Los datos de salud: base jurídica e información
Los datos de salud son una categoría especial (artículo 9 del RGPD): en principio no se pueden tratar, salvo que se aplique una de las excepciones del artículo 9.2. En un centro de salud, las habituales son la prestación de asistencia sanitaria por parte de profesionales con deber de secreto (9.2.h y 9.3) y el consentimiento explícito del paciente (9.2.a). La guía de la AEPD para los profesionales sanitarios recuerda que, para prestar la asistencia, no hace falta pedir el consentimiento, pero sí es obligatorio informar.
Grabar una sesión y pasarla por una IA es un tratamiento más dentro de la asistencia, y la base jurídica tiene que estar pensada para este uso. La AEPD no ha dicho si basta con el artículo 9.2.h o si hace falta el consentimiento explícito: hay margen de interpretación, y aquí es donde os tiene que ayudar vuestro delegado de protección de datos.
La información al paciente (artículo 13) tiene que decir quién trata los datos, para qué y con qué base, quién los recibe (también el proveedor de IA), si salen de la Unión Europea, cuánto tiempo se guardan y qué derechos tiene.
Si el centro es un centro sanitario obligado a llevar historias clínicas, la ley española de protección de datos le exige un delegado de protección de datos (artículo 34.1.l de la LOPDGDD). Los profesionales sanitarios que trabajan solos quedan fuera.
La evaluación de impacto
El artículo 35 del RGPD pide una evaluación de impacto cuando un tratamiento, sobre todo con tecnologías nuevas, puede suponer un riesgo alto. La lista de la AEPD dice que hace falta «en la mayoría de los casos» cuando se cumplen dos o más de sus criterios, y transcribir sesiones con IA ya cumple dos: datos de salud (criterio 4) y tecnologías nuevas (criterio 10). Si hay menores de 14 años o personas vulnerables, también el 9.
La excepción del tratamiento «que no es a gran escala» es para el profesional que trabaja solo, no para un centro. E incluso el profesional que trabaja solo la tiene que hacer si el tratamiento cumple de forma significativa dos o más criterios.
Si se graban las sesiones
- Información, y consentimiento si esta es la base, en cada sesión: según la AEPD, el consentimiento para grabar una conversación no vale para las siguientes, y se tiene que ver durante toda la sesión que se está grabando.
- Si son menores: por debajo de los 14 años, el tratamiento basado en el consentimiento necesita el de los padres o tutores (artículo 7 de la LOPDGDD); el consentimiento para la intervención lo regula la Ley 41/2002.
- Un contrato de encargado del tratamiento con el proveedor de IA (artículo 28 del RGPD): qué hace con los datos, que solo siga vuestras instrucciones, la seguridad, los subencargados y que los borre o los devuelva al terminar.
- Que el proveedor no entrene con los datos: si los usa para reentrenar su sistema, según la AEPD pasa a ser responsable de ese tratamiento, con otra base jurídica.
- Dónde se tratan: en la Unión Europea o, si salen, con garantías de transferencia, como una decisión de adecuación (el Marco de privacidad de datos UE-EE. UU., para las empresas adheridas) o las cláusulas contractuales tipo.
- El audio se borra una vez transcrito, y se informa de cuánto tiempo se guardan la voz y la transcripción.
- El profesional revisa todo lo que hace la IA: según la AEPD, la transcripción no es un texto neutro, y hace falta supervisión humana.
Si la transcripción o el informe pasan a la historia clínica, se aplican los plazos de conservación: como mínimo cinco años (artículo 17 de la Ley 41/2002) y, en Cataluña, quince para algunos documentos (Ley 21/2000).
El AI Act después del Ómnibus digital
El Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026, ha aplazado las obligaciones de los sistemas de alto riesgo: las de los sistemas del anexo III se aplican a partir del 2 de diciembre de 2027, y las de los sistemas del anexo I (por ejemplo, los productos sanitarios) a partir del 2 de agosto de 2028.
