⏱ 8 min de lectura
En un artículo anterior planteamos cuatro niveles de protección al trabajar con inteligencia artificial e información sensible. El segundo de ellos, sustituir los identificadores antes de enviar un documento, es el que más organizaciones adoptan primero. Es accesible, se implementa en días y produce una sensación inmediata de control.
Esa sensación merece precisión. No porque la técnica sea inútil, sino al contrario: es útil, y por eso conviene saber exactamente dónde termina su protección. Una capa que se conoce bien se combina con otras. Una capa que se sobrestima se deja sola.
Lo que sigue es lo que la investigación publicada muestra hoy, y cómo trabajar con esa información en lugar de ignorarla.
Primero, cómo funciona
El mecanismo es sencillo. Un proceso recorre el documento, localiza identificadores, los reemplaza por marcadores o por valores sustitutos, y guarda la correspondencia aparte. Se envía la versión transformada. Al volver el resultado, se revierte la sustitución.
Sobre la forma de sustituir hay un hallazgo consistente en la literatura y vale adoptarlo desde el principio: reemplazar por valores plausibles del mismo tipo funciona mejor que insertar marcadores genéricos. Un documento donde aparece un nombre ficticio conserva su estructura gramatical y el modelo lo procesa con normalidad. Un documento salpicado de corchetes rompe la continuidad del texto y degrada el resultado.
Esto tiene una consecuencia operativa: el sustituto debe ser consistente. La misma entidad, el mismo seudónimo a lo largo del documento. De otro modo se pierde la capacidad de seguir a un sujeto entre párrafos.
El primer límite: la detección es desigual
Los identificadores con estructura fija se detectan con fiabilidad. El RFC, la CURP, una CLABE, un número de teléfono: todos responden a reglas alfanuméricas verificables, muchos con dígito de control. Esa parte del problema está resuelta.
Los nombres son otra cosa. Requieren reconocimiento de entidades, y ahí el desempeño depende mucho del texto. Una evaluación independiente publicada este año comparó varios sistemas de detección sobre 42 conjuntos de prueba en 22 idiomas. Microsoft Presidio, la herramienta de código abierto más difundida, obtuvo en configuración base un F1 de 0.431 sobre un conjunto de datos sintéticos y de 0.273 sobre texto médico. El filtro de OpenAI, publicado como modelo especializado, alcanzó 0.855 y 0.464 respectivamente.
Un ejercicio comparativo posterior fue más severo. Al evaluar ocho sistemas sobre diez conjuntos de datos unificados con 48 tipos de entidad, el mejor de todos obtuvo un F1 de 0.14. El mismo filtro de OpenAI que reporta 0.96 sobre su conjunto de referencia cae a un rango de 0.18 a 0.65 cuando se prueba con texto fuera de esa distribución.
La lectura no es que las herramientas sean malas. Es que las cifras que publican los proveedores se miden sobre el tipo de texto para el que fueron ajustadas. Cambiar de dominio cambia el resultado.
El segundo límite: el español mexicano tiene casos propios
Dos patrones frecuentes en documentación mexicana producen errores en direcciones opuestas, y ambos importan.
Los apellidos con partícula. Nombres como “de los Santos Aguirre” o “del Río Vergara” fragmentan mal. Los modelos tienden a tratar la partícula como conector y a excluirla de la entidad, de modo que marcan una porción del apellido y dejan el resto en el texto. Un nombre parcial sigue siendo identificante, sobre todo cuando el apellido es poco frecuente en la región.
Las razones sociales con nombre propio. Denominaciones como “Comercializadora Miguel Hidalgo, S.A. de C.V.” o “Juárez y Asociados, S.C.” provocan el error contrario. El sistema etiqueta el nombre histórico como persona física y lo sustituye por otro nombre de persona, con lo que la razón social queda convertida en una empresa que no existe.
El resultado es defectuoso en los dos escenarios posibles. Si la intención era conservar la denominación, se perdió información que no era dato personal y que el análisis necesitaba. Si la intención era ocultarla por confidencialidad, tampoco se logró: un nombre inventado no protege la relación comercial y además corrompe el dato. En ese caso el tratamiento correcto es una etiqueta consistente, no un nombre distinto.
Ninguno de los dos casos está bien cubierto por los conjuntos de prueba disponibles, que en su mayoría son de español peninsular o genérico. Es un hueco documentado y todavía abierto.
El tercer límite: lo que queda después de sustituir
Este es el punto central y el que menos se discute.
Un trabajo publicado este año por investigadores de ETH Zurich, con participación de Anthropic, evaluó de forma sistemática si los modelos actuales pueden reidentificar a personas a partir de texto del que se eliminaron los identificadores directos. Los resultados son claros.
