EL ECOSISTEMA REGULATORIO EUROPEO DE LA IA EN SALUD

𝗚𝗿𝘂𝗽𝗼 𝗱𝗲 𝗧𝗿𝗮𝗯𝗮𝗷𝗼 𝗱𝗲 𝗦𝗮𝗹𝘂𝗱 𝗗𝗶𝗴𝗶𝘁𝗮𝗹 𝗱𝗲 OdiseIA

Ponemos el foco en salud, inteligencia artificial y privacidad en la Unión Europea, así como en la interacción de los aspectos regulatorios que, por la Comisión Europea, se impulsan al unísono con la Estrategia Europea de Datos y con el propósito regulatorio de la IA (febrero de 2020).

Conforman ya «El ecosistema regulatorio europeo de la IA en salud»:

1. El Reglamento 2025/327 sobre Espacio Europeo de Datos de Salud (EEDS o EHDS): En vigor desde marzo de 2025, comienza la fase de implementación. Su aplicación, salvo excepciones, lo será a partir del 26 de marzo de 2027. Actualmente, está en fase de desarrollo de los actos de ejecución y de la infraestructura necesaria para su aplicación progresiva entre 2027 y 2035. Son claves: (i) el derecho «primario» del paciente a acceder y compartir electrónicamente su historia clínica en toda la UE para recibir prestación sanitaria; y (ii) la reutilización segura y fiable de datos sanitarios con fines de investigación, innovación, salud pública y elaboración de políticas sanitarias mediante reglas para el uso «secundario». Para la investigación biomédica, este marco regulatorio supone el mayor cambio regulatorio desde el RGPD. Su complejidad aumenta por la interacción entre ambos textos y el Reglamento de IA.

2. El Reglamento 2024/1687 europeo de IA: su entrada en vigor el 2 de agosto de 2024, con aplicación general el 2 de agosto de 2026, contiene relevantes excepciones de aplicación progresiva. El RIA proporciona mayor claridad para los sistemas sanitarios de alto riesgo y para los modelos de IA de uso general, incluidos los agentes de IA. La Comisión Europea ha publicado desde 2025 directrices y códigos de buenas prácticas que propician una interpretación adecuada para la clasificación de sistemas de IA de alto riesgo y otros sistemas, lo cual es relevante, entre otras cosas, para el software sanitario, los dispositivos médicos o el apoyo a la toma de decisiones clínicas. No faltan la obligación de supervisión humana, la gestión de riesgos (incluidos los clínicos), la calidad de los datos utilizados para entrenar el sistema, la supervisión y gobernanza de los sistemas.

3. El Reglamento 2026/1744 («Ómnibus Digital sobre IA»), por el que se modifica principalmente el RIA. Desde 2025, la Comisión Europea ha impulsado propuestas para simplificar algunos plazos y cargas administrativas del Reglamento de IA, especialmente para determinados sistemas de alto riesgo. El nuevo Reglamento, que modifica más de 40 artículos del RIA, es ya texto vigente. En el ámbito de la salud, es relevante porque puede afectar al calendario de cumplimiento del RIA por fabricantes de dispositivos médicos, los desarrolladores de software sanitario y los hospitales.

4. A toda la normativa anterior, le precede la aplicación del RGPD que, en el momento presente, salvaguarda los datos personales en el contexto de la IA. A tener en cuenta en su interpretación e integración: (i) el Dictamen del Comité 28/2024, que sigue siendo la referencia sobre entrenamiento y utilización de modelos de IA con datos personales; (ii) las nuevas Directrices 1/2026 del Comité Europeo de Protección de Datos sobre investigación científica, que tendrán un enorme impacto para hospitales, universidades y centros de investigación; (iii) las consultas públicas sobre web scraping y modelos generativos. Entre las muchas cuestiones pendientes se encuentran: el interés legítimo para entrenar modelos; la anonimización real; la reutilización de datos sanitarios y la compatibilidad entre investigación científica y protección de datos.

5. Es imprescindible la convergencia entre IA, privacidad y gobernanza sanitaria (RIA, RGPD, EEDS, normativa de productos sanitarios —Reglamento 2017/745 o MDR y Reglamento 2017/746 o IVDR — y ciberseguridad). Es clave contar con una gobernanza integrada de la IA sanitaria, en la que la evaluación clínica, la protección de datos, la gestión del riesgo y la supervisión humana estén integradas en un mismo sistema de cumplimiento.

6. Es necesaria la cooperación internacional en regulación de IA sanitaria. En julio de 2026, Portugal se convirtió en el primer Estado miembro de la UE en integrarse en la red internacional HealthAI Global Regulatory Network (GRN) que, aúna agencias reguladoras de diferentes regiones del mundo y se destina al intercambio de información sobre evaluación y vigilancia de herramientas de IA médica. Esta red refleja una tendencia hacia una supervisión internacional coordinada de la IA en salud.

7. No puede faltar la inclusión de las normas sobre responsabilidad civil por los daños causados ya sea «por productos defectuosos» (Directiva 2025/2853), ya por los daños causados «en materia de IA» (propuesta de Directiva que se retiró por falta de consenso en la UE), que, al margen del producto fallido, se refiere a la responsabilidad por prestación defectuosa de servicios por parte de quien se sirve de la IA.

Las tendencias jurídicas se dirigen a la consolidación del EEDS como nuevo marco para la reutilización de datos sanitarios, a interpretar conjuntamente el Reglamento de IA y el RGPD, a exigir una mayor supervisión humana en sistemas de apoyo al diagnóstico, a garantizar la calidad y gobernanza de los datos clínicos. También se desarrollarán criterios específicos para la validación clínica y la auditoría de sistemas de IA en el ámbito sanitario.

Gracias a Patricia(Patri) Acebes Tamargo, Frank Escandell, María Luisa González Tapia, A. Patricia Llaque Gálvez, Hermelinda López, Teresa Olea Tejero, M. Eva Pérez Martínez y Alexandra Rodríguez, por vuestras enseñanzas y compromiso.