Inteligencia artificial en clínicas y consultas: tareas, RGPD y AI Act

La inteligencia artificial en clínicas y consultas privadas pequeñas sirve, sobre todo, para quitar trabajo de gestión: la agenda y la cita online, los recordatorios por correo o SMS, las dudas repetidas de la web, el borrador de las notas, la facturación a mutuas y aseguradoras, las respuestas a reseñas y los informes del mes. No sirve para diagnosticar ni para decidir tratamientos: eso sigue siendo del profesional. Y como en una clínica casi todo son datos de salud, cada herramienta pasa antes por el RGPD, el contrato con el proveedor y, a menudo, una evaluación de impacto.

Esta guía es para consultas de fisioterapia, odontología, psicología, podología o nutrición con dos o tres profesionales y sin recepción: qué delegar, con qué riesgo, qué dicen la Agencia Española de Protección de Datos (AEPD) y el Reglamento europeo de IA, y un ejemplo.

¿Qué puede hacer la inteligencia artificial en una clínica pequeña?

En una clínica pequeña, la IA hace bien las tareas administrativas que se repiten cada día y que hoy se hacen entre paciente y paciente: dar y mover citas, avisar, contestar lo mismo una y otra vez, pasar notas a limpio y preparar papeles. Tienen reglas claras y una persona puede revisar el resultado.

Conviene separar dos tipos de herramienta, porque el riesgo cambia:

• Automatización con reglas. El recordatorio sale 48 horas antes, la factura se genera al cerrar la cita. Ejecuta lo definido; lo explicamos en automatización de procesos.
• Modelos de lenguaje. Entienden texto o voz y redactan: contestan dudas, resumen notas, proponen respuestas. Se equivocan y a veces inventan, así que necesitan límites y revisión.

Lo útil suele ser una mezcla: reglas para lo que no admite error (citas, facturas) y un modelo de lenguaje solo donde aporta. Antes, hace falta tener por escrito tarifas, horarios y política de cancelación, como contamos en preparar los datos de tu empresa antes de usar IA.

Lo que la IA no debe hacer en una consulta

La IA de gestión no debe diagnosticar, recomendar tratamientos, ajustar pautas ni decidir la prioridad clínica de un paciente. Son decisiones del profesional; un programa que las tomara entraría en el terreno de los productos sanitarios.

Límites que conviene escribir en las instrucciones de cualquier asistente:

• No contesta preguntas clínicas («¿es normal que me duela así?»): dice que lo valorará el profesional y ofrece cita.
• No clasifica urgencias: ante cualquier señal, da el 112 o el teléfono de la clínica.
• No escribe en la historia clínica sin revisión: un resumen es un borrador hasta que el profesional lo corrige y lo firma.
• No decide sobre pacientes: ni rechaza citas por ausencias ni cobra penalizaciones sin que alguien lo mire.

Estos límites, junto con qué herramientas se usan y con qué datos, encajan en una política de uso de IA en la empresa, aunque la empresa sean tres personas.

Tareas de gestión: beneficio y riesgo de cada una

Las tareas con más beneficio y menos riesgo son las que no tocan contenido clínico: agenda, recordatorios e informes. El riesgo sube cuando la herramienta oye o lee lo que pasa en la sesión. Tabla orientativa:

Tarea	Qué aporta	Riesgo principal	Control mínimo
Agenda y cita online	Menos llamadas para dar o mover citas	Huecos mal configurados	Conexión con la agenda real y reglas por tipo de sesión
Recordatorios por correo o SMS	Menos olvidos; huecos que se pueden recolocar	Revelar el motivo de la cita	Texto neutro, sin especialidad ni tratamiento
Chatbot de la web	Horarios, precios, ubicación, mutuas aceptadas	Que dé consejos de salud	Solo información de la clínica y aviso de IA
Transcripción y resumen de notas	Menos tiempo pasando notas a limpio	Audio de salud fuera de la clínica; errores	Consentimiento, contrato, revisión y borrado del audio
Facturación a mutuas y aseguradoras	Menos errores en liquidaciones	Enviar más datos de los necesarios	Solo lo que pide cada aseguradora
Respuesta a reseñas	Borradores rápidos y en buen tono	Confirmar en público que alguien es paciente	Plantillas sin datos y revisión
Informes de actividad	Ocupación y cancelaciones sin hojas manuales	Bajo con datos agregados	Sin nombres de pacientes

¿Cómo ayuda la IA con la agenda, la cita online y las ausencias?

La automatización ayuda con la agenda en tres frentes: el paciente reserva o cambia la cita por sí mismo, recibe un recordatorio con antelación y los huecos que se liberan se recolocan solos. Bajan las llamadas en mitad de las sesiones y las ausencias sin avisar; cuánto, solo se sabe midiéndolo.

