Cuando implementas IA en un hospital: qué normativa te obliga y qué riesgos asumes
Los centros sanitarios incorporan cada vez más sistemas de inteligencia artificial para optimizar procesos administrativos y clínicos. La mejora operativa es evidente, pero también lo es el marco legal que rodea a estas herramientas. Y aquí es donde muchas organizaciones tropieza: no anticipan las obligaciones normativas antes de poner en marcha un sistema de IA.
El problema no es usar inteligencia artificial. El problema es no preguntarse antes qué datos va a tratar, quién los trata, cuál es el riesgo real que asumes y si cumples con lo que exigen dos reglamentos europeos fundamentales: el RGPD y la reciente normativa sobre inteligencia artificial.
Cuando trabajas con datos de salud —considerados datos especiales bajo el RGPD— el nivel de exigencia sube. La ley obliga a hacer una evaluación de impacto sobre protección de datos antes de implementar tecnologías que entrañen riesgo alto. No es un trámite burocrático. Es tu escudo legal.
El Reglamento de Inteligencia Artificial clasifica los sistemas por niveles de riesgo. Muchas herramientas sanitarias caen en la categoría de «alto riesgo», lo que implica obligaciones específicas que no puedes ignorar:
- Sistemas de gestión del riesgo documentados y activos
- Gobernanza clara de los datos que alimentan el sistema
- Supervisión humana real, no teórica
- Trazabilidad de las operaciones
- Transparencia sobre cómo funciona la herramienta
- Evaluaciones de impacto en derechos fundamentales
¿Qué debe hacer una organización sanitaria antes de contratar o implementar una solución de IA? Primero, analizar qué herramienta necesitas exactamente. Segundo, identificar el proveedor y verificar qué medidas de seguridad aplica. Tercero, clasificar el nivel de riesgo real. Cuarto, documentar todo.
Luego viene la fase de despliegue. Necesitas un protocolo interno que establezca qué está permitido, qué finalidades son legítimas, qué medidas aplicas y, lo que muchos olvidan, qué prohibiciones son expresas. Por ejemplo: no introducir datos clínicos en sistemas no autorizados. Parece obvio, pero ocurre.
También es obligatorio formar a los profesionales que usan estos sistemas. No es un cursillo. Es una exigencia tanto del RGPD como del AI Act.
Después de la implementación, no termina. Debes monitorizar continuamente: ¿el sistema sigue dentro de los parámetros evaluados? ¿Introduce sesgos? ¿Hay situaciones de discriminación? ¿Los resultados tienen problemas éticos? El seguimiento continuo no es opcional.
El coste del incumplimiento es severo. Tanto el RGPD como el AI Act permiten sanciones administrativas elevadas. En los casos más graves del RGPD, hablamos de multas hasta 20 millones de euros o del 4 % del volumen de negocio. Y puedes ser sancionado bajo ambas normativas de forma independiente. Es decir, una infracción puede castigarse dos veces.
Lo que ven muchos hospitales es tecnología eficiente. Lo que no ven hasta que es tarde es la responsabilidad legal detrás de cada datos que trata, cada decisión que el sistema toma, cada paciente cuyos derechos están en juego. Anticipar, documentar y controlar no es burocracia. Es la diferencia entre innovar responsablemente y asumir riesgos que no sabes que tienes.