Cruzando perfiles de una comunidad técnica contra perfiles profesionales públicos, un agente automatizado identificó correctamente a 226 de 338 sujetos, con 90 por ciento de precisión. Frente a los métodos clásicos que requerían datos estructurados, la diferencia es de otro orden: donde el enfoque previo recuperaba 0.1 por ciento de los casos, el enfoque asistido por modelos recuperó 45.1 por ciento, manteniendo 99 por ciento de precisión.
El ataque escala. Extrapolando a un universo de un millón de candidatos, el método conserva alrededor de 35 por ciento de efectividad. Y aun en escenarios donde apenas uno de cada diez mil sujetos es identificable, mantiene alrededor de 9 por ciento.
La conclusión de los autores es que la oscuridad práctica, es decir la protección que ofrecía el simple hecho de que reidentificar a alguien resultara demasiado costoso, dejó de sostenerse. No porque los modelos superen a un investigador humano capaz, sino porque hacen en minutos lo que a esa persona le tomaría horas.
Y aquí está el matiz que cambia la práctica
Ese mismo cuerpo de investigación registra un resultado que suele omitirse al citar lo anterior. Al evaluar reidentificación sobre resoluciones judiciales anonimizadas, los modelos batallaron, pese a que sobre biografías públicas obtenían tasas altas.
La diferencia no está en la técnica de anonimización. Está en el sujeto.
Reidentificar requiere material de contraste. Si existe un rastro público abundante sobre una persona, perfiles profesionales, publicaciones, notas de prensa, participación en registros, entonces los fragmentos contextuales de un documento seudonimizado tienen contra qué cruzarse. Si ese rastro no existe, los mismos fragmentos no llevan a ninguna parte.
Esto reordena la evaluación de riesgo de forma útil. El riesgo residual no es una propiedad del documento ni de la herramienta. Es una propiedad de la persona descrita en él.
Dos regímenes distintos, no uno
Hasta aquí el análisis se ha centrado en datos personales. Conviene señalar que buena parte de lo que una organización no debe enviar a una herramienta de inteligencia artificial no es dato personal en absoluto.
Estructura de precios, márgenes, listas de clientes, propuestas no firmadas, condiciones negociadas, estrategia comercial, e información que un tercero compartió bajo obligación de confidencialidad. Nada de eso tiene un titular al que proteger, y sin embargo es exactamente lo que no debe salir.
Son dos regímenes con lógicas diferentes.
Los datos personales imponen una obligación legal. Aplica con independencia de lo que la organización quiera, el estándar lo fija la ley, y el criterio de suficiencia es la disociación efectiva.
La información confidencial impone una obligación contractual. Aplica en la medida de lo que se firmó, el estándar lo fija el propio contrato, y el criterio de suficiencia depende de cada relación.
La distinción importa porque las técnicas descritas antes rinden de manera distinta en cada caso.
Para datos personales, sustituir un nombre por otro nombre plausible cumple su función: la persona deja de ser identificable de forma directa.
Para información confidencial, esa misma sustitución puede no proteger nada. Si un documento describe las condiciones de un contrato, cambiar la denominación de la contraparte no oculta el contrato. Lo que revela la relación comercial es el contenido, no el nombre. Y en sentido inverso, cuando lo que se busca es ocultar a la contraparte, el sustituto correcto no es otra denominación sino una etiqueta consistente que preserve la trazabilidad sin inventar una empresa que no existe.
Una organización que clasifica su información únicamente por criterios de protección de datos deja fuera la mitad del problema.
Cómo trabajar con esto
Ninguno de estos límites implica abandonar la técnica. Implican usarla con criterio. Seis prácticas que se derivan directamente de la evidencia anterior:
Clasifique por sujeto, no solo por documento. Antes de decidir el tratamiento, considere qué tan expuesta está públicamente la persona descrita. Un directivo con presencia profesional visible requiere más transformación que alguien sin huella digital, aunque el documento sea el mismo.
Trate la detección de nombres como parcial. Las claves estructuradas se detectan bien; los nombres no. Una revisión humana sobre una muestra, con atención específica a apellidos con partícula y a denominaciones sociales, revela rápidamente el margen de error propio de sus documentos.
Distinga persona física de persona moral desde el diseño. Las razones sociales no son datos personales y en muchos casos conviene conservarlas. Un catálogo previo de las entidades corporativas relevantes evita que el sistema las convierta en nombres inventados.
Considere el contexto, no solo los identificadores. Una descripción como “responsable de compras de una institución determinada entre dos años concretos” identifica sin nombrar. Cuando el documento contiene cargos, periodos y ubicaciones combinados, la generalización de esos elementos rinde más que sustituir un nombre más.
Proteja la tabla de correspondencia como el activo que es. En el momento en que existe un archivo que traduce claves a personas, ese archivo concentra la sensibilidad completa del proceso. Su ubicación, su control de acceso y su periodo de conservación son parte del control, no un detalle posterior.
