Herramientas de documentación con IA en la Sanidad Pública europea: lo que los administradores deben saber

Las herramientas de documentación asistidas por IA pueden reducir drásticamente el tiempo que el personal sanitario comunitario dedica a registrar encuentros clínicos. Sin embargo, adoptarlas en organismos municipales europeos exige cumplir al mismo tiempo con el Reglamento General de Protección de Datos (RGPD), la Ley de Inteligencia Artificial (IA) de la UE, el Reglamento de Dispositivos Médicos (MDR) y la normativa de contratación pública.

Qué hacen estas herramientas y qué evidencia existe de su impacto

Las herramientas de documentación asistidas por IA, a veces llamadas asistentes médicos con IA o herramientas de documentación ambiental, capturan encuentros clínicos hablados y los convierten en historias clínicas estructuradas. En la práctica, el trabajador sanitario realiza la consulta con normalidad. La herramienta escucha, transcribe y genera un borrador de nota que el profesional revisa y aprueba antes de incorporarlo al sistema de historias clínicas. No diagnostica, no prescribe, no genera recomendaciones clínicas. Su función es exclusivamente administrativa.

En un contexto municipal de salud pública, esto difiere bastante de cómo funcionan herramientas similares en consultas de médicos de familia o salas de hospital. Los programas de salud comunitaria son de alcance poblacional y no agudo: visitas de enfermería a domicilio, seguimientos de salud mental, sesiones de rehabilitación y gestión de enfermedades crónicas. Los requisitos de documentación tienden a ser de alto volumen y estructura repetitiva, y el trabajo se distribuye entre una plantilla dispersa en múltiples ubicaciones sin apoyo administrativo constante.

El valor práctico está en recuperar tiempo. Una prueba piloto de seis semanas en el municipio de Farsund, Noruega, con veinte empleados en tres equipos de atención, halló que el tiempo total diario dedicado a la documentación se redujo de aproximadamente tres horas a entre diez y quince minutos. Un estudio observacional independiente a gran escala en instalaciones de Capio/Ramsay Santé en Suecia evaluó un asistente médico con IA en 375.000 historias clínicas y encontró reducciones consistentes en el tiempo de documentación declarado por el personal en múltiples niveles de atención; ese estudio fue preregistrado y siguió las directrices SQUIRE. La evidencia de Farsund es la más relevante para entornos municipales, porque el contexto, una plantilla dispersa, documentación de alto volumen y sin apoyo administrativo, es directamente comparable. La mayoría de las evaluaciones publicadas se basan en resultados declarados por el propio personal, y la medición objetiva de la calidad de la documentación y las tasas de error sigue siendo limitada en la literatura disponible. Por eso, los administradores deberían incluir medición objetiva en su propio diseño de prueba piloto siempre que sea posible.

El marco regulatorio: cuatro cuerpos normativos que se aplican simultáneamente

Una prueba piloto de documentación con IA en un municipio europeo activa obligaciones bajo el RGPD, la Ley de IA de la UE, el MDR y la normativa de contratación pública al mismo tiempo. Ninguno de estos marcos funciona de forma aislada, y la secuencia en que se abordan importa: el RGPD es el punto de partida, porque sin una base legal clara para el tratamiento de datos de salud, todo lo demás es prematuro.

Ley de IA de la UE: qué clasificación de riesgo corresponde a las herramientas de documentación

La Ley de IA de la UE entró en vigor en agosto de 2024 y establece un sistema escalonado de clasificación de riesgo. Los sistemas de alto riesgo en atención sanitaria son aquellos que se usan para diagnóstico, decisiones de tratamiento o apoyo a la decisión clínica que influye directamente en los resultados del paciente. Una herramienta que únicamente transcribe y estructura encuentros clínicos sin generar recomendaciones ocupa una posición distinta en ese esquema. Aun así, los administradores deben confirmar con el proveedor qué clasificación se aplica y pedir la justificación por escrito. Si la herramienta incluye cualquier función de apoyo a la decisión clínica, esa característica puede elevar su clasificación de riesgo.

