IA en la salud: regulación de los diagnósticos automatizados

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La inteligencia artificial ya asiste a los médicos en sus diagnósticos, pero la ausencia de una regulación específica para los sistemas automatizados en la salud expone a los pacientes a riesgos jurídicos y éticos sin precedentes.

El avance de la inteligencia artificial en el diagnóstico médico

En los últimos años hemos presenciado una transformación significativa en la manera en que la medicina utiliza herramientas tecnológicas para identificar enfermedades y condiciones clínicas. Los algoritmos de aprendizaje automático han comenzado a analizar estudios de imagen, informes de laboratorio e historiales clínicos con una velocidad que supera la capacidad humana de procesamiento. Esta realidad, que hace una década parecía lejana, ya forma parte de la rutina de hospitales y clínicas de numerosos países, entre ellos Brasil.

Al analizar el panorama actual, se advierte que los sistemas de IA se emplean en la detección temprana de cánceres mediante mamografías y tomografías, en el cribado de la retinopatía diabética a partir de imágenes de fondo de ojo y en la identificación de patrones en electrocardiogramas que podrían pasar inadvertidos en una evaluación convencional. Estas aplicaciones representan avances reales en eficiencia y precisión, pero también plantean cuestiones fundamentales sobre la responsabilidad civil, la protección de datos sensibles y la autonomía del paciente.

El punto central de este artículo es precisamente el vacío regulatorio que rodea a estos diagnósticos automatizados. Aunque existen normas generales aplicables (como la Ley General de Protección de Datos y el Código de Defensa del Consumidor), todavía no contamos con una legislación específica que regule de forma detallada el uso de la IA en decisiones clínicas y que establezca criterios claros de validación, transparencia algorítmica y responsabilidad en caso de error.

El marco legal brasileño y los vacíos en la regulación de la IA en la salud

Brasil cuenta con un conjunto normativo que, aunque no fue concebido específicamente para la inteligencia artificial en la salud, ofrece bases relevantes para la discusión. La Ley General de Protección de Datos (LGPD, Ley nº 13.709/2018) clasifica los datos de salud como datos personales sensibles y exige un consentimiento específico y destacado para su tratamiento, además de imponer obligaciones reforzadas en cuanto a la seguridad y la finalidad del uso de esa información. Cuando un sistema de IA procesa estudios e historias clínicas para generar un diagnóstico, todo ese flujo de datos queda sujeto a las disposiciones de la LGPD.

El artículo 20 de la LGPD merece una atención especial, pues garantiza al titular el derecho de solicitar la revisión de las decisiones adoptadas únicamente sobre la base del tratamiento automatizado de datos personales. Esta disposición, aplicada al contexto de los diagnósticos por IA, significa que el paciente puede exigir que un profesional humano reevalúe la conclusión generada por el algoritmo. Se trata de una salvaguarda importante, pero insuficiente si se consideran la complejidad de las decisiones clínicas y las consecuencias potencialmente irreversibles de un diagnóstico equivocado.

El Marco Legal de la Inteligencia Artificial (Proyecto de Ley nº 2.338/2023, en trámite) propone principios generales para el desarrollo y el uso de sistemas de IA en Brasil, entre ellos la exigencia de transparencia, la prevención de la discriminación algorítmica y la necesidad de supervisión humana en aplicaciones de alto riesgo. La salud fue reconocida expresamente como un área de alto riesgo, lo que implica obligaciones adicionales para los desarrolladores y operadores de estos sistemas. Sin embargo, la regulación detallada, que deberían elaborar las autoridades sectoriales, todavía está en construcción.

La Agencia Nacional de Vigilancia Sanitaria (ANVISA) ya publicó directrices para el registro de software como producto sanitario (la llamada categoría SaMD, del inglés «Software as a Medical Device»), que exigen evidencias de seguridad y eficacia antes de su comercialización. No obstante, se constata que este proceso regulatorio aún no sigue el ritmo al que se desarrollan y actualizan los nuevos modelos de IA. Un algoritmo que recibe actualizaciones continuas (aprendizaje incremental) puede presentar comportamientos distintos de los del modelo originalmente validado, lo que supone un desafío para el modelo tradicional de registro y certificación.

