Grabar o transcribir una sesión de terapia remota no es simplemente una decisión técnica, sino legal. Según el Reglamento General de Protección de Datos (RGPD), la información de salud mental se encuentra en el nivel más alto de sensibilidad de datos, y las obligaciones que se derivan de esa clasificación afectan a cada profesional privado y clínico institucional que utiliza una herramienta de documentación digital. A medida que las herramientas de documentación con inteligencia artificial (IA, tecnología que permite a los sistemas informáticos realizar tareas que normalmente requieren inteligencia humana) se vuelven más accesibles, los terapeutas de toda Europa se enfrentan cada vez más a preguntas para las que su formación rara vez los preparó: ¿Qué base legal necesito? ¿Puedo almacenar una transcripción? ¿Qué debo decirle a mi paciente? Las respuestas son específicas, tienen consecuencias y, en algunos casos, conllevan sanciones económicas significativas por incumplimiento.

Por qué el RGPD se aplica con especial rigor a los datos de sesiones de terapia

Los datos de salud mental se clasifican como una categoría especial de datos personales según el artículo 9 del RGPD, situándolos en el mismo nivel de protección que los datos genéticos, los datos biométricos y los datos relativos al origen racial o étnico. La posición predeterminada según el artículo 9(1) es que el tratamiento de esta categoría de datos está prohibido a menos que se aplique una de las diez excepciones enumeradas en el artículo 9(2). Este es un umbral materialmente más alto que la base legal estándar del artículo 6 requerida para datos personales ordinarios.

Esta clasificación elevada se aplica independientemente del entorno de la práctica. Incluso una consulta de psicoterapia unipersonal debe cumplir plenamente con los requisitos del artículo 9, porque por definición trata datos de salud de categoría especial. La sensibilidad del contenido de las sesiones de terapia (que puede incluir revelaciones de trauma, ideación suicida, identidad sexual o consumo de sustancias) significa que las autoridades nacionales de protección de datos tratan cualquier incumplimiento en establecer una base válida del artículo 9(2) como una infracción grave.

El RGPD opera como un mínimo, no como un techo. Los Estados miembros pueden imponer obligaciones adicionales a nivel nacional. El §203 del Código Penal alemán, por ejemplo, impone obligaciones de secreto profesional a los terapeutas que interactúan directamente con la forma en que los datos de las sesiones pueden ser tratados o compartidos. Los terapeutas deben verificar sus requisitos nacionales específicos con su autoridad de protección de datos pertinente antes de implementar cualquier herramienta de documentación.

Qué se considera 'tratamiento' cuando grabas o transcribes una sesión

Según el RGPD, el término 'tratamiento' abarca cualquier operación realizada sobre datos personales, ya sea automatizada o manual. En el contexto de una sesión de terapia remota, todas las siguientes acciones constituyen tratamiento:

• Grabar audio o vídeo de la sesión

• Generar una transcripción en tiempo real o posterior a la sesión

• Almacenar un resumen o una historia clínica generada por IA

• Pasar el contenido de la sesión a través de una herramienta de documentación con IA de terceros

• Subir una grabación a un servicio de almacenamiento en la nube

El tratamiento se aplica por igual a herramientas totalmente automatizadas y a la transcripción manual asistida por tecnología. No existe exención para herramientas descritas como 'asistenciales' o 'de apoyo' en lugar de totalmente autónomas. Si el contenido de la sesión está siendo manejado de alguna manera por un sistema o servicio, las obligaciones del RGPD se aplican desde ese momento.

La base legal que los terapeutas deben establecer antes de usar cualquier herramienta de documentación

Debido a que los datos de sesiones de terapia son datos de categoría especial, los terapeutas deben satisfacer simultáneamente dos requisitos legales distintos: una base legal según el artículo 6, y una condición separada según el artículo 9(2).

