Tus datos andan por todos lados, y aunque te quiten el nombre, la IA te puede volver a encontrar. El Senado aprobó el lunes 10 de noviembre, por unanimidad y con 99 votos a favor, una reforma que quiere cambiar eso: que tus datos se puedan usar para investigar e innovar, pero sin que nadie pueda saber que son tuyos. La idea suena bien, y el concepto que la sostiene también: anonimización efectiva. El detalle, como siempre, es que todavía no es ley.
La reforma modifica la Ley General en Materia de Humanidades, Ciencias, Tecnologías e Innovación, y la propuso el senador Waldo Fernández, del Partido Verde. Su argumento es sencillo: en la era digital, los datos personales se convirtieron en uno de los activos más valiosos de la sociedad, se comercializa con ellos y eso pone en peligro la seguridad de las personas. La reforma no busca frenar la investigación, busca que la innovación no avance a costa de tus derechos.
Qué aprobó el Senado, en palabras simples
La reforma incorpora a la ley dos conceptos que hasta ahora no estaban definidos así en México: la anonimización efectiva y las Tecnologías de Mejora de la Privacidad. La primera es un proceso para transformar los datos personales de tal manera que ya no se puedan atribuir a una persona identificada o identificable, y que pierdan esa denominación. La segunda es el conjunto de herramientas y procedimientos diseñados para proteger la privacidad de las personas, juntando menos datos, guardando menos datos y usando la anonimización efectiva y otras técnicas mientras se tratan.
También se faculta a los tres órdenes de gobierno, federal, estatal y municipal, a promover la investigación, el desarrollo y la adopción de estas tecnologías, para que el tratamiento de los datos se haga bajo prácticas responsables y apegadas a los derechos humanos. No es una multa ni un castigo nuevo, es una obligación de promover que estas tecnologías existan y se usen.
Anonimizar no es borrar el nombre
Esto es lo más importante del tema, y donde mucha gente se confunde. Quitarle el nombre y el CURP a una base de datos no la hace anónima. Con suficientes datos, edad, colonia, hospital, fecha de una consulta, compras, horarios, una IA puede cruzarlos y volver a identificar a la persona. En el debate en el Senado se citó justo ese problema: los sistemas de análisis automatizado y aprendizaje automático necesitan grandes volúmenes de datos para entrenarse y operar, y en ese análisis aparecen patrones que revelan características que la persona nunca expresó directamente.
Por eso la reforma habla de anonimización efectiva, no solo de anonimización. La idea es que los datos se transformen de tal manera que no se puedan volver a identificar fuera del sistema, servidor o aplicación donde se capturaron originalmente. Es decir, que aunque esa base se filtre, se comparta o se cruce con otra, no te delate. Es un estándar más exigente que el de tachar el nombre en un Excel, y también más difícil de cumplir. La reforma no detalla cómo se mide eso en cada caso, eso quedará para los lineamientos y la práctica.
Para qué sirve en la vida real
El ejemplo más claro es la salud. Imagina que un centro de investigación quiere estudiar una enfermedad con datos de miles de pacientes: con anonimización efectiva, puede analizar la información estadística sin necesidad de revelar la identidad de cada persona. Lo mismo aplica para servicios públicos, movilidad, educación o seguridad. La idea es que México no tenga que elegir entre investigar y proteger, que pueda hacer las dos cosas.
También tiene que ver con la IA. Los modelos se entrenan con datos, y si esos datos se pueden anonimizar de verdad, las empresas y los centros de investigación pueden entrenar sin exponer a la gente. Y al revés: si la anonimización es de mentiras, el entrenamiento se convierte en otra forma de exponerla. Por eso la reforma habla de minimizar la recolección y el almacenamiento, no solo de proteger lo que ya se juntó. El principio es juntar menos desde el principio.
Lo que todavía falta, y por qué no te protege hoy
Hay que decirlo claro: esto todavía no es ley. El proyecto fue aprobado en el Senado y remitido a la Cámara de Diputados, donde deberá continuar su proceso legislativo. Si se aprueba ahí y se publica en el Diario Oficial de la Federación, entraría en vigor seis meses después de su publicación. O sea, aunque todo salga bien, falta tiempo.
Y hay otra confusión que vale la pena aclarar. Esta no es la reforma de datos de menores que el Senado aprobó el 20 de octubre, con 108 votos, sobre la Ley Federal de Protección de Datos Personales. Esa es otra iniciativa, que también está en Diputados, y que habla de consentimiento de los papás, verificación de edad y prohibición de perfilado para publicidad dirigida a menores. Esta reforma de ahora es distinta: habla de tecnología, de investigación y de innovación, no de menores en particular.
Tampoco hay que venderla como la solución a todo. La reforma promueve tecnologías, no prohíbe directamente que te rastreen ni te pone un escudo en el celular. Lo que hace es poner en la ley las palabras correctas para que, cuando se hable de anonimizar, se hable en serio. Si en Diputados se queda igual, y si después se cumple, México tendrá por fin un estándar para decir cuándo un dato es realmente anónimo y cuándo solo le borraron el nombre. Eso, para un país donde los datos se venden, se filtran y se cruzan todos los días, ya es un avance. Pero un avance que todavía no te protege hoy.
Al final, la pregunta no es si tus datos valen, porque ya quedó claro que valen mucho. La pregunta es si México va a seguir tratándolos como si borrar el nombre fuera suficiente, o si va a exigir que de verdad no te puedan volver a encontrar. El Senado ya dio el primer paso. Ahora falta que Diputados lo complete, y que alguien vigile que la anonimización efectiva sea efectiva de verdad, y no solo un nombre bonito en la ley.
