El AI Act está en vigor y está transformando las reglas para todos los centros sanitarios de la UE. Si un médico pega la transcripción de una consulta en la versión gratuita de ChatGPT, el centro ya está infringiendo simultáneamente varias capas de normativa. Explicamos con precisión qué dice el AI Act sobre el uso de la inteligencia artificial en el ámbito sanitario, qué riesgos asumen hospitales y clínicas, y por qué el uso exclusivo de herramientas verificadas y de propósito específico es el único camino sensato.
multa máxima bajo el AI Act por infracciones relativas a sistemas de alto riesgo
multa máxima bajo el RGPD por tratamiento ilícito de datos médicos
de la facturación global anual — umbral alternativo de multa bajo el AI Act
período mínimo de conservación de registros para un sistema de IA de alto riesgo
Qué es el AI Act y por qué se aplica a todos los centros sanitarios
El AI Act (Reglamento 2024/1689) es la primera ley integral del mundo que regula la inteligencia artificial. Adopta un enfoque basado en el riesgo: cuanto mayor es el impacto de un sistema de IA sobre la salud, los derechos y la seguridad de las personas, más estrictas son las obligaciones. La sanidad quedó encuadrada claramente en la categoría de sistemas de alto riesgo.
Es importante destacar que el AI Act no regula únicamente a los desarrolladores de modelos. También afecta a los denominados operadores — todo centro que utilice un sistema de IA en sus operaciones. Un hospital, una clínica o una consulta privada en la que un médico usa IA para documentación o apoyo a la decisión clínica se convierte en parte responsable ante las autoridades supervisoras.
Cuándo la IA se convierte en un "sistema de alto riesgo"
El AI Act — en su Anexo III y en conjunción con el Reglamento de Productos Sanitarios (MDR) — identifica claramente los sistemas de IA utilizados para:
- apoyo al diagnóstico y el triaje,
- análisis de datos de salud de pacientes,
- generación de documentación médica,
- evaluación del riesgo clínico o priorización de la atención,
- monitorización de constantes vitales,
— como sistemas de alto riesgo. No importa que el médico «solo haya copiado un fragmento de la conversación en ChatGPT». Lo determinante es la finalidad del tratamiento y el contexto médico.
Obligaciones de un centro que utiliza IA en el ámbito sanitario
Un operador de un sistema de IA de alto riesgo debe cumplir un conjunto de obligaciones vinculantes en virtud del artículo 26 del AI Act. Las más importantes son:
- Supervisión humana — una persona designada y cualificada responsable de supervisar el funcionamiento del sistema.
- Conservación de registros durante al menos 6 meses, en una forma que permita la auditoría.
- Información a los pacientes de que se utilizó IA en el proceso diagnóstico o terapéutico.
- Evaluación de impacto sobre los derechos fundamentales (FRIA) para organismos públicos y determinadas entidades privadas.
- Uso exclusivo de sistemas con marcado CE inscritos en la base de datos de la UE.
- Cumplimiento de las instrucciones de uso facilitadas por el proveedor y seguimiento de incidentes.
Construir esta capa de cumplimiento en torno a la versión gratuita de ChatGPT es prácticamente imposible, ya que un LLM de consumo no proporciona ni registros, ni documentación de cumplimiento, ni un acuerdo de tratamiento de datos, ni ninguna garantía sobre dónde se procesan los datos.
El AI Act no sustituye al RGPD — opera en paralelo
Muchos responsables de centros preguntan: «Si ya tenemos el RGPD, ¿para qué necesitamos el AI Act?» La respuesta es clara: ambos regímenes se aplican en paralelo y sus sanciones son acumulativas. Introducir la transcripción de una consulta en la versión de consumo de ChatGPT, Claude o Gemini provoca simultáneamente:
- una vulneración del secreto médico (obligaciones de secreto profesional),
- una transferencia no autorizada de datos de categoría especial fuera del EEE (artículos 9 y 44 del RGPD),
- la ausencia de un acuerdo de tratamiento de datos con el encargado del tratamiento (artículo 28 del RGPD),
- incumplimiento de las obligaciones del AI Act relativas a sistemas de alto riesgo,
- en algunas configuraciones, el uso de datos de pacientes para entrenar modelos.
Sanciones económicas reales
o el 3 % de la facturación — multa del AI Act por infracciones relativas a sistemas de alto riesgo
o el 4 % de la facturación — multa del RGPD por tratamiento ilícito de datos de salud
o el 7 % de la facturación — multa máxima del AI Act por prácticas prohibidas
También se aplican sanciones civiles (reclamaciones de pacientes), responsabilidad profesional para los médicos y el riesgo de perder contratos con el seguro público de salud en caso de incidentes graves. Para muchos centros, una sola multa próxima al máximo significaría el fin de la actividad.
Por qué el «ChatGPT gratuito para notas» es un ahorro extraordinariamente costoso
La objeción más habitual de los responsables es: «¿Para qué necesitamos un asistente dedicado si los médicos pueden pegar la transcripción en ChatGPT y obtener una nota gratis?» Desde la perspectiva del AI Act y el RGPD, este ahorro es ilusorio por al menos tres razones.
1. Incumplimiento = exposición a multas de hasta 15 millones de euros
El uso de un LLM de propósito general para fines médicos sitúa de inmediato al centro en el régimen de sistemas de alto riesgo, sin cumplir ninguno de los requisitos del AI Act. Esto constituye una exposición abierta a multas, investigaciones y la pérdida de licencias de funcionamiento.
