El sector sanitario y farmacéutico español afronta hoy una convergencia regulatoria sin precedentes. La implantación de sistemas de inteligencia artificial en diagnóstico, farmacovigilancia, ensayos clínicos y gestión hospitalaria coincide con la entrada en vigor escalonada del Reglamento de Inteligencia Artificial de la Unión Europea. Al mismo tiempo, el marco de protección de datos impuesto por el Reglamento General de Protección de Datos (RGPD) y la legislación nacional de desarrollo endurece sus exigencias sobre los datos de salud. Para la dirección de una empresa del sector, ignorar esta confluencia no es una opción neutral: es una decisión que acumula riesgo sancionador, responsabilidad penal corporativa y daño reputacional.
Dos instrumentos normativos definen hoy el perímetro de cumplimiento de cualquier empresa que opere con datos de salud y utilice – o planee utilizar – sistemas inteligentes automatizados.
El primero es el RGPD y su transposición española mediante la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD). Los datos de salud son una categoría especialmente protegida. Su tratamiento exige, con carácter general, que concurra una base jurídica reforzada: consentimiento explícito del interesado, necesidad para la prestación de asistencia sanitaria o razones de interés público en el ámbito de la salud pública. La Agencia Española de Protección de Datos (AEPD) es la autoridad nacional competente para investigar y sancionar.
El segundo es el Reglamento de Inteligencia Artificial de la UE, de aplicación progresiva. Este reglamento introduce una clasificación de sistemas por nivel de riesgo. Los sistemas destinados a influir en decisiones clínicas – diagnóstico asistido, triaje automatizado, predicción de evolución de enfermedades, farmacovigilancia automatizada – quedan encuadrados, en la práctica totalidad de casos, como sistemas de alto riesgo. Esta categoría conlleva obligaciones sustantivas antes de la comercialización y durante el ciclo de vida del sistema.
¿Por qué importa al jurista de empresa entender esta doble capa? Porque las obligaciones se superponen y, en muchos casos, se refuerzan mutuamente. Un sistema de inteligencia artificial que procesa historiales clínicos activa simultáneamente las exigencias del RGPD sobre datos sanitarios y los requerimientos del Reglamento de IA sobre transparencia, supervisión humana y robustez técnica.
La empresa que desarrolla, importa o despliega un sistema de alto riesgo en el ámbito sanitario debe cumplir un conjunto de obligaciones antes de ponerlo en servicio. En nuestra experiencia asesorando a empresas del sector, estas obligaciones sorprenden frecuentemente a los equipos de producto, que las descubren tarde en el ciclo de desarrollo.
Las exigencias principales son las siguientes:
La cadena de responsabilidad es relevante. El proveedor del sistema asume las obligaciones de cumplimiento técnico. Pero el responsable del despliegue – habitualmente el centro sanitario, la farmacéutica o la aseguradora – también responde si utiliza el sistema fuera de su propósito previsto, si no mantiene la supervisión humana o si modifica el sistema sin notificación. Esta distribución de responsabilidad entre proveedor y desplegador es, en nuestra práctica, una fuente frecuente de conflicto contractual que conviene articular con precisión antes del despliegue.
La aplicación de inteligencia artificial a datos de salud no solo activa el Reglamento de IA. Activa, con igual intensidad, el RGPD y la LOPDGDD. La empresa que entrena un modelo con historiales clínicos, que procesa imágenes médicas o que analiza datos de farmacovigilancia está tratando datos de categoría especial. Eso implica consecuencias prácticas inmediatas.
La evaluación de impacto relativa a la protección de datos (EIPD) es obligatoria cuando el tratamiento implica datos de salud a gran escala o cuando se utiliza tratamiento automatizado, incluida la elaboración de perfiles, que produce efectos significativos sobre los interesados. En el contexto de una aplicación de IA clínica, la EIPD no es una formalidad: es el instrumento que permite identificar los riesgos del tratamiento y documentar las medidas adoptadas para mitigarlos. La AEPD puede requerir su presentación en el marco de una investigación, y su ausencia agrava materialmente la responsabilidad del responsable del tratamiento.
