IA y datos de pacientes: qué puede hacer una clínica sin saltarse el RGPD ni el Reglamento de IA

Una clínica puede usar inteligencia artificial con datos de pacientes si la herramienta está contratada por la clínica, con contrato de encargado del tratamiento, sabe dónde se guardan los datos y avisa al paciente de que habla con una IA. Lo que no puede es pegar conversaciones reales en una cuenta personal de ChatGPT o similar.

Los datos de salud son una categoría especial en el RGPD, y eso incluye más de lo que parece: un WhatsApp que dice «quería información del implante» ya revela algo de esa persona. Te contamos qué usos son razonables, cuáles no, qué preguntar antes de contratar una herramienta y qué hacer si alguien del equipo ya ha metido datos donde no debía. No es asesoramiento legal: valida tu caso con tu delegado de protección de datos o tu abogado.

Escribimos esto porque lo vemos cada semana. En casi todas las auditorías encontramos a alguien del equipo usando una IA con datos de pacientes, casi siempre con buena intención y casi nunca con nada firmado.

Por qué los datos de una clínica no son como los de una tienda

El Reglamento General de Protección de Datos prohíbe en su artículo 9 tratar datos relativos a la salud salvo que se cumpla alguna de las excepciones que el propio artículo enumera, como el consentimiento explícito o la prestación de asistencia sanitaria por profesionales sujetos a secreto. Es decir, el punto de partida no es «puedo, salvo que me lo prohíban», sino «no puedo, salvo que tenga una base clara».

En una tienda online, que un cliente compre unas zapatillas no dice nada delicado de él. En una clínica, casi todo lo dice: que alguien pida cita para un trasplante capilar, que pregunte por el precio de una blefaroplastia o que mande una foto de sus dientes. Y esos datos no solo están en la historia clínica. Están en el CRM, en el WhatsApp de recepción, en el correo y en los formularios de las campañas. Lo explicamos con detalle en protección de datos en los leads de una clínica.

Cuando metes una herramienta de IA en medio, aparece una pregunta nueva: quién más está viendo esos datos, dónde los guarda y qué hace con ellos.

El caso más frecuente: pegar conversaciones de pacientes en ChatGPT

Son las 18:20, recepción tiene doce WhatsApp sin contestar y uno es largo y complicado: una paciente que se operó hace dos años, cuenta que no está contenta con el resultado y pregunta por un retoque. La recepcionista copia la conversación entera, con nombre y teléfono, la pega en un asistente de IA desde la cuenta personal de su móvil y le pide «una respuesta amable». Funciona. La respuesta es buena. Y acaba de comunicar datos de salud de una paciente a un tercero con el que la clínica no tiene ningún contrato.

Los problemas son varios a la vez:

• No hay contrato de encargado del tratamiento. Con una cuenta personal de consumo, la relación es entre la empleada y el proveedor, no entre la clínica y el proveedor.
• No sabes dónde quedan los datos. Ni en qué país, ni cuánto tiempo, ni quién puede acceder.
• Pueden usarse para entrenar o mejorar modelos. Depende del servicio, del plan y de la configuración. En muchas versiones de consumo hay que desactivarlo a mano, y en otras no se puede.
• El paciente no lo sabe. Tu política de privacidad no menciona esa herramienta, así que no has informado de ese tratamiento.

La solución no es prohibir la IA, porque el equipo la seguirá usando a escondidas. Es darle una herramienta contratada por la clínica, con condiciones revisadas, y una regla sencilla: a una IA que no sea la de la clínica no se le pega nada que permita saber quién es el paciente. Para responder bien por WhatsApp sin depender de esto, tienes plantillas en cómo cualificar leads por WhatsApp.

Qué usos son razonables y cuáles no

No todos los usos de la IA en una clínica tienen el mismo riesgo. La diferencia está casi siempre en una pregunta: ¿entran datos que identifican a un paciente o no?

Para los usos de la primera fila no hace falta casi nada. Tienes ejemplos prácticos en nuestros vídeos sobre responder reseñas con IA, y las pautas de confidencialidad en reseñas de Google para clínicas.

El contrato de encargado del tratamiento

Cuando un proveedor trata datos personales por cuenta de tu clínica, es un encargado del tratamiento, y el artículo 28 del RGPD exige un contrato con él. Ese contrato fija que solo trata los datos siguiendo tus instrucciones, que guarda confidencialidad, qué medidas de seguridad aplica, si puede subcontratar a otros y qué pasa con los datos cuando termina el servicio.

