Plan de acción: el EU AI Act aplicado a los proyectos reales de IA en las clínicas

No encaja en ninguna categoría del Anexo III: no es un sistema de alto riesgo. No hay evaluación de conformidad, ni registro en la base de datos de la UE, ni logs obligatorios de 6 meses. Pero las bases de datos que consulta contienen datos de salud (Art. 9 RGPD), así que el marco que de verdad manda aquí es el RGPD, no el AI Act.

¿Anthropic "cubre" y otros proveedores no?

No exactamente. Así funciona en realidad:

• Bajo el AI Act, todos los proveedores de modelos de propósito general (Anthropic, OpenAI, Google, Meta, Mistral…) tienen las mismas obligaciones como fabricantes desde el 2 de agosto de 2025 (Art. 53). Elegir uno u otro no cambia vuestras obligaciones como desplegadores.
• Lo que sí cambia por proveedor es la relación contractual bajo RGPD: si la cuenta entrena o no con vuestros datos, qué DPA ofrece, si hay retención cero disponible, y si ofrece garantías equivalentes a una BAA sanitaria.
• Con Anthropic: bajo Términos Comerciales (API, Claude for Work, Enterprise) no se entrena con vuestros prompts ni respuestas por defecto, y hay Zero Data Retention y acceso HIPAA-ready con BAA para organizaciones elegibles. Esto no aplica si alguien usa una cuenta personal Free/Pro/Max en vez de la API comercial.
• Otros proveedores tienen la misma estructura dual (consumo vs. comercial). La clave no es la marca, es el tipo de cuenta y el contrato firmado.

Plan de acción

• Formalizar la cuenta del MCP como cuenta comercial/API bajo Términos Comerciales, nunca personal gratuita.
• Solicitar y archivar el DPA del proveedor elegido; evaluar el marco HIPAA-ready/BAA si se procesan datos de pacientes.
• Activar Zero Data Retention (o la retención mínima disponible) para las llamadas que muevan datos de pacientes.
• Minimizar: usar identificadores internos en vez de nombres completos en el texto libre de las peticiones, donde sea posible.
• Actualizar el Registro de Actividades de Tratamiento y la política de privacidad de cada clínica.
• Formación básica de Art. 4 para el personal que use el MCP — plazo 2 de agosto de 2026.

Un chatbot de citas por WhatsApp es riesgo limitado, siempre que se limite a gestión de citas y no derive hacia triaje de síntomas o consejo clínico. Usar la API comercial de Anthropic resuelve la parte de RGPD/entrenamiento de datos, pero la transparencia del Art. 50 es independiente del proveedor: es obligación de diseño del propio chatbot, no algo de lo que el modelo os exima.

Checklist técnico obligatorio · plazo 2 agosto 2026

• Aviso explícito de sistema de IA, antes o como muy tarde en el primer mensaje de cada conversación nueva.
• Aviso claro y comprensible en el idioma del paciente.
• No diseñar el bot para imitar ser una persona real, ni negar que es IA si se le pregunta.
• Opción visible en cualquier momento de hablar con una persona real.
• No recopilar síntomas ni historial clínico sin consentimiento explícito previo — derivar a llamada o consulta presencial.
• Registro de conversaciones con revisión periódica de respuestas incorrectas o inapropiadas.
• Enlace a la política de privacidad accesible desde el propio chat.

Otras operaciones a estructurar

• Un mismo estándar de aviso de IA en todos los canales, sin criterios distintos entre clínicas.
• Flujo de escalado claro: qué mensaje del paciente dispara paso automático a un humano.
• Separar en el prompt lo que el bot puede hacer (agenda, horarios, información general) de lo que nunca debe hacer (diagnóstico, recomendación de tratamiento).
• Documentar el flujo de revisión editorial humana si el mismo sistema genera contenido de marketing — exime de marcarlo como IA bajo Art. 50.4, solo si es real y demostrable.
• Registro de qué modelo/versión se usa en cada bot y su fecha de despliegue.