Durante los últimos años hemos hablado de la regulación de la inteligencia artificial (IA) como uno de los temas claves en su implantación en el sector sanitario. Hemos debatido sobre principios éticos, elaborado estrategias, creado observatorios y anunciado marcos de gobernanza. Pero el tiempo de las recomendaciones está terminando. El próximo 2 de agosto de 2026 será el día D para la IA en España y en el conjunto de la Unión Europea.

Conviene explicar bien qué sucede ese día. No todas las obligaciones entran en vigor al mismo tiempo. Tampoco toda herramienta empleada en un centro sanitario es automáticamente un sistema de alto riesgo. El calendario europeo ha sido modificado y las obligaciones más exigentes para estos sistemas se han aplazado hasta 2027 y 2028.

El 2 de agosto de 2026 será, por tanto, un día D, pero no el último día del despliegue normativo. Será el momento en el que la IA deje definitivamente de desenvolverse en una zona de indefinición jurídica, aunque algunas de sus obligaciones sanitarias más complejas sigan pendientes.

Lo que es ya obligatorio

Antes incluso de esa fecha están vigentes dos principios esenciales. Desde febrero de 2025 están prohibidas determinadas prácticas de IA consideradas inaceptables y las organizaciones deben adoptar medidas para garantizar un nivel suficiente de alfabetización en IA entre las personas que utilizan estos sistemas.

En sanidad, la alfabetización no puede reducirse a realizar un curso genérico. Un médico debe conocer las posibilidades y limitaciones de la herramienta que utiliza, distinguir una respuesta probable de una evidencia científica y detectar errores, alucinaciones, sesgos o recomendaciones clínicamente incoherentes. La obligación corresponde también a hospitales, servicios de salud y empresas, que deben proporcionar una formación adecuada al contexto, al riesgo y a los conocimientos de sus profesionales.

A partir del 2 de agosto de 2026 se aplicará además el marco general de gobernanza, supervisión y potestad sancionadora. La Comisión Europea podrá ejercer plenamente sus competencias sobre los modelos de propósito general y las autoridades nacionales deberán estar preparadas para controlar el cumplimiento del Reglamento.

España está tramitando su Ley Orgánica para el buen uso y la gobernanza de la IA, destinada a identificar las autoridades competentes y articular el régimen sancionador nacional. A fecha de julio de 2026 continúa siendo un proyecto legislativo, por lo que no debe presentarse todavía como una ley española definitivamente aprobada.

También entran en juego obligaciones de transparencia. Una persona que interactúe con un sistema de IA deberá ser informada de ello, salvo que resulte evidente. Esto afecta, por ejemplo, a chatbots de información sanitaria, asistentes virtuales para la gestión de citas o sistemas automatizados de atención al paciente.

Para una institución sanitaria, la transparencia significa que no puede presentar una conversación automatizada como si procediera de un profesional. Para el médico, implica no ocultar el papel relevante que una herramienta algorítmica haya tenido en la generación de una información o un contenido. Para el ciudadano, supone el derecho elemental a saber cuándo está hablando con una máquina. Las obligaciones del artículo 50 sobre interacción y transparencia comienzan, con sus correspondientes excepciones, en agosto de 2026.

Lo que se aplaza hasta diciembre de 2027

Las obligaciones específicas para los sistemas autónomos de alto riesgo se han pospuesto hasta el 2 de diciembre de 2027. En el ámbito sanitario, uno de los ejemplos más claros es la IA destinada a evaluar y clasificar llamadas de emergencia o a establecer prioridades en el envío de servicios médicos de urgencia.

Cuando estas obligaciones entren en aplicación, los proveedores deberán acreditar, entre otros aspectos, sistemas de gestión de riesgos, calidad de los datos, documentación técnica, trazabilidad, precisión, ciberseguridad y supervisión humana.

Los hospitales y servicios de salud que desplieguen estos sistemas deberán utilizarlos conforme a sus instrucciones, designar profesionales capacitados para supervisarlos, controlar los datos introducidos, conservar registros, vigilar su funcionamiento y comunicar incidentes graves. Determinadas entidades públicas tendrán que realizar también evaluaciones de impacto sobre los derechos fundamentales antes de ponerlos en servicio.

Estas obligaciones no serán jurídicamente exigibles desde agosto de 2026 con arreglo al capítulo de sistemas de alto riesgo, pero sería irresponsable esperar hasta diciembre de 2027 para comenzar a prepararlas. Un hospital debe saber ya qué algoritmos utiliza, con qué finalidad, quién los suministra y quién responde de su supervisión.

Lo que se aplaza hasta agosto de 2028

La segunda gran fecha sanitaria será el 2 de agosto de 2028. A partir de entonces se aplicarán las obligaciones de alto riesgo a los sistemas de IA integrados en productos regulados por la legislación europea sectorial.

Aquí se encuentran muchas de las aplicaciones clínicas más relevantes: programas incluidos en productos sanitarios, sistemas de apoyo diagnóstico, herramientas que analizan imágenes médicas o componentes de IA cuya seguridad debe evaluarse junto con la del propio producto.

No toda aplicación médica quedará automáticamente incluida. Para ser considerada de alto riesgo deberá cumplir las condiciones establecidas por el Reglamento, entre ellas formar parte de un producto sujeto a evaluación de conformidad por un tercero o actuar como uno de sus componentes de seguridad.

Para el médico, 2028 supondrá recibir productos sometidos a mayores exigencias de validación, documentación y vigilancia. Para las instituciones, implicará revisar compras, contratos, interoperabilidad, mantenimiento y notificación de incidentes. Para el paciente, deberá significar una mayor garantía de que los algoritmos que influyen en su diagnóstico o tratamiento han sido evaluados con criterios de seguridad y calidad.

El calendario se ha ampliado, pero no debe confundirse aplazamiento con impunidad. La protección de datos, la responsabilidad profesional, la seguridad del paciente, la normativa sobre productos sanitarios y los deberes deontológicos continúan siendo plenamente aplicables.

El 2 de agosto de 2026 no comenzará de golpe toda la regulación sanitaria de la IA. Comenzará algo quizá más importante: la obligación de saber qué norma se aplica a cada sistema, qué riesgos asumimos y quién debe responder por ellos.

Para el médico, significará formarse y conservar el juicio clínico. Para la institución, gobernar la tecnología antes de desplegarla. Para el ciudadano, saber cuándo interviene una máquina y exigir que sus derechos sigan estando por encima del algoritmo.