Inteligencia artificial en la atención médica: entre la promesa clínica y las vertiginosas complejidades legales. Un punto de inflexión regulatorio en la salud digital.
Pero su interacción con el RGPD, ya compleja en teoría, se vuelve desconcertante en la práctica.
Un marco dual, dos lógicas de cumplimiento
En la práctica, los delegados de protección de datos (DPD) deben lidiar con un marco regulatorio dual: por un lado, el RGPD, basado en la protección de las personas; por otro, la Ley de IA, estructurada en torno a la gestión del riesgo tecnológico. Si bien ambos marcos comparten ciertas herramientas —evaluación de impacto, documentación, transparencia—, se basan en fundamentos distintos. Y el sector sanitario, un ámbito sensible y altamente regulado, cristaliza todas estas tensiones.
Minimización de datos frente a lógica de rendimiento
El principio de minimización de datos, pilar del RGPD, choca frontalmente con los requisitos de rendimiento de la IA. Cuanto más se alimenta una IA, más aprende; pero cuanto más aprende, más riesgos legales corre si la finalidad no está claramente definida o si el tratamiento no es proporcional. Existe una fuerte tentación, por parte de la industria, de recopilar grandes cantidades de datos «para entrenar a otros posteriormente». Esto es precisamente lo que los reguladores quieren controlar.
Consentimiento: Cuidado con el efecto de la “cláusula espejo”
Otro escollo: la profusión de fundamentos jurídicos. Consentimiento, interés público, obligación legal, interés legítimo… Estos fundamentos pueden coexistir, o incluso superponerse. ¿El riesgo? Crear un laberinto contractual incomprensible, donde el paciente ya no sepa a qué está dando su consentimiento ni con qué fin. Para evitar este escollo, la obtención del consentimiento debe replantearse dentro de un marco de proceso, en lugar de un momento fijo. Esto representa un verdadero desafío en el diseño jurídico y la ética de la claridad.
Responsabilidad: Un preocupante vacío jurídico
¿Quién es responsable si una IA médica comete un error? ¿El profesional que la utilizó? ¿El desarrollador del software que la diseñó? ¿El centro sanitario que la implementó? Hoy en día, no hay una respuesta clara. El derecho positivo francés sigue vinculado a marcos jurídicos tradicionales —responsabilidad por bienes, responsabilidad por productos, responsabilidad contractual o extracontractual— que resultan poco adecuados para los procesos de toma de decisiones algorítmicas. Esta deficiencia legal, sumada a la opacidad de ciertos modelos, alimenta las legítimas preocupaciones de los profesionales sanitarios.
Datos sintéticos: Falsos amigos legales
Ante las limitaciones del RGPD, algunos recurren a los datos sintéticos para eludir ciertas obligaciones. Pero cuidado: si los datos generados conservan una estructura demasiado similar a la de los datos originales, persiste el riesgo de reidentificación. El Comité Europeo de Protección de Datos (CEPD) reiteró en diciembre de 2024 que la anonimización es una evaluación contextual, nunca una etiqueta automática. En el ámbito sanitario, donde los datos son escasos, sensibles y están altamente correlacionados, la vigilancia debe ser primordial.
La CNIL en acción, pero desbordada
La CNIL creó un grupo de trabajo sobre IA en 2023. Este grupo apoya proyectos (como Dalvia Santé), elabora normativa no vinculante (fichas informativas, directrices) e intenta anticipar los usos emergentes. Sin embargo, opera en un entorno jurídico en constante evolución. La IA generativa, por ejemplo, plantea nuevos desafíos: modelos preentrenados con datos no controlados y la dificultad de rastrear el origen de los datos. El marco legal debe ahora abordar estas zonas grises.
IA generativa: Abundan las preguntas, tardan en llegar las respuestas
En el sector sanitario, la IA generativa suscita preocupaciones particulares: es capaz de producir contenido médico fiable… pero a veces también erróneo. La línea entre el apoyo a la toma de decisiones y la sustitución se difumina cada vez más. Si un profesional sanitario actúa basándose en un resumen generado por IA, y este es inexacto, ¿quién asumirá la responsabilidad? ¿Y cómo se audita un modelo de «caja negra» entrenado en el extranjero? Una vez más, la legislación tiene dificultades para adaptarse.
Un papel estratégico para los DPO
En este contexto, el papel de los DPO especializados en el sector sanitario adquiere una nueva dimensión. Ya no se trata de cumplir con los requisitos formales, sino de articular la ley, la tecnología y la estrategia. Esto requiere un diálogo con abogados, CISO, unidades de negocio e incluso, en ocasiones, con científicos de datos. Se trata de tender puentes, anticiparse y negociar constantemente con la incertidumbre.
Un imperativo ético: Proteger el cuerpo… incluso el cuerpo digital
En última instancia, la verdadera pregunta es: ¿Qué tipo de sociedad de salud digital queremos? Si permitimos que la lógica técnica domine sin un marco de referencia, corremos el riesgo de deshumanizar la atención médica. Si regulamos en exceso, sofocaremos la innovación útil. Entre estos dos extremos, debemos forjar un camino: el del derecho a la integridad digital, capaz de garantizar que, incluso en el mundo de los datos, el cuerpo humano permanezca protegido. Porque no basta con procesar datos: hay que cuidar a la persona.
**¡Únete a nosotros en septiembre para un webinar dedicado a estos temas! Encuentra las últimas noticias y los detalles de inscripción próximamente en nuestra página de LinkedIn: THE HEALTH DPOs