Cómo funciona por dentro un motor de anonimización de documentos

Casi todo el mundo imagina la anonimización como un buscar y reemplazar un poco más listo: localizas el DNI, lo tachas y ya está. Quien ha intentado hacerlo a escala sabe que no. Un expediente administrativo real trae nombres escritos de cuatro maneras distintas, números de nueve dígitos que a veces son un teléfono y a veces no, referencias a decretos que no hay que tocar y personas que aparecen identificadas sin que su nombre figure en ninguna parte.

Este artículo abre la caja y cuenta qué ocurre entre que subes un documento y recibes el resultado. Si lo que buscas es la ficha del producto —qué tipologías, qué formatos, qué garantías—, está en las especificaciones técnicas.

Por qué ninguna técnica sirve por sí sola

Hay dos familias de herramientas para localizar datos personales en un texto, y cada una falla justo donde la otra acierta.

Las reglas deterministas —expresiones regulares, validadores de formato— son quirúrgicas con lo que tiene estructura. Un NIF, un IBAN o un correo electrónico se describen con precisión y se encuentran sin margen de duda. Pero no tienen ni idea de lengua: para una expresión regular, «Ávila» y «Ana Ávila» son igual de opacos.

Los modelos de lenguaje hacen exactamente lo contrario. Reconocen que «la Sra. Fernández Iglesias» es una persona y que «Talarrubias» es un municipio, porque han visto millones de frases parecidas. Lo que no saben hacer es una división entre 23 para comprobar si la letra de un DNI cuadra.

La conclusión práctica es que un motor serio no elige: encadena varias pasadas especializadas, cada una aportando candidatos con su propia puntuación de confianza, y deja la decisión final para el último paso.

Las capas, una a una

Capa	Qué resuelve
Extracción y normalización	Saca el texto del documento ofimático, de las celdas o de la capa de texto del PDF, y guarda la posición exacta de cada fragmento. Sin esa posición, la sustitución desplaza el resto del documento y rompe la maquetación
Reconocedores deterministas	Localizan los identificadores de estructura conocida y comprueban que son matemáticamente válidos antes de darlos por buenos
Reconocimiento de entidades	Un modelo entrenado en español localiza personas, organizaciones y lugares en texto libre; un segundo modelo admite tipologías nuevas descritas en lenguaje natural
Correferencia	Agrupa todas las menciones que se refieren a la misma persona
Relaciones y cuasi-identificadores	Detecta a quien queda identificado por su vínculo, su cargo o una combinación de atributos
Control de calidad	Mide el acierto de forma desagregada y corrige las desviaciones conocidas de los modelos
Decisión	Resuelve solapamientos, aplica umbrales, plantilla, lista blanca y lista negra, y registra el origen de cada sustitución

Cada capa se apoya en la anterior. Si la extracción pierde la posición del texto, la sustitución se aplica en el sitio equivocado por muy bien que haya funcionado el modelo de entidades.

Validar antes de tachar

Encontrar una cadena con la forma de un DNI es fácil. Comprobar que es un DNI requiere hacer la cuenta. Es la diferencia entre tachar un número de expediente porque se le parece y dejarlo donde está.

Identificador	Comprobación
NIF de persona física	Letra de control por el resto de la división entre 23
NIE	La inicial X, Y o Z se sustituye por su valor numérico antes de calcular la letra
NIF de persona jurídica	Dígito o letra de control según el tipo de entidad
Número de la Seguridad Social	Dígitos de control por módulo 97
IBAN	Norma ISO 13616, comprobación por módulo 97
Matrícula de vehículo	Formato actual y formatos provinciales históricos
Código Seguro de Verificación	Patrón configurable, porque cada organismo emisor usa el suyo
Correo, IP, URL	Validación sintáctica

Hay un caso que merece párrafo aparte, y es el que más documentos administrativos ha arruinado: las referencias normativas. «Decreto 45/2019, de 3 de abril» es, para un detector ingenuo, una fecha acompañada de dos números. Si lo tacha, el resultado es una resolución ilegible en la que ha desaparecido precisamente la norma que la justifica. Por eso las citas a leyes, decretos y circulares se reconocen no para anonimizarlas, sino para protegerlas de la anonimización.

Sobre esa base actúa el realce por contexto. Un número de nueve dígitos aislado es ambiguo; el mismo número precedido de «teléfono de contacto» deja de serlo. Las palabras del entorno inmediato —DNI, cuenta, domicilio, expediente— suben o bajan la confianza del candidato.

