Una clínica dental, un centro de fisioterapia o una policlínica privada que usa un chatbot de citas, transcribe consultas con IA o trabaja con software de diagnóstico por imagen trata datos de salud con inteligencia artificial, y eso activa obligaciones ya en vigor. La más exigente es el RGPD: los datos de salud son categoría especial (art. 9), la evaluación de impacto del artículo 35 es casi siempre obligatoria y hay que informar a los pacientes (arts. 13 y 14). Del Reglamento (UE) 2024/1689 te aplican el artículo 4 de alfabetización (desde el 2 de febrero de 2025) y el artículo 50 de transparencia (desde el 2 de agosto de 2026) en el chatbot y en el marketing. El software de diagnóstico con IA es un caso aparte: suele ser producto sanitario con marcado CE, su fabricante es el proveedor y las obligaciones de alto riesgo del Anexo I no llegan hasta el 2 de agosto de 2028. Tu clínica, en todos esos casos, es responsable del despliegue.
Cómo se usa la IA en clínicas y centros de salud
El uso más visible es el chatbot de citas en la web o en WhatsApp. Empieza gestionando la agenda y termina, muchas veces, haciendo un triaje informal: pregunta síntomas, sugiere qué especialista pedir o si conviene ir a urgencias. Ese salto de la agenda al consejo es donde se concentran los riesgos.
El segundo es la transcripción de consultas con IA: el profesional habla con el paciente, una herramienta graba, transcribe y genera un borrador de historia clínica. El tercero es la redacción de informes y cartas de derivación con ChatGPT, Copilot o Gemini a partir de notas o de la propia transcripción.
El cuarto es el software de diagnóstico por imagen con IA: radiología dental, dermatología, oftalmología o análisis de pruebas que marcan hallazgos sospechosos. El quinto es el marketing: imágenes generadas para redes, «antes y después» retocados, vídeos con avatares. Y el sexto es interno: el software de turnos del personal, que a veces reparte guardias y horarios con reglas automáticas.
Qué obligaciones activa cada uso
El peso del cumplimiento está hoy en el RGPD, con la AEPD como autoridad que ya sanciona. El Reglamento de IA entra por dos vías concretas, el aviso del chatbot y el etiquetado de contenido, y el diagnóstico por imagen tiene su propio calendario.
| Uso | Norma y artículo | Desde | Qué hacer |
|---|---|---|---|
| Chatbot de citas y triaje en web o WhatsApp | RIA art. 50.1 (aviso de IA), art. 25 si va en marca blanca; RGPD arts. 9, 13-14 y 35 | 2-ago-2026 (art. 50); RGPD ya en vigor | Aviso claro de que se habla con una IA; sin consejo médico automatizado sin revisión; EIPD; información al paciente antes de que cuente síntomas |
| Transcripción de consultas con IA | RGPD art. 9, art. 28 (encargado), art. 35 (EIPD), arts. 13-14; RIA art. 4 | Ya en vigor; art. 4 desde 2-feb-2025 | Contrato de encargado con el proveedor; informar al paciente de la grabación y su base jurídica; EIPD; formación al personal |
| Redacción de informes con ChatGPT, Copilot o Gemini | RGPD art. 9, art. 28; RIA art. 4 | Ya en vigor | Solo versiones de empresa con contrato; nunca cuentas de consumo con datos de pacientes; revisión del profesional antes de firmar |
| Software de diagnóstico por imagen con IA | Reglamento (UE) 2017/745 (MDR); RIA Anexo I y art. 26 (deployer) | MDR ya en vigor; art. 26 para Anexo I desde 2-ago-2028 | Comprobar marcado CE y uso según instrucciones del fabricante; decisión clínica siempre del profesional; anotarlo en el inventario |
| Marketing con imágenes o vídeos generados | RIA art. 50.4 (deepfakes); art. 50.2 lo cumple el proveedor de la herramienta | 2-ago-2026 | Etiquetar imágenes, audio o vídeo que parezcan reales; cuidado con «antes y después» que no lo son |
| Software de turnos del personal con reglas automáticas | ET art. 64.4.d; RD 723/2026 art. 3.2.k; RIA Anexo III y art. 26 si evalúa o decide sobre empleo | ET desde 2021; RD 723 desde 5-oct-2026; art. 26 desde 2-dic-2027 | Informar por escrito a cada empleado de las reglas del sistema; informar al comité si lo hay |
Sobre el chatbot, la guía sobre si es obligatorio avisar de que el chatbot es una IA explica cómo redactar el aviso y un detalle importante: la obligación del artículo 50.1 es del proveedor, pero si pones tu marca a un chatbot de terceros o lo modificas de forma sustancial, el artículo 25 puede convertirte en proveedor.
Sobre el diagnóstico por imagen, la posición es más cómoda de lo que parece. El software de diagnóstico con IA suele ser producto sanitario con marcado CE bajo el Reglamento (UE) 2017/745, y su fabricante es el proveedor a efectos del Reglamento de IA. Tu clínica lo despliega, y las obligaciones del artículo 26 para el Anexo I (usar según instrucciones, supervisión humana competente, conservar registros) no se aplican hasta el 2 de agosto de 2028 tras el Digital Omnibus. Lo que la práctica clínica exige desde siempre, que el diagnóstico lo firme un profesional, es lo que el Reglamento pedirá entonces.
