Cumplimiento de la Ley de Inteligencia Artificial en sanidad

En esta guía detallamos cómo cumplir la Ley de IA en sanidad: qué usos de la inteligencia artificial conviven hoy en un centro sanitario, por qué casi todos entran en la categoría de alto riesgo y qué obligaciones concretas se activan en cada caso. Recorremos la clasificación del riesgo, la gobernanza de datos clínicos, la documentación exigible, la supervisión humana y el marcado CE junto al MDR.

Cómo afecta la Ley de IA al sector de la sanidad

El Reglamento de Inteligencia Artificial y, en España, la Ley para el buen uso y la gobernanza de la inteligencia artificial se aplican a cualquier sistema de IA usado en el ámbito sanitario que pueda influir en la salud, la seguridad física o mental, o los derechos fundamentales de las personas. No afecta solo a quien desarrolla la tecnología, sino a toda la cadena que la implanta, gestiona o comercializa:

• Proveedores y desarrolladores: software médico, herramientas de diagnóstico, asistentes clínicos y algoritmos de predicción.
• Hospitales, clínicas y centros médicos, públicos y privados, que integran IA en procesos clínicos o de gestión.
• Laboratorios farmacéuticos y biotecnológicas, en ensayos clínicos, análisis genómico o desarrollo de fármacos.
• Fabricantes de dispositivos médicos inteligentes: escáneres, monitores y wearables con componentes de IA.
• Importadores, distribuidores y representantes autorizados que introducen estos sistemas en el mercado.

También quedan alcanzadas las plataformas y servicios digitales de salud aunque el sistema se haya desarrollado fuera de la Unión Europea, si se ofrece o se utiliza en su territorio. Y la obligación no se agota en la compra: cubre todo el ciclo de vida, desde la evaluación inicial hasta el mantenimiento, las actualizaciones y la retirada si el sistema resulta peligroso.

Los pacientes entran en la norma desde el lado de la protección, con tres derechos que conviene tener presentes: ser informados con claridad de que se usa IA en su atención, obtener supervisión humana de las decisiones automatizadas y reclamar ante errores o perjuicios derivados del sistema.

Usos de la IA frecuentes en sanidad

La IA aparece tanto en la actividad clínica como en la gestión del centro. Los usos más extendidos son:

• Diagnóstico asistido por imagen médica, como la detección de tumores en radiografías.
• Triaje automatizado en urgencias y priorización de la atención.
• Recomendación de tratamiento personalizado a partir del historial clínico.
• Predicción de riesgo de enfermedades, por ejemplo cardiovascular o metabólico.
• Seguimiento de pacientes crónicos con dispositivos conectados.
• Gestión de listas de espera quirúrgica y de flujos de camas.
• Análisis de ensayos clínicos, datos genómicos y diseño de medicamentos.
• Cálculo de primas en seguros de salud.
• Información y citación al paciente mediante chatbots y asistentes.

Sistemas y herramientas empleadas

Detrás de esos usos hay familias de sistemas con implicaciones legales muy distintas:

• Software de análisis de imagen médica, con frecuencia certificado como producto sanitario.
• Sistemas de soporte a la decisión clínica integrados en la historia clínica electrónica.
• Algoritmos de priorización y clasificación de pacientes.
• Dispositivos médicos con IA embarcada: escáneres, monitores y wearables.
• Plataformas de análisis genómico y de datos de ensayos clínicos.
• Módulos de IA dentro del software de gestión hospitalaria.
• Chatbots informativos y asistentes de citación.
• Motores de scoring actuarial en el ámbito asegurador.

El punto de partida es un inventario de todos ellos, incluidos los módulos que llegan dentro de otra herramienta. Conviene anotar en cada uno el proveedor, la versión, la finalidad clínica y si está regulado como producto sanitario, porque de eso depende su encaje normativo.

Riesgos que conllevan

En sanidad el riesgo no es reputacional: se mide en salud del paciente.

• Sesgos en los datos: modelos entrenados con poblaciones poco representativas que fallan por sexo, edad o etnia.
• Errores no detectados: fallos repetidos de interpretación que el profesional no llega a corregir.
• Decisiones sin supervisión: dictámenes automáticos que se aplican sin validación médica.
• Opacidad: no poder explicar con qué datos operó el modelo para llegar a una conclusión.
• Datos de salud expuestos: categoría especialmente protegida, con impacto directo en la intimidad.
• Ciberseguridad: ataques, inyección de datos maliciosos o caídas que comprometen la asistencia.

Por encima de todo ello hay prácticas que el Reglamento considera de riesgo inaceptable y prohíbe sin excepciones: las técnicas de manipulación subliminal que influyan de forma encubierta en decisiones clínicas o comerciales, la explotación de vulnerabilidades de personas con discapacidad, menores o mayores, y la clasificación de pacientes sin base clínica contrastada. Determinar la elegibilidad de un tratamiento oncológico por el historial socioeconómico o el lugar de residencia, en lugar de por parámetros clínicos, sería ilegal.