Revise sus obligaciones de confidencialidad antes, no después. Muchos contratos comerciales incluyen cláusulas que no distinguen entre canales de tratamiento. Procesar documentación de un cliente en una herramienta de terceros puede constituir un incumplimiento de algo ya firmado, con independencia de que la información no contenga datos personales. Esa revisión corresponde hacerla al definir la política, no cuando surge el conflicto.
Cuándo esta capa deja de ser suficiente
Las cuatro capas descritas en el artículo anterior se ordenaron por costo, de la más simple a la más onerosa. Ese orden puede sugerir que son intercambiables y que basta con elegir según presupuesto. No lo son.
Las dos primeras capas reducen exposición. Las dos últimas la eliminan o la vuelven exigible frente a un tercero. La diferencia no es de grado.
Cuando la información sale de la organización, aunque salga transformada, la protección depende de qué tan bien se transformó y de qué tanto contexto quedó. La evidencia revisada muestra que esa apuesta tiene un margen de error medible y no trivial. Cuando la información no sale, o sale bajo condiciones que alguien firmó y responde por ellas, el problema cambia de naturaleza.
Cuatro señales indican que la sustitución de identificadores ya no es la capa apropiada:
El sujeto tiene huella pública amplia. Si la persona o la empresa descrita aparece en registros, prensa, perfiles profesionales o publicaciones, los fragmentos de contexto que quedan tras la sustitución tienen contra qué cruzarse. Aquí la transformación tendría que ser tan agresiva que el documento pierde utilidad analítica.
El volumen es recurrente. Una revisión manual sobre una muestra funciona para diez documentos al mes. Para mil, el margen de error de la detección deja de ser una excepción y se vuelve una tasa. En ese punto el procesamiento local suele resultar más barato que la revisión.
La obligación es contractual y no admite matices. Si el contrato con el cliente prohíbe compartir su documentación con terceros sin distinguir canales, ninguna transformación resuelve el incumplimiento. Lo que se envió, se envió. La única salida es que el procesamiento ocurra en infraestructura propia o bajo un acuerdo que el cliente acepte expresamente.
El documento requiere análisis completo. Extraer campos, clasificar o resumir tolera bien la sustitución. Razonar sobre un caso, detectar contradicciones entre cláusulas o seguir una cronología compleja necesita el contenido íntegro. Ahí el nivel 1 estorba y conviene ir directo al 2 o al 3.
Nada de esto vuelve inútil la sustitución. La sitúa: es la capa que resuelve el trabajo cotidiano con información de sensibilidad media, y el paso intermedio mientras se implementa lo demás. Presentarla como la solución completa es lo que produce falsa confianza.
Las dos capas que siguen se tratan en Modelo propio o contrato: las dos formas de usar IA sin exponer información.
Sobre el marco aplicable en México
Conviene tener presente un cambio reciente. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares entró en vigor el 21 de marzo de 2025, y las funciones que ejercía el organismo garante anterior pasaron a la Secretaría Anticorrupción y Buen Gobierno.
Entre las modificaciones relevantes, la ley amplía la noción de responsable a cualquier persona física o moral que realice tratamiento de datos personales, sin exigir que tome decisiones sobre ese tratamiento. El universo de sujetos obligados se ensancha e incorpora expresamente a los encargados.
La legislación mexicana articula el concepto de disociación, entendido como el procedimiento que impide asociar los datos a su titular por su estructura, contenido o grado de desagregación. Lo que la evidencia técnica revisada aporta a esa definición es un criterio operativo: si un tercero con acceso a fuentes públicas puede reconstruir la asociación, la disociación no se logró, con independencia de cuántos identificadores se hayan sustituido.
En resumen
La sustitución de identificadores reduce exposición de manera real y vale la pena implementarla. Lo que no hace es producir un documento anónimo.
Saber eso no debilita la práctica; la ordena. Permite decidir qué documentos admiten esta capa por sí sola, cuáles requieren además minimización previa, y cuáles simplemente no deben salir de la organización en ninguna forma.
Esa decisión, como señalábamos antes, no es técnica. Depende de una clasificación de la información que corresponde hacer a cada organización, y que ninguna herramienta puede hacer en su lugar. Una clasificación que, para ser completa, tiene que considerar tanto lo que la ley obliga a proteger como lo que la organización se comprometió a no divulgar.
Fuentes consultadas
Lermen, S., Paleka, D., Swanson, J., Aerni, M., Carlini, N., Tramèr, F. Large-scale online deanonymization with LLMs. arXiv:2602.16800
Uppala, R. Evaluating OpenAI’s Privacy Filter: Cross-Lingual, Cross-Domain PII Detection Across 42 Benchmarks. arXiv:2608.02616
Nyffenegger, A., Stürmer, M., Niklaus, J. Anonymity at risk? Assessing re-identification capabilities of large language models in court decisions. Findings of the ACL: NAACL 2024
Decreto por el que se expide la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Diario Oficial de la Federación, 20 de marzo de 2025