Datos sensibles: anonimizar de verdad y mandar solo lo necesario

Una jefa de proyecto quiere subir una planilla con nombres de clientes y números de cuenta para que Claude encuentre tendencias. La política de la empresa restringe compartir datos personales regulados. Tiene tres impulsos posibles: subirla igual porque “es interno”, subirla y pedirle a Claude que no la guarde, o abandonar el análisis.

Ninguno es el correcto. La salida es preparar los datos antes de subirlos.

La regla

Con datos personales (personal data), la pregunta no es “¿Claude puede leer esto?” sino “¿esta tarea necesita estos datos?”. Casi nunca hace falta saber quién es cada persona para encontrar tendencias, temas o totales. Entonces:

1. Minimizá. La minimización de datos (data minimization) es mandar solo los campos que la tarea necesita. Para ver tendencias de compra no hace falta el número de cuenta ni la dirección.
2. Desidentificá. Anonimizar (anonymize) o desidentificar (de-identify) es sacar los identificadores directos (nombre, documento, número de cuenta, legajo) y también los indirectos.
3. Si alcanza, agregá. A veces lo más seguro es no mandar registros individuales: datos agregados (aggregated data), como totales por mes y por área, permiten analizar tendencias sin datos de ninguna persona.

Sacar el nombre no alcanza

El error más común es anonimizar a medias. Una analista de personas borra los nombres de las entrevistas de salida pero deja el legajo, la sucursal, el puesto y la fecha exacta de egreso. En una sucursal de seis personas, con un único “jefe de depósito” que se fue el 14 de marzo, cualquiera sabe quién es: eso es reidentificación (re-identification).

Datos indirectos que conviene sacar o generalizar:

• legajo o cualquier código interno que se pueda cruzar;
• puestos que ocupa una sola persona;
• oficinas o equipos muy chicos;
• fechas exactas (mejor mes o trimestre);
• testigos, familiares o terceros mencionados en el texto.

Reemplazar nombres por iniciales tampoco anonimiza: en un equipo chico, las iniciales identifican.

Lo que no es un control

Lo que se propone	Por qué no protege
“Le pido a Claude que no guarde ni reuse el archivo”	Una instrucción en el chat no es un control; los controles son qué datos se suben y cómo está configurada la cuenta de la organización
“Es un espacio de trabajo aprobado, así que puedo subir todo”	Que la herramienta esté aprobada no cambia lo que la política dice sobre ciertos datos
“Es para uso interno”	La política no distingue entre análisis internos y externos si prohíbe el dato
“Borro la conversación después”	El dato ya se compartió

No abandones la tarea

El otro extremo también es una trampa: “como hay datos de salud, no usamos Claude para nada”. Si la política permite estadísticas agregadas, una coordinadora de beneficios puede armar conteos de licencias por mes y por área y pedirle a Claude ayuda con las tendencias y el comentario. La tarea sigue; los datos sensibles se quedan afuera.

Las trampas típicas

• Subir el archivo tal cual porque el análisis es interno.
• Pedirle a Claude que “se olvide” de los datos.
• Sacar el nombre y dejar todo lo demás.
• Reemplazar nombres por iniciales.
• Suspender el análisis cuando anonimizar o agregar lo resolvía.

En el examen

Si el escenario menciona datos de clientes, empleados o pacientes y una política que los restringe, la respuesta casi siempre es preparar los datos antes de subirlos: sacar los identificadores directos e indirectos, mandar solo lo que la tarea necesita o trabajar con totales. En las preguntas de “elegí dos”, buscá juntas la desidentificación completa y la minimización. Descartá las instrucciones a Claude como si fueran un control, el “está aprobado, subí todo” y el abandono de la tarea.