Las dos condiciones del artículo 9(2) más relevantes para los terapeutas son:

• Artículo 9(2)(a): Consentimiento explícito del interesado

• Artículo 9(2)(h): Tratamiento necesario para la prestación de asistencia sanitaria o social, sujeto a obligaciones de secreto profesional

El artículo 9(2)(h) es la condición más ampliamente aplicable para las organizaciones sanitarias que prestan atención clínica directa. Está sujeto a la condición de que el tratamiento sea realizado por un profesional vinculado por una obligación legal de secreto, y no se extiende automáticamente a todos los usos posteriores de los datos de la sesión, como pasar contenido a una herramienta de IA operada por un tercero.

Para los profesionales privados, confiar únicamente en intereses legítimos rara vez es suficiente para datos de categoría especial. El consentimiento explícito según el artículo 9(2)(a) es generalmente la vía más defendible, porque documenta directamente el acuerdo del paciente con la actividad de tratamiento específica. Cualquiera que sea la base elegida, debe documentarse antes de que comience cualquier tratamiento. El terapeuta, como responsable del tratamiento, tiene la carga de demostrar que existe una base válida.

Qué requiere realmente el consentimiento explícito en este contexto

El consentimiento explícito válido según el RGPD tiene un significado legal preciso. Debe ser:

• Otorgado libremente: El paciente no debe enfrentar ningún perjuicio por negarse

• Específico: El consentimiento para grabar no implica consentimiento para transcribir, procesar con IA o compartir con un supervisor. Cada propósito requiere un consentimiento separado

• Informado: El paciente debe comprender a qué está consintiendo, incluido quién procesará sus datos y cómo

• Inequívoco: Una casilla premarcada o la aceptación pasiva no cumplen con el estándar

• Explícito: Para datos de categoría especial, el consentimiento debe expresarse de forma clara y activa. El consentimiento implícito es insuficiente

El consentimiento enterrado en un documento general de términos y condiciones no cumple con este estándar. La orientación del Comité Europeo de Protección de Datos deja claro que el consentimiento debe ser granular y específico para cada propósito. Un terapeuta que obtiene la firma de un paciente en un acuerdo general de terapia no ha obtenido por ello el consentimiento para pasar el audio de la sesión a través de un servicio de transcripción con IA.

El consentimiento también debe obtenerse antes de que comience cualquier grabación o transcripción. El consentimiento retrospectivo (preguntar a un paciente después de la sesión si le importó ser grabado) no satisface el requisito.

Minimización de datos: capturar solo lo que realmente necesitas

El artículo 5(1)(c) del RGPD establece el principio de minimización de datos: los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que se tratan. Aplicado a la documentación de terapia, esto tiene implicaciones prácticas directas.

Si una historia clínica estructurada captura todo lo clínicamente necesario de una sesión, retener la grabación de audio completa o la transcripción literal puede no ser justificable según este principio. La pregunta relevante es si los datos más granulares sirven a un propósito que los datos menos granulares no pueden cumplir.

En la práctica, esto significa:

• Las herramientas de documentación con IA deben configurarse para generar una historia clínica estructurada y luego eliminar la transcripción subyacente, a menos que exista una razón clínica o legal específica para retenerla

• Las grabaciones completas de sesiones no deben almacenarse por defecto como cuestión de conveniencia administrativa

• El alcance de lo que la herramienta captura debe revisarse en función de lo que el terapeuta realmente utiliza

Una revisión de 2025 de herramientas de generación de notas impulsadas por IA en atención de salud mental encontró que la información crítica sobre el manejo de datos (incluido lo que se retiene después de que se genera una nota) estaba frecuentemente ausente de las comunicaciones de los proveedores. Los terapeutas deben hacer preguntas específicas en lugar de confiar en descripciones generales de productos.

Dónde se pueden almacenar y procesar los datos de las sesiones: normas de residencia de datos en la UE

Según el RGPD, la transferencia de datos personales fuera del Espacio Económico Europeo (EEE) está restringida a menos que el país de destino ofrezca un nivel adecuado de protección de datos, o que exista una salvaguardia apropiada como las Cláusulas Contractuales Tipo (CCT). Para datos de salud mental de categoría especial, este requisito tiene un peso adicional.

