Inteligencia artificial en clínicas: usos reales, RGPD y AI Act
Inteligencia artificial en clínicas: usos útiles en el día a día, límites, RGPD y qué exige el Reglamento europeo de IA a finales de 2026, con sus fechas.
Publicado el
La inteligencia artificial en clínicas es útil hoy, sobre todo, en cuatro tareas: atender mensajes repetitivos de pacientes, resumir conversaciones o notas, preguntar en lenguaje natural por la agenda y las ventas y preparar trabajo administrativo (citas, tareas, mensajes) que luego valida una persona. Donde no debe entrar sin un producto certificado es en el diagnóstico o en las decisiones clínicas. Y si la usas con datos de pacientes, tienes que cumplir el RGPD como con cualquier otro proveedor y, desde 2025, también el Reglamento europeo de IA, cuyas obligaciones principales para una clínica a finales de 2026 son pocas pero concretas.
Esta guía repasa usos que funcionan en una clínica de estética, fisioterapia, psicología o medicina estética, los límites, lo que exigen el RGPD y el AI Act con las fechas ya modificadas por el Ómnibus digital de 2026, y qué hace de verdad el asistente de CliniQ.
Usos de la IA que ahorran tiempo de verdad
1. Atención al paciente por WhatsApp o web
Un asistente conversacional puede responder lo que recepción contesta veinte veces al día: horarios, dirección, precios publicados, cómo preparar una sesión, si hay hueco el jueves. Bien configurado, reduce llamadas y mensajes sin contestar fuera de horario.
Límites claros:
- Solo información general y gestión: nada de valorar síntomas, recomendar tratamientos o decir si alguien es candidato a un procedimiento.
- Siempre debe poder pasar a una persona, y cualquier urgencia debe derivarse a un teléfono o al 112.
- Debe decir que es una IA (lo verás en el apartado del AI Act).
- Cuidado con lo que el paciente escribe: aunque el bot no pregunte por su salud, el paciente lo contará. Esos mensajes son datos de salud y el proveedor tiene que tratarlos como tal. Si usas WhatsApp, repasa también lo que dicen Meta y la AEPD en la guía de recordatorios por WhatsApp y RGPD.
2. Resúmenes y notas
Las herramientas que transcriben la consulta y proponen un borrador de nota (los llamados «escribas» o scribes) son de las que más tiempo ahorran a los profesionales sanitarios, y también de las más delicadas:
- La historia clínica es responsabilidad de quienes atienden al paciente (art. 15 de la Ley 41/2002). El borrador de la IA tiene que revisarlo y validarlo el profesional: los modelos de lenguaje pueden inventar o confundir datos con total aplomo.
- Grabar la consulta es un tratamiento de datos de salud adicional: informa al paciente antes, define cuánto tiempo se guarda el audio (lo ideal, nada una vez generada la nota) y comprueba dónde se procesa.
- En psicología, donde la conversación es el propio tratamiento, piénsalo dos veces y valora una evaluación de impacto.
Resumir una conversación larga de WhatsApp o el historial de citas de un paciente antes de llamarle son usos de menor riesgo y muy prácticos.
3. Analítica de agenda y ventas en lenguaje natural
Aquí la IA brilla en clínicas pequeñas que no tienen a nadie para hacer informes. En lugar de exportar a Excel, preguntas:
- «¿Qué ocupación tuvimos los martes por la tarde el último trimestre?»
- «¿Cuántas ausencias hubo este mes y con qué profesional?»
- «¿Qué bonos caducan en los próximos 30 días?»
- «¿Cuánto hemos cobrado por Bizum en septiembre?»
La condición para que sea fiable es que la IA no se invente los números: tiene que consultar los datos de tu programa con herramientas concretas y responder solo con lo que devuelven. Un chatbot generalista al que le pegas una hoja de cálculo puede cometer errores de cálculo o de interpretación difíciles de detectar.
4. Trabajo administrativo que valida una persona
Pedir «dale cita a Lucía el lunes a las 10 con Marta» o «recuérdame llamar a Javier el jueves» y que la IA lo deje preparado ahorra clics. La clave está en la palabra preparado: la acción solo debe ejecutarse cuando una persona la confirma y con los mismos permisos que tendría si la hiciera a mano.
Resumen de usos y riesgos
| Uso | Ahorro | Riesgo | Quién decide |
|---|---|---|---|
| Responder preguntas frecuentes de pacientes | Alto en recepción | Medio: el paciente cuenta datos de salud | La IA, dentro de un guion; una persona en lo demás |
| Borrador de nota clínica | Alto para sanitarios | Alto: errores en la historia clínica | El profesional, siempre |
| Resumen de conversaciones o historial de citas | Medio | Bajo si no entra en lo clínico | Quien lo usa |
| Preguntas sobre agenda, ventas y bonos | Medio a alto | Bajo, si responde con datos reales y permisos | Quien pregunta |
| Proponer citas, tareas o mensajes | Medio | Bajo con confirmación humana | Quien confirma |
| Diagnóstico o recomendación de tratamiento | — | Alto: requiere producto sanitario certificado | El profesional |
Lo que la IA no debe hacer en una clínica
- Diagnosticar ni recomendar tratamientos si no es un producto sanitario con marcado CE. El software destinado a diagnóstico o a decisiones terapéuticas es producto sanitario según el Reglamento (UE) 2017/745, y la mayoría de los asistentes generalistas o de gestión no lo son.