Las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Según las directrices de la Comisión, una herramienta de transcripción no queda dentro del artículo 50.1 (avisar de que se está hablando con una IA) y las transcripciones no se tienen que marcar; los resúmenes hechos por IA sí, pero eso es cosa del proveedor (artículo 50.2), y los que ya estaban en el mercado tienen hasta el 2 de diciembre de 2026.
La alfabetización en IA (artículo 4) sigue después del Ómnibus: quien usa sistemas de IA tiene que tomar medidas para que su personal los sepa usar, aunque la ley ya no exige ningún nivel concreto. La Comisión y los Estados tienen que ayudar, sobre todo a las pymes.
España no tiene ninguna ley propia de IA: el proyecto de ley orgánica decayó el 6 de octubre de 2026, con la disolución de las Cortes. El AI Act se aplica directamente, y la agencia española de supervisión de la IA es la AESIA.
Cuándo una herramienta de sesiones es de alto riesgo
- Transcribir y hacer un resumen para documentar la sesión, revisado por el profesional: muy probablemente no es ni de alto riesgo ni un producto sanitario. La guía MDCG 2019-11 considera los sistemas de voz a texto software de uso general, y el borrador de directrices de la Comisión pone el resumen de una conversación revisado por una persona como ejemplo de «tarea procedimental limitada».
- Si sugiere diagnósticos, puntúa riesgos, recomienda tratamientos o da alertas clínicas: muy probablemente es software producto sanitario (como mínimo de clase IIa, por la regla 11 del Reglamento de productos sanitarios) y necesita un organismo notificado. Entonces es de alto riesgo por el anexo I, con las obligaciones del AI Act a partir del 2 de agosto de 2028, y el Reglamento de productos sanitarios ya se le aplica hoy.
- Si analiza la voz del paciente para inferir sus emociones: es reconocimiento de emociones, de alto riesgo por el anexo III (a partir del 2 de diciembre de 2027), y el centro ya tiene que informar a las personas afectadas (artículo 50.3). Inferir emociones solo del texto de la transcripción no lo es, aunque el RGPD se sigue aplicando.
- Si infiere las emociones o el estrés del terapeuta a partir de la voz o la imagen: en el trabajo, eso está prohibido desde el 2 de febrero de 2025 (artículo 5.1.f), y la excepción médica solo cubre productos sanitarios con el marcado CE.
También cuenta lo que dice el fabricante: si la publicidad de una herramienta dice que ayuda a diagnosticar, esa pasa a ser su finalidad prevista.
Qué hay que tener antes de poner IA en las sesiones
- La base jurídica del tratamiento y la excepción del artículo 9.2 que lo ampara, decididas con vuestro delegado de protección de datos.
- La evaluación de impacto, hecha.
- El registro de actividades de tratamiento y la información al paciente, al día.
- Un modelo de consentimiento para grabar, por sesión, y el de los padres o tutores para los menores.
- El contrato de encargado del tratamiento, firmado con el proveedor.
- Un indicador que se vea mientras se graba.
- Cuánto tiempo se guarda el audio (nada, una vez transcrito) y cuánto la transcripción.
- Quién revisa cada informe antes de que salga, y cómo queda registrado.
- Una formación breve para el personal que usará la herramienta.
Las preguntas para el proveedor
- ¿Dónde se tratan y dónde se guardan los datos y el audio: en la Unión Europea?
- ¿Firmáis un contrato de encargado del tratamiento (artículo 28)? ¿Con qué subencargados?
- ¿Entrenáis o mejoráis vuestros modelos con nuestros datos? ¿Lo dice el contrato?
- ¿Cuándo se borra el audio? ¿Y la transcripción?
- ¿Quién de vuestra empresa puede acceder a los datos, y queda registrado?
- ¿La herramienta analiza la voz para inferir emociones o hace alguna sugerencia clínica? Si es así, cambia su clasificación en el AI Act.
- ¿Los resúmenes llevan la marca que pide el artículo 50.2 del AI Act?
- ¿Qué pasa con los datos si dejamos de trabajar con vosotros?