1. Cita online conectada a la agenda real, con tipos de sesión y duraciones por profesional.
2. Recordatorio con confirmación uno o dos días antes, con enlace para confirmar, cambiar o anular; el cambio entra solo en la agenda.
3. Lista de espera: si alguien anula, se avisa a quien pidió adelantar su cita, en el orden que decida la clínica.
4. Resumen semanal de ausencias para que el profesional decida qué hacer. Decide una persona, no el programa.

Un detalle que se suele pasar por alto: el recordatorio lo puede leer otra persona en la pantalla de bloqueo del móvil. Lo prudente sería un texto neutro («Tienes cita el jueves a las 10:00. Confirma o cambia aquí»), sin tratamiento ni especialidad cuando esta revela algo, como en psicología. El artículo 5.1.c del RGPD recoge ese principio de minimización: solo los datos necesarios para cada finalidad.

Si el programa de gestión ya trae cita online y recordatorios, a menudo basta con configurarlos bien; más ejemplos en automatizar tareas administrativas en una pyme.

Chatbot en la web: dudas sí, consejos de salud no

Un chatbot en la web de la clínica puede contestar dudas no clínicas (horarios, cómo llegar, precio de la primera visita, mutuas aceptadas, cómo cancelar) y llevar a la cita online. No debería pedir síntomas, opinar sobre un caso ni recoger historial; ante una pregunta clínica, ofrece cita, y ante una urgencia, el 112.

Además, quien use el chat tiene que saber que habla con una IA, salvo que sea evidente. Lo exige a los proveedores de estos sistemas el artículo 50.1 del Reglamento (UE) 2024/1689 de Inteligencia Artificial, aplicable desde el 2 de agosto de 2026 según su artículo 113. Un mensaje de bienvenida como «Soy el asistente automático de la clínica; puedo resolver dudas sobre citas y horarios, no sobre tu salud» cubre a la vez el aviso y el límite. Esto es información general; para tu caso concreto, consulta con un profesional (tu asesoría, un abogado o tu delegado de protección de datos).

Más detalle en chatbot con IA para empresas. También existen asistentes para canales de mensajería; el criterio es el mismo: información general sí, salud no.

¿Se pueden transcribir y resumir las sesiones con IA?

Se puede, pero es la tarea con más riesgo de esta lista, porque la herramienta oye todo lo que se dice en la sesión. Si se hace, lo prudente sería informar antes al paciente, pedirle su consentimiento expreso para grabar y dejarle negarse sin consecuencias, firmar contrato con el proveedor, borrar el audio en cuanto exista la nota y que el profesional revise cada resumen antes de guardarlo.

Una alternativa con mucho menos riesgo: que el profesional dicte sus notas al terminar, sin grabar al paciente, y la herramienta las pase a texto y las ordene.

Si el audio sale del Espacio Económico Europeo, entran en juego las transferencias internacionales del capítulo V del RGPD (artículos 44 a 49). Para no sacarlo de la clínica se puede transcribir en un ordenador propio; ventajas y límites, en IA local frente a la nube.

Facturación a mutuas y aseguradoras, reseñas e informes

La facturación a mutuas y aseguradoras encaja bien con la automatización porque sigue reglas fijas (acto, código, tarifa, autorización): se prepara la liquidación del mes, se cruza cada sesión con su autorización y se avisa de las que faltan. La persona revisa y envía.

El cuidado está en mandar a cada aseguradora solo lo que pide para pagar. El artículo 9.2 de la Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD) prevé que una norma con rango de ley ampare el tratamiento de datos de salud cuando lo exija la gestión de servicios sanitarios privados o la ejecución de un contrato de seguro del que el paciente sea parte; en general, se entendería que eso cubre lo necesario para la liquidación, no el informe completo. Si hay que digitalizar volantes y consentimientos en papel, ayuda un escáner con alimentador.

Reseñas. La IA puede proponer una respuesta en buen tono, pero la respuesta no debería confirmar que quien escribe es paciente ni mencionar su tratamiento, aunque lo haya contado él. El artículo 5 de la LOPDGDD fija el deber de confidencialidad de quienes tratan datos personales. Una plantilla del tipo «Gracias por tu comentario; escríbenos y lo vemos en privado» y una revisión antes de publicar suelen bastar.

Informes. Los de gestión (ocupación, cancelaciones, facturación pendiente por mutua) pueden salir solos cada lunes con datos agregados. En los informes para pacientes, la IA da formato; el contenido clínico es del profesional.

¿Por qué los datos de salud son una categoría especial del RGPD?

Los datos de salud son una categoría especial porque el RGPD los considera especialmente sensibles y, de entrada, prohíbe tratarlos salvo en los casos que enumera. El artículo 4.15 del RGPD los define como los datos relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud. En una consulta incluye el motivo de la cita, las notas o el hecho de ser paciente de un psicólogo.