- Tomar sola decisiones con efectos importantes sobre un paciente. El artículo 22 del RGPD da derecho a no ser objeto de decisiones basadas únicamente en tratamientos automatizados que produzcan efectos jurídicos o significativos, y con datos de salud las excepciones son aún más estrechas. Bloquear automáticamente la reserva online a alguien porque la IA lo ha marcado como «poco fiable» es un ejemplo de lo que conviene evitar sin revisión humana.
- Inferir emociones de tu equipo. El Reglamento de IA prohíbe desde febrero de 2025 los sistemas que infieren las emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad (art. 5.1.f).
- Generar imágenes íntimas realistas sin consentimiento explícito. Desde el 2 de diciembre de 2026 está prohibido usar IA para generar o manipular imágenes realistas de las partes íntimas de una persona identificable sin su consentimiento explícito (art. 5.1.b bis, añadido por el Ómnibus digital). Si simulas resultados de tratamientos corporales o íntimos con IA, recoge ese consentimiento por escrito.
- Sustituir la revisión humana de lo que se publica. Textos de la web, posts o simulaciones de antes y después generados con IA los revisa alguien antes de publicarlos.
RGPD: lo que cambia cuando metes IA
La IA no tiene un RGPD aparte. Se aplican las reglas de siempre, con algunos puntos que se olvidan:
- El proveedor es encargado del tratamiento (art. 28 RGPD): necesitas contrato, saber qué subencargados usa (incluido el proveedor del modelo de IA), dónde se procesan los datos y con qué garantías salen del Espacio Económico Europeo, si salen.
- Que no entrene con tus datos. Pide por escrito que los datos de tus pacientes no se usan para entrenar modelos. Si un proveedor no puede comprometerse, descártalo para datos de salud.
- Nada de cuentas personales. Pegar la historia de un paciente en un chatbot con la cuenta gratuita de un empleado es comunicar datos de salud a un tercero sin contrato.
- Informa a los pacientes en tu cláusula (art. 13 RGPD) si la IA trata sus datos: qué hace, con qué proveedor y, si las hay, que existen decisiones automatizadas.
- Evaluación de impacto. La lista de la AEPD considera criterios de riesgo tanto tratar categorías especiales de datos como usar tecnologías nuevas; con dos criterios, en la mayoría de los casos hace falta una EIPD. La AEPD tiene una guía de adecuación al RGPD de tratamientos que incorporan IA.
- Conservación. Las conversaciones con un asistente pueden contener datos de pacientes: fija un plazo de borrado y asegúrate de que se borran también cuando anonimizas a un paciente.
- Permisos. La IA no debe ver más que la persona que la usa. Si recepción no puede abrir el historial clínico, el asistente que usa recepción tampoco.
Lo que dice la AEPD sobre los agentes de IA
En febrero de 2026 la AEPD publicó unas orientaciones sobre IA agéntica (versión 1.2), es decir, sobre asistentes que no solo responden sino que usan herramientas y ejecutan acciones. Tres ideas útiles para una clínica:
- Inyección de instrucciones. Un agente puede ser manipulado con instrucciones escondidas en los datos que consulta: el nombre de un paciente, una nota o un mensaje que dice «ignora lo anterior». Pregunta a tu proveedor cómo lo evita.
- Supervisión humana para las acciones. Si el agente trata información que no controlas y puede acceder a datos sensibles, la AEPD indica que se debe impedir cualquier acción automática sin supervisión humana que tenga efecto dentro o fuera de la organización.
- La supervisión no es una excusa. La AEPD advierte del riesgo de cargar en la persona que supervisa la responsabilidad de fallos que son de diseño: la clínica sigue teniendo que elegir bien la herramienta.
El Reglamento europeo de IA (AI Act) a finales de 2026
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y se aplica por fases. En julio de 2026 se publicó el Reglamento (UE) 2026/1744, llamado Ómnibus digital sobre IA, que retrasó las obligaciones de alto riesgo y cambió algunas otras. Así queda el calendario:
| Fecha | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y alfabetización en IA (art. 4) |
| 2 de agosto de 2025 | Modelos de IA de uso general, gobernanza y régimen sancionador |
| 27 de julio de 2026 | Entra en vigor el Ómnibus digital; el art. 4 pasa a exigir «medidas para apoyar» la alfabetización |
| 2 de agosto de 2026 | Aplicación general, incluidas las obligaciones de transparencia del art. 50 |
| 2 de diciembre de 2026 | Nuevas prohibiciones sobre imágenes íntimas y material de abuso sexual infantil; plazo final de marcado para generadores ya comercializados antes de agosto de 2026 |
| 2 de diciembre de 2027 | Obligaciones de los sistemas de alto riesgo del anexo III |
| 2 de agosto de 2028 | Obligaciones de los sistemas de alto riesgo del anexo I, como la IA que es producto sanitario |
Fechas comprobadas en el texto publicado en el Diario Oficial el 24 de julio de 2026.
