El sector sanitario y farmacéutico español se enfrenta, en el momento regulatorio actual, a una convergencia de exigencias que pocas industrias conocen con tanta intensidad. El Reglamento de Inteligencia Artificial de la Unión Europea – conocido en el ámbito empresarial como el AI Act – ha entrado en vigor con una arquitectura de cumplimiento que descansa, de forma determinante, en la correcta clasificación de los sistemas de IA por nivel de riesgo. Para los laboratorios, hospitales, fabricantes de dispositivos médicos y empresas de tecnología sanitaria que operan en España, esta clasificación no es un ejercicio académico: es el punto de partida de decisiones de negocio, de presupuesto y de responsabilidad directiva que no admiten dilación.
La Unión Europea ha construido el marco regulatorio de la inteligencia artificial sobre una lógica de proporcionalidad. El nivel de exigencia crece a medida que crece el potencial de daño. Esta lógica se traduce, en el texto del reglamento, en cuatro niveles de riesgo: inaceptable, alto, limitado y mínimo. Para el sector salud y farmacéutico, la relevancia práctica se concentra en los dos niveles superiores.
Los sistemas de IA que forman parte de productos sanitarios regulados – incluyendo los sujetos a la normativa europea sobre dispositivos médicos y sobre diagnóstico in vitro – quedan encuadrados directamente en la categoría de alto riesgo. Lo mismo ocurre con los sistemas de apoyo a decisiones clínicas, los algoritmos de triaje, los modelos de predicción de respuesta terapéutica y los sistemas de interpretación de imagen médica. La fabricación farmacéutica automatizada con componentes de IA relevantes también puede quedar afectada en función de su diseño y su papel en la cadena de decisión.
Este encuadre no opera en el vacío. El AI Act se superpone a un ecosistema regulatorio ya denso: el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD), la normativa sobre productos sanitarios y la legislación farmacéutica nacional y europea. En nuestra experiencia asesorando a empresas del sector, la dificultad no reside en entender cada cuerpo normativo de forma aislada, sino en gestionar su interacción sin generar incumplimientos cruzados.
Un ejemplo ilustrativo: un sistema de IA que analiza datos de pacientes para sugerir tratamientos está sujeto, simultáneamente, a las obligaciones de alto riesgo del AI Act, a las condiciones específicas de tratamiento de datos de salud del RGPD – que exigen una base jurídica reforzada – y a los requisitos de la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) si el sistema forma parte de un dispositivo médico. La empresa que no articula una respuesta integrada asume un riesgo triple.
La categoría de alto riesgo no es una etiqueta de advertencia genérica. Activa un conjunto articulado de obligaciones que la empresa debe cumplir antes de poner el sistema en servicio y mantener durante toda su vida útil. Resumir estas obligaciones en términos operativos resulta más útil que reproducir el texto del reglamento.
En primer lugar, la empresa debe disponer de un sistema de gestión de riesgos específico para el sistema de IA, documentado y actualizado de forma continua. Este sistema debe identificar los riesgos conocidos y razonablemente previsibles, estimar su probabilidad e impacto, y establecer las medidas de mitigación adoptadas.
En segundo lugar, los datos de entrenamiento, validación y prueba del sistema deben responder a criterios de calidad, representatividad y ausencia de sesgos que puedan comprometer la seguridad o discriminar a grupos de pacientes. Para el sector farmacéutico, esto conecta directamente con los protocolos de validación de modelos ya exigidos por la normativa de buenas prácticas clínicas.
En tercer lugar, el sistema debe generar y conservar registros automáticos de funcionamiento – los denominados logs – que permitan una trazabilidad completa de sus decisiones o recomendaciones. En el entorno sanitario, esta exigencia se articula con la historia clínica electrónica y con los sistemas de gestión documental hospitalaria, pero requiere una arquitectura específica que muchos operadores aún no tienen implantada.
La transparencia es el cuarto eje. Los profesionales sanitarios que usan el sistema deben comprender sus capacidades y limitaciones, y el paciente debe ser informado cuando una decisión que le afecta haya sido adoptada o asistida por un sistema de IA. Esta obligación de información conecta, sin solución de continuidad, con el principio de transparencia del RGPD y con los derechos de los interesados reconocidos en la normativa de protección de datos.
Por último, la supervisión humana efectiva no es opcional. El sistema debe diseñarse para que el profesional que lo utiliza pueda ignorar, corregir o anular su output. Los modelos de IA que "recomiendan" sin que el clínico pueda ejercer control real generan un problema de cumplimiento estructural que la auditoría previa al lanzamiento debe detectar.
