Ley IA en sanidad: diagnóstico asistido y triaje IA bajo el AI Act

Por qué el AI Act afecta especialmente al sector sanitario

El Reglamento (UE) 2024/1689 sitúa a la sanidad en el centro de la regulación por dos vías. Primera: Anexo III punto 5 incluye servicios esenciales como alto riesgo. Segunda: Anexo I lista la IA incorporada en dispositivos médicos bajo el Reglamento MDR (UE) 2017/745, que también se considera alto riesgo.

Esto obliga a hospitales, clínicas privadas, centros de diagnóstico por imagen, laboratorios y residencias con triaje IA a coordinar el cumplimiento del AI Act con la normativa sanitaria existente (AEMPS, MDR, RGPD sanitario).

Sistemas de IA sanitaria afectados

Casos típicos en centros sanitarios españoles que caen bajo alto riesgo AI Act:

• Diagnóstico asistido por imagen: radiología con IA, dermatología (Legit.Health, MDW), oftalmología (Optain, RetinAI), patología digital.
• Triaje automatizado en urgencias y atención primaria (Mediktor, Infermedica, Ada Health).
• Sistemas de apoyo a decisión clínica (CDSS) con IA generativa.
• Análisis predictivo de riesgo de readmisión, sepsis o mortalidad.
• Gestión de listas de espera y priorización con IA.
• Copiloto de historia clínica con IA generativa (Nuance DAX, Doctovox, Fleeca).

Doble cumplimiento: AI Act + MDR + AEMPS

La mayoría de sistemas de IA sanitaria son simultáneamente dispositivos médicos bajo MDR y sistemas de alto riesgo bajo AI Act. Esto requiere:

• Marcado CE como dispositivo médico bajo MDR/IVDR con la clase correspondiente.
• Declaración de conformidad AI Act que se superpone al MDR.
• Registro en la base de datos de la UE para sistemas de alto riesgo.
• Evaluación clínica y post-market surveillance combinadas.
• Notificación de incidentes a AEMPS + AESIA.

Obligaciones concretas para centros sanitarios

El centro sanitario no es el fabricante del sistema pero sí es deployer bajo AI Act. Esto implica:

• Inventario de sistemas IA utilizados, diferenciando los de fabricantes con marcado CE de los desarrollados internamente.
• Supervisión humana efectiva: ningún diagnóstico puede basarse exclusivamente en la IA (Art. 14).
• Información al paciente sobre el uso de IA en su atención (transparencia, Art. 13 + consentimiento informado sanitario).
• Registro de actividad y auditoría (Art. 12) compatible con la historia clínica electrónica.
• Formación específica del personal sanitario en IA (Art. 4 ya en vigor desde febrero 2025).
• Evaluación de impacto en derechos fundamentales (FRIA) por ser servicio esencial.

Residencias de mayores y AI Act: caso específico

Las residencias de mayores que usan IA para triaje, detección de caídas con visión artificial, monitorización de signos vitales o comunicación con familias también están bajo el radar del AI Act.

Aunque no todos estos sistemas son alto riesgo (la detección de caídas por sí sola puede ser riesgo limitado), la combinación con datos sensibles de personas vulnerables obliga a extremar el cumplimiento: FRIA obligatoria, supervisión humana reforzada y transparencia con familias y residentes.

Checklist para hospitales y clínicas antes de agosto 2026

Plan realista en tres bloques:

• Bloque 1 (inventario y clasificación): lista completa de sistemas IA utilizados, coordinación con Dirección Médica y Compliance, clasificación Anexo I vs III.
• Bloque 2 (documentación): FRIA por cada sistema, procedimientos de supervisión humana, formación del personal, actualización de consentimientos informados, protocolos de incidencias AEMPS+AESIA.
• Bloque 3 (monitorización continua): alertas regulatorias, auditoría interna anual, reporting a dirección.

Multas y riesgo reputacional

En sanidad, el riesgo reputacional supera al económico. Una sanción AESIA publicada por uso indebido de IA en diagnóstico puede derivar en denuncias por daños, suspensión de conciertos con la Seguridad Social y pérdida de acreditaciones sanitarias.

Las multas AI Act llegan a 15 millones o 3% de facturación. Para un grupo hospitalario mediano esto son varios millones, pero el coste indirecto (pérdida de confianza de pacientes) puede ser superior. La coordinación entre dirección médica, compliance y proveedores tecnológicos es clave para llegar a tiempo a agosto de 2026.