Una clínica puede usar IA para recordar citas sin decir el motivo, pedir reseñas, redactar contenido divulgativo que revisa un profesional y analizar informes internos sin pacientes identificables. No puede usarla para diagnosticar, meter datos de salud en herramientas sin contrato ni garantías, ni atender pacientes desde el WhatsApp personal. La línea la marca el artículo 9 del RGPD.
Este artículo es para quien dirige una clínica dental, de estética, de fisioterapia o de psicología, y para la persona de recepción o administración que acaba usando las herramientas. No hace falta ser abogado. Hace falta saber qué es un dato de salud, qué normas lo protegen y qué usos de la IA quedan a cada lado de la línea.
Vas a encontrar las cuatro normas que importan, una tabla con lo que sí se puede hacer y otra con lo que no, cuándo hace falta una evaluación de impacto y por dónde empieza una clínica. Es el criterio que trabajamos en el programa de formación en IA in-company con equipos de clínicas: primero la norma, después la herramienta.
¿Qué dice la ley sobre los datos de salud y la IA?
Los datos de salud son una categoría especial de datos personales y su tratamiento está prohibido salvo en los casos que la ley enumera, entre ellos el consentimiento explícito y la asistencia sanitaria bajo secreto profesional. Cuatro normas lo concretan en España: el RGPD, la LOPDGDD, la Ley 41/2002 de autonomía del paciente y, desde 2024, el Reglamento de IA. La AEPD vigila su cumplimiento.
El artículo 9 del RGPD es el punto de partida. Define los datos relativos a la salud como categoría especial, prohíbe su tratamiento y abre excepciones en su apartado 2: consentimiento explícito de la persona, o fines de diagnóstico, asistencia o gestión sanitaria realizados por un profesional sujeto a secreto. Infringirlo es una de las conductas que el artículo 83.5 castiga con multas de hasta 20 M€ o el 4 % de la facturación anual mundial, la cifra que sea mayor.
La LOPDGDD desarrolla el RGPD en España. Su artículo 9 y su disposición adicional decimoséptima regulan los datos de salud, y su artículo 34 obliga a los centros sanitarios que llevan historias clínicas a nombrar un delegado de protección de datos, salvo los profesionales que ejercen a título individual.
La Ley 41/2002, de autonomía del paciente, fija la confidencialidad de los datos de salud (artículo 7), quién accede a la historia clínica y para qué (artículo 16) y su conservación, al menos cinco años desde el alta de cada proceso (artículo 17). Cualquier IA que toque la historia clínica respeta esos tres artículos o no entra.
La AEPD supervisa y sanciona, y publica guías sobre tratamientos con IA y sobre evaluaciones de impacto. El AI Act añade dos cosas: un sistema de IA dentro de un producto sanitario es de alto riesgo (anexo I), y cualquier sistema que converse con personas tiene que informar de que es una IA (artículo 50), desde el 2 de agosto de 2026.
| Norma | Qué regula | Qué implica para la IA en una clínica |
|---|---|---|
| RGPD, artículo 9 | Categoría especial de datos; prohibición con excepciones | Ningún dato de salud entra en una herramienta sin base jurídica, contrato y garantías |
| LOPDGDD, artículos 9 y 34 | Desarrollo español; delegado de protección de datos | La clínica necesita delegado y la decisión sobre cada herramienta pasa por él |
| Ley 41/2002, artículos 7, 16 y 17 | Intimidad, acceso y conservación de la historia clínica | La IA no accede a la historia clínica salvo dentro del software clínico y para fines asistenciales |
| AI Act, anexo I y artículo 50 | Alto riesgo en productos sanitarios; transparencia | Nada de diagnóstico con IA fuera de un producto sanitario; el chatbot avisa de que es una IA |
¿Qué sí puede hacer una clínica con IA?
Una clínica puede usar IA en todo lo que no toca datos de salud: recordatorios de cita que dicen fecha, hora y centro pero no tratamiento, peticiones de reseña tras la visita, contenido divulgativo que un profesional revisa antes de publicar, e informes internos sobre citas, ausencias y origen de pacientes con datos agregados. Son los cuatro usos que resuelven lo que más duele en recepción.
| Uso | Datos que toca | Por qué es viable | Condición |
|---|---|---|---|
| Recordatorio de cita | Nombre, teléfono, fecha, hora, centro | Son datos personales, no de salud; el motivo de la cita no viaja | Consentimiento para el canal; se monta sobre el software de citas |
| Petición de reseña | Nombre, teléfono o correo | Comunicación con un cliente tras el servicio | Sin mencionar tratamiento; la respuesta pública nunca confirma que alguien es paciente |
| Contenido divulgativo | Ninguno | Información general sobre tratamientos y prevención | Revisión de un profesional colegiado; sin casos reales identificables |
| Informes internos | Datos agregados: citas por semana, ausencias, origen | Los datos agregados que no identifican a nadie no son datos personales | Agregar antes de analizar; nunca una tabla con nombres en una IA |
| Redacción administrativa | Ninguno | Correos a proveedores, protocolos internos, plantillas | Política de uso escrita: qué no se pega en la herramienta |
El recordatorio es el caso que mejor ilustra la línea. «Tiene cita el martes a las 10:00 en Clínica X» lleva datos personales y requiere consentimiento para el canal, pero no lleva datos de salud. «Tiene cita el martes a las 10:00 para su implante» sí. Contamos cómo lo montamos sobre el software de citas en recordatorios de cita por WhatsApp.
