Una toma en una clínica rara vez contiene solo lo que el fotógrafo encuadró. Hay una cara al fondo, una ficha sobre el escritorio, un monitor encendido, una pulsera en la muñeca. Y dentro del archivo, invisibles, las coordenadas del lugar donde se tomó.
ComuMed revisa cada imagen que entra a la biblioteca, marca lo que encontró sobre la propia foto y espera a que una persona decida. El análisis nunca decide solo.
Detecta caras. No identifica personas.
La diferencia importa. El detector responde “acá hay un rostro” y dibuja el recuadro para que se pueda tapar; nunca responde “este rostro es tal persona”. No construye plantillas biométricas, no compara contra ninguna base y no guarda un rasgo facial de nadie. Lo único que sale del análisis son coordenadas.
PHI: Protected Health Information
Cualquier dato que permita identificar a un paciente y vincularlo con su atención médica. No es solo el nombre: una cara reconocible, un número de historia clínica, una pulsera, la pantalla de un monitor y hasta la ubicación guardada dentro del archivo cuentan como PHI. Y basta uno para que la foto deje de ser anónima.
Velo funcionar
La ilustración es dibujada a propósito: una página sobre no publicar material de pacientes no se ilustra con material de pacientes. Los recuadros y el difuminado usan la misma aritmética que el portal.
Lo que ve alguien con permiso: la foto original y los hallazgos marcados encima.
Cómo funciona
No hay una caja negra que dé un puntaje. Hay cuatro cosas concretas mirando la misma imagen, y un umbral explícito que decide qué es señal y qué es ruido.
Los cuatro detectores comparten el mismo decodificado en lugar de abrir el archivo cuatro veces. Un original de 6.000 píxeles se reduce a una copia de trabajo: más resolución no encuentra más, y sí cuesta segundos.
Devuelve un recuadro por cara y un número de certeza. El umbral está alto a propósito: el hallazgo es «rostro identificable», y una cara demasiado chica o demasiado borrosa para reconocer no es lo que la cola de cumplimiento existe para atrapar.
Ficha, pantalla y pulsera no son tres detectores: son una sola lectura interpretada según qué dicen las palabras y dónde están. Sobre una foto, la mayoría de lo que devuelve un OCR es textura leída como letras —en una toma con un solo cartel devolvió 273 «palabras», de las cuales 22 eran reales—, así que solo se razona sobre las que superan el umbral de confianza.
Un código impreso en una foto clínica casi siempre es una pulsera o la etiqueta de una ficha, y es la señal que distingue una banda de cualquier otro texto. En paralelo se lee la cabecera del archivo: GPS, número de serie, autoría.
Si algún hallazgo supera el umbral, el archivo queda marcado y sale el aviso. Los hallazgos por debajo se registran igual y se muestran, pero no retienen nada por sí solos: el número de serie de la cámara aparece en todas las fotos profesionales, y marcar por eso sería marcar la biblioteca entera.
Cuando alguien sin permiso pide el archivo, no se le manda el original con un filtro: se genera una copia donde esas zonas ya no existen, pixeladas antes de difuminarse. Al recodificar, los metadatos se quedan afuera.
Qué busca
Seis las encuentra el análisis por su cuenta. La séptima la marca una persona, y decimos cuál es en lugar de fingir que están todas cubiertas.
Una cara reconocible en el encuadre: del paciente, de un familiar, o de alguien que pasaba por el pasillo y nunca firmó nada.
Nombre, DNI, RUT, número de historia clínica o fecha de nacimiento legibles en una ficha, una etiqueta o una hoja sobre la camilla.
Un monitor, una ecografía o un sistema abierto mostrando valores y nombre del paciente.
Un código impreso —de barras o QR— que apunta directo a una persona en el sistema del hospital.
La pulsera de internación, que lleva nombre y número juntos en una franja de dos centímetros.
Coordenadas GPS, número de serie de la cámara y fecha exacta de captura, viajando dentro del archivo. No se ven en la imagen y no los tapa ningún difuminado.
Un tatuaje, una cicatriz o una marca que identifica a una persona tan bien como su cara.
El recorrido
Apenas el archivo llega a la biblioteca, el análisis corre sin que nadie lo pida. En la tarjeta aparece un ícono por tipo de hallazgo; en vista de lista, una columna que se puede ordenar para que lo más urgente quede arriba.