El error más común del sector: dejar que el chatbot dé consejo médico. Un asistente de citas que responde «por lo que describes parece una contractura, pide fisioterapia» está haciendo un triaje automatizado sin revisión. Eso trata datos de salud del paciente antes de que sepa siquiera que habla con una máquina, y pone en riesgo su seguridad si se equivoca. El chatbot debe limitarse a agendar, recoger datos mínimos y derivar a una persona; cualquier orientación clínica pasa por un profesional. Y desde el 2 de agosto de 2026, el aviso de que es una IA tiene que aparecer antes de la primera pregunta, no al final.
Lo que NO te aplica
No tienes que hacer la evaluación de impacto en derechos fundamentales (FRIA) del artículo 27. Está reservada, desde el 2 de diciembre de 2027, a organismos públicos, entidades privadas que prestan servicios públicos y banca y seguros. Una clínica privada que atiende a pacientes particulares o de aseguradoras no entra en esa lista. Lo que sí te toca es la EIPD del artículo 35 del RGPD, que es otra evaluación distinta y ya obligatoria. La guía sobre EIPD y FRIA para pymes aclara la diferencia.
No eres proveedor de alto riesgo por usar un software de diagnóstico: lo es su fabricante. Y no tienes obligaciones de alto riesgo por un chatbot de citas, la transcripción o los informes: no están en el Anexo III (sí lo está el triaje de pacientes en urgencias, otra razón para limitar el bot a agendar y derivar). Solo entrarías si usaras IA para seleccionar, evaluar o despedir a tu propio personal, y aun así el artículo 26 no se aplica hasta el 2 de diciembre de 2027.
La prohibición del artículo 5 sobre reconocimiento de emociones no afecta a la relación con pacientes: se refiere al ámbito laboral y educativo, salvo razones médicas o de seguridad. Solo tendrías un problema si usaras un sistema así con tus empleados, y eso está prohibido desde el 2 de febrero de 2025.
Y sobre AESIA: a 15 de septiembre de 2026 no tiene régimen sancionador tipificado, porque la Ley Orgánica española sigue en el Congreso. Publica guías y gestiona el sandbox. Quien sanciona hoy en tu sector es la AEPD, con multas de hasta 20 millones de euros o el 4 % de la facturación.
Riesgos específicos del sector
El primero es evidente: todo lo que tocas son datos de salud. El artículo 9 del RGPD los prohíbe tratar salvo excepciones tasadas, y la que usa una clínica (asistencia sanitaria, art. 9.2.h) cubre la atención, no cualquier herramienta que conectes. Cuando introduces IA en el flujo (transcribir, resumir, clasificar imágenes), la EIPD del artículo 35 es prácticamente obligatoria, porque combinas datos sensibles con tecnología nueva a escala. Y la información al paciente debe actualizarse: quién graba, quién transcribe, dónde se guarda y cuánto tiempo.
El segundo es el proveedor. Cada herramienta de IA que recibe datos de pacientes es un encargado del tratamiento con el que necesitas contrato conforme al artículo 28, con garantías sobre dónde se alojan los datos y si se usan para entrenar modelos. La guía sobre Copilot, Gemini y datos de clientes detalla qué comprobar; para las versiones de consumo de ChatGPT la respuesta es simple: nunca con datos de pacientes.
El tercero es la seguridad del paciente. Ningún artículo del Reglamento de IA sustituye a la responsabilidad profesional: una transcripción con errores que nadie revisa, un informe que el médico firma sin leer o un triaje automático que manda a casa a quien debía ir a urgencias son riesgos clínicos antes que de cumplimiento. La revisión humana no es un trámite, es la barrera.
Checklist para clínicas y centros de salud
- Inventaría toda la IA del centro: chatbot, transcripción, asistentes generativos, software de imagen, herramientas de marketing y software de turnos.
- Limita el chatbot a agendar y derivar; elimina cualquier respuesta que oriente clínicamente y pon el aviso del artículo 50.1 antes de la primera pregunta.
- Firma contrato de encargado (art. 28 RGPD) con cada proveedor de IA que reciba datos de pacientes y elimina las cuentas de consumo.
- Haz la EIPD del artículo 35 para la transcripción de consultas y para cualquier uso de IA con datos de salud.
- Actualiza la información al paciente (arts. 13-14): grabación, transcripción, herramientas usadas, plazos de conservación.
- Comprueba el marcado CE del software de diagnóstico y guarda las instrucciones de uso del fabricante; la decisión final la firma siempre el profesional.
- Etiqueta las imágenes y vídeos generados o alterados con IA que parezcan reales en tu marketing (art. 50.4).
- Si el software de turnos reparte horarios con reglas automáticas, prepara el anexo del RD 723/2026 para cada empleado antes del 5 de octubre de 2026, y organiza una sesión de formación registrada (art. 4).
Si quieres saber qué tienes cubierto y qué no, el diagnóstico gratuito de Gobernaia recorre estos puntos en tres minutos.
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- Comisión Europea: FAQ sobre obligaciones de transparencia (art. 50)
- AESIA: FAQ y directrices sobre el artículo 50
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA (art. 4)
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Reglamento (UE) 2017/745 sobre los productos sanitarios (MDR)
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.