Los datos de salud en un asistente de IA son una categoría especial de datos según el RGPD. Si tu clínica usa un asistente para atender a pacientes, necesitas consentimiento explícito y registrado antes de cualquier pregunta de salud, un contrato de encargado del tratamiento con el proveedor y la regla de que el asistente informa, agenda y deriva, pero nunca diagnostica.
Este artículo es informativo y no sustituye el asesoramiento legal. Revisa tu caso con tu delegado de protección de datos o tu asesor.
Lo esencial
- El RGPD trata los datos de salud como una categoría especial (artículo 9): su tratamiento está prohibido salvo excepciones concretas.
- El asistente debe pedir consentimiento explícito, y dejarlo registrado, antes de hacer cualquier pregunta de salud.
- El proveedor del asistente es encargado del tratamiento: hace falta un contrato que lo regule (artículo 28 del RGPD).
- Cuanto menos pregunte el asistente, mejor: solo lo necesario para agendar o derivar.
- El paciente debe saber que habla con una IA y poder pedir una persona en cualquier momento.
¿Qué son los datos de salud según el RGPD?
Los datos de salud son cualquier información sobre la salud física o mental de una persona, incluidos los servicios sanitarios que recibe. Lo define el artículo 4 del Reglamento General de Protección de Datos (RGPD).
En una clínica, esto incluye mucho más de lo que parece. No solo un diagnóstico. También que alguien escriba «tengo dolor en una muela», «estoy embarazada, ¿puedo hacerme el tratamiento?» o «tomo anticoagulantes». En cuanto un paciente cuenta algo así a tu asistente, estás tratando datos de salud.
¿Puede un asistente de IA tratar datos de salud de los pacientes?
Sí, pero solo con una base legal válida y con garantías. El artículo 9 del RGPD prohíbe tratar datos de salud salvo en una serie de excepciones. Las dos que más suelen aplicarse en clínicas son:
- El consentimiento explícito del paciente para una finalidad concreta (artículo 9.2.a).
- La asistencia sanitaria prestada por profesionales sujetos a secreto profesional (artículo 9.2.h).
Cuál aplica a cada conversación depende de lo que haga el asistente. Cuando el asistente atiende el primer contacto de alguien que todavía no es paciente, lo prudente es pedir consentimiento explícito antes de cualquier pregunta de salud. Así lo hacemos siempre: es un argumento de confianza, no letra pequeña.
¿Cómo debe pedir el consentimiento un asistente de IA?
De forma clara, antes de preguntar nada de salud, y dejando constancia. En la práctica:
- Se identifica. El paciente sabe que habla con el asistente de la clínica, no con una persona.
- Explica para qué necesita el dato. Por ejemplo: «Para buscarte la cita adecuada necesito hacerte una pregunta sobre tu salud».
- Pide el consentimiento de forma expresa. Una respuesta afirmativa clara, no un silencio ni una casilla marcada por defecto.
- Enlaza a la política de privacidad de la clínica.
- Registra el consentimiento con la fecha, el canal y el texto aceptado.
- Si el paciente dice que no, el asistente no pregunta nada de salud y le ofrece hablar con recepción o reservar la valoración directamente.
¿Qué no debe hacer nunca un asistente de IA en una clínica?
Diagnosticar ni aconsejar clínicamente. El asistente informa, agenda y deriva. Puede explicar en qué consiste un tratamiento con la información que la clínica aprueba, decir qué huecos hay libres y reservar una valoración. Lo que no puede es decir si a alguien le conviene un tratamiento, valorar un síntoma o recomendar una medicación.
Además, conviene que:
- Pregunte lo mínimo. Solo lo necesario para agendar el tipo de cita correcto o detectar una urgencia. Es el principio de minimización de datos del RGPD.
- Derive las urgencias y los casos delicados a una persona de tu equipo.
- Diga que es una IA. El Reglamento europeo de Inteligencia Artificial obliga a informar a las personas de que están interactuando con un sistema de IA, salvo que sea evidente.
- Deje pedir una persona en cualquier momento.
¿Qué tiene que firmar tu clínica con el proveedor del asistente?
Un contrato de encargado del tratamiento. Tu clínica es la responsable de los datos de sus pacientes. La empresa que pone el asistente los trata por cuenta tuya, así que es encargada del tratamiento. El artículo 28 del RGPD exige un contrato que diga qué datos trata, para qué, con qué medidas de seguridad, qué subencargados usa y qué pasa con los datos cuando termina el servicio.
Antes de contratar, pregunta también:
- ¿Dónde se guardan los datos? ¿Salen del Espacio Económico Europeo y, si salen, con qué garantías?
- ¿Quién puede ver las conversaciones?
- ¿Cuánto tiempo se conservan?
- ¿Cómo se registran los consentimientos?
- ¿Se usan las conversaciones de tus pacientes para entrenar modelos de terceros?
