Documentación con IA en terapia: lo que los profesionales europeos deben saber

Los asistentes de documentación con inteligencia artificial pueden aliviar la carga administrativa en la práctica terapéutica. Sin embargo, el contenido de una sesión de terapia —historias de trauma, ideación suicida, identidad sexual, violencia en las relaciones— se sitúa en el extremo más sensible del espectro de los datos personales. Antes de adoptar cualquier herramienta, hay preguntas legales, éticas y clínicas que exigen respuestas cuidadosas.

La terapia no es un entorno clínico más

Las sesiones de terapia generan revelaciones que los pacientes quizás nunca hayan compartido con nadie más. El lenguaje preciso que usa un paciente, las asociaciones que establece, los miedos que nombra, no solo es clínicamente sensible: en muchos casos, forma parte constitutiva de la propia relación terapéutica. Eso no tiene equivalente en otros entornos clínicos.

Un asistente de documentación con IA que escucha, transcribe y estructura ese contenido introduce una capa de procesamiento de datos sin precedente en la mayoría de los demás contextos clínicos. Una revisión narrativa revisada por pares de 2025 publicada en DIGITAL HEALTH encontró que las herramientas de IA en salud mental operan con frecuencia en zonas grises legales en lo que respecta al consentimiento, el uso de datos y los flujos de datos transfronterizos, y que el RGPD ofrece solo protecciones básicas que todavía no contemplan los matices éticos y clínicos propios de las intervenciones de salud mental basadas en IA.

Las obligaciones profesionales añaden otra capa. Los terapeutas están vinculados no solo por la ley de protección de datos, sino también por los códigos éticos de sus asociaciones profesionales y por las obligaciones de confidencialidad propias de su modalidad terapéutica. En muchas jurisdicciones europeas existen además protecciones legales específicas para los registros de salud mental que van más allá de las normas generales sobre datos de salud.

Qué base legal permite procesar el contenido de la sesión bajo el RGPD

Bajo el cumplimiento del RGPD en la atención sanitaria, el contenido de una sesión de terapia puede involucrar simultáneamente varias categorías del Artículo 9: datos de salud, orientación sexual o identidad de género, creencias religiosas o filosóficas, y estado mental. La posición predeterminada del RGPD es que el tratamiento de datos de categoría especial está prohibido, salvo que se aplique una de las excepciones de la lista cerrada del Artículo 9.

Para la mayoría de la documentación terapéutica, la excepción aplicable será el consentimiento explícito (Artículo 9(2)(a)) o el tratamiento necesario para la prestación de atención médica (Artículo 9(2)(h)). Esta segunda excepción debe combinarse con el Artículo 9(3), que exige que el tratamiento lo realice un profesional sujeto a una obligación de secreto profesional, o que se lleve a cabo bajo su responsabilidad. El interés legítimo como base legal está disponible únicamente para datos personales ordinarios, de modo que los terapeutas no pueden invocarlo para el contenido de las sesiones.

Una revisión de arXiv de 2025 sobre IA de salud mental que preserva la privacidad subraya que los terapeutas solo deben grabar las sesiones con el consentimiento explícito e informado del paciente, con información clara sobre la anonimización, el almacenamiento seguro y el uso de los datos. Los terapeutas que trabajan por cuenta propia o en consultas privadas pequeñas asumen esta responsabilidad directamente como responsables del tratamiento de datos. El proveedor de IA, si trata datos en nombre del terapeuta, actúa como encargado del tratamiento, y esa relación debe formalizarse en un Acuerdo de Tratamiento de Datos por escrito antes de que se comparta ningún dato.

Consentimiento válido en el contexto terapéutico

El RGPD exige que el consentimiento sea libre, específico, informado e inequívoco. En una relación terapéutica, el requisito de que sea libre merece un escrutinio especial. Los pacientes se encuentran con frecuencia en una posición de vulnerabilidad psicológica y dependencia emocional, y la diferencia de poder entre terapeuta y paciente no funciona igual que en, por ejemplo, una consulta rutinaria con el médico de familia.

