Shadow IA en Salud: la brecha que la Ley europea de IA no puede cerrar
José Antonio Trujillo es médico experto en IA
Europa está construyendo uno de los marcos regulatorios más exigentes del mundo para la inteligencia artificial. En el ámbito sanitario, la Ley europea de IA se superpone además a una regulación ya especialmente garantista, como la de los productos sanitarios. Una inteligencia artificial diseñada para diagnosticar, predecir o recomendar una actuación clínica puede quedar sometida a evaluación, documentación, gestión de riesgos, supervisión humana y vigilancia.
Sin embargo, mientras perfeccionamos ese complejo edificio regulatorio, una parte importante de la inteligencia artificial está entrando en la práctica médica por una puerta diferente. No llega necesariamente como producto sanitario, ni ha sido adquirida por un hospital, ni aparece integrada oficialmente en una historia clínica. Llega a través de herramientas de propósito general que cualquier profesional puede utilizar desde un ordenador o un teléfono.
Es lo que comienza a denominarse Shadow AI. Un reciente estudio realizado entre médicos suecos describe precisamente el uso de herramientas de inteligencia artificial no autorizadas por sus organizaciones para actividades que van mucho más allá de tareas administrativas: búsqueda de diagnósticos diferenciales, segunda opinión, apoyo a la decisión clínica, documentación o comunicación con pacientes[1]. Otros trabajos muestran igualmente que los grandes modelos de lenguaje están siendo incorporados rápidamente al trabajo cotidiano de los médicos, muchas veces por iniciativa del propio profesional y por delante de las estructuras institucionales de gobernanza.[2]
Pero el problema es todavía más profundo que el uso de una herramienta no autorizada. Un hospital puede autorizar mañana el acceso corporativo a un gran modelo de lenguaje y el fenómeno no desaparecerá. La cuestión realmente nueva aparece cuando una inteligencia artificial concebida como generalista comienza a ser utilizada para una finalidad clínica concreta.
Nuestro sistema regulatorio se ha construido tradicionalmente alrededor de la finalidad prevista de una tecnología. El Reglamento europeo de productos sanitarios establece que un software es producto sanitario cuando el fabricante lo destina específicamente a determinadas finalidades médicas. La propia norma aclara que el software de propósito general no adquiere esa condición simplemente por utilizarse en un entorno sanitario.[3]
Finalidad clínica
Aquí aparece lo que podríamos denominar brecha de finalidad clínica. Una empresa puede desarrollar un modelo generalista destinado a conversar, resumir documentos, analizar información o generar recomendaciones. Pero un médico puede introducir los antecedentes de un paciente, su medicación y sus resultados analíticos y preguntarle cuál considera el diagnóstico más probable o qué tratamiento propondría. La tecnología sigue siendo la misma. Lo que ha cambiado es la finalidad que le ha atribuido el profesional mediante su utilización.
La finalidad clínica ya no nace exclusivamente en el fabricante. Puede nacer también en el prompt.
La Ley europea de IA regula los modelos de propósito general y establece obligaciones para sus proveedores, además de imponer requisitos mucho más intensos cuando determinados sistemas son considerados de alto riesgo. Pero esa arquitectura no equivale a una evaluación clínica previa de cada uno de los usos médicos que pueden emerger de un modelo generalista. La literatura regulatoria comienza ya a advertir de las dificultades que plantean sistemas capaces de generar apoyo a decisiones clínicas sin estar confinados a una indicación médica específica.
No estamos, por tanto, ante una ausencia total de regulación. Siguen existiendo la Ley europea de IA, el Reglamento General de Protección de Datos, el secreto profesional, las normas de responsabilidad y la legislación sanitaria. El problema es más sutil, al existir un espacio entre la regulación de lo que la tecnología declara ser y la función clínica que realmente puede llegar a desempeñar. Y ese espacio puede crecer a medida que aumenten las capacidades de los modelos generalistas.
Existe además una asimetría que no deberíamos ignorar. Desarrollar y comercializar una inteligencia artificial específicamente destinada al diagnóstico o al tratamiento implica asumir un itinerario regulatorio sanitario exigente. Mantener, en cambio, una herramienta dentro del ámbito de propósito general, sin atribuirle formalmente indicaciones médicas, puede permitir que capacidades similares terminen llegando al profesional por una vía regulatoria diferente. No hace falta presuponer una voluntad de eludir la regulación para reconocer que existe un incentivo económico y regulatorio para permanecer el mayor tiempo posible fuera de la finalidad médica declarada.
Por eso el desarrollo completo de la regulación europea probablemente reducirá muchas incertidumbres, pero difícilmente cerrará por completo esta brecha. Ningún reglamento puede anticipar todos los usos clínicos que un profesional puede construir mediante lenguaje natural sobre un modelo multipropósito. Si una parte de la finalidad se desplaza hacia el usuario, una parte de la gobernanza tendrá también que desplazarse hacia él.
Gobernanza clínica individual
Necesitamos empezar a hablar de gobernanza clínica individual de la inteligencia artificial. No para trasladar al médico las obligaciones que corresponden al fabricante o a la organización sanitaria, sino para reconocer que el profesional conserva una responsabilidad específica sobre la manera en que incorpora una respuesta algorítmica a su razonamiento y a sus decisiones.
Esa gobernanza debería sustentarse, al menos, sobre un mínimo común de transparencia y trazabilidad. No parece razonable exigir que cada corrección de un texto o cada consulta bibliográfica realizada con IA termine anotada en una historia clínica. Pero tampoco lo parece que una inteligencia artificial pueda influir sustancialmente en un diagnóstico, modificar un tratamiento o condicionar una decisión relevante sin que posteriormente podamos reconstruir qué herramienta intervino, con qué finalidad fue utilizada, qué influencia tuvo y qué supervisión humana existió.
La intensidad de esas obligaciones debería crecer en proporción a la influencia clínica de la IA. Cuanto mayor sea su participación en una decisión relevante para el paciente, mayor debería ser también la exigencia de supervisión, transparencia y trazabilidad.
La próxima frontera de la gobernanza sanitaria de la inteligencia artificial quizá no consista únicamente en decidir qué algoritmos pueden entrar oficialmente en nuestros hospitales. Consistirá también en gobernar cómo utilizamos clínicamente herramientas que nunca necesitaron pedir permiso para entrar.
La actual Ley europea de IA puede regular tecnologías, proveedores y sistemas. Lo que difícilmente podrá regular por completo es cada finalidad clínica que nace delante de una pantalla. Esa es la brecha que debemos empezar a cerrar desde la medicina.
[1] Petersson L, Irgang L, Mauritzon I, Holmén M. Shadow AI in Swedish Health Care: Qualitative Analysis of Physicians' Free-Text Answers. J Med Internet Res. 2026;28:e93484. doi:10.2196/93484. PMID: 42519990.
[2] Hong HJ, Shah NH, Pfeffer MA, Lehmann LS. Physician Perspectives on Large Language Models in Health Care: A Cross-Sectional Survey Study. Appl Clin Inform. 2025;16(5):1738-1748. doi:10.1055/a-2735-0527. PMID: 41167595.
[3] Parlamento Europeo y Consejo. Reglamento (UE) 2017/745 sobre los productos sanitarios. Considerando 19 y artículo 2.12. La norma establece la finalidad prevista conforme a la información proporcionada por el fabricante y distingue expresamente el software con finalidad médica del software de propósito general, incluso cuando este último se utiliza en un entorno sanitario.