Las plataformas de grado de consumidor, como las aplicaciones generales de videoconferencia (incluso las conocidas) frecuentemente procesan y almacenan datos en servidores fuera del EEE, y pueden no ofrecer las salvaguardias contractuales que el RGPD requiere para datos de salud. Un terapeuta que usa tal plataforma para una sesión remota, con transcripción automática habilitada, puede estar transfiriendo datos de categoría especial a un tercer país sin un mecanismo legal válido.

Al evaluar cualquier herramienta de transcripción o documentación con IA, los terapeutas deben preguntar directamente a los proveedores:

• ¿Dónde se procesan los datos de la sesión? (¿Qué país, qué región de la nube?)

• ¿Dónde se almacenan los datos en reposo?

• ¿Hay subencargados ubicados fuera del EEE?

• Si los datos se procesan fuera del EEE, ¿qué mecanismo de transferencia se aplica?

La residencia de datos en la UE es un criterio clave de cumplimiento para cualquier herramienta que maneje contenido de sesiones de terapia, y los proveedores deben poder responder estas preguntas por escrito.

La relación de encargado del tratamiento: tus obligaciones al usar una herramienta de terceros

Cuando un terapeuta utiliza una herramienta externa de IA o transcripción, ese proveedor se convierte en un encargado del tratamiento según el RGPD. El terapeuta, como responsable del tratamiento, sigue siendo legalmente responsable de garantizar que el encargado maneje los datos de acuerdo con los requisitos del RGPD.

El artículo 28 del RGPD requiere un Acuerdo de Tratamiento de Datos (DPA) firmado entre el terapeuta y cualquier proveedor que procese datos de pacientes en su nombre. Un Acuerdo de Tratamiento de Datos que cumpla con los requisitos del RGPD debe especificar:

• El objeto, la duración y la finalidad del tratamiento

• El tipo de datos personales y las categorías de interesados

• Las obligaciones y derechos del responsable

• Que el encargado solo actuará según instrucciones documentadas del responsable

• Las medidas de seguridad que el encargado ha implementado

• Las obligaciones del encargado con respecto a los subencargados

• Disposiciones para la eliminación o devolución de datos al final del contrato

La ausencia de un Acuerdo de Tratamiento de Datos no hace que el tratamiento sea legal. Lo convierte en una infracción. Los terapeutas no deben usar ninguna herramienta que procese datos de sesiones de pacientes sin obtener primero un Acuerdo de Tratamiento de Datos firmado. Si un proveedor no está dispuesto o no puede proporcionar uno, eso es en sí mismo una señal de incumplimiento.

Qué debes revelar a los pacientes antes de usar una herramienta de documentación con IA

Las obligaciones de transparencia del RGPD según los artículos 13 y 14 requieren que los pacientes sean informados sobre el tratamiento de sus datos en el momento de la recopilación. Para las sesiones de terapia, esto significa que se debe informar a los pacientes:

• Qué categorías de datos se están recopilando (por ejemplo, grabación de audio, transcripción, historia clínica generada por IA)

• La identidad del responsable del tratamiento (el terapeuta o la consulta)

• La identidad de cualquier encargado del tratamiento (el proveedor de la herramienta de IA)

• La base legal para el tratamiento

• Dónde se almacenan los datos y durante cuánto tiempo

• Sus derechos, incluido el derecho a acceder, rectificar y solicitar la eliminación de sus datos

Esta divulgación debe entregarse de una manera que sea genuinamente informativa, no enterrada en un documento extenso. Las mejores prácticas para los terapeutas que usan herramientas de documentación con IA incluyen:

• Actualizar el aviso de privacidad de la consulta para abordar específicamente la documentación asistida por IA

• Proporcionar una explicación verbal antes de la primera sesión en la que se utilice la herramienta

• Ofrecer confirmación por escrito (por ejemplo, un resumen de una página) que el paciente pueda conservar

• Documentar que se dio la divulgación y que se obtuvo el consentimiento

El análisis legal de las obligaciones de telemedicina y protección de datos confirma que los requisitos de transparencia se aplican con toda su fuerza a las interacciones de salud digital, incluidas las sesiones de terapia remota realizadas a través de plataformas de vídeo.

