Puede que tu clínica no haya contratado ninguna herramienta de inteligencia artificial. Eso no significa que tu equipo no la esté usando.
Haz la prueba.
Pregunta en una reunión cuántas personas han utilizado ChatGPT, Gemini o cualquier otra IA para algo relacionado con el trabajo durante el último mes.
Alguien habrá redactado un mensaje delicado para un cliente. Otra persona habrá traducido unas instrucciones. Quizá alguien haya resumido un historial, preparado una publicación para redes o pegado un informe para que se lo explicara en palabras sencillas.
Normalmente no hay mala intención. Al contrario: hay un profesional intentando resolver mejor y más rápido una tarea que le quita tiempo.
El problema es otro.
Nadie sabe qué herramienta utilizó, con qué cuenta, qué datos introdujo, dónde acabaron esos datos ni quién revisó la respuesta antes de usarla.
Eso tiene un nombre: IA en la sombra.
Y si diriges una clínica, conviene asumir algo desde el principio: prohibirla no hará que desaparezca. Solo hará que se utilice sin que tú lo sepas.
La IA ya ha entrado por la puerta de atrás
Durante años, incorporar tecnología a una clínica era una decisión visible. Comprabas un ecógrafo, instalabas un programa de gestión o contratabas un laboratorio. Había una factura, una formación y una persona responsable.
Con la inteligencia artificial es diferente.
No hace falta comprar nada. No hace falta pedir acceso al administrador. Basta con abrir una cuenta personal, instalar una extensión en el navegador o entrar en una web gratuita.
En cinco minutos, cualquier persona del equipo puede estar usando una herramienta capaz de procesar texto, imágenes, audios o documentos de la clínica.
La barrera de entrada ha desaparecido. La responsabilidad, no.
Por eso la pregunta ya no es: «¿Vamos a permitir la IA en la clínica?»
La pregunta real es: «¿Cómo vamos a usarla con criterio, límites y una mínima trazabilidad?»
Porque ya se está usando.
El riesgo no es solo que la IA se equivoque
Cuando hablamos de riesgos, casi siempre pensamos en las alucinaciones: respuestas falsas escritas con una seguridad impecable.
Es un riesgo real, especialmente en medicina. Un modelo puede mezclar especies, inventar una referencia, confundir una dosis o presentar como firme una evidencia débil. Cuanto menos domina una persona el tema, más difícil le resulta detectar que la respuesta convincente es incorrecta.
Pero la IA en la sombra añade otros problemas menos llamativos y, en una clínica, igual de importantes.
No sabes qué datos han salido
El animal no es una persona a efectos del RGPD. Su tutor sí.
Un historial suele contener nombres, teléfonos, direcciones, conversaciones, datos de pago y circunstancias personales. Un audio de consulta puede recoger todavía más. Si alguien pega ese contenido en una cuenta de consumo, la clínica puede perder el control sobre información de la que sigue siendo responsable.
Anonimizar no consiste en borrar el nombre y dejar todo lo demás. Si el conjunto permite identificar razonablemente a la persona, sigue existiendo riesgo.
Cada persona trabaja con una regla distinta
Una recepcionista usa una herramienta para responder reseñas. Un veterinario utiliza otra para resumir informes. Otra persona traduce altas con una cuenta gratuita.
Nadie ha decidido qué tareas son aceptables, cuáles necesitan revisión ni qué tipo de información puede entrar en cada sistema.
El resultado no es innovación. Es una colección de criterios individuales funcionando dentro de la misma empresa.
No existe una versión de la verdad
La IA puede mejorar un texto, pero también puede cambiarlo. Puede simplificar una instrucción hasta quitarle una condición importante. Puede traducir con fluidez y alterar una pauta. Puede resumir un historial y omitir justo el antecedente que después importaba.
Si no conservas la fuente y nadie valida la salida, es imposible saber dónde apareció el error.
Nadie sabe quién responde
La herramienta propone. La clínica utiliza el resultado. Entre ambas cosas tiene que haber una persona responsable de revisarlo.
«Lo dijo la IA» no es una cadena de responsabilidad.