Con las herramientas de IA para empresas lo habitual es que el proveedor tenga un acuerdo de tratamiento de datos estándar que se acepta al contratar el plan profesional. Con las cuentas personales de consumo, normalmente no existe. Esa es la primera diferencia entre «usamos IA» y «usamos IA de forma que podemos explicarla a un inspector».

Si una agencia o un proveedor de software te instala un chatbot o un sistema de respuesta automática, pregunta quién es el encargado: la agencia, el fabricante de la herramienta o los dos. Y pide los contratos. Lo mismo vale para el CRM, que en muchas clínicas ya incorpora funciones de IA, como contamos en CRM y automatización para clínicas.

Dónde se alojan los datos

Muchos proveedores de IA están fuera de la Unión Europea o usan servidores fuera de ella. Eso no está prohibido, pero las transferencias internacionales de datos necesitan una base: un país con decisión de adecuación de la Comisión Europea, un proveedor adherido al marco que la permita (en el caso de Estados Unidos, el marco de privacidad de datos UE-EE. UU.) o garantías como las cláusulas contractuales tipo.

En la práctica, pide al proveedor tres respuestas por escrito: en qué región se procesan y almacenan los datos, qué subencargados intervienen y en qué países, y cuánto tiempo se conservan las conversaciones. Algunos proveedores ofrecen elegir alojamiento en Europa. Si la herramienta va a manejar datos de pacientes, es una opción que conviene valorar.

Anonimizar de verdad, no solo quitar el nombre

Los datos anonimizados de verdad quedan fuera del RGPD. Los seudonimizados, no: si con información adicional se puede volver a identificar a la persona, siguen siendo datos personales. Y en una clínica es más fácil reidentificar de lo que parece.

Un ejemplo: «mujer de 47 años, de Boadilla, se operó el pecho en marzo con el doctor y quiere un retoque» no lleva nombre, pero en una clínica de tamaño medio identifica a una persona concreta. Edad exacta, barrio, fecha, tratamiento y médico juntos son casi una firma.

La diferencia se ve mejor con un caso. Mal: «Responde a María García, 54 años, de Ronda, que se operó de blefaroplastia el 3 de octubre y dice que tiene un párpado más hinchado». Bien: «Dame una estructura de respuesta amable para un paciente que, dos semanas después de una cirugía, nota la inflamación desigual y está preocupado. La respuesta clínica la dará el cirujano». La segunda versión te da lo que necesitabas y no dice nada de nadie.

Si vas a usar una IA para trabajar sobre un caso real, quita el nombre, el teléfono, el correo y cualquier número de documento; cambia la edad por un rango; elimina fechas, lugares y nombres de profesionales; y no adjuntes fotos. Si después de eso el texto ya no sirve para lo que querías hacer, es señal de que ese uso necesita una herramienta contratada por la clínica, no una cuenta personal.

Transparencia: avisar de que habla con una IA

El Reglamento (UE) 2024/1689 de Inteligencia Artificial establece en su artículo 50 que los sistemas de IA destinados a interactuar directamente con personas deben diseñarse de forma que estas sepan que están hablando con una IA, salvo que resulte evidente. Esa información debe darse de manera clara, como tarde en la primera interacción. Según el artículo 113, el Reglamento es aplicable con carácter general desde el 2 de agosto de 2026. Algunos plazos de otras partes del Reglamento se modificaron en 2026, así que confirma con tu asesor el calendario vigente para tu caso.

La obligación de diseño recae sobre todo en el proveedor del sistema, pero el chatbot lleva el nombre de tu clínica y es a ti a quien el paciente pedirá explicaciones. Nuestra recomendación es sencilla: el primer mensaje del asistente dice que es un asistente automático y ofrece hablar con una persona. En nuestro Método C.I.T.A. la respuesta automática en segundos (la I, Inmediatez) se limita a saludar, hacer dos preguntas de cualificación y proponer cita; nada de valorar síntomas ni fotos. Cómo montarlo sin pasarse de la raya lo contamos en chatbot con IA en WhatsApp.

Además del Reglamento de IA, el RGPD te obliga a informar de los tratamientos que haces. Si una herramienta de IA trata datos de pacientes, tu política de privacidad y la información que das en formularios y en WhatsApp deben reflejarlo.