El artículo 9 del RGPD levanta esa prohibición, entre otros casos, cuando el tratamiento es necesario para el diagnóstico o la asistencia sanitaria, o en virtud de un contrato con un profesional sanitario (apartado 2.h), siempre que lo trate un profesional sujeto a secreto profesional (apartado 3). Según se interprete, esa base cubriría la historia clínica y la gestión de la asistencia, pero no necesariamente usos nuevos como grabar la sesión o enviar el audio a un tercero, que es donde suele recomendarse el consentimiento expreso.

La AEPD lo explica para el sector en su Guía para profesionales del sector sanitario: quién es responsable, cuándo hay encargados, quién accede a la historia clínica y qué obligaciones hay (registro de actividades, brechas, evaluación de impacto, delegado). Esto es información general; para tu caso concreto, consulta con un profesional (tu asesoría, un abogado o tu delegado de protección de datos).

El proveedor de IA como encargado del tratamiento

Cuando una herramienta externa trata datos de pacientes por cuenta de la clínica (agenda en la nube, transcripción, chatbot, facturación), ese proveedor es encargado del tratamiento y hace falta un contrato con él. El artículo 28 del RGPD exige que conste por escrito y que fije, entre otras cosas, que el encargado solo trata los datos siguiendo instrucciones documentadas del responsable, con confidencialidad, medidas de seguridad y autorización previa para subcontratar. Su apartado 10 añade que, si el encargado infringe el Reglamento al determinar los fines y medios del tratamiento, será considerado responsable de ese tratamiento.

Con la IA, ese apartado importa por una razón: el uso de los datos para entrenar o mejorar el modelo. Si las condiciones del servicio permiten usar las conversaciones o el audio de tus pacientes para mejorar el producto, el proveedor estaría tratándolos para sus propios fines. Lo que convendría comprobar antes de contratar:

• Que hay contrato de encargado (a menudo llamado DPA) y que cubre datos de salud.
• Que los datos no se usan para entrenar modelos, o que se puede excluir por contrato.
• En qué países se procesan y qué subencargados intervienen.
• Cuánto se guardan audio, transcripciones y conversaciones, y cómo se borran.

Si un servicio de serie no admite cambios en estos puntos, a veces compensa una solución montada sobre los programas de la clínica; los criterios están en agente de IA a medida o herramienta de serie.

¿Hace falta una evaluación de impacto o un delegado de protección de datos?

Una evaluación de impacto (EIPD) podría ser necesaria en muchos casos al añadir IA al tratamiento de datos de pacientes, y una clínica con varios profesionales probablemente necesite delegado de protección de datos (DPD), según cómo esté organizada.

Evaluación de impacto. El artículo 35 del RGPD la exige cuando un tratamiento entraña probablemente un alto riesgo, en particular el tratamiento a gran escala de categorías especiales, y su considerando 91 aclara que no es gran escala el tratamiento de datos de pacientes que hace un solo médico u otro profesional de la salud. Aun así, la lista de la AEPD de tratamientos que requieren evaluación de impacto indica que será necesaria en la mayoría de los casos que reúnan dos o más de sus criterios, entre ellos usar categorías especiales de datos (criterio 4) y usar nuevas tecnologías o un uso innovador de las existentes (criterio 10). Según esa lista, transcribir sesiones con IA podría reunir los dos. La propia AEPD ofrece herramientas gratuitas para este análisis, como Gestiona EIPD.

Delegado de protección de datos. El artículo 34.1.l de la LOPDGDD obliga a designarlo a los centros sanitarios legalmente obligados a mantener historias clínicas, y exceptúa a los profesionales que ejercen a título individual. La guía de la AEPD para profesionales sanitarios añade que, cuando varios profesionales trabajan juntos, pueden ser responsables cada uno de sus pacientes o corresponsables, según quién decida fines y medios. Una sociedad con tres profesionales se parecería más a un centro; tres autónomos que comparten local, quizá no. Conviene resolverlo con un profesional antes de montar nada.

¿Afecta el Reglamento de IA (AI Act) a una clínica?

En general, el Reglamento europeo de IA afecta poco a una clínica con herramientas de gestión: agenda, recordatorios o facturación no son usos de alto riesgo, y lo que le toca es el aviso de IA del chatbot. Cambia si la herramienta tiene finalidad médica, porque entonces es un producto sanitario.

