¿Puedo usar IA con datos de pacientes?

La escribo desde un sitio poco habitual: me dedico a desarrollar sistemas de inteligencia artificial para diagnóstico y a certificarlos como productos sanitarios en Europa. O sea, que el marco normativo que a ti te preocupa es el que yo tengo que cumplir a diario.

Aviso. Esto orienta, no sustituye al asesoramiento jurídico ni a lo que diga tu servicio, tu comité de ética o tu delegado de protección de datos. Si tienes duda con un caso concreto, pregunta ahí.

Solo uno de los tres da problemas de verdad

Para decidir si puedes usar una herramienta de IA con algo, lo primero es mirar qué es exactamente ese algo. La mayoría de las dudas que me llegan se resuelven aquí, antes de hablar de herramientas.

01 Datos personales

Es el único de los tres que da problemas de verdad, y es más amplio de lo que parece. Está el caso obvio, el que lleva nombre, DNI, número de historia o fechas exactas. Pero está también uno que casi nadie cuenta: el caso clínico detallado al que le has quitado el nombre. Si la combinación de edad, sexo, hospital, fecha aproximada y diagnóstico apunta a una sola persona, sigue siendo un dato personal aunque no aparezca ningún identificador.

Y está, sobre todo, el dato seudonimizado, ese en el que has sustituido los identificadores por un código. Seudonimizar no es anonimizar. Si existe una clave que permite deshacerlo, aunque no la tengas tú, el dato sigue siendo personal y el reglamento sigue aplicando entero (artículo 4.5 y considerando 26 del RGPD). Es el malentendido que veo más veces, y el que más veces acaba en un problema, porque la gente cree que ya ha resuelto el asunto.

Añade que los datos de salud son categoría especial (artículo 9), lo que significa que su tratamiento parte de estar prohibido y necesita una habilitación expresa. No es un detalle formal: es la razón por la que aquí no vale el “total, si no se lo doy a nadie”.

02 Datos anonimizados de verdad

Si la anonimización es correcta, el RGPD deja de aplicar (considerando 26) y todo lo demás cambia. El problema está en la palabra correcta. La referencia que se usa son tres pruebas: que no se pueda singularizar a una persona, que no se puedan vincular dos registros de la misma persona, y que no se pueda inferir un atributo que no estaba en el dato (Grupo de Trabajo del Artículo 29, opinión 05/2014, reafirmada después por el Comité Europeo de Protección de Datos).

En datos clínicos ricos, pasar las tres es difícil de verdad. Borrar columnas no es anonimizar, y el k-anonimato protege de la primera prueba pero no de la tercera. Mi recomendación práctica: si no eres capaz de explicar por qué tu anonimización pasa las tres pruebas, trata los datos como seudonimizados y te ahorras el problema. No es cobardía, es que la carga de demostrarlo es tuya.

03 Todo lo que no es dato de paciente

Casos inventados, casos generalizados hasta que no apuntan a nadie, conjuntos de datos públicos o sintéticos, literatura, código, tus propios ejercicios. Aquí el reglamento no entra y la conversación es otra: las licencias del conjunto de datos que uses, y tu criterio profesional.

Dos cautelas, que son justo las que se saltan. Con enfermedades raras o combinaciones poco frecuentes, generalizar no basta: un caso "anonimizado" de una patología de la que hay tres en tu comunidad autónoma no está anonimizado. Y si el caso está inspirado en un paciente concreto, la pregunta útil no es si lo reconocería un desconocido, es si lo reconocería un compañero tuyo.

Lo que sí puedes hacer hoy

Casi todo lo que un profesional sanitario quiere resolver con estas herramientas cae en el tercer tipo de dato, así que no necesita el visto bueno de nadie. Y no es poco:

• Trabajar con literatura. Buscar, resumir, contrastar, preparar una revisión, entender un método estadístico que no habías visto antes. No hay ningún dato de paciente en juego.
• Preparar docencia. Construir casos, generar variantes de uno ya generalizado, montar preguntas de evaluación, diseñar el itinerario formativo de un residente.
• Quitarte trabajo administrativo que no lleva datos. Plantillas, guiones, correos, la documentación de un proceso, la estructura en blanco de un informe.
• Pensar en voz alta sobre un caso inventado. Explorar un diagnóstico diferencial hipotético, contrastar tu razonamiento, buscar lo que no habías considerado.
• Aprender. Probar las herramientas, ver qué hacen bien y qué hacen mal, con conjuntos de datos públicos o sintéticos. Revisa la licencia: algunos de los más usados exigen registro o limitan el uso comercial.

Con tres límites que van con todo lo anterior y que no dependen de la protección de datos, sino de tu profesión.

El resultado no es una fuente. Un modelo de lenguaje puede afirmar con total seguridad algo que se acaba de inventar, y lo hace justamente con lo que suena plausible. Cualquier afirmación factual hay que contrastarla contra una fuente reconocida antes de usarla.

Lo que usas para pensar no entra en la historia clínica. La documentación oficial se genera por los canales de tu centro. Un texto producido por una herramienta que nadie ha validado no puede formar parte del historial sin que tú lo hayas revisado y lo asumas como tuyo.

La responsabilidad no se delega. Ni el reglamento ni el criterio de la herramienta cambian que la decisión, y su justificación, son tuyas (Ley 44/2003 y código deontológico).

Y una cosa más, que es la que suele sorprender: aunque el caso sea inventado, si estás usando una herramienta externa en el curso de la atención a un paciente real, tu centro puede tener una política sobre eso y merece la pena conocerla. No es una infracción, es evitarte una conversación incómoda más adelante.

El checklist de antes de pegar cualquier cosa

Esto es lo que hago yo, y cabe en lo que tarda en cargar la página.

1. Lee lo que vas a pegar, no lo que crees que vas a pegar. Casi siempre queda una fecha exacta, un número de historia o el nombre de un centro que no habías visto.
2. Pregúntate si eso identifica a alguien por combinación, no por nombre. Si tu respuesta honesta es “con esos datos y sabiendo el servicio, sí”, es un dato personal y estás en el tipo 1.
3. Mira con qué cuenta lo estás haciendo. La pregunta no es qué herramienta usas, es si existe un contrato entre tu centro y esa herramienta. Un plan de pago tuyo no es un contrato de tu hospital.
4. Decide antes qué vas a hacer con el resultado. Si va a acabar en la historia clínica o en un informe con tu firma, el listón sube y la revisión deja de ser opcional.
5. Si alguna de las cuatro te ha hecho dudar, tienes tres salidas. Usar la herramienta corporativa que tenga aprobada tu centro, generalizar el caso hasta que ni tú reconozcas al paciente, o preguntar: delegado de protección de datos, comité de ética o el servicio de informática. Preguntar no cuesta nada, y deja constancia de que preguntaste.

Y el recordatorio de siempre, ahora que ya tienes el checklist: esto orienta. Si el caso es dudoso y la decisión tiene consecuencias, la respuesta buena viene de tu delegado de protección de datos o de tu comité, no de una guía en internet.

Quédate con lo importante

Si solo te llevas una idea: la pregunta no es si la herramienta es segura, es si el dato que le vas a dar sigue siendo identificable. Casi todos los problemas empiezan ahí.