Número de identidad sudafricano y POPIA: anonimizar antes de la IA
Fecha de nacimiento, sexo, ciudadanía: lo que revela el número de identidad sudafricano y cómo detectarlo y anonimizarlo antes de que llegue a la IA.
En Sudáfrica, el número de identidad de 13 cifras está en todas partes. Aparece en solicitudes de crédito, historiales médicos, contratos de trabajo y formularios RICA de los operadores móviles. Por eso también acaba en las hojas de cálculo y correos que los equipos pegan cada día en ChatGPT, Copilot o Gemini.
Este número no es un simple identificador. Su estructura revela información sobre la persona. Este artículo explica por qué la POPIA obliga a protegerlo, cómo detectarlo de forma fiable en un prompt y cómo anonimizarlo sin perder el valor de la IA para el negocio.
POPIA y el Information Regulator: el marco
La Protection of Personal Information Act (Ley 4 de 2013), conocida como POPIA, se aplica plenamente desde el 1 de julio de 2021, tras un periodo de gracia de un año. La supervisa el Information Regulator, una autoridad independiente.
La ley es explícita: la definición de información personal incluye cualquier número identificativo asignado a una persona. Exige al responsable medidas técnicas y organizativas adecuadas para evitar la pérdida o el acceso no autorizado a los datos. Si hay una brecha de seguridad, debe informar al regulador y a los afectados tan pronto como sea razonablemente posible. Las transferencias fuera de Sudáfrica solo se permiten en condiciones concretas, por ejemplo hacia un país con protección adecuada o con el consentimiento de la persona.
El regulador sanciona. En julio de 2023 impuso una multa administrativa de 5 millones de rands al Departamento de Justicia y Desarrollo Constitucional. El departamento no había cumplido un requerimiento de ejecución tras dejar caducar sus licencias de seguridad, entre ellas antivirus, SIEM y detección de intrusiones.
Lo que revela un número de identidad sudafricano
El número sigue el formato AAMMDD SSSS C A Z. Tomemos un ejemplo ficticio: 8804125123080.
880412: la fecha de nacimiento, aquí el 12 de abril de 1988.
5123: un número de secuencia que indica también el sexo. De 0000 a 4999 para mujeres, de 5000 a 9999 para hombres.
0: el estatus, 0 para un ciudadano sudafricano, 1 para un residente permanente.
8: una cifra que hoy no tiene un significado especial.
0: un dígito de control calculado con el algoritmo de Luhn.
Un solo número revela edad, sexo y estatus de ciudadanía. Unido a un nombre o a un expediente, identifica a alguien con total certeza. Por eso debe tratarse como dato sensible, aunque no figure en la lista de información personal especial de la ley.
Detectar un número de identidad en un prompt
Buscar simplemente 13 cifras seguidas genera muchos falsos positivos: números de cuenta, referencias de pedidos, códigos internos. Una detección fiable combina varios controles.
Formato: 13 cifras, a veces con espacios tras la fecha y la secuencia.
Fecha: las seis primeras cifras deben formar una fecha real, mes de 01 a 12 y día coherente con el mes.
Estatus: la undécima cifra vale 0 o 1.
Control de Luhn: el último dígito debe ser válido. Esta prueba por sí sola elimina unos nueve de cada diez falsos positivos.
Contexto: palabras como «ID», «identity number», «ID no» o «RSA ID» cerca del número aumentan la puntuación.
El mismo razonamiento vale para otros identificadores habituales: teléfonos con formato +27, números de pasaporte, números fiscales y datos bancarios. Esto es lo que separa una detección precisa de un filtro que lo bloquea todo y que los equipos acaban esquivando, un problema que analizamos en por qué la DLP de red falla con ChatGPT.
Anonimizar sin romper el uso de la IA
Borrar el número suele dejar la respuesta sin utilidad. Si un analista pide a la IA que revise la coherencia de un archivo, necesita números que parezcan reales. El enfoque correcto es la anonimización que preserva el formato.
El número real 8804125123080 se sustituye, antes del envío, por uno ficticio como 9107235412081.
El sustituto sigue siendo válido: fecha real, estatus coherente y dígito de Luhn correcto. El sexo puede conservarse si el análisis lo necesita.
La correspondencia se guarda localmente, en el equipo, durante la sesión.
Cuando la IA responde, los números ficticios pueden volver a sustituirse por los reales para el usuario.
La IA nunca ve el dato real, pero el usuario obtiene una respuesta útil. Explicamos el método en detalle en la anonimización que preserva el formato.
Dónde colocar este control
Un control a nivel de red ve poco del contenido de las sesiones cifradas y no detecta los archivos arrastrados al navegador. Un control en el puesto de trabajo ve el texto en el momento en que se pega o se envía. Ahí es donde hay que actuar, antes de que el dato salga del dispositivo. Para entender cómo se produce una fuga, lea la anatomía de una fuga de datos por IA.
El contexto regulatorio va en la misma dirección. El 10 de abril de 2026, el Departamento de Comunicaciones y Tecnologías Digitales publicó un proyecto de Política Nacional de IA, abierto a comentarios hasta el 10 de junio de 2026. No es vinculante, pero anuncia un enfoque basado en el riesgo.
En resumen
El número de identidad sudafricano concentra fecha de nacimiento, sexo y estatus de ciudadanía en 13 cifras. La POPIA obliga a protegerlo y el Information Regulator ha demostrado que sanciona la falta de controles técnicos. ZeusLock detecta estos números y otros identificadores sudafricanos directamente en el equipo, los anonimiza preservando su formato, avisa o bloquea según sus reglas y registra cada evento como prueba de cumplimiento.
¿Quiere probar la detección con sus propios casos de uso? Solicite una demo de ZeusLock.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