El Reglamento (UE) 2017/745 sobre los productos sanitarios incluye en su definición los programas informáticos destinados a fines como el diagnóstico, la prevención, el seguimiento, el pronóstico o el tratamiento de una enfermedad, y su regla 11 clasifica como mínimo en clase IIa el software que da información para decisiones diagnósticas o terapéuticas. A su vez, el artículo 6.1 y el anexo I del Reglamento (UE) 2024/1689 consideran de alto riesgo los sistemas de IA cubiertos por esa norma que necesitan evaluación de un organismo externo. El Reglamento (UE) 2026/1744, el «Ómnibus digital sobre IA» publicado el 24 de julio de 2026, fijó que esas obligaciones se apliquen desde el 2 de agosto de 2028, y las de los sistemas del anexo III, desde el 2 de diciembre de 2027.

Tipo de herramienta	Qué normas le tocarían, en general	Qué implica para la clínica
Agenda, cita online, recordatorios, facturación	Protección de datos; no es IA de alto riesgo	Contrato de encargado, minimización, seguridad
Chatbot de la web	Protección de datos y transparencia del Reglamento de IA	Avisar de que es una IA desde el primer mensaje
Transcripción y resumen de notas	Protección de datos y normas de historia clínica	Consentimiento, revisión, posible evaluación de impacto
Software que propone diagnósticos o tratamientos	Normativa de productos sanitarios y, si procede, alto riesgo	Comprobar el marcado CE y seguir las instrucciones del fabricante

Ojo con la frontera: una herramienta de notas que además «sugiere» diagnósticos ya no sería solo de gestión. El resto de obligaciones del Reglamento está en Ley de IA en Europa: qué obliga ya a tu pyme. Esto es información general; para tu caso concreto, consulta con un profesional (tu asesoría, un abogado o tu delegado de protección de datos).

Ejemplo: una clínica de tres profesionales sin recepcionista

Un ejemplo hipotético: dos fisioterapeutas y una dietista-nutricionista, sin recepción, con la agenda en un programa en la nube y las llamadas cogidas entre paciente y paciente. Lo razonable sería empezar por lo que no toca la sesión y dejar lo clínico para el final, o no hacerlo.

Fase	Qué se monta	Quién revisa
1. Agenda	Cita online con tipos de sesión y duraciones por profesional	Cada profesional, sus huecos, la primera semana
2. Recordatorios	Correo y SMS dos días antes con enlace para confirmar o cambiar; lista de espera	Una persona, el resumen de ausencias cada viernes
3. Web	Chatbot con horarios, precios, mutuas y enlace a la cita, con aviso de IA	Lectura semanal de conversaciones el primer mes
4. Facturación	Liquidación mensual por mutua, con aviso de autorizaciones que faltan	Quien lleva la administración, antes de enviar
5. Notas (opcional)	Dictado de notas al terminar, sin grabar al paciente	Cada profesional, antes de guardarlas

Antes de las fases 3 y 5, la clínica revisaría con su DPD o asesoría los contratos, el registro de actividades y la evaluación de impacto. Si los consentimientos se firman en papel y luego se escanean, una tableta de firma ahorra un paso.

El coste depende de lo que ya haga el programa de gestión y de cuántas piezas conectar; ver cuánto cuesta implantar inteligencia artificial en una empresa.

¿Cuándo no compensa usar IA en una consulta?

La IA no compensa en una consulta cuando el volumen es bajo, cuando el programa de gestión ya resuelve la tarea o cuando el riesgo para los datos de los pacientes pesa más que el tiempo que ahorra.

• Pocas citas y pocas llamadas: montar y vigilar un sistema nuevo no se recupera.
• El programa ya lo hace: activar bien lo que trae suele ser el primer paso.
• Proveedor sin contrato de encargado o que usa los datos para entrenar: con datos de salud, no debería ser una opción.
• Pacientes vulnerables (menores, salud mental) en tareas que tocan la sesión: suman riesgo y grabar es poco recomendable.
• Nadie para revisar: el error llega al paciente.

Por dónde empezar

Lo prudente es empezar por una sola tarea que no toque la sesión, normalmente los recordatorios con confirmación, medirla un mes y solo entonces pasar a la siguiente.

1. Apunta dos semanas cuántas llamadas y mensajes llegan, de qué tipo, y cuántas citas se pierden sin aviso.
2. Mira qué trae tu programa de gestión y actívalo antes de contratar nada.
3. Revisa con tu DPD o asesoría el registro de actividades, los contratos de encargado y la evaluación de impacto.
4. Escribe los límites: diagnosticar, valorar urgencias o publicar sin revisión quedan fuera.
5. Prueba un mes y decide con datos si se amplía.

Un SAI pequeño evita que un corte de luz deje la consulta sin agenda ni router a media mañana.

Si quieres ver qué tareas de tu clínica tendría sentido automatizar y cómo se conectarían con el programa que ya usáis, puedes contarnos cómo trabajáis y lo vemos en un diagnóstico gratuito de una hora, sin compromiso. Si prefieres empezar por lo general, en inteligencia artificial para empresas explicamos qué puede hacer la IA y qué no.