Qué papel tienes tú
El Reglamento distingue al proveedor, que desarrolla el sistema, del responsable del despliegue, que lo usa en su actividad. Una clínica que contrata un programa con IA es responsable del despliegue, y sus obligaciones hoy son estas:
- Alfabetización en IA (art. 4). Tras el Ómnibus, debes adoptar medidas para apoyar que tu equipo sepa usar la IA según su función y el contexto, sin que se exija un nivel concreto a cada persona. En la práctica: una sesión de formación, unas normas internas de uso (qué herramientas, qué datos sí y cuáles no) y dejarlo documentado.
- No usar prácticas prohibidas (art. 5), como las de inferencia de emociones en el trabajo o las de imágenes íntimas sin consentimiento que hemos visto.
- Transparencia (art. 50). Los chatbots que hablan con personas deben estar diseñados para que estas sepan que hablan con una IA, salvo que sea evidente; esa obligación es del proveedor, pero si tú lo configuras y lo pones en tu WhatsApp, comprueba que se presenta como tal. Si publicas imágenes, audio o vídeo generados por IA que parecen reales (una «simulación de resultados» con la cara de un paciente, por ejemplo), debes indicar que son artificiales.
- Alto riesgo, solo si te afecta. Un asistente de gestión no lo es. La IA que es producto sanitario con evaluación por organismo notificado sí lo es por el anexo I, pero sus obligaciones no se aplican hasta el 2 de agosto de 2028; mientras, ya le aplica el marcado CE del reglamento de productos sanitarios.
Y en España
El organismo español de supervisión de la IA es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), y la AEPD sigue siendo competente para todo lo que afecta a datos personales. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que iba a completar el régimen sancionador español, figura en el Congreso como caducado desde el 6 de octubre de 2026, tras la disolución de las Cortes (Real Decreto 806/2026). Habrá que esperar a la nueva legislatura. El Reglamento europeo, en cambio, se aplica directamente.
Cómo elegir una herramienta de IA para tu clínica
Antes de contratar, pregunta:
- ¿Firma contrato de encargado y me dice qué proveedor de IA usa y dónde se procesan los datos?
- ¿Se compromete a no usar los datos de mis pacientes para entrenar modelos?
- ¿Responde con datos reales de mi programa o «improvisa»?
- ¿Respeta los permisos de cada usuario?
- ¿Las acciones necesitan confirmación humana?
- ¿Cuánto tiempo guarda las conversaciones y cómo se borran?
- ¿Queda registro de qué consultó cada persona?
- Si toca decisiones clínicas, ¿es producto sanitario con marcado CE?
- ¿Cuánto cuesta y con qué límites de uso? (lo comparamos en cuánto cuesta un software para clínica estética)
Cómo lo hace CliniQ
CliniQ tiene un asistente con IA integrado, sin coste extra, en los planes Premium, Excellence y Personalizado (no está en Basic). Lo que hace, tal y como está construido hoy:
- Responde sobre tu clínica con tus datos: indicadores de citas, ausencias, ocupación, pacientes nuevos, facturación, ticket medio y bonos vendidos; citas por profesional, servicio, día u hora; quién viene un día concreto; bonos que caducan; cobros por método de pago; y el resumen de un paciente (visitas, próxima cita, bonos, saldo). No calcula de memoria: consulta los datos con herramientas y responde con lo que devuelven.
- Propone, no ejecuta. Puede preparar una cita, moverla o cancelarla, crear una tarea del CRM o escribir un WhatsApp a un paciente dentro de las 24 horas que permite WhatsApp. Cada propuesta aparece en una tarjeta que la persona confirma o descarta, y administración decide qué acciones puede proponer cada rol.
- Nunca accede al historial clínico, ni puede cobrar, facturar ni borrar datos.
- Respeta los permisos de quien pregunta: si no puede ver importes, el asistente tampoco se los da. Abrir el resumen de un paciente queda en el registro de auditoría.
- Se ciñe a la gestión de la clínica: rechaza consejos médicos o legales y preguntas ajenas, y trata nombres, notas y mensajes como datos, no como instrucciones.
- Borra las conversaciones tras 90 días sin actividad, y también las que mencionan a un paciente cuando se anonimiza su ficha. Según su política de privacidad, CliniQ no usa los datos de pacientes para entrenar modelos de IA.
Lo que no hace, para que lo sepas: no es un chatbot para pacientes ni redacta notas clínicas. Tienes el detalle en software de clínica con inteligencia artificial, los planes en precios y una comparación con otros programas en la comparativa de software para clínicas. Si quieres verlo con tus datos, pide una demo.
Este artículo es informativo, está actualizado a 22 de octubre de 2026 y no sustituye el asesoramiento jurídico. El calendario del Reglamento de IA puede volver a cambiar y en España falta la ley que lo desarrolla: revisa las fuentes oficiales antes de decidir.