Períodos de retención: ¿cuánto tiempo puedes conservar transcripciones o historias clínicas generadas por IA?

El principio de limitación del almacenamiento según el artículo 5(1)(e) requiere que los datos personales se conserven en una forma que permita la identificación de los interesados durante no más tiempo del necesario para los fines para los que se tratan. Para las transcripciones de sesiones de terapia y las historias clínicas generadas por IA, los terapeutas deben definir y documentar un período de retención, y aplicarlo.

Aquí interactúan varias consideraciones:

• Las directrices del organismo regulador profesional sobre retención de historias clínicas establecen un mínimo (por ejemplo, los requisitos de retención varían según el país y el organismo profesional. Los terapeutas deben consultar a su organismo regulador nacional para conocer el período mínimo aplicable)

• Las historias clínicas generadas por IA y las transcripciones de sesiones no están automáticamente sujetas a las mismas reglas de retención que las historias clínicas formales. Una transcripción literal puede tener un período de retención justificable mucho más corto que la historia clínica derivada de ella

• Cuando una transcripción se retiene solo para generar una nota, debe eliminarse una vez que se cumpla ese propósito

Los terapeutas deben documentar su política de retención por escrito, especificando diferentes períodos para diferentes tipos de datos (grabación, transcripción, historia clínica estructurada, mensaje al paciente), y asegurarse de que las prácticas de eliminación de datos de su proveedor de herramientas de IA se alineen con esa política.

Requisitos de seguridad para almacenar datos de sesiones de salud mental

El artículo 32 del RGPD requiere que los responsables y encargados del tratamiento implementen medidas técnicas y organizativas apropiadas al riesgo. Para datos de salud mental de categoría especial, el nivel de riesgo es alto por defecto, y las medidas requeridas reflejan eso.

Las expectativas mínimas de seguridad para herramientas que manejan datos de sesiones de terapia incluyen:

• Cifrado en reposo y en tránsito: Las grabaciones de sesiones, transcripciones e historias clínicas deben estar cifradas tanto cuando se almacenan como cuando se transmiten

• Controles de acceso: Solo las personas autorizadas deben poder acceder a los datos de las sesiones, con permisos basados en roles y requisitos de autenticación

• Registros de auditoría: Los sistemas deben registrar quién accedió a qué datos y cuándo

• Respuesta a incidentes: Los proveedores deben tener procedimientos documentados para detectar y reportar violaciones de datos

Las herramientas de grado de consumidor (incluidas las aplicaciones generales de videoconferencia con transcripción automática habilitada) es poco probable que cumplan con estos requisitos sin acuerdos específicos de nivel empresarial o sanitario. El hecho de que una plataforma se use ampliamente en entornos clínicos no significa que cumpla con el RGPD para el tratamiento de datos de categoría especial sin las salvaguardias contractuales y técnicas apropiadas.

Una revisión revisada por pares de 2025 de herramientas de generación de notas con IA en atención de salud mental encontró que, si bien la mayoría de los proveedores proporcionaban información sobre medidas de protección de datos y privacidad en sus sitios web, los detalles críticos (incluidas certificaciones de seguridad específicas, listas de subencargados y prácticas de eliminación de datos) estaban frecuentemente ausentes. Los terapeutas no deben asumir el cumplimiento. Deben verificarlo.

