IA para sanidad y ciencias de la vida: casos de uso, gobierno y cómo empezar

El ángulo europeo: Reglamento de IA y normativa del sector

Con el Reglamento Europeo de IA (AI Act, Reglamento (UE) 2024/1689), la mayor parte de la IA sanitaria de alto riesgo entra por el Anexo I: software que es, o forma parte como componente de seguridad de, un producto sanitario o de diagnóstico in vitro sujeto al MDR o al IVDR y que requiere evaluación por organismo notificado. Esas obligaciones se aplican más adelante; verifica la fecha en el texto consolidado. El Anexo III añade usos como el triaje de pacientes en urgencias, la elegibilidad para servicios sanitarios públicos o la tarificación en seguros de vida y salud, cuyas obligaciones se aplican a partir de diciembre de 2027 tras la entrada en vigor del Digital Omnibus on AI el 27 de julio de 2026. La alfabetización en IA (art. 4) y la transparencia del art. 50 ya se aplican. Verifica el texto consolidado en EUR-Lex o en el AI Act Service Desk.

No todo asistente es de alto riesgo. Uno que responde dudas administrativas o busca en los procedimientos internos suele tener sobre todo obligaciones de transparencia: la persona debe saber que habla con una IA. Lo que cambia la clasificación es la finalidad prevista. Si la misma herramienta empieza a sugerir diagnósticos o a priorizar pacientes, hay que reevaluarla; y si ajustas un modelo o lo comercializas con tu marca, puedes asumir obligaciones de proveedor (provider).

El AI Act se suma a normas que ya pesan mucho en el sector. Los datos de salud son categoría especial en el RGPD, lo que suele implicar una evaluación de impacto y límites estrictos de finalidad y acceso. El Reglamento del Espacio Europeo de Datos Sanitarios (EHDS), adoptado en 2025 y de aplicación escalonada, condicionará el acceso y el uso secundario de esos datos. La Directiva NIS2 incluye la sanidad entre los sectores con obligaciones de ciberseguridad y notificación de incidentes. Esto es orientación práctica, no asesoramiento legal.

Guía y checklist del Reglamento Europeo de IA

Cómo empezar

1. Haz inventario de casos de uso y clasifica cada uno por su finalidad: administrativo, de conocimiento, de apoyo clínico o producto sanitario. Eso decide qué normas aplican antes de elegir tecnología.
2. Empieza por un caso acotado de documentación o conocimiento, como expedientes regulatorios, procedimientos o preguntas frecuentes de pacientes, donde las respuestas salgan solo de fuentes aprobadas y siempre las citen.
3. Fija las reglas con los responsables legales, clínicos y de protección de datos: qué puede responder el sistema, cuándo pasa a una persona, qué se registra y dónde se tratan los datos.
4. Lanza un piloto controlado con usuarios reales y prueba casos límite, alucinaciones y calidad del traspaso antes de abrir más canales o colectivos.
5. Guarda la evidencia sobre la marcha: análisis de riesgos, evaluación de impacto, documentación técnica y métricas de seguimiento, para que escalar no obligue a rehacer el expediente.