Una decisión por persona

En un expediente largo, la misma persona aparece como «Doña María Luisa Fernández Iglesias» en el encabezamiento, como «la solicitante» en los antecedentes, como «la interesada» en los fundamentos y como «la Sra. Fernández» en el fallo. Un sistema que trate cada mención por separado te obligará a tomar cuarenta decisiones sobre la misma persona, y bastará con que se te escape una.

La correferencia construye la lista de personas del documento y cuelga de cada una todas sus apariciones. Decides una vez, y la decisión se propaga. Es también lo que hace que la tokenización sea estable: si todas las menciones de alguien se agrupan, todas pueden recibir la misma etiqueta, y [PER_1] sigue siendo la misma persona cuarenta páginas más adelante.

A quien se identifica sin ser nombrado

«El hermano de la solicitante» es un dato personal. «La alcaldesa de un municipio de 3.000 habitantes», también. Ninguno de los dos contiene un nombre, y los dos permiten llegar a una persona concreta con dos clics.

El Comité Europeo de Protección de Datos llama singularización a que un registro pueda aislarse dentro de un conjunto, y la considera uno de los tres riesgos que hay que descartar para poder afirmar que un dato es anónimo. Los otros dos son la vinculabilidad y la inferencia, y los desarrollamos en la guía sobre anonimización y seudonimización.

Detectar esos vínculos no basta: hay que decidir qué hacer con ellos, y la respuesta depende del destino del documento. Generalizar el vínculo («hermana de [PER_2]») suele ser suficiente para publicar una resolución en un portal de transparencia. Neutralizar el cargo convierte «alcalde de Santa Cruz de la Palma» en una categoría genérica. Y para ceder un conjunto de expedientes con fines estadísticos, suprimir el sintagma entero es más seguro que cualquier maquillaje.

Los dos errores no cuestan lo mismo

Aquí hay una decisión de diseño que conviene entender, porque explica el comportamiento del sistema.

Un falso positivo —tachar algo que no era un dato personal— cuesta legibilidad y se arregla en dos clics en la pantalla de revisión. Un falso negativo —dejar un dato personal a la vista— es una comunicación no autorizada de datos personales, con lo que eso implica ante la AEPD.

Como los dos errores no son simétricos, la calibración tampoco lo es: ante la duda, se marca. La precisión se recupera después, en la revisión humana, que es rápida porque consiste en descartar de más y no en buscar lo que falta. Si tu caso pide otro equilibrio, los umbrales de confianza se ajustan por tipología.

Por qué se sustituyó cada dato

Una anonimización que no puedes explicar es una anonimización que no puedes defender. Por cada sustitución aplicada conviene poder responder a cuatro preguntas: qué capa la originó, qué tipología se le asignó, con qué confianza exacta —el número, no un «alta» o «media»— y qué disparó la detección.

Sirve para tres cosas muy prácticas: entender un resultado que te ha sorprendido, ajustar la configuración con criterio en lugar de por prueba y error, y documentar ante un tercero cómo se tomó una decisión automática sobre un documento. Lo tercero deja de ser opcional en cuanto el documento va a un expediente público.

El sesgo también es un problema de protección

Los modelos de reconocimiento de entidades se entrenan con texto público, y ese texto no está equilibrado. Está medido y documentado que los sistemas de reconocimiento de nombres aciertan menos con nombres femeninos que con masculinos, y menos con apellidos de origen no hispánico que con castellanos.

En casi cualquier otra aplicación eso sería un problema de calidad. En anonimización es un problema de derechos: significa que unas personas quedarían mejor protegidas que otras por el hecho de cómo se llaman. Las medidas razonables son cuatro, y ninguna es exótica:

1. Medir por separado, no en agregado. Un promedio alto puede esconder un subgrupo mal cubierto.
2. Cubrir la flexión: hermano y hermana, alcalde y alcaldesa, concejal y concejala, don y doña.
3. Ajustar el umbral del subgrupo que se reconoce con menos confianza, en lugar de aplicar uno único que lo dejaría fuera.
4. Ampliar los recursos léxicos hacia donde la medición señale.

Nada de esto elimina el sesgo; lo hace medible y lo reduce. Que la revisión humana siga formando parte del procedimiento recomendado no es una cláusula de estilo: es la consecuencia lógica de admitir que ningún modelo acierta siempre.