Tampoco lo es añadir al final de un documento que el contenido puede contener errores. Si una instrucción llega a una familia con el nombre de tu clínica, la confianza y la responsabilidad profesional siguen siendo tuyas.
Prohibirlo todo es la respuesta fácil. Y suele ser la peor.
Una política que diga simplemente «no se puede usar inteligencia artificial» parece segura.
También es poco realista.
La gente seguirá utilizándola cuando perciba que le ahorra veinte minutos, pero dejará de contarlo. Y cuando el uso se oculta, pierdes la oportunidad de formar, corregir y aprender qué tareas merecen una solución autorizada.
El extremo contrario tampoco funciona: abrir todas las herramientas y confiar en el sentido común de cada persona.
El sentido común no es una política de datos. Y no todos tienen el mismo conocimiento técnico, clínico o legal.
Lo razonable está en medio: pocas reglas, muy claras y aplicables al trabajo real.
No necesitas un comité de inteligencia artificial ni un manual de cuarenta páginas. Necesitas que cualquier persona del equipo pueda responder, antes de pulsar «Enviar», a cuatro preguntas:
- ¿Puedo introducir estos datos en esta herramienta?
- ¿Está permitido usarla para esta tarea?
- ¿Quién debe revisar el resultado?
- ¿Qué hago si creo que he compartido algo que no debía?
Si nadie conoce las respuestas, la clínica todavía no tiene una política de IA. Tiene suerte. Hasta que deje de tenerla.
Un semáforo que el equipo pueda recordar
La política más útil no es la que mejor suena en una auditoría. Es la que alguien recuerda un martes a las ocho de la tarde.
Un semáforo sencillo puede funcionar mejor que veinte páginas de prohibiciones.
Verde: tareas de bajo riesgo
Ideas para redes, estructuras de reuniones, borradores de textos genéricos, organización de información pública o reformulación de contenidos sin datos identificables.
La IA puede ayudar. Aun así, alguien debe leer el resultado antes de publicarlo o enviarlo.
Ámbar: solo con herramienta autorizada y revisión
Documentos internos, protocolos, resúmenes de información clínica anonimizada, traducciones de instrucciones, comunicaciones con clientes o materiales que puedan influir en una decisión.
Aquí importa qué herramienta se utiliza, qué datos recibe y quién valida la salida contra la fuente original.
Rojo: fuera de herramientas de consumo
Historiales identificables, audios de consulta, fotografías asociadas a un tutor, credenciales, datos de trabajadores, documentación contractual o cualquier contenido que no debería salir de los sistemas autorizados de la clínica.
También deberían estar en rojo las decisiones clínicas que el profesional no puede auditar: pedir una dosis y aplicarla sin contrastarla, dejar que un chatbot cierre un triaje urgente o enviar automáticamente instrucciones generadas sin revisión.
No porque la IA no pueda aportar nada. Porque el coste del error exige otro sistema, otro control y otro nivel de evidencia.
Formar al equipo ya no es opcional
Aquí aparece un cambio importante que muchas empresas todavía no han visto.
El artículo 4 del Reglamento Europeo de Inteligencia Artificial exige que quienes proveen o despliegan sistemas de IA tomen medidas para asegurar un nivel suficiente de alfabetización en las personas que los utilizan en su nombre. Ese nivel debe adaptarse a sus conocimientos, experiencia, formación, contexto de uso y riesgos.
Dicho en lenguaje de clínica: no necesita saber lo mismo quien prepara una publicación que quien utiliza una herramienta de soporte clínico.
La Comisión Europea aclara además que no existe un curso único, un certificado obligatorio ni una formación idéntica para todas las empresas. Sí espera que la organización entienda qué IA utiliza, para qué, con qué riesgos y qué necesita saber cada persona para manejarla con criterio. Las medidas adoptadas pueden documentarse mediante un registro interno de la formación o las guías realizadas.
La obligación de adoptar medidas de alfabetización se aplica desde febrero de 2025, y la supervisión nacional comienza en agosto de 2026.
No hace falta entrar en pánico ni organizar un máster para todo el equipo. Hace falta dejar de improvisar.