La Ley también introduce obligaciones de transparencia: cuando los sistemas de IA interactúan con personas, incluidos pacientes, el proveedor debe informarles de ello. Incluso en un contexto exclusivamente documental, esto tiene implicaciones sobre cómo los municipios comunican a los pacientes qué tecnología está presente durante sus citas.

RGPD: obligaciones antes, durante y después de la prueba piloto

Los datos de salud son datos de categoría especial según el Artículo 9 del RGPD. Tratarlos requiere no solo una base legal bajo el Artículo 6, sino también una condición adicional bajo el Artículo 9. La más habitual es el consentimiento explícito del paciente, o bien que el tratamiento sea necesario para prestar atención sanitaria o social, conforme al Artículo 9(2)(h). Los organismos municipales deben determinar qué base se aplica a su programa específico y documentar esa decisión antes de que arranque cualquier prueba piloto.

Antes de la prueba piloto, el organismo debe realizar una Evaluación de Impacto en la Protección de Datos (EIPD), obligatoria conforme al Artículo 35. Esta evaluación exige identificar los riesgos, valorar la necesidad y proporcionalidad del tratamiento, y documentar las medidas para reducirlos. El organismo también debe firmar un acuerdo de tratamiento de datos con el proveedor, tal como exige el Artículo 28, antes de compartir cualquier dato.

Durante la prueba, la herramienta debe tratar solo los datos necesarios para la función de documentación. Los administradores deben confirmar que las grabaciones de audio no se conservan más allá del tiempo necesario para la transcripción, y que el proveedor no usa datos de pacientes para entrenar sus modelos sin autorización explícita. Tras el despliegue, el organismo debe mantener registros de las actividades de tratamiento conforme al Artículo 30 y garantizar que los pacientes puedan ejercer sus derechos como interesados.

Residencia de datos: qué confirmación escrita deben obtener los municipios

Para la mayoría de los organismos de salud pública europeos, tratar datos de salud fuera de la UE o el Espacio Económico Europeo (EEE) no está permitido bajo sus marcos nacionales de protección de datos, independientemente de los mecanismos de transferencia que el RGPD permita técnicamente. Antes de la prueba piloto, los administradores deben obtener confirmación por escrito del proveedor sobre los siguientes puntos: dónde se procesan los datos de audio en el momento de la transcripción; dónde se almacenan las historias clínicas estructuradas y durante cuánto tiempo; si hay subencargados del tratamiento involucrados y dónde están ubicados; y si algún dato se transfiere fuera del EEE en cualquier etapa, incluido el entrenamiento de modelos o el control de calidad. Los proveedores que usan infraestructura fuera del EEE deben especificar el mecanismo legal de transferencia que aplican, como las Cláusulas Contractuales Tipo.

El Espacio Europeo de Datos de Salud (EHDS), que entró en vigor en 2025, introduce infraestructura adicional para el uso transfronterizo de datos de salud dentro de la UE. Su implementación está en curso, y los administradores deben seguir de cerca cómo interactúa con los requisitos nacionales de residencia de datos.

Reglamento de Dispositivos Médicos: cuándo se aplica y qué verificar

El MDR de la UE se aplica al software diseñado para un propósito médico: diagnóstico, prevención, monitorización, predicción, pronóstico, tratamiento o alivio de enfermedades. Una herramienta cuya única función es transcribir y estructurar encuentros clínicos, sin generar ningún resultado que influya en las decisiones clínicas, generalmente no se considera un dispositivo médico. Sin embargo, si la herramienta incluye funciones como señalar anomalías clínicas o sugerir diagnósticos, esas características pueden situarla dentro del ámbito de aplicación del MDR. Lo que importa es el conjunto de funciones que el software ejecuta realmente, con independencia de cómo lo describa el proveedor en sus materiales de venta.

Los administradores deben pedir al proveedor una justificación escrita de la clasificación bajo el MDR de la UE, verificar si la herramienta tiene marcado CE como dispositivo médico y bajo qué clasificación, confirmar que ese marcado se aplica a la versión concreta que se va a probar, y comprobar si el proveedor cuenta con un Sistema de Gestión de Calidad certificado según la norma ISO 13485. El estudio de medRxiv sobre el asistente médico con IA Tandem en instalaciones sanitarias suecas es relevante aquí porque la herramienta evaluada contaba con marcado CE, lo que ofrece un ejemplo concreto de cómo se ve la certificación del proveedor en la práctica.