En la práctica, hemos observado que muchas empresas del sector sanitario y farmacéutico tienen un registro de actividades de tratamiento incompleto. Este registro es una obligación básica del RGPD, y su deficiencia no solo constituye una infracción autónoma, sino que dificulta gravemente la defensa de la empresa ante la AEPD cuando se produce una investigación o una brecha de seguridad.
El tratamiento de datos de salud con fines de investigación – incluida la investigación farmacéutica y los ensayos clínicos – tiene un régimen específico que combina requisitos del RGPD con la normativa sectorial aplicable. La anonimización y la seudonimización son herramientas clave, pero sus condiciones de aplicación son más estrictas de lo que frecuentemente se asume. Un dato que permite la reidentificación con un esfuerzo razonable no es, jurídicamente, un dato anonimizado.
La pregunta que con mayor frecuencia nos plantean los directivos del sector es directa: ¿qué puede pasar si no hacemos nada? La respuesta también es directa, y tiene tres dimensiones.
La primera es el riesgo sancionador administrativo. El RGPD establece un régimen de sanciones con dos tramos. Las infracciones más graves – entre las que se incluye el tratamiento de datos de categoría especial sin base jurídica adecuada o sin las medidas de seguridad exigidas – pueden comportar multas de hasta veinte millones de euros o, si es mayor, el cuatro por ciento del volumen de negocio anual global de la empresa. Este techo no es teórico: la AEPD ha impuesto sanciones relevantes en el sector sanitario español. El Reglamento de IA añade su propio régimen sancionador, que puede alcanzar porcentajes equivalentes del volumen de negocio global para las infracciones más graves.
La segunda dimensión es la responsabilidad penal corporativa. La legislación penal española contempla la responsabilidad de las personas jurídicas por determinados delitos. Un programa de compliance penal efectivo es el instrumento que permite a la empresa demostrar que adoptó las medidas de organización y control adecuadas para prevenir el delito. En el contexto de datos de salud y sistemas de IA, los riesgos de relevancia penal incluyen el acceso no autorizado a sistemas informáticos y las revelaciones de secretos. Sin un programa de compliance estructurado, la empresa carece de la prueba de exención o atenuación que exige la legislación penal.
La tercera dimensión es el impacto reputacional y contractual. Una brecha de seguridad que afecte a datos de salud – con la consiguiente obligación de notificación a la AEPD en el plazo de setenta y dos horas desde que el responsable tiene conocimiento de ella – genera una cadena de consecuencias que va mucho más allá de la sanción administrativa: notificaciones a los afectados, cobertura mediática, pérdida de confianza de socios y clientes y, en muchos casos, reclamaciones civiles. La existencia de un protocolo de gestión de brechas estructurado no elimina el incidente, pero reduce materialmente su alcance y demuestra ante la autoridad una actitud diligente que incide en la graduación de la sanción.
En nuestra práctica asesorando a empresas del sector salud y farmacéutico, uno de los malentendidos más extendidos es pensar que la inclusión de una cláusula de privacidad en el sitio web o en los formularios de recogida de datos equivale a cumplir el RGPD. Esta creencia es incorrecta, y puede ser costosa.
El cumplimiento del RGPD es un programa, no un documento. Sus elementos mínimos – en cualquier empresa que trate datos de salud – incluyen: un registro de actividades de tratamiento actualizado; bases jurídicas documentadas para cada categoría de tratamiento; contratos de encargo del tratamiento con todos los proveedores que acceden a datos de salud; procedimientos para el ejercicio de derechos por los interesados; un protocolo de gestión de brechas de seguridad; evaluaciones de impacto para los tratamientos de alto riesgo; y, cuando resulte obligatorio, la designación de un delegado de protección de datos.