Si el proveedor no responde a estas preguntas con claridad, es una señal de alarma. La Agencia Española de Protección de Datos (AEPD) tiene guías específicas para el sector sanitario que conviene revisar.
Asistente sin garantías frente a asistente bien configurado
| Asistente sin garantías | Asistente bien configurado | |
|---|---|---|
| Preguntas de salud | Las hace sin avisar | Solo tras consentimiento explícito y registrado |
| Consejo clínico | Responde lo que «sabe» | Informa, agenda y deriva al profesional |
| Datos que recoge | Todo lo que el paciente cuenta | Solo lo necesario para agendar |
| Transparencia | Parece una persona | Dice que es el asistente de la clínica |
| Contrato con el proveedor | Condiciones genéricas | Contrato de encargado del tratamiento (art. 28) |
| Urgencias y casos delicados | Los gestiona él | Pasan a una persona del equipo |
¿Quieres ver cómo se atiende hoy a un paciente en tu clínica, de principio a fin? La Auditoría de Fugas gratuita es un buen punto de partida.
¿Y los mensajes de recordatorio, retoque o revisión?
Los recordatorios de una cita ya reservada forman parte del servicio que el paciente ha pedido. Los avisos para volver (un retoque, una revisión, una campaña para pacientes que llevan tiempo sin venir) son comunicaciones de la clínica, y lo prudente es enviarlos solo a pacientes que aceptaron recibirlas, con el consentimiento registrado y la opción de darse de baja.
Lo explicamos con detalle en Pacientes que no vuelven al retoque: cómo avisarles a tiempo y en Citas perdidas en clínicas: cómo reducir los no-shows.
Cómo lo hacemos en Dexpega
En Dexpega aplicamos el Sistema Fuga Cero: tapamos las seis fugas por las que se escapan pacientes que tu clínica ya ha pagado por conseguir (mensajes sin respuesta, teléfono, huecos vacíos, presupuestos, retoques y revisiones, y reseñas). Y lo hacemos con la protección de datos de serie, no como un añadido.
Nuestro asistente pide consentimiento con registro antes de cualquier pregunta de salud, informa, agenda y deriva sin diagnosticar nunca, se presenta como asistente de la clínica y pasa a tu equipo las urgencias y a quien pide una persona. El contrato incluye el anexo de protección de datos correspondiente.
Arrancamos con dos semanas en modo supervisado: ningún mensaje sale a un paciente sin que tu clínica lo haya visto. Lo configuramos nosotros y en unos 30 días está funcionando. Sin permanencia. Si quieres ver todo lo que hace y lo que no, lo contamos en Recepcionista virtual con IA para clínicas: qué hace y qué no.
Preguntas frecuentes
¿Es legal usar un asistente de IA en una clínica?
Sí, siempre que cumpla el RGPD y el Reglamento europeo de IA: base legal para tratar datos de salud, consentimiento explícito cuando sea la base aplicable, contrato con el proveedor, minimización de datos y transparencia sobre que el paciente habla con una IA. Revisa tu caso con tu asesor.
¿Necesito pedir consentimiento para dar una cita?
Para reservar una cita sin hablar de salud basta con la información de privacidad habitual. En cuanto el asistente necesita preguntar algo sobre la salud del paciente, lo prudente es pedir antes su consentimiento explícito y registrarlo.
¿Qué pasa si un paciente cuenta un problema de salud sin que se lo pregunten?
Ocurre a menudo. El asistente no debe profundizar ni valorar lo que cuenta. Le explica que eso lo valora el profesional, le ofrece una cita y, si parece urgente, avisa a tu equipo.
¿Puede el asistente detectar una urgencia?
Puede reconocer que alguien describe una situación urgente según los criterios que tu clínica le dé, priorizar la cita o pasar la conversación a una persona. Lo que no hace es valorar la gravedad clínica: eso es cosa del profesional.
¿Dónde se guardan las conversaciones?
Depende del proveedor, y debe constar en el contrato de encargado del tratamiento. Pregunta siempre dónde se alojan los datos, quién accede, cuánto tiempo se conservan y si salen del Espacio Económico Europeo.
¿Tengo que avisar a los pacientes de que hablan con una IA?
Sí. El Reglamento europeo de IA exige informar a las personas de que interactúan con un sistema de IA, salvo que sea evidente. Además, es una cuestión de confianza: el paciente debe saberlo y poder pedir una persona.
¿Tu clínica atiende bien a cada paciente, a cualquier hora?
Antes de añadir un asistente, conviene saber qué se escapa hoy. En la Auditoría de Fugas gratuita llamamos a tu clínica a mediodía, a las 20:30 y en fin de semana, te escribimos de noche como si fuéramos pacientes, revisamos tus reseñas y te damos una estimación en euros de lo que se pierde al mes. Sin compromiso y sin permanencia.