Contratación pública: umbrales, especificaciones y cláusulas contractuales clave

Las herramientas de documentación con IA que adquieren organismos municipales europeos están sujetas al marco de contratación pública de la UE establecido en la Directiva 2014/24/UE. Para organismos públicos subcentrales, el umbral actual para contratos de servicios es de 215.000 € sin IVA. Esta cifra se revisa periódicamente, por lo que conviene comprobarla en el Reglamento Delegado de la Comisión más reciente. Los contratos que superen este umbral requieren un procedimiento de licitación formal publicado en el Diario Oficial de la UE. Por debajo del umbral se aplican las normas nacionales, que varían según el Estado miembro, aunque incluso la contratación por debajo del umbral debe seguir un proceso competitivo documentado para cumplir con los requisitos de auditoría.

Al redactar las especificaciones técnicas, los administradores deben evitar incluir requisitos tan específicos que describan en la práctica el producto de un solo proveedor, ya que la directiva lo prohíbe. Las especificaciones deben describir requisitos funcionales, como transcripción en tiempo real en el idioma correspondiente, salida estructurada compatible con el sistema de historias clínicas existente y almacenamiento de datos dentro de la UE, junto con requisitos de cumplimiento: conformidad con el RGPD, documentación bajo la Ley de IA de la UE y certificación ISO 27001. Los términos del contrato deben incluir disposiciones claras sobre la propiedad de los datos, cláusulas de salida que permitan recuperar los datos y cambiar de proveedor sin quedar atrapado técnicamente, y derechos de auditoría durante toda la vigencia del contrato.

La Organización para la Cooperación y el Desarrollo Económicos (OCDE) ha señalado que la mayoría de los sistemas de salud de la UE carecen de mecanismos de financiación específicos para herramientas de IA y ha destacado los modelos de compra colectiva como una vía para un despliegue más equitativo. Los municipios que estudien la contratación conjunta con autoridades vecinas deben valorar si este modelo podría reducir los costes de evaluación y fortalecer su posición negociadora.

Cómo estructurar una prueba piloto y qué verificar del proveedor

Una prueba piloto bien delimitada reduce la exposición regulatoria, genera evidencia útil y crea una base sólida para justificar la decisión de despliegue. El alcance debe limitarse a un equipo de atención o un centro concreto. Un periodo de seis a doce semanas es suficiente para obtener datos significativos, como demostró la experiencia de Farsund. Los criterios de éxito deben definirse de antemano e incluir: tiempo de documentación por consulta, puntuaciones de usabilidad declaradas por el personal, tasas de error en las notas generadas y retroalimentación de los pacientes.

Antes de que comience la prueba, el organismo necesita aprobación por escrito de tres personas: el Delegado de Protección de Datos, que debe haber completado la EIPD; el responsable de contratación pública, que debe haber firmado el contrato y el acuerdo de tratamiento de datos; y el responsable clínico, que debe haber acordado el marco de gobernanza clínica. El personal participante debe entender cómo funciona la herramienta, cuáles son sus responsabilidades de revisión y cómo notificar errores. Los pacientes deben recibir una explicación clara en lenguaje sencillo, disponible en los idiomas que habla la población atendida. El organismo también debe definir un plan de salida antes de comenzar: qué ocurre con los datos y los derechos de acceso si la prueba se interrumpe o la relación con el proveedor termina antes del despliegue completo.

Al evaluar al proveedor, los administradores deben verificar los siguientes aspectos de forma independiente, sin basarse únicamente en los materiales de marketing del proveedor:

• Certificación ISO 27001: solicitar el certificado vigente y comprobar que su alcance cubre los sistemas usados para tratar datos de salud.

• El acuerdo de tratamiento de datos del RGPD debe estar firmado antes de compartir cualquier dato y revisado conforme a los requisitos del Artículo 28.