La clasificación de un sistema de IA no es una decisión técnica delegable por completo al equipo de ingeniería. Es una decisión con consecuencias jurídicas, económicas y de gobierno corporativo que debe involucrar a la dirección general, al consejo de administración y, cuando existe, a la asesoría jurídica interna.
Hemos observado que las empresas del sector cometen con frecuencia dos errores opuestos. El primero es asumir que un sistema es de bajo riesgo porque su interfaz es sencilla o porque no toma decisiones "definitivas". El segundo es, paradójicamente, sobredimensionar el análisis de riesgo para sistemas auxiliares – como los de gestión de stocks o de planificación de turnos – cuyo encuadre en una categoría inferior está perfectamente justificado. Ambos errores tienen coste: el primero, de sanciones y de responsabilidad; el segundo, de recursos mal asignados.
La dirección debe responder, como mínimo, a tres preguntas antes de poner en servicio cualquier sistema de IA con funciones relevantes en el entorno sanitario o farmacéutico. Primera: ¿este sistema encaja en alguna de las categorías de alto riesgo del reglamento? Segunda: si la respuesta es afirmativa, ¿tenemos documentados los requisitos de cumplimiento y un plan para alcanzarlos? Tercera: ¿quién es el responsable de mantener ese plan actualizado durante la vida útil del sistema?
La respuesta a la primera pregunta no siempre es evidente. El reglamento define las categorías con criterios funcionales – en función de lo que el sistema hace y del contexto en que opera –, no con criterios formales basados en la tecnología empleada. Un modelo de machine learning que clasifica imágenes de resonancia magnética es de alto riesgo aunque utilice una arquitectura de red neuronal estándar. Un chatbot de información general sobre medicamentos puede no serlo, si no está diseñado para recomendar tratamientos individualizados. La frontera importa y, en caso de duda, la posición defensiva aconseja clasificar en la categoría más exigente.
El AI Act establece un calendario de aplicación progresiva. Las prohibiciones de los sistemas de riesgo inaceptable comenzaron a aplicarse antes. Las obligaciones para los sistemas de alto riesgo se aplican de acuerdo con el calendario previsto en el propio reglamento. Para el sector sanitario, que opera con sistemas que ya están en uso y que tendrán que someterse a las nuevas exigencias, el período transitorio no es un margen para esperar: es el tiempo disponible para auditar, adaptar y documentar.
Las empresas que han iniciado el proceso de clasificación de su cartera de sistemas de IA en una fase temprana están en disposición de gestionar el cumplimiento de forma ordenada. Las que posponen la decisión se encontrarán, a medida que se acerquen los plazos, con una doble presión: la de cumplir en tiempo y la de hacerlo sin los recursos necesarios para garantizar la calidad del proceso.
Conviene recordar que el plazo de respuesta a derechos del interesado en materia de protección de datos es de un mes, prorrogable dos meses adicionales en casos complejos. Este plazo no se detiene durante un proceso de adaptación al AI Act. La empresa que está simultaneando su adaptación a ambos marcos regulatorios necesita un modelo de cumplimiento que los articule, no que los trate por separado.
En el plano de la responsabilidad interna, recomendamos que el consejo de administración sea informado del estado de clasificación de los sistemas de IA con una periodicidad razonable y que quede constancia en acta de las decisiones adoptadas. Esta práctica de gobierno refuerza la posición de la empresa frente a una eventual inspección y sirve de evidencia en procedimientos sancionadores.
Los datos de salud merecen una atención particular dentro del AI Act y, naturalmente, dentro del RGPD. Están clasificados como datos especialmente sensibles, lo que significa que su tratamiento exige, en términos generales, o bien el consentimiento explícito del interesado, o bien una de las habilitaciones específicas que la normativa reconoce para el ámbito sanitario – entre ellas, la asistencia sanitaria, la investigación científica o la salud pública.
Cuando un sistema de IA de alto riesgo procesa datos de salud, la evaluación de impacto relativa a la protección de datos – la denominada Evaluación de Impacto sobre la Protección de Datos (EIPD) – no es opcional. Es un requisito que la Agencia Española de Protección de Datos (AEPD) ha reforzado en sus guías y resoluciones. La EIPD debe realizarse antes de poner en marcha el tratamiento y debe revisarse cuando cambian las circunstancias que la motivaron.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud, y en todos los casos la EIPD revela cuestiones que el análisis previo no había identificado: flujos de datos no documentados, cesiones a terceros sin base jurídica suficiente, o ausencia de medidas técnicas proporcionales al nivel de riesgo. En el sector sanitario, estas carencias no son menores: pueden derivar en una brecha de seguridad con obligación de notificación a la AEPD en un plazo de setenta y dos horas, y eventualmente a los propios pacientes afectados.
