Reglamento de IA para clínicas y centros de salud: qué se aplica en 2026 y cómo cumplir en una jornada

La particularidad del sector es evidente: los datos de salud son una categoría especial del RGPD y su tratamiento con herramientas de IA exige garantías reforzadas. Además, la IA con finalidad médica es en muchos casos un producto sanitario regulado. Esta página distingue lo que ya se aplica a una clínica pequeña o mediana, los riesgos más frecuentes y un plan para una jornada.

• Dictado y transcripción de consultas con asistentes de IA que generan el informe clínico.
• Chatbot o asistente telefónico para citas, recordatorios y preguntas frecuentes.
• Software de imagen (radiología, dermatología, odontología) con apoyo al diagnóstico.
• Redacción de informes, cartas de derivación y comunicaciones con pacientes con ChatGPT o Copilot.
• Planificación de agendas y previsión de ausencias.

• En vigor desde el 2 de febrero de 2025

  Alfabetización en IA (artículo 4)

  El artículo 4 del Reglamento (UE) 2024/1689 obliga a toda empresa que utiliza sistemas de IA a garantizar un nivel suficiente de alfabetización en IA de su personal, sin umbral de plantilla, y a poder demostrarlo.

  En una clínica, la formación debe alcanzar tanto al personal sanitario que dicta informes como al administrativo que gestiona el chatbot y las comunicaciones.

• Ya en vigor

  RGPD y LOPDGDD

  Cada dato personal introducido en un prompt es un tratamiento: base jurídica, información a las personas, contrato de encargado del tratamiento con el proveedor y evaluación de impacto si procede. La AEPD es la autoridad competente.

  Los datos de salud son categoría especial (art. 9 del RGPD). Dictar una consulta a un asistente de IA exige contrato de encargado del tratamiento, servidores con garantías, minimización y, en la práctica, evaluación de impacto. Una cuenta gratuita de un asistente generalista no cumple.

• Ya en vigor (Reglamento (UE) 2017/745)

  Productos sanitarios con IA

  El software con finalidad médica (apoyo al diagnóstico, cálculo de dosis) es un producto sanitario sujeto al marcado CE. Use solo herramientas con esa certificación para fines clínicos y siga las instrucciones del fabricante. Su integración en el Reglamento de IA (Anexo I) está aplazada al 2 de agosto de 2028.

• Desde el 2 de agosto de 2026

  Transparencia (artículo 50)

  Informar a las personas de que interactúan con una IA y marcar de forma legible por máquina los contenidos generados; período de gracia hasta el 2 de diciembre de 2026 para el marcado en los sistemas que ya estaban en el mercado.

  El chatbot de citas debe indicar desde el primer mensaje que es una IA y permitir hablar con una persona. Los contenidos de salud que publique generados con IA deben marcarse.

• 01

  La consulta dictada a un asistente gratuito

  Un profesional dicta la consulta a una aplicación de transcripción gratuita para ganar tiempo. El audio contiene nombre, patología y tratamiento. Es una violación de datos de categoría especial, con obligación de notificar a la AEPD y, probablemente, al paciente.

• 02

  El chatbot que da un consejo clínico

  Un paciente pregunta al chatbot de citas si puede dejar la medicación antes de la intervención. El asistente responde. Sin límites configurados ni supervisión, la clínica responde por ese consejo.

• 03

  El informe con un diagnóstico que no dijo el médico

  El transcriptor «completa» el informe con una interpretación que el profesional no formuló. Se firma sin releer. Queda en la historia clínica.

1. 1

   Paso 1: Mañana: política corporativa de uso de la IA

   Principios de la clínica, herramientas autorizadas con contrato y garantías para datos de salud, prohibiciones absolutas (datos de pacientes en cuentas personales, consejo clínico por chatbot), y responsable de aprobar cada herramienta.

   Documento: Política corporativa de uso de la IA

2. 2

   Paso 2: Mañana: normas de uso para personal sanitario y administrativo

   Semáforo de datos: verde (información general de la clínica), ámbar (agenda sin datos clínicos), rojo (cualquier dato de salud identificable). Relectura obligatoria de todo informe generado antes de firmarlo.

   Documento: Normas de uso de la IA generativa

3. 3

   Paso 3: Tarde: registro de sistemas de IA

   Transcriptores, chatbot, software de imagen (con su marcado CE), asistentes de redacción. Nivel de riesgo, datos tratados, contrato con el proveedor, evaluación de impacto y fecha de las obligaciones.

   Documento: Registro de sistemas de IA

4. 4

   Paso 4: Tarde: formación de 45 minutos con certificado

   Sesión con todo el personal. Reglamento, RGPD aplicado a datos de salud, normas de la clínica, qué no se dicta ni se pega nunca. Certificado firmado por persona.

   Documento: Formación de 45 min con certificado

Los cuatro documentos, listos para personalizar, están en el Kit de Cumplimiento AI Act para pymes (147 € + IVA).