¿Tiene su empresa estos elementos en orden? No como documentos estáticos, sino como procedimientos vivos que el personal conoce y aplica. La diferencia entre tener una política escrita y tener un programa funcionando es exactamente la diferencia entre una atenuante y una agravante cuando la AEPD abre una investigación.
El canal de denuncias merece una mención separada. La legislación española sobre protección de los informantes obliga a las empresas de cierto tamaño a disponer de un canal interno de denuncias que cumpla determinados requisitos. Para el sector sanitario y farmacéutico, este canal es también un elemento esencial de un programa de compliance penal serio, y su ausencia o deficiencia constituye un factor de riesgo adicional.
El despliegue de un sistema de inteligencia artificial en un entorno clínico o farmacéutico no es una decisión de TI. Es una decisión estratégica con implicaciones jurídicas, regulatorias y de responsabilidad que deben gestionarse antes del lanzamiento, no después.
En nuestra práctica hemos observado que los equipos directivos que mejor gestionan estas decisiones comparten un patrón común: incorporan al equipo jurídico y de cumplimiento desde la fase de diseño del proyecto, no cuando el sistema ya está en producción. Este principio – conocido en el Reglamento de IA como "conformidad por diseño" y en el RGPD como "privacidad por diseño y por defecto" – no es solo una exigencia normativa. Es la estrategia más eficiente desde el punto de vista económico: identificar y resolver un problema de cumplimiento en la fase de diseño es materialmente menos costoso que hacerlo tras el despliegue.
Las decisiones que no pueden postponerse son las siguientes:
Un grupo asegurador del sector salud con el que colaboramos recientemente había adquirido un sistema de triaje automatizado desarrollado por un proveedor externo. El contrato de licencia no regulaba las obligaciones del desplegador bajo el Reglamento de IA ni establecía los mecanismos de supervisión humana exigidos. El trabajo de revisión contractual y de rediseño del protocolo de supervisión se realizó antes del despliegue. Esta anticipación evitó la necesidad de una interrupción del servicio ya activo, que habría generado costes operativos y contractuales considerables.
La adaptación al RGPD y al Reglamento de IA en el sector sanitario no es un proyecto de ejecución única. Es un programa continuo que requiere una estructura organizativa, documentación actualizada y revisiones periódicas. En nuestra experiencia, los programas que funcionan tienen una arquitectura reconocible.
El primer elemento es la gobernanza del dato: quién es el responsable del tratamiento, qué datos trata, con qué finalidades, sobre qué base jurídica y durante qué plazo. Sin esta base documentada, el resto del programa carece de fundamento. La gobernanza del dato no es un ejercicio teórico: es el mapa que permite a la empresa responder a una solicitud de la AEPD en el tiempo disponible.
El segundo elemento es el sistema de gestión de la seguridad de la información. Los datos de salud son objetivo prioritario de los ataques de ciberseguridad. La empresa debe disponer de medidas técnicas y organizativas proporcionales al riesgo, y debe estar en condiciones de activar el protocolo de gestión de brechas inmediatamente cuando se produzca un incidente. El plazo de setenta y dos horas para notificar a la AEPD no deja margen para improvisar.
El tercer elemento es la integración del cumplimiento en los procesos de innovación. Cada nuevo tratamiento de datos de salud, cada nuevo sistema de IA, cada nuevo proveedor que accede a datos de pacientes debe pasar por un proceso de evaluación de cumplimiento antes de su activación. Este proceso no tiene por qué ser burocrático si está bien diseñado, pero debe existir y debe ser aplicado de forma consistente.
El cuarto elemento es la formación y la cultura de cumplimiento. Los incidentes de protección de datos más graves que hemos visto en el sector sanitario no han tenido su origen en ataques externos sofisticados, sino en errores humanos internos prevenibles mediante formación adecuada.
¿Está su empresa en condiciones de responder a una inspección de la AEPD mañana? Esa es la pregunta que orienta el diseño de un programa de cumplimiento efectivo.
