Sanidad marca estas recomendaciones en su Guía de Orientaciones para profesionales sanitarios en el uso de la IA.
Los médicos necesitarán formación, avisar al paciente y una IA certificada para usarla en diagnóstico
Sanidad fija las obligaciones legales del profesional y los requisitos que deben cumplir las herramientas utilizadas en la atención clínica
La inteligencia artificial ya forma parte de algunos procesos asistenciales, desde el análisis de imágenes hasta la elaboración de resúmenes clínicos o la predicción de riesgos. Sin embargo, su incorporación a la práctica sanitaria no permite delegar el criterio profesional ni utilizar cualquier herramienta disponible sin comprobar previamente su seguridad, su validación y su conformidad normativa. Aunque el Reglamento Europeo de Inteligencia Artificial (RIA) entró en vigor el 1 de agosto de 2024, este 2 de agosto de 2026 ha comenzado su aplicación general, con un marco basado en el nivel de riesgo de cada sistema. Ante este contexto, la Secretaría General de Salud Digital, Información e Innovación del Sistema Nacional de Salud elaboró hace unos meses - al aprobarse la Estrategia de Inteligencia Artificial para el Sistema Nacional de Salud (eIASNS)- una guía dirigida a los profesionales que seleccionan, supervisan o utilizan IA en la atención directa al paciente.
Así, el documento plantea una idea central: la inteligencia artificial puede apoyar la toma de decisiones, pero no sustituir el juicio clínico. Por ello, tanto el profesional como el centro sanitario deben conocer qué obligaciones asumen, qué garantías deben reclamar al proveedor y cómo actuar cuando el sistema ofrece resultados dudosos, contradictorios o desactualizados. En este sentido, la supervisión debe mantenerse durante todo el proceso asistencial. Antes de incorporar una recomendación generada por IA, el profesional tiene que revisarla de manera independiente, contrastarla con la evidencia disponible y comprobar que resulta adecuada para las circunstancias concretas del paciente. Además, el médico debe comunicar al paciente que está usando IA cuando la herramienta forme parte del procedimiento asistencial, actúe como producto sanitario o influya directamente en el diagnóstico o el tratamiento
Requisitos para usar IA en consulta
Esta obligación incluye disponer de los conocimientos necesarios sobre el funcionamiento de la herramienta, actuar conforme a la lex artis y las guías clínicas, documentar el proceso y justificar las decisiones que se hayan apoyado en el sistema. También exige utilizar únicamente herramientas que cumplan los requisitos legales de certificación, seguridad, explicabilidad y protección de datos. A su vez, según recuerda el documento, la IA carece de personalidad jurídica. Por tanto, ante un efecto adverso, la responsabilidad recaerá en el profesional que la utiliza o en la institución empleadora, según las circunstancias del caso. Esto no excluye la posible responsabilidad del fabricante o proveedor cuando existan defectos del sistema, errores de diseño o datos incorrectos.
El médico tampoco está obligado a seguir el resultado de una herramienta cuando contradiga su criterio clínico, la evidencia científica o las guías vigentes. En estas situaciones, debe priorizar la seguridad del paciente, documentar la discrepancia y explicar los motivos por los que se aparta de la recomendación algorítmica. Una de las cuestiones más sensibles es la información al paciente. No existe, en principio, obligación de comunicar el uso de una IA cuando se emplea como una ayuda puramente informativa o formativa, sin introducir datos personales y sin que su respuesta influya directamente en la atención.
La situación cambia cuando el sistema forma parte del procedimiento asistencial, se considera un producto sanitario o interviene en el diagnóstico o el tratamiento. En esos casos, el paciente debe conocer que se ha utilizado la herramienta, cuál ha sido su finalidad y de qué manera puede influir en las decisiones clínicas.
Marcado CE, validación clínica y datos representativos
Antes de utilizar una IA con fines clínicos, el profesional o el centro sanitario debe comprobar para qué ha sido diseñada y cuál es su uso previsto. Cuando el software se considera un producto sanitario, el marcado CE es obligatorio en Europa conforme al Reglamento sobre Productos Sanitarios. Una herramienta sin esta certificación -como es ChatGPT- no puede emplearse para apoyar un diagnóstico, proponer un tratamiento o realizar otra función que influya directamente en la atención al paciente. Su uso debe quedar limitada a finalidades no clínicas, administrativas, informativas o formativas, siempre con las garantías correspondientes. En cambio, no se considera producto sanitario, en principio, cuando se limita a tareas de apoyo sin impacto directo sobre la atención, como redactar borradores, resumir documentación, organizar agendas o realizar consultas generales sin datos personales del paciente. En cualquier caso, la finalidad prevista de la herramienta y el uso real que se haga de ella son los elementos que determinan su clasificación.
El marcado CE, no obstante, no basta por sí solo para asegurar que un sistema sea adecuado para un hospital, servicio o población determinada. El proveedor debe facilitar documentación técnica completa, información sobre el rendimiento y las limitaciones del producto, así como pruebas de su validación clínica. También resulta necesario comprobar si existen estudios externos publicados y si el dispositivo está registrado en bases oficiales como EUDAMED. La ausencia de certificaciones, una documentación escasa, la falta de validación independiente o unos resultados incoherentes deben considerarse señales de alerta. Ante estas situaciones, la recomendación es suspender su uso asistencial y comunicarlo al responsable de la organización.
Otro criterio esencial es la explicabilidad. El profesional debe poder conocer, al menos de forma comprensible, qué variables utiliza la herramienta y cómo llega a sus conclusiones. La auditabilidad, por su parte, debe permitir reconstruir su funcionamiento cuando se produce un error, identificar fallos técnicos y determinar si el sistema ha sido utilizado de manera incorrecta. La documentación técnica también debe incluir el origen geográfico y las características demográficas de la población empleada durante el entrenamiento. Si estos datos no se parecen a los de los pacientes atendidos en el centro, pueden aumentar los falsos positivos, los falsos negativos o los errores sistemáticos en determinados grupos.
A estas obligaciones se suma la protección de los datos clínicos. El médico no debe introducir información personal o sanitaria de los pacientes en herramientas que no estén diseñadas, validadas y autorizadas para uso sanitario o que no garanticen el cumplimiento del Reglamento General de Protección de Datos. La guía sí contempla el empleo de información anonimizada, siempre que no permita identificar directa ni indirectamente a una persona.
Formación médica en IA
La implantación segura de una IA no termina con su adquisición. El proveedor debe entregar instrucciones oficiales y ofrecer una formación adecuada para utilizar el sistema. A su vez, el centro sanitario tiene que garantizar que los profesionales reciben esa capacitación y tienen acceso a la documentación técnica. Si el profesional no ha sido formado o desconoce las limitaciones de la herramienta, no debería utilizarla con fines asistenciales. También debe respetar las instrucciones del fabricante, introducir el sistema gradualmente en el flujo de trabajo, registrar cuándo se ha empleado y comunicar cualquier inconsistencia detectada.
Las herramientas de IA pueden perder precisión con el paso del tiempo. Los cambios en los datos, en los protocolos clínicos o en las características de los pacientes pueden provocar que el rendimiento actual ya no coincida con el demostrado durante su validación. Una falta prolongada de actualizaciones puede incluso afectar a certificaciones como el marcado CE. Ante respuestas contradictorias, el propio profesional debe comprobar que se han introducido los mismos datos, revisar si se ha producido una actualización o recalibración y documentar la versión del sistema, la fecha y las circunstancias del incidente. Si la contradicción persiste, no debe basar su decisión en la herramienta y tiene que suspender su utilización hasta que el responsable del centro o el proveedor analicen el problema.
