El marco legal que nadie te explica: AI Act, RGPD y responsabilidad médica en el uso de IA
Introducción: la pregunta que nadie hace antes de usar ChatGPT
En los cuatro artículos anteriores de esta serie hemos hablado de cómo usar la IA para ahorrar tiempo en informes, analizar datos asistenciales, evaluar residentes y documentar reuniones. En todos ellos hemos incluido la misma advertencia: cumple el RGPD, trabaja con datos anonimizados, consulta a tu delegado de protección de datos.
Ha llegado el momento de explicar por qué.
No porque la regulación sea un obstáculo, sino porque la mayoría de los médicos que usan IA en su trabajo lo hacen sin entender el marco legal en el que operan. Y eso tiene consecuencias reales: para los pacientes, para las instituciones y para los propios profesionales.
Este artículo no es un manual de derecho. Es la guía práctica que un médico gestor necesita para responder con criterio a la pregunta: "¿puedo usar esta herramienta de IA en mi trabajo clínico o de gestión?"
La respuesta honesta, la que raramente se da en los blogs de tecnología médica, es: depende. Y este artículo te enseña de qué depende.
El mapa regulatorio: qué normas afectan al uso de IA en sanidad
En España y en la Unión Europea, el uso de IA en entornos sanitarios está afectado por al menos tres capas regulatorias que se superponen. Entender cómo interactúan es el primer paso para navegar el cumplimiento sin paralizarse.
Capa 1: el Reglamento General de Protección de Datos (RGPD)
El RGPD, aprobado en 2016 y en vigor desde 2018, establece las reglas para el tratamiento de datos personales en la Unión Europea. En el contexto sanitario, su artículo 9 es especialmente relevante: los datos de salud son datos de categoría especial, lo que significa que su tratamiento está sujeto a restricciones adicionales más estrictas que los datos personales ordinarios.
Lo que esto significa para el uso de IA en sanidad:
Cuando introduces información de un paciente —cualquier información que permita identificarlo directa o indirectamente— en una herramienta de IA, estás realizando un tratamiento de datos personales de categoría especial. Ese tratamiento requiere una base jurídica específica, que en el contexto sanitario suele ser la asistencia sanitaria (art. 9.2.h del RGPD), pero también requiere que el proveedor de la herramienta sea un encargado del tratamiento con contrato de procesamiento de datos (DPA, Data Processing Agreement) adecuado.
La mayoría de las herramientas de IA de consumo —ChatGPT, Claude, Gemini en su versión gratuita o de pago individual— no tienen este contrato con los usuarios individuales. Eso no significa que no puedas usarlas en tu trabajo: significa que no puedes introducir datos de pacientes en ellas.
La regla práctica que resume todo: si el texto que vas a introducir en la herramienta contiene cualquier dato que permita identificar a un paciente concreto —nombre, fecha de nacimiento, número de historia clínica, dirección, diagnóstico específico, o cualquier combinación que reduzca el conjunto posible a una persona— no lo introduzcas en una herramienta de IA pública.
Capa 2: el Reglamento de IA de la Unión Europea (AI Act)
El AI Act, aprobado en 2024 y con aplicación progresiva hasta 2027, es la primera regulación integral sobre inteligencia artificial en el mundo. Para los profesionales sanitarios, su elemento más relevante es la clasificación de sistemas de IA por niveles de riesgo.
El AI Act establece cuatro niveles:
¿Dónde caen las herramientas que usamos en esta serie?
Las aplicaciones de los artículos anteriores —redactar actas, analizar datos de actividad agregados, generar borradores de informes administrativos— caen mayoritariamente en riesgo mínimo o limitado, porque no toman decisiones clínicas sobre pacientes individuales.
Pero el AI Act añade una advertencia importante: si un sistema de IA se usa en un contexto de alto riesgo, aunque el sistema en sí sea de riesgo general (como ChatGPT), quien lo usa en ese contexto asume responsabilidades adicionales. Dicho de otro modo: usar ChatGPT para sugerir un diagnóstico en un caso clínico real no convierte a ChatGPT en un sistema de alto riesgo regulado, pero sí crea una zona de responsabilidad profesional que el médico debe conocer.
