IA per transcriure i resumir sessions en un centre de salut: què diuen el RGPD i l’AI Act

Les dades de salut: base jurídica i informació

Les dades de salut són una categoria especial (article 9 del RGPD): en principi no es poden tractar, tret que s’apliqui una de les excepcions de l’article 9.2. En un centre de salut, les habituals són la prestació d’assistència sanitària per part de professionals amb deure de secret (9.2.h i 9.3) i el consentiment explícit del pacient (9.2.a). La guia de l’AEPD per als professionals sanitaris recorda que, per prestar l’assistència, no cal demanar el consentiment, però sí que és obligatori informar.

Gravar una sessió i passar-la per una IA és un tractament més dins de l’assistència, i la base jurídica ha d’estar pensada per a aquest ús. L’AEPD no ha dit si n’hi ha prou amb l’article 9.2.h o si cal el consentiment explícit: hi ha marge d’interpretació, i aquí és on us ha d’ajudar el vostre delegat de protecció de dades.

La informació al pacient (article 13) ha de dir qui tracta les dades, per a què i amb quina base, qui les rep (també el proveïdor d’IA), si surten de la Unió Europea, quant temps es guarden i quins drets té.

Si el centre és un centre sanitari obligat a portar històries clíniques, la llei espanyola de protecció de dades li demana un delegat de protecció de dades (article 34.1.l de la LOPDGDD). Els professionals sanitaris que treballen sols en queden fora.

L’avaluació d’impacte

L’article 35 del RGPD demana una avaluació d’impacte quan un tractament, sobretot amb tecnologies noves, pot comportar un risc alt. La llista de l’AEPD diu que cal «en la majoria dels casos» quan es compleixen dos o més dels seus criteris, i transcriure sessions amb IA ja en compleix dos: dades de salut (criteri 4) i tecnologies noves (criteri 10). Si hi ha menors de 14 anys o persones vulnerables, també el 9.

L’excepció del tractament «que no és a gran escala» és per al professional que treballa sol, no per a un centre. I fins i tot el professional que treballa sol l’ha de fer si el tractament compleix de manera significativa dos o més criteris.

Si es graven les sessions

• Informació, i consentiment si aquesta és la base, a cada sessió: segons l’AEPD, el consentiment per gravar una conversa no val per a les següents, i s’ha de veure durant tota la sessió que s’està gravant.
• Si són menors: per sota dels 14 anys, el tractament basat en el consentiment necessita el dels pares o tutors (article 7 de la LOPDGDD); el consentiment per a la intervenció el regula la Llei 41/2002.
• Un contracte d’encarregat del tractament amb el proveïdor d’IA (article 28 del RGPD): què fa amb les dades, que només segueixi les vostres instruccions, la seguretat, els subencarregats i que les esborri o les retorni en acabar.
• Que el proveïdor no entreni amb les dades: si les fa servir per reentrenar el seu sistema, segons l’AEPD passa a ser responsable d’aquell tractament, amb una altra base jurídica.
• On es tracten: a la Unió Europea o, si en surten, amb garanties de transferència, com una decisió d’adequació (el Marc de privadesa de dades UE-EUA, per a les empreses adherides) o les clàusules contractuals tipus.
• L’àudio s’esborra un cop transcrit, i s’informa de quant temps es guarden la veu i la transcripció.
• El professional revisa tot el que fa la IA: segons l’AEPD, la transcripció no és un text neutre, i cal supervisió humana.

Si la transcripció o l’informe passen a la història clínica, s’hi apliquen els terminis de conservació: com a mínim cinc anys (article 17 de la Llei 41/2002) i, a Catalunya, quinze per a alguns documents (Llei 21/2000).

L’AI Act després de l’Òmnibus digital

El Reglament (UE) 2026/1744, l’Òmnibus digital sobre IA, en vigor des del 27 de juliol de 2026, ha ajornat les obligacions dels sistemes d’alt risc: les dels sistemes de l’annex III s’apliquen a partir del 2 de desembre de 2027, i les dels sistemes de l’annex I (per exemple, els productes sanitaris) a partir del 2 d’agost de 2028.

