Cumplimiento de la Ley de Inteligencia Artificial en sanidad

La inteligencia artificial en sanidad ha supuesto enormes avances en campos como el diagnóstico o tratamiento de enfermedades. Sin embargo, su aplicación también está sujeta a una serie de obligaciones establecidas por la AI Act de la Unión Europea y, en el caso de España, por la Ley para el buen uso y la gobernanza de la inteligencia artificial. Pero, ¿qué dicen estas normativas acerca del uso de IA en el sector sanidad?

¿A quién afecta la Ley de inteligencia artificial en el sector sanidad?

La normativa sobre inteligencia artificial aplica directamente a cualquier sistema de IA que se utilice en el ámbito sanitario y que pueda influir en la salud, la seguridad física o mental, o los derechos fundamentales de las personas. Esta regulación no solo se dirige a quienes desarrollan la tecnología, sino también a todos los agentes que la implementan, gestionan o comercializan.

Los principales actores afectados son:

• Proveedores y desarrolladores de sistemas de IA sanitaria: empresas tecnológicas que crean software médico, herramientas de diagnóstico, asistentes virtuales clínicos o algoritmos de predicción de enfermedades.
• Hospitales, clínicas y centros médicos (tanto públicos como privados): instituciones que integran sistemas de IA en sus procesos clínicos, administrativos o de gestión sanitaria.
• Laboratorios farmacéuticos y empresas biotecnológicas: especialmente cuando utilizan IA en el diseño, simulación o seguimiento de ensayos clínicos, análisis de datos genómicos o desarrollo de medicamentos personalizados.
• Fabricantes de dispositivos médicos inteligentes: compañías que producen equipos como escáneres, monitores o wearables que incluyen componentes basados en IA para el análisis o la toma de decisiones clínicas.
• Importadores, distribuidores y representantes autorizados: agentes económicos que comercializan o introducen estos sistemas en el mercado español o europeo.

Además, también quedan alcanzadas las plataformas digitales o servicios que operan sistemas de IA aplicados a la salud, incluso cuando el sistema haya sido desarrollado fuera de la UE, si se ofrece o utiliza dentro de su territorio.

Ejemplo: una clínica privada que adopte un software para predecir el riesgo de enfermedades cardiovasculares en función de los datos clínicos del paciente debe asegurarse de que ese sistema cumple todos los requisitos de seguridad, transparencia, trazabilidad y supervisión establecidos por la normativa.

Esta obligación no se limita al momento de la compra o desarrollo del sistema, sino que se extiende a todo su ciclo de vida: desde su evaluación inicial hasta su mantenimiento, actualizaciones y posible retirada si supone un riesgo.

Además, los propios ciudadanos y pacientes también se ven directamente afectados, aunque desde un enfoque de protección. La normativa les reconoce nuevos derechos, como:

• Ser informados de forma clara si se están utilizando sistemas de IA en su atención médica.
• Tener derecho a la supervisión humana de decisiones automatizadas.
• Reclamar en caso de errores, fallos o perjuicios derivados del uso de sistemas de IA.

¿Qué obligaciones establece la Ley de IA en sanidad?

La Ley de Inteligencia Artificial clasifica los sistemas utilizados en el ámbito sanitario como sistemas de alto riesgo. Esto se debe a que pueden influir directamente en diagnósticos, tratamientos o decisiones clínicas que afectan a la salud o la vida de las personas. Como consecuencia, están sujetos a una serie de obligaciones legales muy exigentes que deben cumplirse desde la fase de diseño hasta su uso final.

Las principales obligaciones son:

• Evaluación y gestión de riesgos: los sistemas deben someterse a análisis continuos para identificar posibles riesgos para los pacientes o el personal sanitario. Estos riesgos deben ser gestionados con medidas preventivas y actualizadas durante toda la vida útil del sistema.
• Trazabilidad y documentación técnica: es obligatorio mantener una documentación detallada que describa cómo se ha desarrollado el sistema, qué datos se han utilizado, cómo funciona y cómo se ha entrenado. Esta información debe estar disponible para las autoridades y permitir auditorías en cualquier momento.
• Supervisión humana: la toma de decisiones críticas debe estar siempre supervisada por personal cualificado. Los sistemas de IA no pueden sustituir la evaluación médica final, especialmente cuando hay implicaciones clínicas graves.
• Transparencia hacia los usuarios y pacientes: los profesionales deben entender cómo funciona el sistema y qué limitaciones tiene. Además, si el paciente interactúa con el sistema —por ejemplo, en una app de triaje o seguimiento— debe saber que está ante una IA y no una persona.
• Calidad de los datos: los algoritmos deben entrenarse con datos relevantes, precisos, actualizados y representativos. Es esencial evitar sesgos que puedan generar resultados discriminatorios o inexactos en poblaciones específicas (por ejemplo, por sexo, edad o etnia).
• Notificación de incidentes graves: si un sistema de IA falla o causa un daño clínico real o potencial —como un diagnóstico erróneo o un retraso en el tratamiento— debe ser notificado de forma inmediata a la autoridad competente, como la Agencia Española de Supervisión de la IA o la AEPD, según el caso.

Ejemplo: si un software de IA comete errores repetidos al interpretar radiografías y estos errores no son detectados por los radiólogos, el centro médico tiene la obligación de notificarlo, analizar el fallo y suspender temporalmente el uso del sistema si es necesario.

Estas obligaciones buscan garantizar que la innovación tecnológica en sanidad esté siempre al servicio del interés público, la seguridad de los pacientes y el respeto a sus derechos fundamentales.

¿Qué prácticas prohíbe la normativa de IA en el ámbito de la salud y sanidad?