El régimen sancionador acompaña a esa gravedad:

• Muy graves: hasta 35 millones de euros o el 7 % del volumen de negocio global anual, el importe mayor de los dos.
• Graves: hasta 15 millones o el 3 % del volumen global, por fallos de documentación, requisitos técnicos o supervisión.
• Leves: errores formales o retrasos en notificaciones, que en pymes y entidades públicas pueden resolverse con apercibimiento o medidas correctoras.

Además, las autoridades pueden ordenar la suspensión temporal o la retirada del sistema si detectan un riesgo real, incluso antes de concluir el procedimiento sancionador.

Cómo cumplir el AI Act en sanidad

La adaptación del sector exige una hoja de ruta más estricta que en otros ámbitos, porque casi toda la IA de uso clínico directo se clasifica como de alto riesgo. El despliegue normativo es progresivo: la obligación de formar al personal ya está activa, las normas y multas para los sistemas de alto riesgo general se aplican desde agosto de 2026, y en 2027 llega la exigencia plena para el software médico regulado bajo el MDR. Los pasos siguientes ordenan ese trabajo.

Clasificar el nivel de riesgo según los usos de la IA

La norma no juzga la tecnología, sino su finalidad. El primer paso es auditar el inventario y situar cada sistema en una de las cuatro categorías:

• Riesgo inaceptable: prohibido, como la puntuación social o la manipulación del comportamiento clínico.
• Alto riesgo: casi toda la IA con uso clínico directo, incluidos los componentes de productos sanitarios regulados por el MDR.
• Riesgo limitado: herramientas informativas que solo exigen transparencia, como un chatbot de citación.
• Riesgo mínimo: usos administrativos sin impacto clínico ni sobre derechos.

Esta es la correspondencia habitual en un centro sanitario:

Definir las obligaciones específicas de tu organización según el nivel de riesgo

Con la clasificación hecha, conviene fijar el papel que se asume, porque determina el alcance: es proveedor quien desarrolla el sistema o lo comercializa bajo su marca, y responsable del despliegue el centro que utiliza herramientas de terceros. Un hospital suele ser lo segundo, salvo que desarrolle o modifique sustancialmente el sistema.

Para los sistemas de alto riesgo, el paquete de obligaciones es exigente:

• Evaluar y gestionar los riesgos de forma continua, con medidas preventivas actualizadas durante toda la vida útil.
• Garantizar la calidad de los datos de entrenamiento, validación y prueba, y su representatividad.
• Mantener documentación técnica y trazabilidad disponibles para auditoría.
• Asegurar supervisión humana en toda decisión clínica relevante.
• Informar a profesionales y pacientes del funcionamiento y de las limitaciones del sistema.
• Notificar de inmediato los incidentes graves a la autoridad competente, como la Agencia Española de Supervisión de la IA o la AEPD según el caso.
• Vigilar el comportamiento del sistema una vez implantado, con seguimiento poscomercialización.

Si un software de IA comete errores repetidos al interpretar radiografías y los radiólogos no los detectan, el centro debe notificarlo, analizar el fallo y suspender el uso del sistema si es necesario. Como responsable del despliegue, además, hay que exigir al proveedor su documentación, usar la herramienta conforme a las instrucciones y conservar los registros que genere.

Establecer un sistema de gobernanza de datos

La IA clínica se alimenta de datos de salud, que son categoría especialmente protegida, así que el Reglamento de IA y el RGPD se aplican a la vez. El primero exige que los conjuntos de datos sean pertinentes, representativos y libres de sesgos que perjudiquen a grupos de pacientes por género, etnia o edad. El segundo exige una base legal válida, minimización y garantías reforzadas para tratar esa información. Ambos deben planificarse juntos, no por separado.

En la práctica, la gobernanza de datos de una organización sanitaria se concreta en:

• Documentar el origen, la calidad y la representatividad de los datos de cada modelo.
• Someter los conjuntos de entrenamiento y validación a pruebas de sesgo por población.
• Definir quién es responsable de cada sistema y quién autoriza cambios de versión.
• Alinear los flujos de datos clínicos con el RGPD y con la política de seguridad del centro.
• Establecer criterios de conservación, seudonimización y acceso a los datos que alimentan la IA.

Cuando hay varios sistemas activos, sostener todo esto con documentos dispersos deja de funcionar. El AI Governance Software de Atico34 permite centralizar el inventario de sistemas, el rol asumido en cada uno, su clasificación de riesgo, las obligaciones que se derivan y las evidencias que las acreditan. La gobernanza pasa así de ser un informe puntual a un registro vivo y auditable, coordinado con el cumplimiento en protección de datos.