Capa 3: la regulación específica de dispositivos médicos (MDR/IVDR)
Los sistemas de IA que tienen función diagnóstica, pronóstica o terapéutica sobre pacientes concretos pueden estar sujetos al Reglamento de Dispositivos Médicos (MDR 2017/745) o al Reglamento de Dispositivos de Diagnóstico In Vitro (IVDR 2017/746). Esto aplica especialmente a herramientas de IA para análisis de imágenes médicas, interpretación de electrocardiogramas, cribado de patologías, o apoyo a la toma de decisiones clínicas basadas en datos del paciente individual.
Para el jefe de servicio que quiere implementar una herramienta de IA con función clínica directa, la primera pregunta no es "¿funciona bien?" sino "¿está certificada como dispositivo médico en la Unión Europea?". Si la respuesta es no, el uso de esa herramienta en decisiones clínicas reales puede constituir una práctica no autorizada.
Las cinco preguntas que debes hacerte antes de implementar cualquier herramienta de IA
Con ese mapa regulatorio en la mano, aquí están las cinco preguntas que cualquier médico gestor debería responder antes de adoptar una herramienta de IA en su servicio:
Pregunta 1: ¿La herramienta procesa datos de pacientes individuales identificables?
Si la respuesta es sí, o si existe alguna posibilidad de que lo haga, necesitas verificar que el proveedor tiene un DPA conforme al RGPD con tu institución, que el tratamiento tiene base jurídica en el contexto sanitario, y que el sistema cumple los principios de minimización de datos y limitación de la finalidad.
Si la respuesta es no (la herramienta solo trabaja con datos agregados, anonimizados o ficticios), las restricciones son mucho menores, aunque no inexistentes.
Pregunta 2: ¿La herramienta toma decisiones clínicas o las apoya directamente?
Si la herramienta sugiere diagnósticos, recomienda tratamientos, prioriza casos clínicos o analiza imágenes de pacientes concretos, probablemente está en la categoría de sistema de IA de alto riesgo según el AI Act, y puede requerir certificación como dispositivo médico. Esto no está en manos del médico individualmente: es una decisión institucional que involucra al servicio de informática, la dirección médica y probablemente asesoría jurídica.
Pregunta 3: ¿Quién es el responsable del tratamiento de datos?
En el contexto hospitalario, el responsable del tratamiento es habitualmente la institución (el hospital, la gerencia de área de salud). El médico individual opera como parte del sistema del responsable. Esto tiene implicaciones prácticas: si introduces datos de pacientes en una herramienta de IA por tu cuenta, sin que la institución haya establecido ese tratamiento como lícito, estás actuando fuera del paraguas institucional y potencialmente incurriendo en una infracción del RGPD a título personal.
Pregunta 4: ¿Está el delegado de protección de datos de tu institución informado y de acuerdo?
El delegado de protección de datos (DPD o DPO) es la figura que en tu institución tiene la responsabilidad de velar por el cumplimiento del RGPD. Antes de implementar cualquier herramienta de IA que procese datos de pacientes o datos profesionales sensibles, el DPD debe estar involucrado. Si tu institución no tiene DPD (todas las entidades sanitarias públicas deben tenerlo por imperativo legal), eso es ya un problema previo que resolver.
Pregunta 5: ¿Qué pasa si la herramienta comete un error que afecta a un paciente?
Esta es la pregunta más incómoda y la más importante. La IA puede producir outputs incorrectos —diagnósticos erróneos, dosis equivocadas, recomendaciones inapropiadas— con apariencia de plausibilidad. El médico que usa esa herramienta y actúa sobre su output sin verificación crítica asume la responsabilidad profesional del resultado. La herramienta no tiene responsabilidad jurídica: la tiene quien la usa y quien firma.
Este principio, que está alineado con la posición de la mayoría de los colegios médicos europeos y con el enfoque del AI Act, tiene una implicación práctica directa: la IA debe usarse siempre como herramienta de apoyo con supervisión humana obligatoria, nunca como sustituto del juicio clínico.