La orientación ética de 2025 de la Asociación Americana de Psicología sobre IA en la práctica psicológica subraya la importancia del consentimiento informado y la obligación de los profesionales de evaluar críticamente el contenido clínico generado por IA antes de aplicarlo. Sus principios se trasladan directamente a los marcos éticos europeos. Un proceso de consentimiento válido debe incluir, como mínimo, los siguientes elementos: una explicación clara de qué hace la herramienta de IA, quién es el proveedor y en qué país se procesan y almacenan los datos; qué datos se conservan, durante cuánto tiempo y quién puede acceder a ellos; una declaración explícita de que dar o retirar el consentimiento para la documentación con IA no afectará la calidad de la atención recibida; y un mecanismo para retirar el consentimiento en cualquier momento, con una explicación clara de qué ocurre con los datos que ya han sido tratados.

Este último punto plantea la dificultad práctica más seria. Si un paciente retira el consentimiento y el proveedor no puede demostrar que sus datos han sido eliminados de los conjuntos de entrenamiento, los registros o la infraestructura de tratamiento, el profesional puede enfrentarse a un problema de cumplimiento muy difícil de resolver a posteriori.

Qué preguntar al proveedor antes de compartir datos de sesión

Para los terapeutas europeos, el lugar donde residen los datos tiene consecuencias legales directas. El RGPD restringe la transferencia de datos personales fuera del Espacio Económico Europeo (EEE) salvo que se apliquen salvaguardas específicas. Dado que el contenido de la sesión constituye datos de categoría especial del Artículo 9, el listón para demostrar protección adecuada en cualquier transferencia a un tercer país es correspondientemente alto.

Antes de elegir un asistente de documentación con IA, los profesionales deben obtener respuestas claras y por escrito a estas preguntas: ¿dónde se procesan y almacenan los datos (dentro del EEE o en un tercer país)? ¿Existe un Acuerdo de Tratamiento de Datos conforme antes de que se compartan datos? ¿El proveedor cuenta con la certificación ISO 27001 o equivalente? ¿Se ha realizado una Evaluación de Impacto en la Protección de Datos? ¿Se usan los datos de la sesión para entrenar modelos y, en ese caso, sobre qué base legal?

Cualquier proveedor que sea impreciso sobre la residencia de los datos o reacio a proporcionar un Acuerdo de Tratamiento de Datos por escrito debe considerarse un riesgo de cumplimiento significativo. Una revisión de arXiv de 2025 sobre conjuntos de datos de IA de salud mental clínica señala que el RGPD impone limitaciones estrictas sobre el uso y el intercambio de información de salud sensible, lo que complica tanto la creación de conjuntos de datos representativos como la implantación de herramientas de IA en contextos de psicoterapia. La evasión en este punto indica que el proveedor no ha resuelto una de las preguntas más básicas del cumplimiento.

Cómo la IA puede alterar la relación terapéutica y la documentación

Más allá del marco legal, hay una preocupación clínica que no tiene respuesta regulatoria directa: ¿la presencia de un asistente de documentación con IA altera la relación terapéutica? La alianza terapéutica, es decir, la calidad del vínculo de colaboración entre terapeuta y paciente, es uno de los predictores más sólidos de los resultados de la terapia en todas las modalidades. Algunos pacientes, al saber que sus palabras están siendo transcritas y procesadas por un sistema de IA, pueden autocensurarse, aunque los investigadores aún no han estudiado este efecto en profundidad en el contexto específico de las herramientas de documentación con IA.

La evidencia empírica disponible invita a la cautela. Un estudio histórico de JAMA Psychiatry publicado en marzo de 2026, el más amplio hasta la fecha sobre escribas médicos con IA en documentación psiquiátrica, encontró que el uso de escribas médicos con IA se asoció con una probabilidad significativamente menor de que se documentara una intervención psiquiátrica, ya fuera derivación, nuevo diagnóstico o prescripción de antidepresivos, en comparación con consultas contemporáneas sin escriba (razón de probabilidades ajustada 0,83, intervalo de confianza del 95 %, 0,72 a 0,95). El estudio se realizó en atención primaria, no en psicoterapia especializada, y no establece causalidad, por lo que sus conclusiones deben interpretarse con esa limitación en mente.