En psicología, reproducción asistida o algunas especialidades de estética, ser paciente ya dice algo, y el texto y el consentimiento tienen que ser más sobrios todavía. La regla es que el mensaje lo pueda leer cualquiera que coja el móvil sin enterarse de nada.
Pedir reseñas tras la visita es una comunicación con un cliente; responderlas en público confirmando que esa persona estuvo en la clínica, o qué se le hizo, es revelar un dato de salud. La respuesta correcta agradece y ofrece seguir por un canal privado, sin confirmar nada. Los límites del contenido divulgativo están en contenido para clínicas y la ley.
Los informes internos son el uso con más retorno y menos riesgo: citas por semana, ausencias por franja horaria y origen de cada paciente nuevo, agregados en el software de citas antes de analizar nada. Lo describimos en dashboard para clínicas, y es la base de lo que trabajamos en el sector clínicas: SEO local, GEO y recordatorios de cita.
¿Qué no puede hacer una clínica con IA?
Una clínica no puede usar IA para diagnosticar ni recomendar tratamientos a pacientes, ni introducir datos de salud en herramientas de IA generativa sin contrato de tratamiento y garantías, ni gestionar pacientes desde el WhatsApp personal de un empleado. Los tres casos tienen la misma raíz: un dato de salud sale del circuito asistencial y entra en un sitio donde nadie controla qué pasa con él.
| Práctica | Norma que toca | Qué hacer en su lugar |
|---|---|---|
| Un chatbot que valora síntomas o propone tratamientos | Ley 41/2002 (la información asistencial corresponde al profesional); AI Act (alto riesgo en productos sanitarios) | Chatbot limitado a horarios, precios orientativos, cómo llegar y pedir cita; cualquier síntoma pasa a una persona |
| Pegar un informe, una radiografía o una historia en ChatGPT, Gemini o Copilot sin contrato | RGPD, artículos 9 y 28 (encargado del tratamiento) | Ningún dato de salud en IA generativa; para redactar, texto sin paciente; para analizar, software clínico con contrato |
| Quitar el nombre y pegar el resto | RGPD (seudonimizar no es anonimizar) | Fecha, edad, tratamiento y centro siguen identificando; se trabaja con datos agregados o no se hace |
| Atender pacientes desde el WhatsApp personal del equipo | RGPD (sin contrato con el proveedor, sin control de acceso, sin poder atender derechos); Ley 41/2002, artículo 7 | WhatsApp Business a través de un proveedor con contrato, consentimiento para el canal, cuentas de la clínica, no del empleado |
| Responder reseñas confirmando visita o tratamiento | RGPD, artículo 9; Ley 41/2002, artículo 7 | Agradecer y derivar a un canal privado sin confirmar nada |
El diagnóstico con IA existe y funciona en algunos campos, pero como producto sanitario: con certificación, fabricante responsable y un profesional que lo usa dentro del acto asistencial. Un chatbot que «orienta sobre tu caso» en la web de la clínica no es nada de eso: es un sistema sin certificación dando la información asistencial que la Ley 41/2002 reserva al profesional responsable.
En la versión gratuita de cualquier asistente de IA no hay contrato de encargado del tratamiento, no hay control sobre dónde se guardan los datos y puede haber uso para entrenar el modelo. En la versión de empresa hay contrato, pero sigue haciendo falta una base jurídica del artículo 9 y una evaluación de impacto. Nuestra regla con clínicas es más simple que la ley: ningún dato de salud entra en una IA generativa, con contrato o sin él.
El WhatsApp personal es el caso más frecuente y el que menos se percibe como problema. Los pacientes escriben al móvil de recepción, el móvil es de la persona y las conversaciones viven en su copia de seguridad; cuando esa persona se va o pierde el teléfono, la clínica no puede recuperar, borrar ni acreditar nada. La alternativa cuesta poco: una cuenta de WhatsApp Business de la clínica, a través de un proveedor con contrato, y los recordatorios automatizados desde ahí.
¿Cuándo hace falta una evaluación de impacto?
Una evaluación de impacto en protección de datos es obligatoria cuando un tratamiento puede suponer un alto riesgo para las personas, y el artículo 35 del RGPD cita como ejemplo el tratamiento a gran escala de categorías especiales. La AEPD publica una lista de criterios y considera que la obligación nace cuando el tratamiento cumple dos o más. Un uso de IA con datos de pacientes cumple varios.