Les obligacions de transparència de l’article 50 s’apliquen des del 2 d’agost de 2026. Segons les directrius de la Comissió, una eina de transcripció no queda dins de l’article 50.1 (avisar que s’està parlant amb una IA) i les transcripcions no s’han de marcar; els resums fets per IA sí, però això és cosa del proveïdor (article 50.2), i els que ja eren al mercat tenen fins al 2 de desembre de 2026.

L’alfabetització en IA (article 4) continua després de l’Òmnibus: qui fa servir sistemes d’IA ha de prendre mesures perquè el seu personal els sàpiga fer servir, encara que la llei ja no exigeix cap nivell concret. La Comissió i els estats han d’ajudar-hi, sobretot les pimes.

Espanya no té cap llei pròpia d’IA: el projecte de llei orgànica va decaure el 6 d’octubre de 2026, amb la dissolució de les Corts. L’AI Act s’aplica directament, i l’agència espanyola de supervisió de la IA és l’AESIA.

Quan una eina de sessions és d’alt risc

• Transcriure i fer un resum per documentar la sessió, revisat pel professional: molt probablement no és ni d’alt risc ni un producte sanitari. La guia MDCG 2019-11 considera els sistemes de veu a text programari d’ús general, i l’esborrany de directrius de la Comissió posa el resum d’una conversa revisat per una persona com a exemple de «tasca procedimental limitada».
• Si suggereix diagnòstics, puntua riscos, recomana tractaments o dona alertes clíniques: molt probablement és programari producte sanitari (com a mínim de classe IIa, per la regla 11 del Reglament de productes sanitaris) i necessita un organisme notificat. Llavors és d’alt risc per l’annex I, amb les obligacions de l’AI Act a partir del 2 d’agost de 2028, i el Reglament de productes sanitaris ja s’hi aplica avui.
• Si analitza la veu del pacient per inferir-ne emocions: és reconeixement d’emocions, d’alt risc per l’annex III (a partir del 2 de desembre de 2027), i el centre ja ha d’informar-ne les persones afectades (article 50.3). Inferir emocions només del text de la transcripció no ho és, tot i que el RGPD s’hi continua aplicant.
• Si infereix les emocions o l’estrès del terapeuta a partir de la veu o la imatge: a la feina, això està prohibit des del 2 de febrer de 2025 (article 5.1.f), i l’excepció mèdica només cobreix productes sanitaris amb el marcatge CE.

També compta el que en diu el fabricant: si la publicitat d’una eina diu que ajuda a diagnosticar, aquesta passa a ser la seva finalitat prevista.

Què cal tenir abans de posar IA a les sessions

1. La base jurídica del tractament i l’excepció de l’article 9.2 que l’empara, decidides amb el vostre delegat de protecció de dades.
2. L’avaluació d’impacte, feta.
3. El registre d’activitats de tractament i la informació al pacient, posats al dia.
4. Un model de consentiment per gravar, per sessió, i el dels pares o tutors per als menors.
5. El contracte d’encarregat del tractament, signat amb el proveïdor.
6. Un indicador que es vegi mentre es grava.
7. Quant temps es guarda l’àudio (res, un cop transcrit) i quant la transcripció.
8. Qui revisa cada informe abans que surti, i com queda registrat.
9. Una formació breu per al personal que farà servir l’eina.

Les preguntes per al proveïdor

• On es tracten i on es guarden les dades i l’àudio: a la Unió Europea?
• Signeu un contracte d’encarregat del tractament (article 28)? Amb quins subencarregats?
• Entreneu o milloreu els vostres models amb les nostres dades? Ho diu el contracte?
• Quan s’esborra l’àudio? I la transcripció?
• Qui de la vostra empresa pot accedir a les dades, i queda registrat?
• L’eina analitza la veu per inferir emocions o fa algun suggeriment clínic? Si és així, canvia la seva classificació a l’AI Act.
• Els resums porten la marca que demana l’article 50.2 de l’AI Act?
• Què passa amb les dades si deixem de treballar amb vosaltres?