RGPD y agentes de IA en clínicas: qué tiene que cumplir un asistente que atiende a pacientes en España

Si tienes una clínica, la primera duda al oír «una IA que contesta a los pacientes» es qué pasa con sus datos. Aquí tienes qué exige la norma y qué preguntar al proveedor antes de firmar.

Aviso: esto es información general, no asesoramiento jurídico. Revisa tu caso con tu delegado de protección de datos o con tu asesor.

¿Puede una clínica usar un agente de IA para atender a pacientes?

Sí, si la clínica sigue al mando de los datos y el proveedor trabaja con contrato. El RGPD no prohíbe que una IA conteste: regula quién responde de los datos y con qué garantías. La AEPD tiene una guía de introducción para adecuar al RGPD los tratamientos que incorporan IA.

Los papeles son dos:

• Tú eres el responsable del tratamiento. Los datos son de tu clínica y tú decides para qué se usan.
• Quien monta o gestiona el agente es el encargado. Solo trata los datos siguiendo tus instrucciones y con un contrato de encargo (artículo 28 del RGPD).

¿Qué datos de un paciente son datos de salud?

Son datos de salud los que revelan información sobre el estado de salud físico o mental de una persona, incluida la prestación de servicios de atención sanitaria. El artículo 9 del RGPD los trata como categoría especial: su tratamiento está prohibido salvo que se dé una de las excepciones que recoge, como el consentimiento explícito o la prestación de asistencia sanitaria.

En la práctica, un mensaje como «quiero cita para revisar un implante» ya dice algo de la salud de quien lo escribe. Por eso conviene que el agente trate lo mínimo:

• Lo que sí contesta: huecos, horarios, precios que tú le des, y confirmar, mover o recordar citas.
• Lo que no toca: nada clínico. No diagnostica ni da consejo médico: avisa y pasa la conversación a una persona.
• Lo que se ajusta: al ser categoría especial, la conservación y el acceso.

Así lo montamos en el agente de WhatsApp con IA y en los proyectos para clínicas.

¿Qué contrato tiene que firmar el proveedor del agente?

Un contrato de encargado del tratamiento, por escrito y antes de empezar. El artículo 28.3 del RGPD dice qué debe recoger; la AEPD publica unas directrices para redactarlo.

1. Que el encargado solo trata los datos siguiendo tus instrucciones documentadas.
2. Que quien trabaja con ellos guarda confidencialidad.
3. Las medidas de seguridad que aplica.
4. Qué subencargados usa, y que no añade otros sin tu autorización.
5. Que te ayuda a atender los derechos de los pacientes y a gestionar una brecha de seguridad.
6. Que al terminar te devuelve los datos o los borra, como elijas.

VitalCore Agency lo firma antes de empezar, sin uso de datos de pacientes para entrenar modelos.

¿Dónde se guardan los datos y qué proveedores los tratan?

Depende de cada sistema, y tienes que saberlo antes de montar nada. Pide la lista de proveedores con el país donde tratan los datos.

En los proyectos de VitalCore Agency, el sistema vive en servidores en la Unión Europea. Algunos proveedores pueden tratar datos fuera de la UE: el de la voz (Retell AI), en Estados Unidos con el Data Privacy Framework UE-EE. UU. o las cláusulas contractuales tipo de la Comisión Europea, y el del modelo de lenguaje. Se dice cuáles intervienen antes de montar nada. El detalle está en seguridad.

¿Tiene que decir el asistente que es una IA?

Sí. El artículo 50.1 del Reglamento (UE) 2024/1689 exige que los sistemas de IA que interactúan directamente con personas se diseñen para que esas personas sepan que hablan con una IA. El Reglamento es aplicable desde el 2 de agosto de 2026.

La recepcionista de voz con IA que montamos:

• Dice que es una inteligencia artificial en su primera frase.
• En esa misma frase avisa de que la llamada se graba.

En WhatsApp, el asistente se identifica como tal en el primer mensaje.

¿Puede el agente llamar a pacientes?

Depende de para qué llame. Si la llamada tiene un fin comercial, como una promoción o recuperar a quien dejó de venir, hay reglas propias:

• Consentimiento previo. El artículo 66.1 de la Ley General de Telecomunicaciones reconoce el derecho a no recibir llamadas comerciales automáticas sin intervención humana sin haberlo consentido antes.
• Horario. El artículo 96.2 del texto refundido de consumidores prohíbe las llamadas comerciales antes de las 9 horas, después de las 21 horas y en festivos o fines de semana.
• Oposición. El mismo artículo 96 reconoce el derecho a oponerse a recibir ofertas comerciales por teléfono.

En los sistemas que montamos, cada consentimiento se guarda con fecha, texto exacto y versión, y quien pide que no le llamen más entra en una lista de exclusión. Si un recordatorio de cita cuenta o no como comunicación comercial es justo lo que debes consultar con tu asesor.

¿Hace falta una evaluación de impacto o un delegado de protección de datos?

Puede hacer falta, y valorarlo le toca a la clínica como responsable. El artículo 35 del RGPD pide una evaluación de impacto cuando el tratamiento entraña un alto riesgo, en particular si usa nuevas tecnologías o trata a gran escala categorías especiales. La AEPD publica una lista de criterios: si tu tratamiento cumple dos o más, en la mayoría de los casos hay que hacerla.

Sobre el delegado: la Ley Orgánica 3/2018 obliga a designarlo a los centros sanitarios que deben mantener historias clínicas. Quedan fuera los profesionales de la salud que ejercen a título individual.

¿Qué preguntas tienes que hacer al proveedor antes de firmar?

Estas ocho. Si alguna respuesta es vaga o no llega por escrito, es una señal.

¿Quieres repasar estas preguntas con tu caso delante? En una llamada de 30 minutos te decimos qué proveedores usaría tu sistema y dónde tratan los datos, antes de montar nada. Reserva tu llamada.