Cumplimiento junta todo lo que quedó sin resolver y lo cuenta. Cada archivo muestra qué se encontró, con qué nivel de certeza y sobre qué parte de la imagen, para que la revisión sea mirar y decidir en lugar de adivinar.
El veredicto lo registra una persona y queda con su nombre y su fecha. La base de datos se niega a publicar un archivo marcado que no tenga anonimización, por más que la interfaz lo ofrezca.
Cómo lo reporta
El análisis no devuelve un puntaje. Devuelve un recuadro sobre la imagen, en el lugar exacto donde encontró algo, y lo dice en todas las pantallas donde ese archivo aparece.
Todo lo que ocurre dentro del cuadro se dibuja como un recuadro con su etiqueta y su nivel de certeza. Podés ver de un vistazo si el análisis encontró la cara correcta o se equivocó con un reflejo, y apagar la capa cuando querés mirar la imagen limpia. Los metadatos son la excepción: no están en la imagen, así que se listan aparte.
Un ícono por tipo de hallazgo, con la cantidad al lado. En vista de lista hay una columna Hallazgos que se puede ordenar: los archivos que más atención necesitan quedan arriba.
Los archivos con hallazgos sin resolver forman una fila con el pendiente contado. Cada uno muestra el detalle de lo que se encontró, cuándo se analizó y quién lo revisó.
Cuando un archivo queda retenido, la notificación sale al mismo tiempo para la clínica y para quien produce el material. Nadie se entera tarde de que su entrega está frenada.
Qué podés hacer
Ninguna de estas acciones la toma el sistema por su cuenta, y todas quedan registradas con el nombre de quien las tomó.
Si lo que el análisis marcó como rostro es un maniquí o un póster, se descarta con un clic. El hallazgo queda en el registro —para que se vea que hubo un criterio— pero deja de contar para el difuminado.
Tapar todas las caras, o todo el texto de ficha, sin tocar el resto de la foto. La imagen sigue sirviendo: se ve la sala, el equipamiento y el equipo trabajando, y no se ve a quién estaban atendiendo.
Marcar el archivo como limpio, retenido o ya anonimizado. Esa decisión queda firmada con el nombre de quien la tomó y la fecha, derivados de la sesión y no declarados por nadie.
Los archivos que ya estaban en la biblioteca antes de todo esto se pueden analizar en lote, sin volver a subirlos.
Cuando alguien sin permiso abre un archivo anonimizado, no recibe la foto original con un filtro encima: recibe una copia distinta, generada en el servidor, donde los píxeles de esas zonas ya no existen. Las regiones se pixelan antes de difuminarse, así que no hay nada que reconstruir. Y como la copia se vuelve a codificar, los metadatos —ubicación, cámara, autor— se quedan afuera.
Si un archivo todavía no fue analizado y su modo pide difuminar, se difumina entero. Ante la duda, el sistema tapa de más.
Dónde corre
Todo el análisis ocurre en nuestra infraestructura. No hay un servicio externo de inteligencia artificial mirando el material clínico de tu clínica.
Es una decisión de diseño, no una casualidad. La plataforma exige un acuerdo firmado antes de dejar que un colaborador vea material sin anonimizar; mandar esas mismas imágenes a un proveedor que no firmó nada haría que ese control no signifique nada. Los modelos viven en el servidor y trabajan ahí.
Ver cómo funciona el resto del portalNada se comparte con terceros
Ningún archivo, ni un recorte, ni una miniatura sale hacia un servicio externo para ser analizado.
El permiso lo decide la base de datos
Quién puede ver un original no lo decide la interfaz: lo resuelve una regla en el servidor antes de entregar un solo byte.
Una clínica no se aprueba sola
La clínica ve lo que se encontró en su material y no puede levantar la marca. Ese veredicto es del equipo de ComuMed.
Todo queda en el registro
Analizar, descartar un hallazgo, difuminar y firmar un veredicto son eventos auditables con nombre y fecha.
Lo que no hace
Un producto de cumplimiento que promete de más es peor que uno que dice qué se le escapa. Esto es lo que hoy no cubre.
Por ahora revisa imágenes fijas. Un video hay que mirarlo antes de publicarlo, y la plataforma no va a decir lo contrario.
El reconocimiento de caracteres fue pensado para documentos escaneados. Un texto en ángulo, con poca luz o fuera de foco puede pasar sin marcarse.
Es una ayuda para que nadie publique por accidente, no una garantía legal ni un sustituto del consentimiento firmado.
La forma más rápida de entenderlo es verlo marcar algo que vos no habías visto.