La Ley de Inteligencia Artificial establece una serie de prohibiciones absolutas para proteger la dignidad humana, los derechos fundamentales y la integridad de las personas. En el contexto sanitario, estas prohibiciones son especialmente relevantes, ya que los sistemas de IA pueden tener un impacto directo y profundo sobre la vida y la salud de los pacientes.

En este ámbito, están prohibidas:

• Las técnicas de manipulación subliminal: cualquier sistema que influya de forma encubierta o subconsciente en el comportamiento de los pacientes —por ejemplo, para forzar decisiones clínicas o comerciales— queda terminantemente prohibido.
• La explotación de vulnerabilidades personales: se prohíben sistemas diseñados para aprovecharse de personas con discapacidades, menores, ancianos u otros colectivos vulnerables, ya sea para influir en su comportamiento o para extraer datos de forma abusiva.
• La clasificación sin base clínica: no se permite el uso de sistemas que asignen categorías de salud a las personas sin criterios médicos claros y contrastados, especialmente si esta clasificación se utiliza para limitar tratamientos, modificar coberturas médicas o tomar decisiones administrativas que afecten al paciente.

Estas prácticas se consideran de riesgo inaceptable, y por tanto están fuera del ámbito permitido por la legislación, sin excepciones.

Ejemplo: un sistema de IA que determine la elegibilidad de un tratamiento oncológico en función del historial socioeconómico del paciente o del lugar de residencia, en lugar de parámetros clínicos objetivos, sería ilegal.

La normativa prohíbe el uso de IA que manipule, discrimine o explote vulnerabilidades en salud, asegurando un entorno ético y seguro para todos los pacientes.

¿Qué sanciones establece?

El régimen sancionador previsto por la Ley de Inteligencia Artificial está diseñado para garantizar el cumplimiento efectivo de sus disposiciones, especialmente en sectores sensibles como la sanidad. Las sanciones se aplican en función de la gravedad de la infracción, el daño causado y el tamaño o naturaleza de la entidad infractora.

Se establecen tres niveles principales:

• Infracciones muy graves: incluyen el uso de sistemas prohibidos o el incumplimiento de obligaciones clave en sistemas de alto riesgo. Pueden sancionarse con multas de hasta 35 millones de euros o el 7% del volumen de negocio global anual de la empresa, aplicándose el importe que sea mayor.
• Infracciones graves: como el incumplimiento de requisitos técnicos, de documentación, o de supervisión humana en sistemas de alto riesgo. Las sanciones alcanzan hasta 15 millones de euros o el 3% del volumen de negocio global.
• Infracciones leves: se refieren a errores formales, retrasos en notificaciones o faltas de menor impacto. En el caso de pymes y entidades públicas —como hospitales o centros de salud del sistema nacional— pueden resolverse con advertencias, apercibimientos o medidas correctivas sin multa.

Además, las autoridades competentes pueden ordenar la retirada inmediata del sistema de IA del mercado o su suspensión temporal si se detecta que representa un riesgo real para la salud o la seguridad de las personas. Esta medida puede adoptarse incluso antes de finalizar el procedimiento sancionador si se considera necesaria para prevenir daños.

El régimen sancionador tiene un objetivo preventivo, pero también disuasorio: asegura que quienes operan en el ámbito sanitario tomen en serio sus obligaciones, implementen medidas de control y garanticen la fiabilidad y ética de los sistemas de IA que utilicen.

Ejemplos de aplicación de la Ley de inteligencia artificial en sanidad

La Ley de Inteligencia Artificial afecta a múltiples escenarios reales en el ámbito de la salud. Desde la atención clínica hasta la gestión sanitaria o el sector asegurador, cualquier uso de IA debe cumplir con requisitos legales, éticos y técnicos.

Algunos ejemplos ilustrativos son:

• Triaje en urgencias hospitalarias: Un hospital que emplea un sistema de IA para decidir el orden de atención de los pacientes en urgencias debe demostrar que el algoritmo no prioriza o excluye por edad, sexo o nacionalidad. Además, debe garantizar supervisión médica directa sobre cada decisión.
• Recomendaciones de tratamiento personalizado: Una aplicación médica que ofrece sugerencias terapéuticas basadas en el historial clínico del paciente debe contar con una documentación clara del funcionamiento de su algoritmo y permitir revisiones humanas. También debe informar al paciente de que está interactuando con un sistema de IA.
• Cálculo de primas en seguros de salud: Una aseguradora que utiliza IA para fijar el precio de sus pólizas sanitarias debe demostrar que sus sistemas no discriminan en función del estado de salud, condiciones preexistentes o nivel socioeconómico.
• Diagnóstico asistido por imagen médica: Un software que analiza radiografías para detectar tumores debe haber sido entrenado con datos clínicos representativos y estar auditado regularmente para evitar sesgos de género o población.
• Gestión de listas de espera quirúrgica: Un sistema desplegado por una consejería de salud que organiza las listas de espera debe basarse en criterios clínicos objetivos y transparentes, no en factores administrativos o de presión política.
• Seguimiento de pacientes crónicos mediante dispositivos conectados: Un wearable que recopila datos para monitorizar la evolución de enfermedades como la diabetes debe garantizar la privacidad, seguridad y correcto funcionamiento del sistema, así como la notificación de cualquier fallo grave.
• IA en ensayos clínicos farmacéuticos: Un laboratorio que usa IA para analizar resultados de ensayos debe asegurar la trazabilidad de los datos, la supervisión humana sobre las decisiones y la posibilidad de justificar cualquier conclusión automatizada.

En definitiva, El uso de inteligencia artificial en sanidad requiere responsabilidad, ética y cumplimiento normativo para proteger la salud y los derechos de los pacientes. Las organizaciones del sector deben asegurar transparencia, supervisión humana y gestión de riesgos en todas las fases del ciclo de vida de los sistemas de IA.