Pasos prácticos para profesionales privados que seleccionan una herramienta de documentación conforme

Los profesionales privados que evalúan herramientas de documentación con IA generalmente lo hacen sin soporte institucional de TI o legal. La siguiente lista de verificación cubre la diligencia debida mínima que requiere el RGPD:

• Confirmar la residencia de datos en la UE: Pregunta al proveedor por escrito dónde se procesan y almacenan los datos de las sesiones. Confirma que ningún subencargado esté ubicado fuera del EEE, o que existan mecanismos de transferencia adecuados

• Obtener un Acuerdo de Tratamiento de Datos firmado: No uses ninguna herramienta que procese datos de pacientes sin un Acuerdo de Tratamiento de Datos firmado que cumpla con los requisitos del artículo 28

• Verificar la certificación ISO 27001: La certificación ISO 27001 indica que el proveedor ha implementado un sistema de gestión de seguridad de la información reconocido internacionalmente. No es una garantía del RGPD, pero es un indicador de referencia significativo

• Revisar la lista de subencargados: Los proveedores generalmente dependen de subencargados (por ejemplo, proveedores de infraestructura en la nube). Solicita la lista completa y evalúa si la ubicación y la postura de seguridad de cada subencargado son aceptables

• Comprender la política de eliminación de datos: Confirma cuánto tiempo retiene el proveedor los datos después de una sesión, qué desencadena la eliminación y si puedes solicitar la eliminación de registros específicos

• Verificar que la herramienta admita solicitudes de derechos de los pacientes: El sistema debe poder responder a solicitudes de acceso y solicitudes de eliminación dentro de los plazos requeridos por el RGPD

La falta de transparencia en las comunicaciones de los proveedores identificada en investigaciones revisadas por pares significa que los terapeutas deben hacer preguntas específicas y por escrito en lugar de confiar en materiales de marketing. Un proveedor que no puede responder estas preguntas claramente no es una opción conforme.

Cuando un paciente retira el consentimiento o solicita la eliminación

Los pacientes tienen derechos exigibles según el RGPD que los terapeutas deben estar operativamente preparados para honrar. Dos son particularmente relevantes para la documentación asistida por IA.

Derecho a retirar el consentimiento (artículo 7(3)): Un paciente puede retirar el consentimiento para el tratamiento de sus datos en cualquier momento. La retirada no afecta la legalidad del tratamiento realizado antes de la retirada, pero debe surtir efecto en adelante. La investigación sobre la implementación de la retirada del consentimiento en contextos de datos de salud destaca la complejidad operativa: los datos pueden existir en múltiples sistemas (la herramienta de IA, una copia de seguridad en la nube, una copia local) y deben identificarse y abordarse en cada uno.

Derecho al olvido (artículo 17): Cuando el tratamiento se basó en el consentimiento, un paciente que retira el consentimiento tiene derecho a solicitar la eliminación de sus datos. El terapeuta, como responsable del tratamiento, debe actuar sobre esta solicitud dentro de un mes y debe instruir a cualquier encargado del tratamiento (incluido el proveedor de la herramienta de IA) para que elimine los datos relevantes de sus sistemas.

En la práctica, los terapeutas deben:

• Documentar la retirada del consentimiento por escrito y registrar la fecha

• Contactar al proveedor de la herramienta de IA inmediatamente y solicitar la eliminación de todos los datos de sesión asociados con ese paciente

• Obtener confirmación por escrito del proveedor de que se ha completado la eliminación

• Verificar si también es necesario eliminar copias locales (por ejemplo, transcripciones descargadas)

El derecho al olvido no es absoluto. Cuando los datos deben retenerse para cumplir con una obligación legal (como los requisitos regulatorios profesionales para mantener historias clínicas durante un período mínimo) esa obligación puede anular la solicitud de eliminación con respecto a la historia clínica formal. Las transcripciones o grabaciones sin procesar que van más allá de lo que requiere la historia clínica es poco probable que se beneficien de esta excepción, y generalmente deben eliminarse a solicitud.

Los marcos de ética profesional en la práctica de salud mental identifican consistentemente la documentación y la gobernanza de datos como componentes centrales de la responsabilidad del clínico. La capacidad de responder a las solicitudes de derechos de los pacientes es cada vez más parte de esa expectativa en un entorno clínico mediado digitalmente.

Preguntas frecuentes

¿Se aplica el RGPD a las grabaciones y transcripciones de sesiones de terapia?

