IA y protección de datos en salud: 5 errores en tu consulta

¿Has pegado alguna vez notas de un paciente en un chatbot para que te las resumiera o te ayudara a redactar un informe? Si lo has hecho con datos identificables en una herramienta de uso general, has comunicado datos de salud a un tercero, probablemente sin base legal y sin contrato. La IA y la protección de datos en salud pueden convivir, pero solo si eliges bien la herramienta, informas al paciente, minimizas los datos y no delegas en ella tu juicio clínico.

#¿Por qué la IA es un tema delicado en psicología?

Los datos de salud mental son una categoría especial de datos (artículo 9 del RGPD). Su tratamiento está prohibido salvo que concurra una excepción, como la prestación de asistencia sanitaria por un profesional sujeto a secreto. Esa excepción cubre lo que haces tú; no cubre automáticamente lo que haga una empresa tecnológica con los datos que le envías.

A esto se suma el Reglamento (UE) 2024/1689, el Reglamento europeo de inteligencia artificial. Establece obligaciones para quienes desarrollan y usan sistemas de IA en función de su nivel de riesgo, y se aplica de forma progresiva. No sustituye al RGPD: ambos conviven, y para un psicólogo la pregunta de fondo sigue siendo la misma de siempre: ¿quién accede a los datos de mi paciente y con qué garantías?

Veamos los cinco errores más frecuentes.

#Error 1: usar herramientas de IA generalistas con datos identificables

Es el más común y el más fácil de cometer. Copias un fragmento de tus notas en un asistente de uso general para que lo ordene, y en ese momento el texto sale de tu control: se procesa en servidores que no conoces, quizá fuera de la Unión Europea, y en algunos servicios puede usarse para mejorar el modelo.

Cómo evitarlo:

• No introduzcas datos de pacientes en herramientas de uso general.
• Si quieres ayuda para redactar, trabaja con plantillas o ejemplos inventados.
• Para tareas con datos reales, usa herramientas diseñadas para entornos sanitarios y que ofrezcan las garantías del siguiente apartado.

Una regla sencilla: si no escribirías ese texto en un correo a un desconocido, no lo pegues en un chatbot.

#Error 2: no tener contrato de encargado del tratamiento

Cuando un proveedor trata datos de tus pacientes por cuenta tuya, es un encargado del tratamiento. El artículo 28 del RGPD exige un contrato que fije qué puede hacer con los datos, qué medidas de seguridad aplica, si recurre a otros proveedores y qué ocurre con los datos al terminar el servicio.

Muchas herramientas de IA se contratan con un clic y unas condiciones generales que nadie lee. Eso no basta.

Cómo evitarlo:

• Antes de usar una herramienta con datos de pacientes, pide y revisa su contrato de encargado.
• Comprueba dónde se alojan y procesan los datos y si se usan para entrenar modelos.
• Anota la herramienta en tu registro de actividades de tratamiento. Si necesitas repasar lo básico, tienes nuestra guía de RGPD para psicólogos.

#Error 3: no informar al paciente

El artículo 13 del RGPD obliga a informar al paciente de quién trata sus datos, para qué y con qué destinatarios. Si incorporas una herramienta de IA a tu práctica, por ejemplo para transcribir sesiones, el paciente tiene derecho a saberlo.

Además, grabar una sesión es un paso más intrusivo que tomar notas. Aunque la herramienta sea segura, la grabación cambia la experiencia del paciente y puede condicionar lo que cuenta.

Cómo evitarlo:

• Actualiza tu cláusula informativa para mencionar el uso de herramientas de IA y su finalidad.
• Si vas a grabar o transcribir, pide consentimiento expreso y explícale qué se guarda y durante cuánto tiempo.
• Respeta un «no»: ofrece trabajar sin grabación y que eso no afecte a la atención.

#Error 4: confundir quitar el nombre con anonimizar

La anonimización es el proceso que impide de forma irreversible identificar a una persona a partir de los datos. Quitar el nombre no la consigue: una mujer de 34 años, enfermera en un hospital de una ciudad mediana, en proceso de divorcio, es identificable para mucha gente.

Lo que suele hacerse en la práctica es seudonimizar (sustituir identificadores directos), y los datos seudonimizados siguen siendo datos personales a efectos del RGPD.