• Solicitar por escrito la evaluación de clasificación de riesgo bajo la Ley de IA de la UE y cualquier documentación exigida según el nivel de clasificación asignado.

• Preguntar directamente si los datos de pacientes del despliegue se usarán para entrenar o ajustar el modelo, y si existe la posibilidad de no participar en ese uso.

• Solicitar referencias o evidencia publicada de despliegues en entornos de salud pública o municipal en Europa. Los estudios revisados por pares o preregistrados tienen más peso que los estudios de caso elaborados por el propio proveedor.

• Capacidad lingüística: confirmar que la herramienta funciona con precisión en el idioma o idiomas que usa el personal clínico, incluidos dialectos regionales o terminología propia del sistema nacional de salud.

Un estudio revisado por pares sobre contratación de tecnología sanitaria en municipios suecos halló que el uso estructurado de evidencia en las decisiones de evaluación es inconsistente y que la orientación nacional existente es insuficiente para cubrir las necesidades actuales. Un ensayo controlado aleatorizado cruzado que evaluó la codificación clínica asistida por IA en Suecia y Noruega, realizado por el Centro Noruego de Investigación en eSalud, ofrece una referencia metodológica útil para diseñar estudios de evaluación rigurosos. Cabe señalar que la codificación clínica, es decir, la asignación de códigos diagnósticos estandarizados a los registros clínicos, difiere de la evaluación de herramientas de documentación ambiental.

Alinear los equipos internos: protección de datos, contratación y liderazgo clínico

Las herramientas de documentación con IA normalmente requieren la aprobación de al menos tres funciones internas que, en entornos municipales, puede que no trabajen juntas habitualmente. Involucrar al Delegado de Protección de Datos desde el principio, antes de seleccionar al proveedor, evita la situación habitual en la que el organismo ya tiene un proveedor preferido y la evaluación de protección de datos lo descarta en una fase tardía. Para obtener el respaldo de los líderes clínicos, es más efectivo centrar el argumento en términos operativos: la reducción de la carga de documentación y la recuperación de tiempo clínico directo. Los equipos de contratación pública puede que no estén familiarizados con la Ley de IA de la UE ni con el MDR; proporcionarles un resumen claro de qué obligaciones se aplican, y cuáles son responsabilidad del proveedor y cuáles del municipio, les ayuda a redactar especificaciones precisas y a evaluar las ofertas con criterio. Cada decisión, ya sea avanzar, pausar o descartar a un proveedor, debe quedar documentada con su justificación.

El contexto político más amplio respalda este trabajo. El informe de la Organización Mundial de la Salud (OMS)/Europa publicado en abril de 2026, basado en datos de los 27 Estados miembros de la UE, halló que el 81 por ciento de los Estados miembros están involucrando activamente a las partes interesadas en la gobernanza de la IA y que la mayoría ya están desplegando herramientas de IA en entornos clínicos, identificando la formación de la plantilla y la alfabetización en IA como prioridades en toda la región. La herramienta de documentación de código abierto Berta, desplegada en 105 instalaciones por 198 médicos de urgencias entre noviembre de 2024 y julio de 2025, representa un modelo de evaluación con metodología documentada públicamente que ofrece un punto de referencia útil en cuanto a transparencia. Los administradores que desarrollen sus propios marcos de evaluación también deben seguir de cerca la orientación de sus autoridades nacionales de salud y de las autoridades supervisoras de protección de datos, dado que el entorno regulatorio está en evolución y lo que hoy, a mediados de 2026, se considera buena práctica puede quedar sustituido por orientación formal en los próximos doce a dieciocho meses.

Preguntas frecuentes

▶ ¿Qué hacen realmente las herramientas de documentación asistidas por IA durante una consulta de salud comunitaria?

Una herramienta de documentación asistida por IA escucha la consulta, transcribe el encuentro y genera un borrador de historia clínica que el profesional revisa y aprueba. La herramienta no diagnostica ni prescribe. En entornos municipales, esto resulta especialmente útil porque el trabajo se distribuye entre una plantilla dispersa sin apoyo administrativo constante.