La responsabilidad sobre la precisión de las notas recae íntegramente en el clínico. Un borrador generado por IA que se guarda en el sistema de registro médico sin revisión se convierte en el documento del clínico, con el mismo peso legal y profesional que una nota escrita completamente a mano. El contenido de la sesión que puede ser apropiado que el terapeuta retenga mentalmente no es necesariamente apropiado registrarlo de forma textual: esa nota puede ser accesible para otros proveedores de atención médica, estar sujeta a una solicitud de acceso del interesado o ser citada en procedimientos legales.

Los profesionales deben establecer, antes de la implantación, un flujo de trabajo claro sobre qué captura el asistente de IA y qué se revisa, edita y redacta antes de guardar. Cuatro categorías requieren especial cuidado: las revelaciones de protección que pueden activar obligaciones de notificación obligatoria; los identificadores de terceros (nombres de parejas, familiares o colegas mencionados por el paciente); los marcadores de identidad sensibles como orientación sexual, identidad de género o situación migratoria; y las evaluaciones de riesgo sobre ideación suicida, autolesión o riesgo para otras personas, que conllevan un peso clínico y legal específico. La investigación que aplica procesamiento de lenguaje natural a notas de psicoterapia para predecir el riesgo de suicidio ha demostrado que el lenguaje de las notas de terapia es clínicamente informativo, aunque el valor predictivo de ese análisis es modesto y depende del contexto. Que los sistemas de IA puedan extraer señales significativas de las notas es precisamente la razón por la que los profesionales deben ser deliberados sobre qué información incluyen en ellas.

Lo que el RGPD no cubre: obligaciones nacionales y clasificación como dispositivo médico

El RGPD establece un mínimo, no un máximo. Varios países europeos han aprobado legislación que impone requisitos adicionales. En Alemania, los psicoterapeutas están sujetos a estrictas obligaciones de secreto profesional (Schweigepflicht) bajo el §203 del Código Penal, con responsabilidad penal por las infracciones derivadas de acuerdos de tratamiento de datos inadecuados. En Francia, la Comisión Nacional de Informática y Libertades (CNIL) ha publicado orientación específica sobre el tratamiento de datos de salud con supervisión regulatoria de los sistemas de IA. En los Países Bajos, la Autoriteit Persoonsgegevens aplica el RGPD con especial atención a los datos de salud, y los profesionales también están sujetos a la Ley de Contrato de Atención Médica (WGBO) y a las obligaciones del registro BIG. En Irlanda, la Comisión de Protección de Datos ha actuado activamente en casos de transferencia transfronteriza de datos. En Italia, el Garante ha adoptado medidas de aplicación contra empresas de IA que gestionan datos de salud, incluidas restricciones temporales y multas significativas.

Hay además una frontera regulatoria que los profesionales no deben ignorar: la distinción entre una herramienta de documentación y un dispositivo médico. Bajo la Ley de IA de la UE y el Reglamento de Dispositivos Médicos (RDM) 2017/745, un programa informático se clasifica como dispositivo médico si está destinado a un propósito médico, incluido el diagnóstico, la prevención, el seguimiento, la predicción o el tratamiento de enfermedades. Una herramienta que solo transcribe el habla y estructura historias clínicas sin interpretar el contenido clínico generalmente no alcanza ese umbral. Una herramienta que analiza el contenido de la sesión para señalar el riesgo de suicidio, sugerir diagnósticos o apoyar la toma de decisiones clínicas probablemente requerirá clasificación bajo el RDM y una evaluación de conformidad, y también puede clasificarse como IA de alto riesgo bajo la Ley de IA de la UE. Un análisis revisado por pares de 2025 publicado en el European Heart Journal – Digital Health señala que los dispositivos médicos de IA de alto riesgo están sujetos a regulación dual bajo ambos marcos, y el análisis de la Ley de IA de la UE publicado en PMC advierte que los profesionales no deben asumir que cualquier herramienta usada en un contexto terapéutico queda automáticamente exenta de estos requisitos.