2. Fuga de datos médicos y violación del secreto médico
Los datos de pacientes introducidos en un ChatGPT de consumo salen del EEE (terminando habitualmente en Estados Unidos), se almacenan hasta 5 años y pueden utilizarse para entrenar modelos. Esto constituye una infracción evidente del artículo 9 del RGPD y de las obligaciones de secreto médico profesional.
3. Sin registros, sin supervisión, sin documentación = sin trazabilidad
El AI Act exige que el centro pueda demostrar quién utilizó el sistema de IA, cuándo y cómo. ChatGPT, al que se accede a través de la cuenta personal de un médico, no genera tales registros. En caso de inspección, el centro no tiene nada con lo que defenderse.
„Los sistemas de IA utilizados en el ámbito sanitario deben diseñarse y desplegarse de manera que garanticen un nivel adecuado de transparencia, supervisión humana y responsabilidad ante los pacientes."
LLM de consumo vs. asistente médico de propósito específico
| Requisito AI Act / RGPD | ChatGPT / Claude gratuito | Asistente médico de propósito específico (p. ej. Cora AI) |
|---|---|---|
| Ubicación del tratamiento de datos | Habitualmente EE. UU., fuera del EEE | Solo EEE, en centros de datos certificados |
| Acuerdo de tratamiento de datos (ATD) | Ausente o limitado, no cubre datos médicos | ATD completo suscrito con el centro |
| Entrenamiento del modelo con datos de pacientes | Sí, por defecto (gratuito/Plus) | Nunca — garantía contractual |
| Registros y trazabilidad | Ninguno en el lado del centro | Registros completos de eventos, exportables para auditores |
| Supervisión humana | No definida | El médico autoriza cada entrada |
| Documentación de cumplimiento del AI Act | Ninguna | Se suministra junto con el sistema |
| Estado en caso de inspección | Múltiples infracciones regulatorias | Cumplimiento demostrable mediante documentación |
Por qué solo deben utilizarse fuentes verificadas y contrastadas
La inteligencia artificial en el ámbito sanitario no es «simplemente otra herramienta ofimática». Es una tecnología que toca los datos más sensibles de toda la economía: datos sobre la salud de las personas. Por ello, la elección de la herramienta debe ser una decisión de gestión deliberada basada en criterios verificables, no en la familiaridad de un médico con una aplicación de consumo gratuita.
Una fuente verificada es un proveedor que:
- es una entidad europea sujeta al AI Act y al RGPD,
- procesa datos exclusivamente dentro del EEE,
- suscribe un acuerdo de tratamiento de datos que cubre datos de salud,
- no entrena modelos con datos de pacientes,
- proporciona registros completos del sistema y documentación de cumplimiento,
- diseña la interfaz de forma que el médico siga siendo el decisor (human-in-the-loop),
- publica una política de seguridad y se somete a auditorías independientes.
Cómo Cora AI cumple los requisitos del AI Act
Cora AI fue diseñado desde cero como asistente médico dedicado para el mercado europeo. Esto se traduce en decisiones técnicas y jurídicas concretas que proporcionan cumplimiento normativo al centro:
- Tratamiento de datos exclusivamente en el EEE — sin transferencias fuera de la UE.
- Sin entrenamiento de modelos con datos de pacientes — garantizado contractualmente.
- Acuerdo de tratamiento de datos (ATD) completo que cubre datos de categoría especial.
- Registros completos del sistema que satisfacen el requisito de conservación de 6 meses del AI Act.
- Human-in-the-loop — cada entrada requiere la autorización del médico.
- Documentación de cumplimiento lista para entregar al DPO y a las autoridades supervisoras.
En la práctica, esto significa que un centro que utiliza Cora AI no tiene que construir el cumplimiento por su cuenta — viene integrado en la herramienta.
Lista de verificación para el responsable del centro
Antes de que sus médicos empiecen a usar cualquier herramienta de IA con datos de pacientes, verifique:
- ¿Suscribe el proveedor un acuerdo de tratamiento de datos que cubra datos médicos?
- ¿Dónde se procesan físicamente los datos? ¿Exclusivamente dentro del EEE?
- ¿Se utilizan los datos de entrada para entrenar modelos?
- ¿Cuánto tiempo se conservan las transcripciones y grabaciones?
- ¿Registra el sistema los eventos y están esos registros disponibles para un auditor?
- ¿Existe documentación de cumplimiento del AI Act lista para ser entregada?
- ¿Exige la interfaz la autorización del médico para cada entrada?
- ¿Cuenta el centro con una «Política de IA» interna y un supervisor de IA designado?
Si la respuesta a alguna de estas preguntas es «no lo sé» o «no», la herramienta no debe utilizarse en la atención al paciente.
Conclusión
El AI Act no es una regulación abstracta de Bruselas. Cambia la práctica de cada clínica en la que un médico recurre a la IA para documentar las consultas. El uso de modelos de consumo gratuitos implica una exposición a multas de hasta 15 millones de euros bajo el AI Act, hasta 20 millones de euros bajo el RGPD y responsabilidad profesional.
El uso seguro de la IA en el ámbito sanitario es posible — siempre que la herramienta haya sido diseñada con estos requisitos en mente. Un asistente médico verificado y de propósito específico libera al centro de la carga del cumplimiento y permite al equipo centrarse en el paciente en lugar de en el riesgo legal.