Si alguien ya ha pegado datos de un paciente

Pasará, o ya ha pasado. Lo peor que puede hacer el dueño es enterarse y mirar para otro lado, y lo segundo peor es montar un drama que haga que la próxima vez nadie lo cuente. Lo razonable es tratarlo como un posible incidente de seguridad:

1. Apunta qué datos se introdujeron, en qué herramienta, desde qué cuenta y cuándo.
2. Borra la conversación y, si la herramienta lo permite, pide la eliminación de los datos.
3. Avisa a tu delegado de protección de datos o a quien lleve la protección de datos de la clínica, el mismo día.
4. Entre los dos, valorad el riesgo para el paciente. Si lo hay, el artículo 33 del RGPD obliga a notificarlo a la autoridad de control en un plazo máximo de 72 horas desde que la clínica tiene constancia.
5. Registra el incidente aunque se decida no notificar, y usa el caso para explicar la norma al resto del equipo.

Lo que dice la AEPD

La Agencia Española de Protección de Datos publicó en 2020 la guía Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. Una introducción, dirigida a responsables que incorporan componentes de IA en sus tratamientos y a los proveedores que les dan soporte. Desde entonces ha seguido publicando orientaciones sobre IA generativa y agentes de IA en su web.

Las ideas que más aplicamos de esas guías en una clínica: analizar el riesgo antes de implantar, no después; tratar solo los datos necesarios; documentar qué herramienta se usa, para qué y con qué datos; y valorar con el DPD si hace falta una evaluación de impacto, algo que el artículo 35 del RGPD exige cuando el tratamiento entraña un alto riesgo.

Checklist antes de contratar una herramienta de IA

Esta es la lista que usamos cuando una clínica nos pide opinión sobre un chatbot, un asistente de respuesta o cualquier herramienta de IA que vaya a tocar datos de pacientes. Pásasela al proveedor por escrito y guarda las respuestas.

Cómo poner orden en tu clínica este mes

1. Haz inventario. Pregunta al equipo, sin buscar culpables, qué herramientas de IA usa y para qué. Te sorprenderá la lista.
2. Clasifica cada uso con la tabla de arriba: sin datos de pacientes, con datos anonimizados o con datos identificables.
3. Elige una herramienta oficial. Contratada por la clínica, con contrato de encargado firmado y uso para entrenamiento desactivado.
4. Escribe una norma de una página. Qué se puede hacer con IA, con qué herramienta y qué nunca se pega en ella.
5. Revisa tu política de privacidad y los textos informativos de formularios y WhatsApp para incluir las herramientas que tratan datos.
6. Configura el aviso de IA en cualquier chatbot o respuesta automática que hable con pacientes.
7. Valídalo con tu DPD o tu abogado, sobre todo si vas a usar IA en la consulta o con historias clínicas.

Si además envías datos de leads a Google o Meta para medir campañas, aplica el mismo criterio: nada de información de salud en los eventos. Lo explicamos en la API de conversiones de Meta para clínicas. Y si una agencia te ofrece «marketing con IA», en las preguntas que la dejan en evidencia tienes qué preguntarle sobre los datos de tus pacientes.

Si quieres que revisemos cómo circulan los datos de tus leads entre formularios, CRM, WhatsApp y plataformas publicitarias, pide una consulta. Te diremos qué cambiaríamos desde el punto de vista del marketing; la validación legal, siempre con tu asesor.

Preguntas frecuentes

¿Puedo usar ChatGPT con datos de pacientes en mi clínica?

Con una cuenta personal de consumo, no deberías: no hay contrato de encargado del tratamiento y no controlas dónde se guardan los datos ni si se usan para entrenar modelos. Con una versión profesional contratada por la clínica, con contrato firmado y condiciones revisadas por tu DPD, algunos usos pueden ser viables. Lo más seguro es no introducir datos que identifiquen al paciente.

¿Mi chatbot tiene que decir que es una inteligencia artificial?

Sí. El artículo 50 del Reglamento (UE) 2024/1689 exige que las personas sepan que interactúan con un sistema de IA, salvo que resulte evidente, y que se les informe como tarde en la primera interacción. Lo más sencillo es que el primer mensaje lo diga y ofrezca hablar con una persona del equipo.

¿Basta con quitar el nombre para anonimizar una conversación?

No. Si con la edad, el barrio, la fecha, el tratamiento o el médico se puede saber de quién se trata, los datos siguen siendo personales. Para anonimizar hay que eliminar o generalizar todo lo que permita reidentificar, incluidas fotos y fechas. Si el texto deja de ser útil, usa una herramienta contratada.

¿Qué contrato necesito con un proveedor de IA?

Un contrato de encargado del tratamiento conforme al artículo 28 del RGPD, que fije que solo trata los datos según tus instrucciones, las medidas de seguridad, los subencargados, las transferencias internacionales y qué ocurre con los datos al terminar. Pídelo antes de contratar y que lo revise tu DPD o tu abogado.