Chatbots y Ley 1581: cómo tratar datos de salud por WhatsApp

Este artículo es informativo y no reemplaza asesoría legal. Antes de poner en marcha un chatbot que trate datos de pacientes, valida tu caso con un abogado.

Respuesta corta: la Ley 1581 de 2012 clasifica los datos relativos a la salud como datos sensibles (artículo 5). Por regla general no se pueden tratar, salvo excepciones como la autorización explícita del titular (artículo 6). Si tu bot pregunta por síntomas, diagnósticos o tratamientos, necesitas esa autorización antes, no después.

Qué dice la ley, en concreto

• Artículo 5: son sensibles los datos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, e incluye expresamente los datos relativos a la salud.
• Artículo 6: prohíbe tratar datos sensibles salvo excepciones; la primera es que el titular haya dado su autorización explícita.
• Artículo 9: la autorización debe ser previa, expresa e informada.
• Artículo 12: al pedirla, debes informar la finalidad, el carácter facultativo de las respuestas sobre datos sensibles, los derechos del titular y quién es el responsable.

Cómo se traduce eso en un chatbot

1. Separa lo administrativo de lo clínico. Agendar (nombre, teléfono, especialidad, horario) no exige preguntar síntomas. Si no necesitas el dato de salud, no lo pidas.
2. Pide la autorización dentro de la conversación, antes de cualquier pregunta sensible, con enlace a tu política de tratamiento de datos. Guarda la evidencia: fecha, hora y respuesta.
3. Deja claro que puede no responder. La ley exige informar que las respuestas sobre datos sensibles son facultativas.
4. Ofrece siempre la salida a una persona. Un bot no debe orientar diagnósticos ni urgencias; debe derivar.
5. Revisa dónde se guardan las conversaciones. Plataforma, proveedor de IA y CRM: cada uno trata datos por tu cuenta y debe estar cubierto por contrato.

Preguntas que debes hacerle a tu proveedor

• ¿En qué países se almacenan las conversaciones? (La transferencia internacional de datos tiene reglas propias).
• ¿El proveedor de IA usa mis conversaciones para entrenar sus modelos?
• ¿Puedo borrar la información de un paciente si me lo pide?
• ¿Quién de mi equipo y del proveedor puede leer las conversaciones?

Cómo lo hacemos en As Nex

Diseñamos el flujo para pedir solo los datos necesarios, con la autorización integrada en la conversación y derivación a una persona cuando el paciente pregunta por temas clínicos. La validación jurídica final de tu política y tus textos la hace tu abogado.