Usar inteligencia artificial con datos de pacientes: qué puedes compartir y qué te expone legalmente

El riesgo que casi nadie está midiendo

Cuando cargas una historia clínica en una versión pública de ChatGPT, Claude o Gemini, esa información queda alojada en un servidor de un tercero. No controlas dónde se almacena, cuánto tiempo permanece, ni con qué finalidad se procesa.

En Estados Unidos, la información de salud identificable está protegida por HIPAA. Una organización sanitaria solo puede compartir esa información con un proveedor tecnológico si existe un acuerdo de socio comercial (Business Associate Agreement, BAA) firmado. Las versiones públicas y gratuitas de los modelos generales no ofrecen ese acuerdo.

Traducido a consecuencias prácticas: subir datos identificables de pacientes a una herramienta de IA de consumo puede constituir una brecha de confidencialidad con implicaciones legales para el profesional y para la institución.

El test del correo electrónico

Existe un criterio de decisión que funciona en dos segundos y que cualquier profesional puede aplicar sin ser experto en normativa:

¿Enviarías este dato por un correo electrónico que pudiera ser interceptado, hackeado o leído por cualquier persona?

Si la respuesta es no, tampoco se lo entregues a una inteligencia artificial pública.

Hay información que nunca enviarías por email: la compartirías presencialmente o por la red interna de la institución. Esa misma información no debe salir hacia un modelo público. El filtro es intuitivo y sorprendentemente fiable.

Cómo trabajar correctamente: la regla del paciente ficticio

El método demostrado en el Summit permite aprovechar toda la potencia clínica de la herramienta sin exponer a nadie:

Los datos clínicos pueden ser reales. Los identificadores, nunca.

En la práctica:

✅ Sí puedes compartir: edad, sexo, comorbilidades, medicación, alergias documentadas, hallazgos de examen físico, resultados de laboratorio, procedimiento programado.

❌ Nunca compartas: nombre, número de identificación o historia clínica, fecha exacta de nacimiento, dirección, teléfono, correo, número de seguro, imágenes con datos visibles.

Y una indicación explícita al inicio de la consulta: «paciente ficticio» o «paciente anónimo». Los datos clínicos que aportas siguen siendo útiles para el razonamiento; los identificadores no aportan nada al análisis.

El mismo principio aplica al ámbito administrativo. Para generar un cuadro de turnos o una nómina, sustituye los nombres por trabajador 1, trabajador 2, trabajador 3. Cuando recibas el documento —descargable y editable—, reemplaza los marcadores por los nombres reales. La herramienta nunca vio un dato personal.

Herramientas avaladas frente a herramientas de consumo

No todas las plataformas están en la misma situación regulatoria.

Herramientas clínicas dedicadas como Microsoft Dragon Copilot o Abridge fueron diseñadas específicamente para el entorno sanitario: cifrado avanzado, controles de acceso, integración con historia clínica electrónica y el marco contractual necesario para operar con información protegida. Pueden escuchar la conversación médico-paciente y generar la nota clínica automáticamente.

Modelos generales como ChatGPT, Claude o Gemini requieren, para uso con información protegida, un acuerdo específico con el proveedor —Anthropic, OpenAI o Google, según el caso— y una configuración empresarial conforme. No es algo que se active marcando una casilla: exige trámites institucionales previos.

Conclusión operativa: si tu institución no ha firmado nada, trabaja siempre anonimizando.

El límite del uso con fines clínicos directos

Hay una segunda dimensión ética que se abordó en el Summit y que suele ignorarse.

Los modelos generales incorporan advertencias explícitas cuando se les solicita orientación médica, y en ocasiones se niegan directamente a responder para evitar un uso indebido. La razón es evidente: cualquier persona sin formación podría obtener una pauta terapéutica y actuar sobre ella.

Cuando un profesional consulta con fines educativos o de apoyo al razonamiento, conviene declararlo así. Pero el límite debe quedar claro: la responsabilidad clínica no es delegable. «Me lo dijo la IA» no constituye justificación de ninguna decisión médica.

Y otro tanto vale para la información institucional: contratos, costos, inventarios, datos financieros. Tampoco esos datos sensibles deben salir hacia una herramienta pública sin las autorizaciones correspondientes.

Preguntas frecuentes

¿Es ilegal usar ChatGPT en el ámbito sanitario?

No. Lo que resulta problemático es cargar información de salud identificable en versiones sin acuerdo de socio comercial. Con datos anonimizados, el uso es perfectamente viable.

¿Qué es un acuerdo de socio comercial (BAA)?

Un contrato entre una entidad sanitaria y un proveedor tecnológico que regula el tratamiento de información protegida y establece responsabilidades. Es el requisito para trabajar con datos identificables.

¿Basta con quitar el nombre del paciente?

No siempre. La normativa identifica múltiples elementos que permiten reidentificar a una persona: fechas exactas, direcciones, números de expediente, datos poco frecuentes. Elimina todos.

¿Puedo grabar la consulta con el paciente para generar la nota?

Solo con herramientas diseñadas para ello, con el marco contractual correspondiente y con el consentimiento del paciente conforme a la política de tu institución.

¿Qué hago si ya subí datos de pacientes a una herramienta pública?

Notifícalo al responsable de cumplimiento de tu institución. Los protocolos de gestión de incidentes existen precisamente para eso, y la notificación temprana siempre reduce el impacto.

Conclusión

Usar inteligencia artificial con datos de pacientes de forma responsable no exige conocimientos jurídicos avanzados: exige un hábito. Anonimizar antes de consultar. Aplicar el test del correo electrónico. Distinguir entre herramienta avalada y herramienta de consumo. Y no delegar jamás la responsabilidad clínica.

La confidencialidad que el paciente deposita en ti no cambia porque el interlocutor sea una máquina. Sigue siendo el fundamento de la relación asistencial.

La Maestría en Administración de Servicios de Salud de Atlantis University aborda la gobernanza, el cumplimiento normativo y la aplicación ética de la inteligencia artificial en organizaciones sanitarias, en formato bilingüe y 100 % online.

👉 Agenda tu asesoría gratuita con un asesor académico

Descargo de responsabilidad: este contenido tiene fines informativos y educativos y no constituye asesoría legal ni sustituye la consulta con un profesional del derecho o con el área de cumplimiento de su institución. La normativa de privacidad sanitaria varía según la jurisdicción y evoluciona con el tiempo, y su aplicación depende de las circunstancias concretas de cada organización. Antes de utilizar cualquier herramienta de inteligencia artificial con información de salud protegida, consulte a su responsable de cumplimiento normativo. Atlantis University no se hace responsable de las decisiones adoptadas a partir de esta información. Las herramientas mencionadas se citan a título ilustrativo, sin vínculo comercial ni respaldo. Información vigente a la fecha de publicación.

Become a student at Atlantis University