La regulación de los diagnósticos automatizados no es solo una cuestión técnica: es una exigencia ética para proteger la vida y la dignidad de los pacientes frente a decisiones tomadas por algoritmos.

El Consejo Federal de Medicina, por su parte, mantiene el criterio de que la decisión diagnóstica final debe ser siempre responsabilidad del médico, conforme a los principios del Código de Ética Médica. Esta posición refuerza la idea de que la IA debe funcionar como herramienta de apoyo y no como sustituta del juicio clínico. En la práctica, sin embargo, se observan situaciones en que la confianza excesiva en el resultado algorítmico puede llevar a los profesionales a renunciar a su análisis crítico, fenómeno conocido como «sesgo de automatización».

Responsabilidad civil por errores en diagnósticos realizados mediante IA

Una de las cuestiones jurídicas más complejas que enfrentamos en este campo es la atribución de responsabilidad cuando un diagnóstico generado por inteligencia artificial resulta incorrecto y causa un daño al paciente. El ordenamiento jurídico brasileño ofrece vías interpretativas, pero ninguna de ellas fue concebida para lidiar con la cadena de agentes que intervienen en un sistema de IA aplicado a la medicina.

En primer lugar, se considera la responsabilidad del profesional de la salud que utiliza la herramienta. Si el médico adopta el resultado del algoritmo sin ejercer su propio juicio clínico y el paciente sufre un daño, es posible encuadrar la situación como negligencia o impericia, en los términos del Código Civil. El profesional tiene el deber de utilizar la IA como instrumento auxiliar, conservando su capacidad de cuestionamiento y verificación. La mera delegación de la decisión diagnóstica en un sistema automatizado no lo exime de responsabilidad.

En segundo lugar, se analiza la responsabilidad del desarrollador del software. Cuando el sistema de IA se suministra como producto al hospital o a la clínica, se aplican las disposiciones del Código de Defensa del Consumidor relativas a los defectos de producto. Si el algoritmo presenta fallas que comprometen la precisión diagnóstica (sea por datos de entrenamiento sesgados, por errores de programación o por falta de una validación adecuada), el fabricante puede responder de forma objetiva, es decir, sin necesidad de probar su culpa.

Está también la figura del hospital o la clínica que adquiere e implementa el sistema. Esta institución tiene el deber de evaluar la idoneidad de la herramienta, garantizar que los profesionales reciban capacitación para utilizarla correctamente y supervisar los resultados a lo largo del tiempo. La omisión de estos cuidados puede configurar una responsabilidad solidaria en caso de daño al paciente.

Lo que hace que esta cadena sea especialmente desafiante es la opacidad de muchos modelos de IA (el llamado problema de la «caja negra»). Cuando no es posible explicar de manera comprensible por qué el algoritmo llegó a determinada conclusión diagnóstica, la producción de pruebas en un eventual proceso judicial se vuelve extremadamente difícil. ¿Cómo demostrar que el error obedeció a una falla del software y no a una limitación inherente a la medicina? Esta dificultad probatoria refuerza la necesidad de una regulación que exija transparencia y explicabilidad de los sistemas de IA utilizados en la salud.

Protección de datos sensibles y consentimiento informado en la era de los algoritmos

Al abordar el uso de la IA en los diagnósticos, no es posible separar la discusión de la protección de los datos personales sensibles de los pacientes. Los sistemas de inteligencia artificial dependen de volúmenes masivos de datos clínicos para su entrenamiento y funcionamiento. Las historias clínicas electrónicas, los resultados de estudios, las imágenes médicas y la información genética alimentan algoritmos que, por su naturaleza, extraen patrones y correlaciones que van mucho más allá de lo que se recopiló originalmente con fines asistenciales.

