Una clínica privada genera cada día una enorme cantidad de texto: historias clínicas, informes, consentimientos, correos a pacientes, presupuestos, reclamaciones. La IA puede ahorrar mucho tiempo en casi todo eso. Pero los datos que maneja una clínica son, para el derecho, los más protegidos que existen: datos de salud.
Esta guía explica qué dicen las normas, qué usos de la IA son razonables en una clínica y qué precauciones conviene tomar para que la tecnología ayude al equipo sin poner en riesgo la confianza de los pacientes.
Por qué los datos de salud son distintos
El Reglamento General de Protección de Datos considera los datos relativos a la salud una categoría especial (artículo 9). Su tratamiento está prohibido salvo en supuestos concretos, como la prestación de asistencia sanitaria por profesionales sujetos a secreto.
El concepto es amplio. Son datos de salud un diagnóstico o un tratamiento, pero también:
- Que una persona tiene cita en una consulta de psicología o de oncología.
- Una alergia anotada en una ficha o una baja laboral.
- Una fotografía de una lesión, una radiografía o una grabación de voz de la consulta.
- El resultado de una analítica, aunque sea normal.
Además, la Ley 41/2002, de autonomía del paciente, reconoce el derecho a la confidencialidad de la información de salud y regula quién puede acceder a la historia clínica y para qué. Y la LOPDGDD dedica una disposición adicional específica a los tratamientos de datos de salud.
El secreto médico también cuenta
Más allá de la protección de datos, los profesionales sanitarios están obligados por el secreto profesional. El Código de Deontología Médica aprobado en 2022 mantiene la confidencialidad como uno de sus ejes e incluye por primera vez un capítulo sobre inteligencia artificial y bases de datos sanitarias. El Código Penal castiga la revelación de secretos por parte de profesionales (artículo 199).
En la práctica, esto significa que cualquier herramienta que reciba información de pacientes tiene que ofrecer garantías equivalentes a las del resto de sistemas de la clínica: el programa de historia clínica, el correo o el almacenamiento de imágenes.
Usos de la IA que tienen sentido en una clínica
No todos los usos tienen el mismo riesgo. Una forma útil de ordenarlos:
| Uso | Datos de pacientes | Riesgo | Cómo hacerlo |
|---|---|---|---|
| Redactar comunicaciones generales (horarios, preparación de pruebas, campañas) | No | Bajo | Con cualquier herramienta autorizada |
| Resumir literatura científica o guías clínicas | No | Bajo | Verificando siempre la fuente original |
| Preparar plantillas de consentimiento o de informes | No | Bajo | Con revisión de la dirección médica |
| Pasar a limpio un informe a partir de notas | Sí | Alto | Solo con herramientas de empresa y minimizando datos |
| Transcribir o resumir la consulta | Sí | Muy alto | Con herramienta específica, información al paciente y evaluación previa |
| Chatbot de citas o de dudas para pacientes | A veces | Medio o alto | Informando de que es una IA y sin dar consejo clínico |
Qué exigir a una herramienta antes de usarla con datos de salud
Si una herramienta va a recibir información de pacientes, la clínica debería poder comprobar como mínimo:
- Que hay un contrato de encargo del tratamiento conforme al artículo 28 del RGPD.
- Que el proveedor no usa los datos para entrenar sus modelos ni para fines propios.
- Dónde se procesan y guardan los datos, y qué garantías hay si salen del Espacio Económico Europeo.
- Cuánto tiempo se conservan y cómo se borran.
- Que la clínica controla quién tiene acceso y puede revisar el uso que se hace.
- Que existe un procedimiento para notificar brechas de seguridad.
Haz una evaluación de impacto antes de empezar
El artículo 35 del RGPD obliga a realizar una evaluación de impacto relativa a la protección de datos (EIPD) cuando un tratamiento entraña un alto riesgo, y menciona expresamente el tratamiento a gran escala de categorías especiales y el uso de nuevas tecnologías. La AEPD publica una lista de tratamientos que requieren EIPD y una guía sobre tratamientos que incorporan inteligencia artificial.
Si la clínica quiere usar la IA de forma habitual con datos de pacientes, lo más probable es que necesite una EIPD. No es un trámite: es la forma de pensar con calma qué datos entran, para qué, con qué riesgos y con qué medidas.
Reglas prácticas para el equipo
Estas pautas sirven tanto para el personal sanitario como para recepción y administración:
- Minimiza. Pega solo el fragmento necesario para la tarea, nunca la historia clínica completa.
- Quita identificadores. Nombre, número de historia, DNI, tarjeta sanitaria, teléfono, dirección y fecha de nacimiento (usa la edad aproximada).
- Cuidado con las fechas y los detalles raros. Una enfermedad poco frecuente en un pueblo pequeño identifica a una persona aunque no aparezca su nombre.
- Revisa las imágenes. Caras, tatuajes y metadatos pueden identificar al paciente.
- No decidas con la IA. Puede ayudarte a redactar o a ordenar ideas, pero el diagnóstico y el tratamiento son responsabilidad del profesional.
- Comprueba antes de firmar. Un informe redactado con ayuda de la IA se lee entero, como cualquier otro documento que lleva tu firma.
Grabar y transcribir consultas
Las herramientas que escuchan la consulta y generan una nota clínica son de las más útiles y también de las más delicadas: tratan voz, datos de salud y, a veces, información de terceros (familiares, acompañantes).
Antes de implantarlas, conviene:
- Informar al paciente de forma clara y darle la opción de que no se grabe.
- Confirmar con el proveedor qué se guarda (audio, transcripción, resumen) y durante cuánto tiempo.
- Revisar cada nota antes de incorporarla a la historia clínica.
- Incluir la herramienta en la evaluación de impacto.
Chatbots de cara al paciente
Si la clínica ofrece un asistente en la web o por mensajería, el Reglamento europeo de IA exige que las personas sepan que están hablando con una IA (artículo 50), una obligación aplicable desde el 2 de agosto de 2026.
Además, un sistema que orienta sobre síntomas o recomienda acudir o no a urgencias puede tener la consideración de producto sanitario, con requisitos mucho más exigentes. Lo prudente es limitar los asistentes a tareas administrativas (citas, horarios, preparación de pruebas) y derivar siempre las dudas clínicas a un profesional.
Lista de comprobación para la clínica
- Hay una lista de herramientas de IA autorizadas y el equipo la conoce.
- Las herramientas que reciben datos de pacientes tienen contrato de encargo y no entrenan con ellos.
- Se ha valorado la necesidad de una evaluación de impacto.
- El personal sabe qué datos quitar antes de usar la IA y lo practica.
- Los pacientes reciben información clara cuando se graba la consulta o hablan con un asistente automático.
- Todo texto clínico generado con ayuda de la IA lo revisa y firma un profesional.
Si quieres que tu equipo aproveche la IA con los datos de salud protegidos desde el primer momento, plataformas como Acotia protegen los datos sensibles antes de enviarlos a la IA y aplican las reglas de la clínica de forma automática.
Fuentes
- Reglamento (UE) 2016/679, Reglamento General de Protección de Datos (artículos 9, 28 y 35).
- Ley 41/2002, básica reguladora de la autonomía del paciente.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (disposición adicional decimoséptima).
- Consejo General de Colegios Oficiales de Médicos: Código de Deontología Médica (2022).
- Ley Orgánica 10/1995, del Código Penal (artículo 199).
- AEPD: Adecuación al RGPD de tratamientos que incorporan inteligencia artificial.
- Reglamento (UE) 2024/1689, de Inteligencia Artificial (artículo 50).