Sí. Según el Reglamento General de Protección de Datos, los datos de salud mental se clasifican como una categoría especial de datos personales según el artículo 9, situándolos en el nivel más alto de sensibilidad de datos. Grabar una sesión, generar una transcripción, almacenar una historia clínica generada por IA o pasar el contenido de la sesión a través de una herramienta de terceros constituyen tratamiento según el RGPD. Esto se aplica a todos los profesionales que manejan datos de sesiones digitalmente, incluidas las consultas de psicoterapia unipersonales.

¿Qué base legal necesitan los terapeutas antes de usar una herramienta de documentación con IA?

Los terapeutas deben satisfacer simultáneamente dos requisitos legales: una base legal según el artículo 6 del RGPD, y una condición separada según el artículo 9(2). Las dos condiciones más relevantes del artículo 9(2) son el consentimiento explícito del paciente (artículo 9(2)(a)) y el tratamiento necesario para la prestación de asistencia sanitaria o social, sujeto a obligaciones de secreto profesional (artículo 9(2)(h)). Para los profesionales privados, el consentimiento explícito es generalmente la vía más defendible, porque documenta directamente el acuerdo del paciente con la actividad de tratamiento específica. Cualquiera que sea la base elegida, debe documentarse antes de que comience cualquier tratamiento.

¿Qué requiere el consentimiento explícito válido al grabar o transcribir una sesión de terapia?

El consentimiento explícito válido según el RGPD debe ser otorgado libremente, específico, informado, inequívoco y expresado activamente. El consentimiento para grabar no implica consentimiento para transcribir, procesar con IA o compartir con un supervisor. Cada propósito requiere un consentimiento separado. El consentimiento enterrado en un documento general de términos y condiciones no cumple con este estándar. También debe obtenerse antes de que comience cualquier grabación o transcripción. El consentimiento retrospectivo no satisface el requisito.

¿Qué es el principio de minimización de datos y cómo se aplica a la documentación de terapia?

El artículo 5(1)(c) del RGPD requiere que los datos personales sean adecuados, pertinentes y limitados a lo necesario para los fines para los que se tratan. En la práctica, si una historia clínica estructurada captura todo lo clínicamente necesario de una sesión, retener la grabación de audio completa o la transcripción literal puede no ser justificable. Las herramientas de documentación con IA deben configurarse para generar una historia clínica estructurada y luego eliminar la transcripción subyacente, a menos que exista una razón clínica o legal específica para retenerla. Las grabaciones completas de sesiones no deben almacenarse por defecto como cuestión de conveniencia administrativa.

¿Se pueden almacenar o procesar los datos de sesiones de terapia fuera del Espacio Económico Europeo?

La transferencia de datos personales fuera del Espacio Económico Europeo está restringida según el RGPD a menos que el país de destino ofrezca un nivel adecuado de protección de datos, o que exista una salvaguardia apropiada como las Cláusulas Contractuales Tipo. Las plataformas de grado de consumidor, incluidas las aplicaciones generales de videoconferencia, frecuentemente procesan y almacenan datos en servidores fuera del Espacio Económico Europeo y pueden no ofrecer las salvaguardias contractuales que el RGPD requiere para datos de salud. Los terapeutas deben preguntar a los proveedores por escrito dónde se procesan y almacenan los datos de las sesiones, si hay subencargados ubicados fuera del Espacio Económico Europeo y qué mecanismo de transferencia se aplica si los datos salen de la región.

¿Qué es un Acuerdo de Tratamiento de Datos y los terapeutas necesitan uno?

Cuando un terapeuta utiliza una herramienta externa de IA o transcripción, ese proveedor se convierte en un encargado del tratamiento según el RGPD. El artículo 28 del RGPD requiere un Acuerdo de Tratamiento de Datos firmado entre el terapeuta y cualquier proveedor que procese datos de pacientes en su nombre. El acuerdo debe especificar el propósito y la duración del tratamiento, las medidas de seguridad implementadas, las obligaciones del encargado con respecto a los subencargados y las disposiciones para la eliminación o devolución de datos al final del contrato. La ausencia de un Acuerdo de Tratamiento de Datos no hace que el tratamiento sea legal. Lo convierte en una infracción. Los terapeutas no deben usar ninguna herramienta que procese datos de sesiones de pacientes sin un acuerdo firmado.