RGPD en la práctica: lo que sí puedes hacer y lo que no
Para bajar esto a tierra, aquí está la distinción operativa que importa en el día a día:
Lo que puedes hacer sin restricciones RGPD relevantes
Usar herramientas de IA pública (ChatGPT, Claude, Gemini) para tareas que no involucran datos de pacientes identificables:
- Redactar borradores de documentos administrativos con datos ficticios o plantillas
- Analizar datos de actividad agregados y anonimizados del servicio
- Preparar materiales formativos o presentaciones
- Buscar información científica o bibliográfica
- Generar ideas, estructuras de argumentación, guiones de presentación
- Practicar prompts con casos clínicos ficticios
Lo que requiere garantías adicionales
Usar herramientas de IA con datos reales de pacientes, incluso si están anonimizados de forma imperfecta (seudonimizados). Aquí es donde entra el DPA y la política de privacidad institucional.
Lo que está directamente prohibido sin acuerdos institucionales específicos
Introducir en herramientas de IA pública cualquier dato que permita identificar a un paciente concreto: nombre, NHC, fecha de nacimiento combinada con diagnóstico, dirección, o cualquier combinación de datos que reduzca el conjunto a una persona identificable.
La seudonimización: el territorio intermedio que más confunde
Un concepto que genera mucha confusión en la práctica es la seudonimización. A diferencia de la anonimización (que hace irreversible la identificación), la seudonimización reemplaza los identificadores directos (nombre, NHC) por un código, pero mantiene la posibilidad de reidentificación si alguien tiene acceso a la tabla de correspondencia.
El RGPD considera los datos seudonimizados como datos personales si la reidentificación es posible para alguna de las partes. Esto significa que sustituir el nombre de un paciente por "Paciente X" antes de introducir sus datos en ChatGPT no elimina las restricciones del RGPD si el contexto clínico es suficientemente específico para identificar al individuo.
Ejemplo práctico: "paciente de 78 años, cirugía de prótesis de rodilla el 14 de enero en el servicio de traumatología del Hospital X, complicación infecciosa por MRSA" es, en la práctica, un dato seudonimizado que un profesional con acceso al HIS podría reidentificar. No debe procesarse en una herramienta de IA pública aunque no incluya el nombre del paciente.
La anonimización real requiere que el dato sea irreversiblemente desvinculado del individuo, lo cual en la práctica clínica es difícil de conseguir para casos individuales complejos. Para análisis de datos agregados —cien altas de un servicio en un mes, tasas de complicación por procedimiento— la anonimización es técnicamente más accesible y menos arriesgada.
El AI Act aplicado: qué significa "sistema de alto riesgo" en la práctica clínica
El AI Act clasifica los sistemas de IA de alto riesgo en el ámbito sanitario en su Anexo III. Aquí están los más relevantes para un jefe de servicio:
Sistemas incluidos en la categoría de alto riesgo:
- Sistemas de IA destinados a ser utilizados como dispositivos médicos o como accesorios de dispositivos médicos, en el sentido del Reglamento MDR
- Sistemas de IA para evaluación de riesgos y establecimiento de precios en seguros de salud
- Sistemas de IA para evaluación de solvencia o clasificación de crédito
Lo que NO está automáticamente en la categoría de alto riesgo:
- Herramientas de IA de propósito general (ChatGPT, Claude) usadas para tareas administrativas
- Herramientas de búsqueda bibliográfica o síntesis de literatura científica
- Herramientas de redacción y documentación sin función diagnóstica o terapéutica directa
La zona gris que requiere análisis caso por caso:
- Herramientas de IA que analizan imágenes médicas pero que no están certificadas como dispositivos médicos
- Sistemas de apoyo a la decisión clínica integrados en el HIS
- Herramientas de triaje automatizado en urgencias
Para este último grupo, la pregunta que hay que hacerse es: "¿esta herramienta está tomando o apoyando directamente decisiones sobre el tratamiento de un paciente específico?" Si la respuesta es sí, la herramienta está en la zona de alto riesgo y debe evaluarse con los estándares correspondientes.