Los criterios de la lista de la AEPD que una clínica cumple con facilidad: categorías especiales de datos, uso de tecnologías nuevas (la IA lo es), personas en situación de vulnerabilidad (un paciente frente a su clínica) y, si el sistema puntúa o clasifica, elaboración de perfiles. Un recordatorio de cita sin motivo no llega a dos criterios; un chatbot que recoge síntomas o un análisis de historias clínicas con IA, sí.
El artículo 35 del RGPD pide cuatro contenidos: descripción del tratamiento y sus fines, necesidad y proporcionalidad, riesgos para las personas y medidas para afrontarlos. La hace el responsable con el asesoramiento del delegado, antes de empezar el tratamiento, y se revisa cuando cambia algo.
La evaluación suele saltarse porque la herramienta «ya la usaba el equipo». El orden correcto es el contrario: inventario, decisión del delegado sobre cada herramienta y evaluación para las que la necesiten. Si concluye que el riesgo es alto y no se puede reducir, el artículo 36 obliga a consultar a la AEPD antes de seguir.
¿Por dónde empieza una clínica con la IA?
Una clínica empieza por un inventario de las herramientas que tocan datos de pacientes y por una política de uso escrita que diga qué entra en una IA y qué no. Después forma al equipo, firma los contratos con los proveedores que faltan y monta los dos primeros usos, recordatorios y reseñas, sobre el software de citas. La evaluación de impacto y el panel vienen después.
- Inventario. Qué herramientas usa el equipo, cuáles tocan datos de pacientes, cuáles tienen contrato y cuáles son cuentas personales. Suele salir una lista más larga de lo que dirección esperaba.
- Política de uso y formación. Seis horas con toda la plantilla: qué es un dato de salud, qué no se pega nunca en una IA, qué herramientas están aprobadas, cómo se responde una reseña. Cumple además el artículo 4 del Reglamento de IA, que obliga a la alfabetización en IA del personal desde febrero de 2025.
- Contratos y cuentas. Versión de empresa de los asistentes, WhatsApp Business de la clínica, contrato con cada proveedor. Cierre de las cuentas personales que atendían pacientes.
- Recordatorios y reseñas. Sobre el software de citas, con consentimiento para el canal, sin motivo en el texto.
- Evaluación de impacto. Para lo que la necesite, con el delegado, antes de encender nada que recoja síntomas o analice historias.
- Panel. Citas, ausencias y origen de cada paciente nuevo, con datos agregados.
Es la misma secuencia de por dónde empieza una pyme con la IA, con la norma sanitaria delante: dirección decide, el equipo se forma, se automatiza un proceso y se mide a los 60 días. En una clínica el primer paso es más largo, porque el inventario y la política no se pueden saltar.
Cuándo no hace falta contratar nada: si la clínica es un profesional solo, sin recepción, le basta con la versión de empresa de un asistente para redactar, un WhatsApp Business propio y la regla de no pegar nunca datos de pacientes. La formación y la evaluación de impacto son para cuando hay equipo, volumen y varias herramientas.
Hay más sobre esto en la sección de IA para marketing del blog.
Preguntas frecuentes
¿Puedo pegar un informe en ChatGPT si quito el nombre del paciente?
No. Quitar el nombre seudonimiza, no anonimiza: fecha, edad, tratamiento, centro y profesional siguen permitiendo identificar a la persona, así que sigue siendo un dato de salud y se aplica el artículo 9 del RGPD. Para redactar, se trabaja con texto sin paciente; para analizar, con datos agregados o dentro del software clínico.
¿Es legal mandar recordatorios de cita por WhatsApp?
Sí, con tres condiciones: consentimiento para ese canal, cuenta de WhatsApp Business de la clínica a través de un proveedor con contrato, y un texto que diga fecha, hora y centro sin el motivo de la cita. Desde el WhatsApp personal de un empleado, no.
¿Puede un chatbot de la web atender a los pacientes?
Puede atender lo administrativo: horarios, precios orientativos, cómo llegar, pedir o cambiar una cita. No puede valorar síntomas ni orientar sobre tratamientos, y tiene que avisar de que es una IA, como exige el artículo 50 del Reglamento de IA desde agosto de 2026. Cualquier mensaje con un síntoma pasa a una persona.
¿Necesita mi clínica un delegado de protección de datos?
Si la clínica está obligada a llevar historias clínicas y no es un profesional que ejerce a título individual, sí: lo fija el artículo 34 de la LOPDGDD. El delegado es quien decide sobre cada herramienta de IA que toque datos de pacientes y quien asesora en la evaluación de impacto.
—
Elena lleva la formación en IA en We Love SEO: prepara los programas para equipos, sobre procesos reales y no sobre ejercicios de manual. Más sobre ella en el equipo.