Antes de implantar cualquier herramienta de documentación con IA, verifica tus obligaciones con tu autoridad nacional de protección de datos, tu organismo regulador profesional y tu aseguradora de responsabilidad profesional. Pregunta directamente al proveedor cuál es la clasificación regulatoria de la herramienta bajo el RDM y la Ley de IA de la UE. Un proveedor de confianza debe poder ofrecer una respuesta clara y documentada.

Lista de verificación previa a la implementación

Los siguientes pasos representan un estándar mínimo de diligencia debida antes de introducir un asistente de documentación con IA en una práctica de terapia en Europa. No son exhaustivos, y los profesionales deben complementarlos con el asesoramiento de su asociación profesional y de su asesor legal según corresponda.

Diligencia debida del proveedor

• Confirmar que los datos se procesan y almacenan dentro de la UE/EEE

• Obtener y revisar un Acuerdo de Tratamiento de Datos firmado antes de compartir ningún dato

• Verificar la certificación ISO 27001 o una postura de seguridad equivalente

• Confirmar la clasificación regulatoria de la herramienta bajo el RDM de la UE y la Ley de IA de la UE

• Aclarar si los datos de la sesión se usan para entrenar modelos y sobre qué base legal

Consentimiento y comunicación con el paciente

El proceso de consentimiento debe ser independiente del consentimiento general de tratamiento y estar redactado por escrito. El documento debe explicar qué hace la herramienta, quién es el proveedor, a dónde van los datos y durante cuánto tiempo se conservan. Debe quedar claro que los pacientes pueden rechazar la documentación con IA sin que ello afecte a su atención. Por último, es necesario establecer un proceso explícito para gestionar la retirada del consentimiento, incluidas las solicitudes de eliminación de datos, antes de que surja esa necesidad.

Flujo de trabajo de revisión de notas

• Definir qué partes del contenido de la sesión puede capturar el asistente de IA

• Establecer un paso obligatorio de revisión y edición antes de guardar cualquier nota generada por IA en el sistema de registro médico

• Identificar las categorías de contenido (revelaciones de protección, nombres de terceros, marcadores de identidad sensibles, evaluaciones de riesgo) que requieren especial cuidado o documentación manual

Obligaciones regulatorias y seguimiento continuo

• Realizar una Evaluación de Impacto en la Protección de Datos: es obligatoria bajo el Artículo 35 del RGPD para el tratamiento a gran escala de datos de categoría especial, y muy recomendable incluso para prácticas más pequeñas

• Notificar a tu aseguradora de responsabilidad profesional y confirmar que la documentación asistida por IA está cubierta por tu póliza

• Revisar regularmente si la presencia de la herramienta está afectando a la revelación terapéutica o a la calidad de las sesiones

• Mantenerse informado sobre las actualizaciones del calendario de aplicación de la Ley de IA de la UE, la orientación del RDM y los desarrollos regulatorios nacionales

Preguntas frecuentes

▶ ¿Por qué la documentación con IA en terapia plantea preocupaciones diferentes que en otros entornos clínicos?

El contenido de una sesión de terapia involucra simultáneamente varias categorías del Artículo 9 del RGPD en una sola conversación, algo que rara vez ocurre en otros contextos clínicos. A eso se suma que ese contenido forma parte constitutiva de la relación terapéutica, lo que significa que el impacto de procesarlo con IA no es solo legal sino también clínico.

▶ ¿En qué base legal puede basarse un terapeuta al procesar el contenido de la sesión a través de un asistente de documentación con IA?

Las dos opciones son el consentimiento explícito del Artículo 9(2)(a) y la prestación de atención médica del Artículo 9(2)(h), esta última combinada con el Artículo 9(3). El interés legítimo queda descartado para datos de categoría especial. Si el terapeuta trabaja en consulta privada, asume directamente la condición de responsable del tratamiento, con todas las obligaciones que eso conlleva.