Responsabilidad profesional: lo que los colegios médicos dicen (y lo que no dicen)
La posición de los colegios médicos europeos y de las principales organizaciones sanitarias sobre el uso de IA es convergente en un punto fundamental: el médico no puede delegar en la IA la responsabilidad de las decisiones clínicas. Esto no es una opinión: es el principio rector de todas las guías publicadas hasta la fecha, incluidas las del Consejo General de Colegios de Médicos de España, la Asociación Médica Mundial y la Federación Europea de Academias de Medicina.
En términos prácticos, esto significa:
Responsabilidad por el output que firmas: si usas IA para redactar un informe de alta y firmas ese informe sin revisarlo, eres responsable de cualquier error que contenga. La IA no es coautor ni corresponsable.
Responsabilidad por la elección de la herramienta: si implementas en tu servicio una herramienta de IA sin verificar sus garantías técnicas, regulatorias y de privacidad, y esa herramienta causa un daño, la responsabilidad puede alcanzarte a ti como gestor y a tu institución.
Responsabilidad por la supervisión del uso: si tus residentes o adjuntos usan herramientas de IA en su práctica clínica sin supervisión adecuada, y eso deriva en un error asistencial, la cadena de responsabilidad te incluye como jefe de servicio.
Esto no debe interpretarse como una razón para no usar IA. Debe interpretarse como una razón para usarla con criterio, con procesos de verificación, y con transparencia sobre cómo se usa en tu servicio.
Lo que debes tener documentado en tu servicio
Si implementas o planeas implementar herramientas de IA en tu servicio, aquí está la documentación mínima que un auditor de calidad o un inspector de protección de datos podría pedirte:
Registro de actividades de tratamiento: si tu servicio usa IA para procesar datos de pacientes (aunque sea de forma agregada), eso debe estar reflejado en el registro de actividades de tratamiento de tu institución. Es responsabilidad del responsable del tratamiento (la institución), pero el jefe de servicio debe asegurarse de que existe.
Evaluación de impacto en la protección de datos (EIPD): para tratamientos de datos de salud que usen tecnologías nuevas o que impliquen riesgos elevados para los derechos de los interesados, el RGPD requiere una EIPD antes de comenzar el tratamiento. Si implementas una herramienta de IA que procesa datos de pacientes, probablemente necesitas una. Debe realizarla el DPD de tu institución.
Política de uso de IA del servicio: un documento interno que establezca qué herramientas pueden usarse, para qué tareas, con qué datos, y bajo qué condiciones de supervisión. No necesita ser extenso: dos páginas son suficientes para un servicio de tamaño medio. Pero debe existir.
Formación del equipo: los miembros del servicio que usan herramientas de IA en su trabajo deben recibir formación básica sobre privacidad y limitaciones de la IA. Esto también es documentable y auditable.
El escenario que más preocupa a los gestores: ¿qué pasa si Microsoft Copilot o el HIS corporativo ya usa IA?
Una pregunta frecuente en servicios que trabajan en entornos corporativos de Microsoft 365 o en HIS con módulos de IA integrados es: "si mi hospital ya tiene un contrato con Microsoft o con el proveedor del HIS, ¿estoy cubierto automáticamente?"
La respuesta es: probablemente sí para las funcionalidades previstas en el contrato, pero no necesariamente para todos los usos posibles.
Los contratos institucionales con proveedores como Microsoft incluyen habitualmente cláusulas de procesamiento de datos que establecen que el proveedor actúa como encargado del tratamiento bajo las instrucciones del responsable (el hospital). Eso cubre el tratamiento dentro del ámbito previsto en el contrato.
Lo que el contrato no cubre automáticamente es el uso creativo o exploratorio de las herramientas fuera de ese ámbito: por ejemplo, copiar y pegar datos de pacientes en Microsoft Copilot para hacer una consulta ad hoc que no está prevista en el contrato.
La recomendación práctica es simple: ante la duda, pregunta al DPD. No es una respuesta burocrática: es la respuesta correcta, porque el DPD conoce el alcance exacto de los contratos institucionales.
