IA en la salud y la medicina: qué hace, qué no debe hacer y qué pide la ley

Una clínica de fisioterapia de Madrid, con dos fisioterapeutas y una persona en recepción, quiere cerrar las notas de sesión en el día. Es un ejemplo ilustrativo, no un cliente ni un resultado de Ciade. El encargo inicial consiste en convertir lo expresado por el profesional en una nota y una carta de derivación que reflejen lo que ya ha decidido. La herramienta prepara borradores; no elige el tratamiento ni el especialista. Antes de usar pacientes reales, el centro ensaya con casos inventados.

Antes de contratar, separa documentación, gestión y apoyo clínico: cada encargo tiene consecuencias distintas. Para agenda, historia clínica y cobro, consulta IA en clínicas y consultorios.

Sanidad distingue recuperar información existente de analizarla para apoyar decisiones. Llamar a una función «resumen» no determina su clasificación. Su informe sobre transcripción incluye un ejemplo de síntesis clínica que influye en la valoración y lo sitúa en la clase IIa, una categoría de producto sanitario. Eso no clasifica automáticamente todos los resúmenes. Comprueba qué hace la herramienta, para qué uso está diseñada —su finalidad prevista— y qué consecuencias tendría un error. Tampoco basta con añadir una firma humana al final para convertir cualquier análisis en administración.

Para una función que apoye el diagnóstico o el tratamiento, pide al proveedor que documente esa finalidad y entregue las instrucciones, la declaración de conformidad —el documento en el que el fabricante declara que el producto cumple los requisitos aplicables— y el certificado cuando corresponda. Comprueba que los documentos cubren el módulo y el uso que compras. El marcado CE indica la conformidad con los requisitos aplicables al producto; el de una función no cubre todas las herramientas de la marca. Una demostración que redacta con soltura tampoco demuestra validación clínica. Acuerda qué ocurre cuando la herramienta falla, quién puede detener su uso y cómo se sigue documentando la atención.

Los datos de salud tienen protección especial. Antes de enviarlos a un proveedor, identifica la base jurídica, el motivo legal que permite tratarlos, y la excepción aplicable para usar datos de salud. Revisa qué información recibe el paciente y el contrato de encargo, que regula lo que hará el proveedor con los datos. Comprueba también accesos, conservación, transferencias internacionales y subencargados: las empresas que tratan los datos por cuenta de tu proveedor. El Reglamento General de Protección de Datos (RGPD) exige una evaluación de impacto, un análisis de los riesgos del tratamiento para las personas, cuando pueda entrañar alto riesgo. No toda pyme queda obligada por el solo hecho de usar IA. Puedes situar esta categoría en qué es un dato sensible.

El consentimiento asistencial y el consentimiento para tratar datos no son intercambiables. La AEPD explica que hay tratamientos asistenciales con otras bases jurídicas; eso no elimina el deber de informar ni autoriza a enviar historias a cualquier aplicación. Explica el uso de IA y la captura de audio, revisa su legitimación y prepara una alternativa de documentación humana si el paciente rechaza la IA. Además, los centros obligados a mantener historias deben designar delegado de protección de datos. La ley exceptúa al profesional sanitario que ejerce individualmente.

Según el calendario oficial de la Comisión Europea tras la reforma de julio de 2026, los requisitos de alto riesgo del anexo III se sitúan en el 2 de diciembre de 2027. Los ligados a productos regulados del anexo I, en el 2 de agosto de 2028. Son vías distintas de clasificación. No toda IA utilizada en una clínica pasa automáticamente a ser de alto riesgo: importan los criterios aplicables al sistema y su finalidad. Esos plazos tampoco aplazan la protección de datos ni los requisitos sanitarios que ya correspondan.

Si configuras un chat para pacientes, contempla que sepan que interactúan con IA, conforme a las reglas de transparencia del artículo 50. No conviertas el marcado de contenidos sintéticos en una obligación de etiquetar visiblemente toda nota interna: el artículo distingue supuestos. Para revisar el marco general, consulta qué es la ley de inteligencia artificial. Lleva después el uso concreto de tu centro a quien te asesora: función comprada, datos que entran, personas que revisan y documentación entregada al paciente.

Si necesitas ayuda para delimitar el primer uso, puedes acudir a la consultoría para clínicas de Ciade. Lleva un proceso concreto, el programa con el que trabajas y una muestra inventada de la entrada y la salida esperadas. Eso permite discutir el encargo sin empezar enviando datos de pacientes. La elección del producto y la revisión de las obligaciones deben corresponder a ese uso, no a una lista de funciones que quizá no necesitas. Decide qué resultado justificaría ampliar y qué fallo obligaría a detener la prueba de documentación.