Para una visión completa de cómo articulamos la práctica de protección de datos y compliance en sectores regulados, puede consultar nuestra página de práctica, donde detallamos el alcance de nuestro asesoramiento y los sectores en los que operamos con mayor regularidad.
El tercer eje de este análisis es el que menos suele documentarse en los materiales académicos sobre la materia, pero el que más importa al consejo de administración: la relación entre el momento en que se incorpora el asesoramiento jurídico y el coste total del cumplimiento.
La evidencia es consistente. Un programa de cumplimiento diseñado antes de que la empresa despliegue sus sistemas de IA o amplíe su tratamiento de datos de salud tiene un coste materialmente inferior al que se incurre cuando el asesoramiento llega por reacción a un incidente, una investigación de la AEPD o un requerimiento de una autoridad de vigilancia del mercado.
Hemos implantado programas de protección de datos y compliance en empresas tecnológicas, industriales y de salud. En todos los casos, la lección recurrente es que el coste del cumplimiento proactivo es predecible, escalable y defensible ante la dirección. El coste del cumplimiento reactivo – que incluye honorarios de urgencia, posibles sanciones, costes de remediación técnica, gestión de la comunicación con los afectados y, en algunos casos, litigación – es imprevisible y puede escalar con rapidez.
La normativa española de compliance penal refuerza esta lógica económica. La empresa que puede demostrar ante un tribunal que disponía de un programa de compliance efectivo – con un sistema de gestión de riesgos, un canal de denuncias operativo, formación del personal y supervisión del órgano de administración – accede a una atenuación o exclusión de la responsabilidad penal que no está disponible para la empresa que careció de ese programa. Esta diferencia puede ser, en términos prácticos, la que decide si la empresa continúa operando con normalidad o enfrenta consecuencias que comprometen su actividad.
Los plazos del Reglamento de IA son un argumento adicional para actuar sin demora. La aplicación escalonada del reglamento ha comenzado, y las obligaciones para los sistemas de alto riesgo en el ámbito sanitario entrarán en plena aplicación en el calendario establecido por el legislador europeo. Las empresas que inicien ahora su proceso de adaptación tendrán el tiempo necesario para hacerlo con rigor. Las que lo difieran se encontrarán con plazos comprimidos, mayor coste de implantación y mayor riesgo de incumplimiento en la fecha de exigibilidad.
La evaluación de impacto en la protección de datos es, en este contexto, una herramienta de gestión estratégica, no solo una obligación formal. Para comprender en detalle su metodología y cuándo resulta exigible, puede consultar nuestra guía sobre evaluaciones de impacto (EIPD) en el ámbito de la protección de datos.
El siguiente listado no pretende ser exhaustivo ni sustituir al análisis jurídico específico de cada empresa. Su finalidad es servir de punto de partida para que la dirección evalúe el estado de su programa de cumplimiento antes de una consulta más detallada.
Si la respuesta a más de dos de estas preguntas es negativa o incierta, el programa de cumplimiento de la empresa tiene brechas que conviene cerrar antes de que lo haga un incidente externo.
El asesoramiento en esta materia se integra con otras áreas de nuestra práctica. La implantación de sistemas de IA con datos de pacientes activa frecuentemente cuestiones de propiedad intelectual y tecnología – en particular en lo relativo a la titularidad de los modelos y los derechos sobre los datos de entrenamiento – y puede tener implicaciones para la práctica laboral cuando el sistema asiste o sustituye funciones del personal. En operaciones de adquisición o inversión en el sector salud, la auditoría del programa de cumplimiento de datos y el inventario de sistemas de IA forman parte habitual de la diligencia debida (due diligence) que acompaña a la transacción.
Para una primera valoración, escríbanos a info@velardevidal.com.
Plantear mi casoEste contenido es informativo y no constituye asesoramiento jurídico. Para un análisis de su situación, contacte con info@velardevidal.com.