▶ ¿Qué debe incluir un proceso de consentimiento válido para la documentación con IA en terapia?

El documento de consentimiento debe ser independiente del consentimiento general de tratamiento. El punto más difícil de gestionar en la práctica es la retirada: antes de iniciar el uso de la herramienta, el profesional debe tener definido qué ocurre con los datos ya procesados si el paciente retira el consentimiento, porque resolver eso a posteriori con el proveedor es considerablemente más complicado.

▶ ¿Qué preguntas debe hacer un terapeuta a un proveedor de IA antes de compartir datos de sesión?

La pregunta más reveladora es si los datos de sesión se usan para entrenar modelos y sobre qué base legal. Un proveedor que no puede responder eso con claridad probablemente tampoco ha resuelto las demás preguntas de cumplimiento. Todas las respuestas deben obtenerse por escrito antes de compartir ningún dato.

▶ ¿Puede la presencia de un asistente de documentación con IA afectar la relación terapéutica?

Es una preocupación clínica real y todavía poco estudiada en el contexto específico de herramientas de documentación. El estudio de JAMA Psychiatry de marzo de 2026, el más amplio hasta la fecha sobre escribas con IA en documentación psiquiátrica, se realizó en atención primaria y no establece causalidad, así que sus resultados no se trasladan directamente a psicoterapia especializada. La evaluación debe hacerse caso a caso y de forma continua.

▶ ¿Quién es legalmente responsable de la precisión de las notas de terapia generadas por IA?

El clínico tiene plena responsabilidad. Un borrador guardado sin revisión en el sistema de registro médico adquiere el mismo peso legal que una nota escrita a mano. En terapia esto es especialmente relevante porque esa nota puede ser accesible para otros proveedores, objeto de una solicitud de acceso del interesado o citada en procedimientos legales.

▶ ¿Qué categorías de contenido de sesión requieren especial cuidado al revisar notas generadas por IA?

Cuatro categorías exigen revisión manual cuidadosa: revelaciones de protección que activan obligaciones de notificación, nombres de terceros mencionados por el paciente, marcadores de identidad sensibles como orientación sexual o situación migratoria, y evaluaciones de riesgo sobre ideación suicida o daño a otros. La investigación con procesamiento de lenguaje natural sobre notas de psicoterapia confirma que ese lenguaje es clínicamente informativo, lo que refuerza la importancia de decidir deliberadamente qué se incluye.

▶ ¿El RGPD proporciona protección suficiente para los datos de salud mental procesados por herramientas de IA?

El RGPD fija un mínimo. Alemania añade responsabilidad penal bajo el §203 del Código Penal por acuerdos de tratamiento de datos inadecuados. Francia, Países Bajos, Irlanda e Italia tienen autoridades nacionales con orientación o actividad de aplicación específica en IA de salud mental. Consultar con la autoridad nacional de protección de datos y el organismo regulador profesional propio es el paso concreto que sigue a leer el RGPD.

▶ ¿Cuándo un asistente de documentación con IA se convierte en un dispositivo médico bajo la ley de la UE?

La línea divisoria está en si la herramienta interpreta contenido clínico o genera recomendaciones. Una herramienta que transcribe y estructura sin analizar generalmente no alcanza el umbral del RDM. Una que señala riesgo de suicidio o sugiere diagnósticos probablemente sí, y quedaría sujeta a regulación dual bajo el RDM y la Ley de IA de la UE. Pregunta al proveedor por escrito cuál es la clasificación de su herramienta.

▶ ¿Se requiere una Evaluación de Impacto en la Protección de Datos antes de implementar un asistente de documentación con IA en una práctica de terapia?

Es obligatoria bajo el Artículo 35 del RGPD para el tratamiento a gran escala de datos de categoría especial, y recomendable para consultas más pequeñas. Antes de la implementación, notifica también a tu aseguradora de responsabilidad profesional: algunas pólizas no cubren incidentes derivados de herramientas de documentación con IA, y descubrirlo después de un incidente es considerablemente más costoso.