El checklist del gestor sanitario antes de implementar IA
Para terminar con algo inmediatamente accionable, aquí está el checklist de diez puntos que deberías completar antes de implementar cualquier herramienta de IA en tu servicio:
Evaluación de la herramienta:
- ¿La herramienta procesa datos de pacientes individuales? (Si sí → requiere DPA)
- ¿Tiene función diagnóstica, pronóstica o terapéutica directa? (Si sí → verificar certificación MDR)
- ¿Está clasificada como sistema de IA de alto riesgo según el AI Act? (Si sí → obligaciones adicionales)
Evaluación institucional:
- ¿Está el DPD de tu institución informado y de acuerdo?
- ¿Existe o está en proceso la EIPD correspondiente?
- ¿Tiene la institución DPA con el proveedor de la herramienta?
Evaluación del servicio:
- ¿Existe una política de uso de IA en tu servicio?
- ¿Ha recibido el equipo formación básica sobre uso seguro y limitaciones de la IA?
- ¿Existe un proceso de supervisión y validación del output de la IA antes de su uso?
Evaluación de la responsabilidad:
- ¿Está documentado quién revisa y valida el output de la IA en cada caso de uso?
Ninguno de estos diez puntos requiere asesoría jurídica especializada para contestarlos. Requieren tiempo, conversación con las personas adecuadas en tu institución, y sentido común.
Lo que este artículo no puede hacer: sustituir al asesor jurídico
Este artículo ha intentado dar un mapa útil y accionable del marco regulatorio. Pero tiene un límite que es importante nombrar: no es asesoría jurídica, y no puede serlo.
La aplicación concreta de estas normas a un servicio específico, a un hospital concreto, a una herramienta particular, depende de detalles que este artículo no puede conocer: los contratos de tu institución, las políticas de tu DPD, la naturaleza exacta de los datos que procesas, la clasificación regulatoria de las herramientas que usas.
Para eso están el DPD de tu institución, los servicios jurídicos del hospital, y si es necesario, asesoría jurídica especializada en derecho sanitario y protección de datos.
Lo que este artículo sí puede hacer es ayudarte a llegar a esas conversaciones con las preguntas correctas. Un jefe de servicio que llega al DPD sabiendo distinguir entre datos seudonimizados y anonimizados, que conoce la diferencia entre riesgo alto y riesgo limitado según el AI Act, y que sabe qué es una EIPD, tiene una conversación mucho más productiva que uno que llega preguntando "¿puedo usar ChatGPT?"
Conclusión: el marco legal como ventaja competitiva
La mayoría de los médicos que usan IA en su trabajo no conocen este marco regulatorio. La mayoría de los blogs y formaciones sobre IA en sanidad no lo explican con suficiente detalle. Y eso crea una brecha entre los que usan IA de forma irreflexiva —con todos los riesgos que eso conlleva— y los que podrían usarla de forma informada.
Conocer el marco legal no es un obstáculo para usar IA: es lo que permite usarla con confianza. Un jefe de servicio que puede decir a su equipo "usamos estas herramientas, de esta forma, con estas garantías" tiene una posición mucho más sólida que uno que dice "usad lo que queráis y tened cuidado".
Y frente a dirección médica, frente a auditorías de calidad, frente a pacientes que preguntan: la diferencia entre el uso informado y el uso irreflexivo de la IA es exactamente la diferencia que este artículo intenta construir.
El artículo final de esta serie —el número 6— cerrará con lo que todo esto significa en la práctica: cómo introducir la IA en tu servicio en 90 días, con una hoja de ruta concreta, herramientas gratuitas o de bajo coste, y un checklist de cumplimiento que puedes empezar a usar mañana.
¿Quieres el checklist completo en formato descargable?
He preparado el checklist de implementación de IA en servicios hospitalarios en formato PDF imprimible, con los diez puntos de este artículo más cinco preguntas adicionales específicas para hospitales públicos españoles.
Apúntate a la lista de correo de medicai.es y te lo envío directamente.