Cómo elegir un software de anonimización de documentos: criterios y preguntas al proveedor

Elegir una herramienta para anonimizar documentos parece una decisión técnica, pero sus consecuencias son jurídicas. Si el programa deja texto bajo un recuadro negro, envía los documentos a un servicio de IA fuera de la Unión Europea o no permite demostrar quién anonimizó qué, el problema no es del proveedor: es del responsable del tratamiento que publicó o compartió el documento.

Esta guía propone los criterios que conviene comprobar, las preguntas concretas que hacer a cualquier proveedor y una forma sencilla de probar varias herramientas con tus propios tipos de documento antes de decidir.

Primero, qué necesitas resolver

Antes de mirar productos, describe tu caso con tres datos: qué documentos tratas (resoluciones, contratos, historias clínicas, nóminas, correos), en qué volumen y con qué finalidad (publicar en un portal de transparencia, responder a un derecho de acceso, compartir con un tercero, entrenar o probar sistemas). No es lo mismo anonimizar diez sentencias al mes que miles de expedientes escaneados al año, ni publicar en abierto que entregar a un auditor.

También conviene decidir si necesitas anonimización irreversible (el dato desaparece y el documento puede salir del ámbito del RGPD si nadie puede reidentificar a la persona, según el considerando 26) o seudonimización (el dato se sustituye por un código coherente y existe una tabla para revertirlo, por lo que sigue siendo dato personal). Muchas organizaciones necesitan ambas cosas según el destino del documento. Si dudas entre hacerlo a mano o con una herramienta, la comparativa de anonimización manual frente a automática ayuda a dimensionarlo.

Los criterios que importan

Dónde se procesan los documentos

Es la pregunta que más diferencia a las herramientas. Algunas envían el texto a un gran modelo de lenguaje de un tercero para detectar datos; otras ejecutan su propia IA. Lo relevante para el RGPD es quién trata los datos, dónde y con qué garantías. La guía sobre IA local frente a IA en la nube explica las diferencias con más detalle.

Certificaciones: pide el certificado y su alcance

En el sector público español, el Esquema Nacional de Seguridad (Real Decreto 311/2022) es la referencia: los proveedores que prestan servicios a las administraciones deben acreditar su conformidad con la categoría que corresponda. En el ámbito privado e internacional es habitual pedir ISO/IEC 27001. En ambos casos, pide el certificado, comprueba la entidad que lo emite y, sobre todo, el alcance: un certificado de la empresa que no cubre el servicio que vas a contratar no te sirve.

Cómo hacer una prueba que sirva para decidir

Las demostraciones comerciales usan documentos limpios. Tu realidad son escaneos torcidos, tablas, sellos y anexos. Prepara un juego de prueba con documentos reales de tu tipología pero con datos ficticios, o con documentos ya publicados, y evalúa:

• Falsos negativos: datos que debían desaparecer y siguen ahí. Es el error grave; cuenta cuántos hay por documento.
• Falsos positivos: texto tachado sin necesidad (nombres de cargos públicos, normas, importes que deben seguir visibles). Restan utilidad al documento.
• Tiempo de revisión: cuánto tarda una persona en revisar y corregir un documento típico.
• Resultado final: abre el fichero resultante, intenta copiar el texto tachado, revisa las propiedades y las hojas ocultas.
• Escaneos: comprueba que la herramienta encuentra datos en un PDF escaneado y en una foto de un documento.

Preguntas jurídicas que no deben faltar

• ¿Firma el proveedor un contrato de encargado del tratamiento con el contenido del artículo 28 del RGPD?
• ¿Cuánto tiempo conserva los documentos y resultados? ¿Puedo configurar su borrado automático?
• ¿Usa mis documentos para entrenar modelos? ¿Lo dice el contrato?
• ¿Qué subencargados intervienen y dónde están?
• ¿Cómo notifica una brecha de seguridad y en qué plazo?

Anonimatum frente a estos criterios

Anonimatum es una de las opciones del mercado y conviene evaluarla con la misma tabla. Es un servicio SaaS de Politeia Soft con IA propia ejecutada en servidores de la Unión Europea, sin enviar el texto a APIs externas de modelos de lenguaje. Trata PDF nativos y escaneados con OCR, Word, Excel (también columna a columna), PowerPoint, imágenes, TIFF multipágina y correos .eml y .msg con adjuntos, y devuelve el mismo formato. Combina IA con patrones, patrones personalizados y lista blanca; muestra una previsualización para revisar antes de aplicar; elimina el texto y los metadatos; y permite seudonimizar de forma coherente con mapas cifrados.

Incluye procesamiento por lotes en servidor, API REST con webhooks firmados, plantillas por tipo de documento, expedientes con historial y un panel de grupo con registro de auditoría que no guarda el nombre ni el contenido de los documentos, además de retención configurable. Politeia Soft tiene la certificación ENS de categoría MEDIA, cuyo alcance incluye Anonimatum. Lo que no hace también cuenta: no detecta rostros; las imágenes se convierten a PDF y se tratan con OCR, patrones, IA y zonas o figuras que marca el usuario. Si quieres comprobarlo con tus documentos, el equipo puede preparar una demostración; los detalles técnicos están en la página de seguridad.