Cómo evitarlo:

• Si necesitas consultar algo con una herramienta externa, elimina nombre, edad exacta, profesión, lugares, fechas y cualquier detalle singular del relato.
• Pregúntate si alguien que conozca al paciente podría reconocerlo con lo que queda.
• Ante la duda, no lo uses. Plantea la cuestión en abstracto o llévala a supervisión.

#Error 5: delegar el juicio clínico en la IA

Las herramientas de IA son buenas resumiendo, ordenando y transcribiendo. No son buenas sabiendo qué es clínicamente relevante en tu caso, y pueden producir textos convincentes con errores, omisiones o interpretaciones que el paciente nunca dijo.

Si un resumen automático entra en la historia clínica sin revisar, el error pasa a ser tuyo. Y la historia clínica es un documento que el paciente puede pedir y que debes conservar (la Ley 41/2002 fija un mínimo de cinco años desde el alta de cada proceso asistencial).

Cómo evitarlo:

• Revisa siempre lo que genera la IA antes de guardarlo.
• No uses la IA para formular hipótesis diagnósticas ni decisiones de tratamiento sin tu valoración.
• Mantén tu propio criterio sobre qué anotar en tus notas de sesión y qué no.

La IA puede ahorrarte tiempo de escritura, no tiempo de pensamiento. Lo que firmas es tuyo.

#¿Cómo usar la IA de forma responsable en tu consulta?

Resumiendo los cinco errores en una lista de comprobación:

• No introduzco datos identificables en herramientas de IA de uso general.
• Tengo contrato de encargado con cualquier proveedor de IA que trate datos de pacientes.
• Sé dónde se procesan los datos y si se usan para entrenar modelos.
• Mi cláusula informativa menciona el uso de IA, y pido consentimiento si grabo.
• Minimizo los datos y no confundo seudonimizar con anonimizar.
• Reviso todo lo que genera la IA antes de incorporarlo a la historia clínica.

Todo esto conecta con tu deber de confidencialidad, que va más allá de la normativa de datos: el secreto profesional no tiene excepción tecnológica.

Esta entrada es informativa y no sustituye el asesoramiento jurídico. Ante dudas concretas, consulta con un especialista en protección de datos o con tu colegio profesional.

#Cómo te ayuda Mainds

Mainds incluye ayuda de IA para transcribir y resumir tus sesiones dentro del mismo entorno donde guardas las notas, que se almacenan cifradas en servidores de la Unión Europea. Está diseñado para cumplir el RGPD y la LOPDGDD, y puedes gestionar los consentimientos digitales de tus pacientes desde el mismo sitio. Como con cualquier proveedor, revisa su contrato de encargado y revisa siempre lo que genera la IA.

Preguntas frecuentes

¿Puedo usar ChatGPT u otro chatbot con datos de mis pacientes?

No con datos identificables en versiones de uso general. Si no tienes un contrato de encargado del tratamiento con el proveedor y garantías sobre el uso de los datos, estarías comunicando datos de salud a un tercero sin base legal.

¿Tengo que informar al paciente si uso IA para mis notas?

Sí. El paciente tiene derecho a saber qué herramientas tratan sus datos y con qué finalidad (art. 13 RGPD). Lo habitual es incluirlo en la cláusula informativa y, si grabas la sesión, pedir su consentimiento expreso.

¿Basta con quitar el nombre del paciente para anonimizar?

No. Con la edad, la profesión, la ciudad o detalles del relato a menudo se puede identificar a una persona. Eso es seudonimizar, no anonimizar, y los datos siguen protegidos por el RGPD.

¿Qué es el Reglamento europeo de inteligencia artificial?

Es el Reglamento (UE) 2024/1689, que establece obligaciones para quienes desarrollan y usan sistemas de IA según su nivel de riesgo. Se aplica junto al RGPD, no en su lugar.

¿Quién es responsable si una nota generada por IA contiene un error?

El profesional que la revisa y la incorpora a la historia clínica. La IA es una herramienta de apoyo; la responsabilidad sobre el contenido clínico no se delega.

#inteligencia artificial#RGPD#datos de salud#privacidad#ética