▶ ¿Qué evidencia existe de ahorro de tiempo en entornos municipales de salud pública?

La prueba de Farsund es la referencia más directa: seis semanas, veinte empleados, tres equipos, y el tiempo diario de documentación pasó de unas tres horas a entre diez y quince minutos. El estudio de Capio/Ramsay Santé en Suecia, con 375.000 historias clínicas, corrobora la dirección del efecto, aunque ambos se basan en resultados declarados por el personal.

▶ ¿La Ley de IA de la UE clasifica las herramientas de documentación como de alto riesgo?

Una herramienta que solo transcribe y estructura encuentros clínicos ocupa una posición distinta a la de los sistemas de diagnóstico o apoyo a la decisión clínica, que sí son de alto riesgo. La clasificación puede cambiar si el proveedor añade funciones de apoyo clínico en actualizaciones posteriores, por lo que conviene revisar la justificación escrita del proveedor cada vez que la herramienta se actualice.

▶ ¿Qué obligaciones del RGPD se aplican antes de que comience una prueba piloto?

La Evaluación de Impacto en la Protección de Datos y el acuerdo de tratamiento de datos con el proveedor deben estar completados antes de compartir cualquier dato. Un error frecuente es iniciar conversaciones con proveedores y compartir ejemplos de registros para demostraciones técnicas antes de que esos documentos estén firmados, lo que ya constituye un tratamiento sin base legal.

▶ ¿Cómo confirman los municipios que los datos de pacientes permanecen dentro de la UE?

Solicitar confirmación por escrito sobre cuatro puntos concretos: dónde se procesa el audio en el momento de la transcripción, dónde se almacenan las historias clínicas estructuradas y durante cuánto tiempo, si hay subencargados del tratamiento y dónde están ubicados, y si algún dato sale del Espacio Económico Europeo en cualquier etapa, incluido el entrenamiento de modelos.

▶ ¿Cuándo se aplica el Reglamento de Dispositivos Médicos de la UE a una herramienta de documentación con IA?

Lo que determina si el MDR se aplica es el conjunto de funciones que el software ejecuta realmente, con independencia de cómo lo describa el proveedor en sus materiales de venta. Pedir la justificación de clasificación por escrito y verificar que el marcado CE, si existe, corresponde exactamente a la versión que se va a probar, no a una versión anterior del producto.

▶ ¿Qué normas de contratación pública se aplican cuando un municipio compra una herramienta de documentación con IA?

Se aplica la Directiva 2014/24/UE. El umbral actual para organismos subcentrales es de 215.000 euros sin IVA, aunque se revisa periódicamente. Por debajo del umbral rigen las normas nacionales, pero incluso en ese caso el proceso debe ser competitivo y documentado. Las especificaciones técnicas deben describir requisitos funcionales y de cumplimiento, sin identificar el producto de un proveedor concreto.

▶ ¿Quién es responsable si una historia clínica generada por IA contiene un error?

El profesional sanitario que aprueba la nota mantiene la responsabilidad clínica y legal. Antes de la prueba piloto, conviene confirmar con el proveedor que el sistema registra quién aprobó cada nota y cuándo, y que la interfaz presenta el borrador de forma que invite a una revisión activa y no a una validación automática.

▶ ¿Cómo debe un municipio estructurar una prueba piloto de bajo riesgo?

Limitar el alcance a un equipo o centro, fijar una duración de seis a doce semanas y definir los criterios de éxito antes de comenzar. Incluir al menos una métrica objetiva, como el tiempo de documentación medido externamente, además de las puntuaciones declaradas por el personal. Definir también el plan de salida desde el inicio: qué ocurre con los datos si la prueba se interrumpe.

▶ ¿Qué deben verificar los administradores de forma independiente al evaluar a un proveedor?

Verificar el certificado ISO 27001 vigente y comprobar que su alcance cubre los sistemas que tratan datos de salud. Preguntar directamente si los datos de pacientes se usarán para entrenar o ajustar el modelo. Pedir referencias de despliegues en entornos comparables del sector público europeo, y dar más peso a estudios preregistrados o revisados por pares que a estudios de caso elaborados por el propio proveedor.