El mito de que con una cláusula de privacidad en el sitio web ya se cumple el RGPD sigue siendo sorprendentemente frecuente. No es así. El registro de actividades de tratamiento, el protocolo de respuesta ante brechas, la EIPD y el modelo de relación con encargados del tratamiento son piezas que ninguna empresa del sector sanitario puede omitir. Y cuando esa empresa opera además sistemas de IA de alto riesgo, la ausencia de estas piezas multiplica la exposición.
La pregunta merece una respuesta directa y sin eufemismos. El primer riesgo es el sancionador. El AI Act establece un régimen de multas escalonado según la gravedad de la infracción, con importes que pueden alcanzar porcentajes significativos del volumen de negocio global. La normativa de protección de datos añade su propio régimen sancionador, que la AEPD aplica con resoluciones que en los últimos años han afectado a entidades del sector sanitario.
El segundo riesgo es la suspensión del sistema. Las autoridades de vigilancia del mercado tienen potestad para ordenar la retirada de un sistema de alto riesgo que no cumple los requisitos del reglamento. Para un hospital que depende de un sistema de apoyo diagnóstico, o para un laboratorio que tiene integrada la IA en su proceso de control de calidad, una suspensión tiene consecuencias operativas inmediatas.
El tercer riesgo es la responsabilidad civil. Los pacientes o usuarios que sufren daños como consecuencia de una decisión asistida por un sistema de IA defectuoso o mal clasificado pueden reclamar indemnización. La normativa europea de responsabilidad civil por IA, que avanza en paralelo al AI Act, refuerza estas vías de reclamación. La empresa que no puede acreditar que clasificó correctamente su sistema y adoptó las medidas exigibles asume una posición desfavorable en ese tipo de procedimientos.
El cuarto riesgo es reputacional. En el sector sanitario, la confianza del paciente y del profesional es un activo estratégico. Una notificación de brecha, una sanción pública o una resolución de la AEPD pueden dañar esa confianza de forma duradera. El coste reputacional de un incidente de cumplimiento en el entorno sanitario suele superar, con diferencia, el coste de la propia sanción económica.
El error más frecuente que encontramos en nuestra práctica de asesoramiento a empresas del sector sanitario y farmacéutico es la gestión compartimentada del cumplimiento. El equipo legal gestiona el RGPD. El departamento técnico clasifica los sistemas de IA. El área de calidad gestiona los requisitos de dispositivos médicos. Y nadie, en la práctica, asegura que los tres ámbitos se articulan de forma coherente.
Un programa de compliance integrado para el sector salud debe, como mínimo, cubrir cuatro ejes. El primero es la clasificación documentada de todos los sistemas de IA en uso o en desarrollo, con el fundamento de esa clasificación y las medidas adoptadas para cada categoría. El segundo es la alineación de esa clasificación con el registro de actividades de tratamiento del RGPD, de modo que cada sistema de IA quede identificado con los tratamientos de datos que implica. El tercero es el protocolo de respuesta ante incidentes, que cubre tanto la brecha de seguridad de datos como el fallo de un sistema de IA de alto riesgo. El cuarto es el canal de comunicación interna – que puede articularse como un canal de denuncias o de alerta de cumplimiento – que permita a los empleados reportar riesgos o incumplimientos sin temor a represalias.
Este enfoque integrado no es solo más eficiente desde el punto de vista de los recursos. Es también más robusto desde el punto de vista de la defensa frente a un procedimiento sancionador. La empresa que puede acreditar que tenía un programa de cumplimiento activo, que identificó los riesgos, que adoptó medidas y que reaccionó con diligencia ante un incidente tiene una posición fundamentalmente distinta a la de quien no tiene nada documentado.
El compliance penal también merece mención en este contexto. La normativa española exige a las personas jurídicas disponer de modelos de organización y gestión que prevengan determinados delitos. En el sector sanitario, donde el tratamiento de datos de salud, la fabricación de medicamentos y la comercialización de dispositivos médicos pueden generar riesgos penales específicos, el programa de compliance debe contemplar esta dimensión. La integración del compliance penal con el programa de protección de datos y con las exigencias del AI Act es una oportunidad de eficiencia que las empresas más avanzadas del sector ya están aprovechando.