Cuando el documento es un escaneo

Si el fichero no tiene capa de texto —un escaneo, una fotografía, un fax digitalizado—, el reconocimiento óptico deja de ser un accesorio y pasa a determinar la calidad de todo lo demás. Un buen proceso hace cuatro cosas: preprocesa la imagen adaptándose a ella (enderezado, ruido, perspectiva, binarización), transcribe con tolerancia a sellos superpuestos y tipografías de máquina de escribir, analiza la estructura de la página para no mezclar dos columnas contiguas, y realimenta: cuando aparece un candidato de baja confianza sobre texto reconocido ópticamente —un NIF cuya letra no cuadra, una fecha imposible—, esa región se vuelve a examinar con otros parámetros.

Hay un detalle que en documentación de archivo marca la diferencia: el reconocimiento óptico pierde tildes con frecuencia, y un texto donde «Fernández» aparece como «Fernandez» degrada la detección de nombres propios. Por eso la comparación tiene que ser insensible a la acentuación desde la capa de normalización.

Y una advertencia sobre el resultado: en una imagen, la sustitución debe aplicarse sobre los píxeles. Un rectángulo negro de anotación PDF o una capa superpuesta se retiran con cualquier visor, y el dato sigue ahí debajo.

Hojas de cálculo: manda la columna

En una hoja de cálculo o en un volcado de base de datos, analizar cada celda por su cuenta es un error de bulto. Lo correcto es inferir la tipología de la columna completa, a partir del conjunto de sus valores y del encabezado, y aplicarla a todas sus celdas incluidos los valores atípicos: la que tiene un espacio de más, la que lleva la letra en minúscula, la que quedó vacía.

Y en datos estructurados hay un riesgo que no se ve mirando columnas de una en una. Código postal, año de nacimiento, sexo y categoría profesional son cuatro campos inocentes que, combinados, pueden dejar a una única persona en su grupo. Verificar la k-anonimidad consiste en fijar un valor de k y comprobar qué combinaciones quedan por debajo de ese umbral. La AEPD lo recoge en su nota técnica sobre k-anonimidad y la norma ISO/IEC 20889:2018 lo sitúa entre las técnicas de desidentificación reconocidas. Es la comprobación pertinente antes de una cesión estadística o de publicar un conjunto de datos abiertos, donde no basta con haber borrado la columna del nombre.

Preguntas frecuentes

¿Por qué no basta con expresiones regulares para anonimizar documentos?

Porque solo encuentran lo que tiene estructura fija. Un NIF o un IBAN sí; un nombre propio, una dirección escrita en prosa o «el hermano de la solicitante», no. Y sin validación del dígito de control, una expresión regular tacha cualquier número que se parezca a un DNI, incluidos los de expediente.

¿Qué es la correferencia y por qué importa al anonimizar?

Es agrupar todas las formas en que un documento nombra a la misma persona: nombre completo, apellido con tratamiento, y designaciones por su papel como «la interesada». Importa porque permite tomar una sola decisión por persona en lugar de una por mención, que es donde se producen los olvidos en documentos largos.

¿Se puede anonimizar un PDF escaneado sin capa de texto?

Sí, mediante reconocimiento óptico, pero con dos condiciones. La primera es que el proceso corrija la imagen antes de transcribirla y sea insensible a la falta de tildes. La segunda es que la sustitución se aplique sobre los píxeles y no como una capa superpuesta, que se retira con cualquier visor de PDF.

¿Qué es la k-anonimidad y cuándo hay que comprobarla?

Es la garantía de que cualquier combinación de atributos de una tabla se repite al menos en k personas, de modo que ninguna queda sola en su grupo. Conviene comprobarla siempre que vayas a ceder un conjunto de datos con fines estadísticos o a publicarlo como datos abiertos.

En resumen

Un motor de anonimización solvente no es un buscador de patrones con mejor puntería. Es una cadena de decisiones donde cada paso cubre el punto ciego del anterior, calibrada sabiendo que dejar pasar un dato cuesta mucho más que tachar uno de más, y capaz de explicar por qué hizo lo que hizo.

Si quieres el detalle de qué detecta anonimiza.do, en qué formatos y con qué garantías, está en las especificaciones técnicas. Y si prefieres verlo funcionando, pruébalo con tus propios documentos.