La inteligencia artificial está introduciendo poco a poco en la atención sanitaria. En algunos casos, ya puede ayudar a interpretar imágenes médicas, detectar patrones en los historiales clínicos, proponer diagnósticos, identificar posibles interacciones entre medicamentos, redactar informes y orientar a los pacientes mediante asistentes virtuales.
Estas aplicaciones pueden mejorar la precisión, reducir tareas administrativas y permitir que los profesionales dediquen más tiempo a la atención directa. Sin embargo, cuando una tecnología interviene en decisiones relacionadas con la salud, no basta con preguntarnos si funciona. También debemos saber con qué datos ha sido entrenada, qué margen de error tiene, quién supervisa sus resultados y quién responde si causa un perjuicio.
En Europa, estas cuestiones se abordan principalmente mediante dos normas complementarias: el Reglamento General de Protección de Datos —RGPD— y el Reglamento Europeo de Inteligencia Artificial —AI Act—.Este último entro en vigo en agosto de 2024, pero en agosto de este año comenzado a aplicarse con nuevas obligaciones de transparencia y una nueva fase de su ejecución.
El RGPD se ocupa fundamentalmente de la información personal. Los diagnósticos, tratamientos, pruebas genéticas, imágenes médicas e historiales clínicos son datos de salud y, por tanto, pertenecen a una categoría especialmente protegida. Su tratamiento necesita una base jurídica válida y debe responder a una finalidad concreta, legítima y conocida.
Esto significa que un hospital o una empresa tecnológica no puede utilizar datos sanitarios de cualquier manera por el simple hecho de que puedan resultar útiles para desarrollar una IA. Debe recoger únicamente la información necesaria, protegerla adecuadamente y evitar que se reutilice para finalidades incompatibles con aquellas para las que fue obtenida.
El paciente también tiene derecho a recibir información clara sobre el tratamiento de sus datos, conocer quién los utiliza, acceder a ellos y solicitar su corrección. En determinadas circunstancias puede pedir que se limite su utilización o presentar una reclamación ante la autoridad de protección de datos.
El RGPD también introduce garantías frente a determinadas decisiones basadas exclusivamente en procesos automatizados cuando producen efectos jurídicos o afectan significativamente a una persona. En el contexto sanitario, esta protección resulta especialmente relevante: una decisión importante sobre un paciente no debería quedar en manos de un algoritmo sin una intervención humana auténtica y con capacidad para revisar el resultado.
El AI Act completa este marco centrándose en los riesgos del propio sistema de inteligencia artificial. No toda IA sanitaria se clasifica automáticamente como de alto riesgo. Dependerá de su finalidad, de la función que desempeñe y de la influencia que tenga sobre las decisiones clínicas. Una herramienta administrativa no plantea los mismos riesgos que un programa utilizado para detectar un cáncer o recomendar un tratamiento.
Cuando una aplicación médica se considera de alto riesgo, sus responsables deben cumplir requisitos reforzados. Entre ellos se encuentran la evaluación y reducción de riesgos, la calidad y representatividad de los datos, la documentación del funcionamiento del sistema, el registro de su actividad, la precisión, la ciberseguridad y el seguimiento de su comportamiento una vez que ha comenzado a utilizarse.
La transparencia ocupa un lugar central. Los profesionales deben disponer de información comprensible sobre las capacidades y limitaciones de la herramienta. Necesitan saber para qué situaciones ha sido diseñada, en qué casos puede fallar y cómo deben interpretar sus resultados. Asimismo, cuando una persona interactúa directamente con determinados sistemas de IA, debe ser informada de ello, salvo que resulte evidente.
Otro elemento esencial es la supervisión humana. El AI Act exige que los sistemas de alto riesgo puedan ser controlados de manera efectiva por personas capacitadas. Esto implica que el profesional sanitario debe poder detectar resultados anómalos, evitar una confianza automática en la tecnología, apartarse de sus recomendaciones y detener su utilización cuando exista un riesgo para el paciente.
También es necesario prestar atención a los sesgos. Si una IA ha sido entrenada con datos que representan de forma insuficiente a mujeres, personas mayores, minorías étnicas o pacientes con determinadas enfermedades, su rendimiento puede ser desigual. El resultado no sería solamente un problema técnico: podría convertirse en una forma de discriminación y agravar desigualdades sanitarias preexistentes.
La responsabilidad tampoco puede desaparecer detrás del algoritmo. El AI Act distribuye obligaciones entre los desarrolladores, proveedores y organizaciones que utilizan estos sistemas. Exige documentación, controles y seguimiento, aunque no resuelve por sí solo todas las cuestiones relativas a la indemnización por un daño. Los hospitales y profesionales deberán definir con claridad quién valida las herramientas, quién supervisa su uso y cómo se investigan los incidentes.
El RGPD y el AI Act no son, por tanto, normas que compitan entre sí. El RGPD protege los datos y los derechos de las personas; el AI Act regula la seguridad, transparencia y supervisión de los sistemas. Una aplicación sanitaria puede tener que cumplir ambas normas simultáneamente, además de la legislación sobre productos sanitarios y las reglas generales de responsabilidad profesional.
El objetivo no es frenar la innovación, sino conseguir que la tecnología se desarrolle dentro de unos límites compatibles con la dignidad, la autonomía y la seguridad del paciente.
La inteligencia artificial puede ser una excelente herramienta para la medicina, pero no debe convertirse en una autoridad invisible. Su lugar es apoyar a los profesionales, mejorar la atención y ayudar a tomar decisiones más informadas, manteniendo siempre la responsabilidad y el cuidado en manos humanas.
Porque en sanidad la confianza no depende únicamente de la precisión de un algoritmo. También requiere privacidad, transparencia, equidad y respeto por las personas.
Referencias normativas:
• Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial —Reglamento de Inteligencia Artificial o AI Act—:
https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=es
• Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales —Reglamento General de Protección de Datos o RGPD—:
https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=es