Puede ampliar el enfoque de nuestra práctica en materia de protección de datos y compliance en nuestra área dedicada a Protección de datos y compliance, donde encontrará información sobre los servicios que prestamos en este ámbito.
La economía del cumplimiento normativo en el sector sanitario tiene una característica que los directores financieros conocen bien en otras áreas de riesgo: el coste de prevenir es sistemáticamente inferior al coste de remediar. Esta afirmación, que podría parecer un lugar común, tiene un contenido muy concreto cuando se aplica a la clasificación de sistemas de IA.
Clasificar correctamente un sistema antes de su puesta en servicio permite diseñar la arquitectura técnica con los requisitos de cumplimiento incorporados desde el principio – lo que en el ámbito de la protección de datos se denomina privacidad desde el diseño, y que el AI Act replica con el concepto de cumplimiento por diseño. Adaptar retroactivamente un sistema ya en producción para incorporar los registros de funcionamiento, la documentación técnica y los mecanismos de supervisión humana puede ser enormemente costoso, e incluso técnicamente inviable sin una reimplementación significativa.
El asesoramiento temprano también permite distribuir el coste de cumplimiento en el tiempo, evitando la concentración de inversiones en el período próximo a los plazos de aplicación del reglamento. Las empresas que han dejado la adaptación para el último momento compiten por los mismos recursos técnicos y jurídicos en un mercado estrecho, lo que eleva el coste unitario de cada acción de cumplimiento.
Existe, además, una dimensión estratégica que a menudo se infravalora. Las empresas del sector sanitario y farmacéutico que acrediten un cumplimiento sólido del AI Act obtienen una ventaja competitiva en las licitaciones públicas hospitalarias, en los procesos de diligencia debida (due diligence) que preceden a las operaciones de inversión o de adquisición, y en las relaciones con socios industriales o académicos europeos que exigen garantías de cumplimiento como condición de colaboración.
En los procesos de inversión, hemos observado que los inversores institucionales y los fondos de capital riesgo especializados en salud digital incorporan, con creciente sistematicidad, la evaluación del cumplimiento regulatorio de los sistemas de IA como parte de la diligencia debida. Una empresa que no puede presentar documentación de clasificación y cumplimiento enfrenta un riesgo de ajuste del precio o de condicionamiento de la operación a la subsanación previa.
Para empresas con operaciones transfronterizas – laboratorios con ensayos clínicos en varios países, fabricantes de dispositivos médicos con distribución europea, plataformas de telemedicina con usuarios en distintas jurisdicciones – la complejidad se multiplica. En esos casos, coordinamos con abogados locales de confianza en la jurisdicción correspondiente para asegurar que la estrategia de cumplimiento se adapta a las especificidades de cada mercado sin contradecir el marco europeo.
Si su empresa desarrolla o utiliza tecnología en el ámbito financiero regulado, puede resultar de interés nuestro análisis sobre cómo prepararse en el sector fintech y de servicios financieros, que aborda problemas análogos de clasificación y cumplimiento en un entorno igualmente exigente.
Las siguientes acciones constituyen el mínimo que una empresa del sector debe haber completado o tener en curso para operar sistemas de IA con una posición defensiva razonable. No sustituyen al asesoramiento específico, pero sirven como punto de diagnóstico inicial.
La cuestión sobre transferencias internacionales de datos también es relevante para el sector: cuando los datos de salud se transfieren a proveedores tecnológicos fuera del Espacio Económico Europeo, se activan requisitos adicionales que deben analizarse junto con la clasificación de los sistemas de IA. Puede consultar nuestro análisis sobre transferencias internacionales tras los últimos marcos para una visión completa de ese ámbito.
La gestión del cumplimiento en materia de IA en el sector sanitario se relaciona directamente con otras áreas de nuestra práctica. Los procesos de adquisición y fusión que involucran empresas de salud digital requieren una diligencia debida específica sobre el cumplimiento regulatorio de los sistemas de IA objetivo. Las operaciones de inversión extranjera en el sector farmacéutico pueden estar sujetas al régimen de control previo de inversiones en sectores estratégicos, lo que añade una capa regulatoria que conviene anticipar. La estructuración de acuerdos de investigación y desarrollo con instituciones sanitarias o académicas exige, asimismo, una articulación cuidadosa de los marcos de protección de datos y de propiedad intelectual.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.