ChatGPT y secreto profesional: lo que deben tener en cuenta consultas médicas, despachos, asesorías y bancos

Por qué un chat de IA es delicado en este caso

Lo que se pega en un chat de IA va al proveedor y se trata en sus servidores, a menudo en el extranjero. Para quien está sujeto a secreto profesional, eso es una comunicación a terceros. El Comisionado Federal suizo de Protección de Datos y Transparencia (EDÖB/FDPIC) señala que la ley de protección de datos se aplica directamente a los tratamientos basados en IA. A ello se suma el derecho penal.

Las reglas más importantes en Suiza:

• Secreto profesional (art. 321 StGB, Código Penal suizo): se aplica, entre otros, a médicos, psicólogos, personal de enfermería, abogados, notarios y auditores obligados a la confidencialidad por el Código de Obligaciones, así como a su personal auxiliar. Se persigue a instancia de parte. No es punible quien actúa con el consentimiento de la persona interesada o con autorización escrita de la autoridad de supervisión.
• Secreto bancario (art. 47 BankG, ley suiza de bancos): se aplica a los órganos, empleados y mandatarios de un banco. También es punible la negligencia (multa de hasta 250 000 francos).
• Deber de confidencialidad profesional (art. 62 DSG, ley suiza de protección de datos): multa de hasta 250 000 francos por revelar intencionadamente datos personales secretos conocidos en el ejercicio de la profesión, también para empleados y aprendices.
• Datos sensibles (art. 5 let. c DSG): por ejemplo, datos de salud o datos sobre procedimientos penales.
• Prestadores de servicios (art. 9 DSG): solo se admite si ninguna obligación legal o contractual de confidencialidad prohíbe la transferencia. Para el extranjero se aplica además el art. 16 DSG.

Por sector: casos típicos

Consultas médicas y terapia

Delicado: copiar en ChatGPT un informe médico con nombre, fecha de nacimiento y diagnóstico para resumirlo. O hacer reformular notas de terapia para una carta a la aseguradora.

La Federación de Médicos Suizos (FMH) ha publicado ocho recomendaciones sobre los grandes modelos de lenguaje. La primera: preferir modelos alojados localmente o controlados. Los datos de pacientes solo deben introducirse si existen garantías técnicas y jurídicas que aseguren un tratamiento exclusivamente local o controlado. Según la FMH, lo que no puede publicarse no debe ir a un modelo de lenguaje.

Menos delicado: preguntas profesionales generales, plantillas de texto sin referencia a pacientes, descripciones de casos correctamente anonimizadas.

Despachos de abogados y notarías

Delicado: subir un contrato con los nombres de las partes, pegar un correo de un cliente o describir un asunto con detalle.

La guía sobre IA de la Federación Suiza de Abogados (SAV) exige aclarar previamente qué ocurre con lo que se introduce, quién tiene acceso y dónde se almacena. Menciona tres vías: una solución en la red propia del despacho sin salida de datos, las reglas sobre externalización o una declaración de consentimiento y renuncia del cliente debidamente informado. De lo contrario, la información confidencial y los datos personales no deben ir a sistemas de IA. Los despachos deben adoptar para ello una instrucción interna.

Asesorías fiduciarias y auditoría

Delicado: subir a un chat de IA certificados salariales, declaraciones de la renta o extractos contables con nombres, número AHV (seguridad social suiza) e IBAN.

El art. 321 StGB menciona a los auditores obligados a la confidencialidad por el Código de Obligaciones; el órgano de revisión guarda el secreto sobre sus constataciones (art. 730b, apdo. 2, OR, Código de Obligaciones suizo). Las asesorías fiduciarias y fiscales sin mandato de auditoría no figuran expresamente en el art. 321 StGB. Pero siguen aplicándose el art. 62 DSG, la confidencialidad contractual y las normas deontológicas: según las normas profesionales de EXPERTsuisse, sus miembros están sujetos al secreto profesional respecto de todos los hechos conocidos en el ejercicio de su actividad.

Bancos

Delicado: hacer que una IA redacte una carta a un cliente con nombre, número de cuenta y datos patrimoniales, o analizar una lista de clientes.

El secreto bancario según el art. 47 BankG también se aplica en caso de negligencia. Aclare con el departamento de cumplimiento normativo qué servicios de IA están autorizados y qué datos nunca deben introducirse.

Qué puede ser posible: los requisitos

1. Anonimizar: si ya no se puede identificar a ninguna persona, no hay datos personales (art. 5 let. a DSG). Pero omitir los nombres a menudo no basta si el caso se reconoce por el contexto. Cómo hacerlo lo explica la guía Anonimizar datos para la IA.
2. Consentimiento: el art. 321, apdo. 2, StGB admite el consentimiento de la persona interesada. Debe ser informado y demostrable.
3. Proveedor con contrato y obligación de confidencialidad: un plan de empresa en lugar de una cuenta personal, con contrato revisado, confidencialidad, ubicación de los servidores y reglas sobre el entrenamiento. Más información en la guía Datos de clientes en ChatGPT.
4. Solución local: tanto la FMH como la SAV mencionan como vía un modelo que funcione en la infraestructura propia.

Si alguno de estos requisitos basta en cada caso depende de su profesión, de su contrato y de su autoridad de supervisión.

Una mirada a Alemania y la UE

En Alemania, el artículo 203 del Código Penal alemán (§ 203 StGB) protege los secretos confiados, por ejemplo, a médicos, abogados, notarios, auditores o asesores fiscales. La ley regula expresamente a los prestadores de servicios: los secretos pueden revelarse a «otras personas que colaboran» en la medida en que sea necesario para su actividad (apdo. 3). Pero comete delito quien no se asegura de que esas personas hayan quedado obligadas a guardar secreto (apdo. 4).

El Colegio Federal de Abogados de Alemania (BRAK) aconseja en sus indicaciones sobre IA formular consultas «abstractas», que no permitan deducir el asunto concreto, y usar documentos completamente anonimizados. Con modelos de lenguaje como ChatGPT, la transmisión de secretos de los clientes no sería necesaria según el estado de la técnica de aquel momento.

En la UE, el art. 9 RGPD prohíbe en principio el tratamiento de categorías especiales de datos, como los de salud, con excepciones muy delimitadas. Para fines como el diagnóstico médico o la asistencia sanitaria, el art. 9, apartado 3, exige que los datos los trate personal profesional sujeto a secreto profesional u otra persona sujeta a una obligación de confidencialidad.

Detectar los descuidos técnicamente

Muchos errores se producen al copiar con prisas. AImori revisa localmente en el navegador lo que se escribe antes de que llegue a ChatGPT, Claude, Gemini, Copilot o Perplexity. La extensión detecta más de 240 tipos de datos, como el número AHV, números de asegurado e IBAN, y con un modelo de IA local también nombres, direcciones y datos de salud. Los resultados se pueden enmascarar o sustituir por marcadores de posición como [IBAN_1] (Alt+Shift+L); los archivos subidos, como PDF o DOCX, se pueden subir en versión depurada.

Con «Fuentes confidenciales», AImori detiene el texto copiado, por ejemplo, del software de la consulta o de la banca en línea. Las empresas pueden establecer mediante Intune o directiva de grupo que esos resultados se bloqueen en lugar de solo advertir. Una herramienta no sustituye un análisis jurídico.

Preguntas frecuentes