Cómo anonimizar un informe médico antes de pegarlo: seis pasos

Resumir una evolución o suavizar una carta funciona igual con «la paciente» que con el nombre completo. La AEPD, en su decálogo de enero de 2026, aconseja no compartir detalles médicos y describir un caso ficticio. Es mi primera opción cuando se puede; si no, marca estos pasos.

Vigilaría sobre todo el segundo paso: la cabecera va arriba del todo y el ratón empieza a seleccionar desde ahí. Si en la consulta pegan varias personas, ese paso y las herramientas admitidas irían en unas normas internas sobre IA firmadas por la dirección.

La letra l del artículo 34.1 de la LOPDGDD exige delegado de protección de datos a los centros sanitarios obligados a conservar historias, no al profesional que ejerce a título individual. Enséñale qué se quita, quién y con qué.

Cuándo hace falta evaluación de impacto, lo explico en la guía del RGPD y la IA.

Si ya has pegado un informe con nombre en ChatGPT: qué hacer

Contesta y te digo por dónde seguiría yo. Si fue en ChatGPT, borrar la conversación no basta: la memoria y los archivos se eliminan por separado.

Cómo ordenar esas horas lo explico en la guía sobre brechas con IA. No conocemos ninguna sanción de la AEPD a una consulta por pegar un informe en un chat, lo que no significa que no la haya.

Y si el centro tiene seguro, yo no daría por hecho que pagaría una sanción: la cobertura de la multa de la AEPD en las pólizas de ciberriesgos depende de dos condiciones de la letra pequeña.

Anonimizar un informe médico con Nonimo: antes y después

Para esto hago Nonimo. Se instala en cada ordenador, sea un Mac o un PC con Windows. Marcas el fragmento, pulsas la tecla y los datos del paciente pasan a ser marcas como [PERSONA_1]. Pegas ese texto en el chat y, al leer la respuesta, cada marca vuelve a ser el dato.

Cada dato sustituido aparece marcado, y un clic devuelve cualquiera a su forma original. Lo que seguiría repasando a mano es el contexto: el pueblo, la profesión o el familiar. Todo ocurre en el ordenador de la consulta, y la correspondencia se queda en ese equipo. Los detalles, en nuestra política de privacidad.

Los planes que quitan el límite del mes están en la página de precios.

IA e informes médicos: la cabecera fuera, siempre

Yo no pegaría nunca un informe con la cabecera puesta, sea cual sea el plan. Sumaría las dos medidas: contrato con el proveedor y cabecera fuera. Lo que cambia es cómo la quitas, y eso depende de cuántos sois.

Cuando pegan varios, me fío más de un programa que sustituye la cabecera del paciente por etiquetas en el propio ordenador que de la memoria de nadie.

Para instalarlo en todo el centro tienes la página para organizaciones.

Si un informe concreto puede salir de la consulta lo decide quien responde de esos datos, con su delegado o su asesor; lo clínico sigue siendo cosa del médico que firma.

Fuentes

• RGPD, texto en EUR-Lex. Artículos 4.15, 9, 28, 33 y 34, y considerando 35.
• Ley 41/2002, de autonomía del paciente, texto consolidado en el BOE. Artículos 7, 16.3 y 16.6.
• Real Decreto 1093/2010, informes clínicos, texto consolidado en el BOE. Anexo III, en la redacción del Real Decreto 572/2023.
• Otras normas, por su referencia BOE: LOPDGDD, BOE-A-2018-16673, artículos 5, 9.2 y 34.1.l. Código Penal, BOE-A-1995-25444, artículo 199.2. Real Decreto 183/2004, BOE-A-2004-2591, artículos 3 y 4.2.
• Código de Deontología Médica, diciembre de 2022, en el Consejo General de Médicos y en PDF del Colegio de Alicante. Artículos 27.2, 28.4, 29.2, 30.1, 82.3 y 85.
• AEPD, decálogo «Cuidado con lo que le confIAs», 27 de enero de 2026. Detalles médicos, caso ficticio y políticas de cada organización.
• INE, Profesionales Sanitarios Colegiados, año 2025, nota de 27 de mayo de 2026. Las cifras de colegiados.
• OpenAI, ayuda sobre Health in ChatGPT y ChatGPT for Clinicians. Para quién son y dónde. Los planes, según su página de privacidad empresarial y su ayuda sobre entrenamiento y conservación.

Consultadas el 7 de noviembre de 2026.