La LGPD establece que el tratamiento de datos sensibles de salud puede realizarse con base en el consentimiento del titular o, en supuestos específicos, para la tutela de la salud en procedimientos realizados por profesionales sanitarios o autoridades sanitarias. Se constata, sin embargo, que en la práctica hospitalaria el consentimiento para el uso de datos en sistemas de IA rara vez se obtiene de forma específica y destacada, como exige la ley. Con frecuencia, el paciente ni siquiera es informado de que sus datos serán procesados por un algoritmo.

Este escenario suscita serias preocupaciones sobre el consentimiento informado. El paciente tiene derecho a saber que un sistema automatizado participará en su proceso diagnóstico, a comprender (en un lenguaje accesible) cómo funciona ese sistema y a rechazar el uso de la herramienta si así lo desea. La regulación sectorial debe establecer estándares claros para esta comunicación, definiendo el nivel de detalle exigido y los mecanismos de rechazo que deben ponerse a disposición.

Otro aspecto relevante es el intercambio de datos entre instituciones y desarrolladores de tecnología. Cuando un hospital envía datos clínicos a una empresa tecnológica para que perfeccione su algoritmo, se trata de una operación de tratamiento que exige una base legal propia y medidas de seguridad reforzadas. La anonimización de los datos, presentada con frecuencia como solución, no siempre es suficiente, pues diversos estudios demuestran que los datos de salud pueden reidentificarse al cruzarse con otras bases de información.

En este contexto, se sostiene que la regulación específica para la IA en la salud debe contemplar la creación de entornos controlados para el intercambio de datos («sandboxes regulatorios»), la obligatoriedad de evaluaciones de impacto sobre la protección de datos antes de implementar nuevos sistemas y la definición de estándares mínimos de seguridad de la información para toda la cadena de tratamiento.

Caminos hacia una regulación eficaz y equilibrada

Al observar las experiencias internacionales, se identifican enfoques que pueden servir de referencia para Brasil. La Unión Europea, mediante el AI Act (Reglamento de Inteligencia Artificial), clasificó los sistemas de IA en la salud como de alto riesgo y estableció rigurosos requisitos de conformidad, entre ellos la evaluación previa de riesgos, una documentación técnica detallada, la supervisión humana obligatoria y el seguimiento posterior a la comercialización. La Food and Drug Administration (FDA) de los Estados Unidos, por su parte, desarrolló un marco específico (framework) para el software médico basado en IA, que prevé mecanismos de aprobación que tienen en cuenta las actualizaciones algorítmicas continuas.

Para el escenario brasileño, se entiende que una regulación eficaz debe equilibrar el fomento de la innovación con la protección de los derechos de los pacientes. Algunos principios que se consideran esenciales son: la exigencia de una validación clínica independiente antes de implementar cualquier sistema de diagnóstico automatizado, con criterios adaptados al nivel de riesgo de la aplicación; la obligatoriedad de la explicabilidad algorítmica, que garantice que los profesionales de la salud y los pacientes puedan comprender los factores que influyeron en el resultado diagnóstico; y la definición clara de responsabilidades a lo largo de la cadena (desarrollador, integrador, institución de salud, profesional), a fin de evitar zonas grises que perjudiquen al paciente en la búsqueda de una reparación.

También se considera fundamental la creación de mecanismos de vigilancia posterior a la comercialización, similares a los que existen para los medicamentos y los productos sanitarios tradicionales, que permitan identificar y corregir rápidamente las fallas de los sistemas de IA tras su implementación en un entorno clínico real. La notificación obligatoria de eventos adversos relacionados con diagnósticos automatizados sería un componente importante de este sistema de vigilancia.

Este asunto guarda relación directa con los datos de dispositivos wearables de salud, tema que se aborda en un artículo específico.

Este asunto guarda relación directa con las cookies y el rastreo en línea, tema que se aborda en un artículo específico.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.