Crear documentación técnica y registros

En sanidad la trazabilidad debe ser absoluta: ante un diagnóstico erróneo hay que poder desglosar con qué datos exactos operó el modelo. La documentación mínima incluye:

• Inventario de sistemas de IA, con proveedor, versión, finalidad clínica y encaje como producto sanitario.
• Ficha de clasificación de riesgo de cada sistema, con su justificación.
• Documentación técnica del desarrollo, los datos utilizados y el entrenamiento del modelo.
• Registro automático de actividad, que conserve cada recomendación o diagnóstico asistido.
• Registro de incidentes, notificaciones y decisiones revisadas por un profesional.
• Documentación de conformidad del proveedor y su coordinación con el expediente MDR.

Cada registro debe llevar fecha y responsable. Una actualización del proveedor puede cambiar el comportamiento del sistema, y esa trazabilidad es lo único que permite reconstruir después qué ocurrió y con qué versión.

Garantizar la transparencia y supervisión humana

La supervisión humana es el pilar del uso clínico de la IA: el algoritmo no puede decidir de forma autónoma. Un profesional cualificado debe revisar, validar o rechazar cada dictamen relevante.

• La decisión clínica final siempre corresponde a una persona, no al sistema.
• Los profesionales deben conocer cómo funciona la herramienta y qué limitaciones tiene.
• El paciente debe saber cuándo interactúa con una IA, por ejemplo en una app de triaje o de seguimiento.
• Debe existir una vía accesible para solicitar revisión humana o reclamar.
• Los criterios del sistema han de ser explicables: en un triaje, sin priorizar por edad, sexo o nacionalidad.

Lo mismo aplica a las listas de espera, que deben ordenarse por criterios clínicos objetivos y transparentes, no administrativos, y al ámbito asegurador, donde la IA no puede discriminar por estado de salud, condiciones preexistentes o nivel socioeconómico.

Alfabetización en IA de los empleados

La obligación de formar al personal que maneja estos sistemas ya es exigible, y en sanidad alcanza a perfiles muy distintos:

• Personal médico y de enfermería: qué aporta la herramienta, dónde falla y cómo validar o rechazar su salida.
• Técnicos de imagen y laboratorio: señales de un funcionamiento anómalo y cuándo escalar una incidencia.
• Equipos de admisión y administración: qué decir al paciente sobre el uso de IA en su atención.
• Informática y protección de datos: límites de los sistemas contratados y control de versiones.

La formación debe quedar registrada, con fecha, contenido y asistentes: es la evidencia de haber cumplido, y también lo que sostiene una supervisión humana real en lugar de una firma automática.

Evaluar la ciberseguridad y precisión

El Reglamento exige sistemas robustos, precisos y seguros durante toda su vida útil. En un entorno sanitario eso implica:

• Verificar de forma periódica que la precisión diagnóstica se mantiene y no se degrada con el tiempo.
• Auditar sesgos por género, edad o población en imagen, triaje y modelos predictivos.
• Blindar el software ante ataques, inyecciones de datos maliciosos y fallos que pongan en riesgo al paciente.
• Proteger el acceso a los modelos, a las integraciones con la historia clínica y a los datos de salud.
• Definir el procedimiento de respuesta y notificación ante incidentes graves.

Conviene fijar umbrales de error aceptables y quién los revisa. Una desviación en un modelo de triaje o de imagen no es una incidencia informática: es un riesgo clínico y debe tratarse como tal.

Obtener la conformidad y marcado CE

En sanidad el cumplimiento no funciona aislado: converge con el Reglamento de Productos Sanitarios. Buena parte de lo que pide el AI Act —sistema de gestión de calidad, gestión de riesgos, ciberseguridad y documentación técnica— se solapa con el MDR, así que las evaluaciones deben coordinarse para obtener un único marcado CE.

• Como proveedor: evaluación de conformidad, declaración UE, marcado CE y registro del sistema, integrados con el expediente MDR cuando sea producto sanitario.
• Como responsable del despliegue: exigir la declaración de conformidad y la documentación técnica, y comprobar que el marcado CE existe.
• En ambos casos: mantener vigilancia poscomercialización, con monitorización continua del algoritmo ya implantado y notificación inmediata de incidencias.
• Cuidado con el rol: modificar sustancialmente un sistema o presentarlo como propio puede convertir al centro en proveedor, con todas sus obligaciones.

Los plazos marcan la prioridad: la formación del personal es ya exigible, agosto de 2026 activa el régimen de los sistemas de alto riesgo general y 2027 completa la exigencia para el software médico regulado bajo el MDR.

En definitiva, cumplir la Ley de IA en sanidad consiste en saber qué sistemas se usan, clasificar su riesgo, sostener la calidad de los datos, mantener a un profesional al mando de cada decisión y poder demostrarlo todo con documentación. Bien planteado no frena la innovación clínica: la hace defendible ante una auditoría y segura para el paciente.