¿Qué deben decir los terapeutas a los pacientes antes de usar una herramienta de documentación con IA?

Las obligaciones de transparencia del RGPD según los artículos 13 y 14 requieren que los pacientes sean informados sobre el tratamiento de sus datos en el momento de la recopilación. Los terapeutas deben informar a los pacientes qué categorías de datos se están recopilando, la identidad del responsable del tratamiento y de cualquier encargado del tratamiento, la base legal para el tratamiento, dónde se almacenan los datos y durante cuánto tiempo, y los derechos del paciente, incluidos el acceso, la rectificación y la eliminación. Las mejores prácticas incluyen actualizar el aviso de privacidad de la consulta para abordar específicamente la documentación asistida por IA, proporcionar una explicación verbal antes de la primera sesión en la que se utilice la herramienta y documentar que se dio la divulgación y se obtuvo el consentimiento.

¿Cuánto tiempo pueden los terapeutas retener transcripciones e historias clínicas generadas por IA?

El principio de limitación del almacenamiento según el artículo 5(1)(e) del RGPD requiere que los datos personales se conserven durante no más tiempo del necesario para los fines para los que se tratan. Los terapeutas deben definir y documentar un período de retención para cada tipo de datos y aplicarlo de manera consistente. Las historias clínicas generadas por IA y las transcripciones de sesiones no están automáticamente sujetas a las mismas reglas de retención que las historias clínicas formales. Cuando una transcripción se retiene solo para generar una nota, debe eliminarse una vez que se cumpla ese propósito. Los terapeutas deben confirmar que las prácticas de eliminación de datos de su proveedor de herramientas de IA se alineen con su política de retención documentada.

¿Qué sucede si un paciente retira el consentimiento o solicita la eliminación de los datos de su sesión?

Un paciente puede retirar el consentimiento para el tratamiento de sus datos en cualquier momento según el artículo 7(3) del RGPD. Cuando el tratamiento se basó en el consentimiento, el paciente también tiene derecho a solicitar la eliminación de sus datos según el artículo 17. El terapeuta debe actuar sobre una solicitud de eliminación dentro de un mes y debe instruir al proveedor de la herramienta de IA para que elimine los datos relevantes de sus sistemas, obteniendo confirmación por escrito de que se ha completado la eliminación. El derecho al olvido no es absoluto: cuando los datos deben retenerse para cumplir con una obligación legal, como los requisitos regulatorios profesionales para historias clínicas, esa obligación puede anular la solicitud de eliminación con respecto a la historia clínica formal. Las transcripciones o grabaciones sin procesar que van más allá de lo que requiere la historia clínica es poco probable que se beneficien de esta excepción.

¿Qué estándares de seguridad deben buscar los terapeutas al elegir una herramienta de documentación con IA?

El artículo 32 del RGPD requiere que los responsables y encargados del tratamiento implementen medidas técnicas y organizativas apropiadas al riesgo. Para datos de salud mental de categoría especial, el nivel de riesgo es alto por defecto. Las expectativas mínimas incluyen cifrado de grabaciones de sesiones, transcripciones e historias clínicas tanto en reposo como en tránsito, controles de acceso basados en roles, registros de auditoría que registren quién accedió a los datos y cuándo, y procedimientos documentados de respuesta a incidentes. La certificación ISO 27001 indica que un proveedor ha implementado un sistema de gestión de seguridad de la información reconocido internacionalmente y sirve como un indicador de referencia significativo, aunque no es una garantía del RGPD en sí misma. Una revisión revisada por pares de 2025 de herramientas de generación de notas con IA en atención de salud mental encontró que los detalles críticos de seguridad, incluidas certificaciones específicas, listas de subencargados y prácticas de eliminación de datos, estaban frecuentemente ausentes de las comunicaciones de los proveedores. Los terapeutas deben verificar el cumplimiento directamente en lugar de confiar en materiales de marketing.