Una sesión breve y específica puede ser suficiente para empezar si explica:
- qué herramientas están autorizadas;
- qué datos pueden utilizarse y cuáles no;
- qué errores son frecuentes;
- qué tareas requieren revisión;
- cómo informar de un incidente;
- quién responde por cada flujo.
Leer las condiciones de uso de una aplicación y marcar una casilla no es alfabetización.
Entender qué puede salir mal y saber cómo evitarlo sí se parece mucho más.
La política mínima de una clínica
Si tuviera que resumir una primera política de IA en una sola página, incluiría siete decisiones.
1. Qué herramientas existen realmente
No empieces comprando. Empieza preguntando.
Haz un inventario anónimo y sin castigo: qué herramientas usa el equipo, para qué tareas y con qué tipo de información. Si conviertes la primera conversación en una caza de culpables, la segunda no será sincera.
2. Qué herramientas autoriza la clínica
Elegir una o dos soluciones conocidas es más seguro que dejar que cada persona pruebe una diferente. Revisa dónde procesan los datos, si los utilizan para entrenamiento, qué contrato ofrecen y cómo se eliminan o recuperan.
3. Qué datos pueden entrar
Define el semáforo. Pon ejemplos reales de tu clínica. «No introducir datos sensibles» es demasiado abstracto; «no pegues un historial con nombre, teléfono o conversación del tutor en una cuenta personal» se entiende.
4. Para qué tareas pueden utilizarse
No es lo mismo generar cinco asuntos para una campaña que preparar una instrucción posoperatoria. La herramienta puede ser idéntica; el riesgo, no.
5. Quién revisa el resultado
Toda salida que llegue a una familia, modifique un documento operativo o pueda influir en una decisión debe tener un responsable humano identificable.
La revisión no puede ser decorativa. Debe comparar con la fuente, confirmar que no se ha inventado nada y comprobar que la versión final mantiene el sentido clínico.
6. Cómo se informa de un error
Si alguien introduce por accidente información que no debía, necesita un canal para decirlo rápido. Ocultar el incidente por miedo suele convertir un problema pequeño en uno grande.
7. Cuándo se revisa la política
Las herramientas cambian, los proveedores cambian y el equipo descubre usos nuevos. Una política escrita una vez y olvidada se convierte pronto en otra carpeta que nadie consulta.
Revísala cuando se incorpore una herramienta, cambie un flujo o aparezca un incidente. Como mínimo, vuelve a mirarla periódicamente con el equipo.
Puedes empezar esta semana
No hace falta detener la clínica ni lanzar un proyecto tecnológico.
Día 1. Pregunta qué IA se está utilizando y para qué.
Día 2. Clasifica las tareas y los datos con el semáforo.
Día 3. Elige las herramientas que vas a autorizar y documenta por qué.
Día 4. Escribe una política de una página con ejemplos reales.
Día 5. Explícala al equipo y deja espacio para preguntas incómodas.
Día 6. Prueba un único caso de bajo riesgo y mide si de verdad ahorra tiempo.
Día 7. Revisa qué falló, corrige la política y decide el siguiente uso.
Eso ya es gobernanza. No la de una multinacional. La que necesita una clínica para dejar de depender de la improvisación.
La clínica que mejor use la IA no será la que tenga más herramientas
Será la que sepa cuáles utiliza, para qué sirven, qué datos pueden tocar y quién responde cuando algo sale mal.
La inteligencia artificial puede ayudarte a redactar, ordenar, traducir, resumir y recuperar tiempo. También puede introducir errores, sacar información de tu control y convertir una decisión individual en un riesgo compartido por toda la empresa.
La diferencia no está en comprar la versión más cara.
Está en poner criterio antes que herramienta.
Vuelvo a la reunión del principio.
Pregunta al equipo quién está usando IA. Escucha las respuestas sin buscar culpables. Probablemente descubrirás buenas ideas, necesidades reales y algún riesgo que conviene cerrar cuanto antes.
Ese inventario no es una amenaza.
Es el primer mapa de cómo está cambiando tu clínica.
La IA ya ha entrado. Ahora te toca decidir si seguirá trabajando en la sombra o bajo las reglas de todos.
Fuentes consultadas: Comisión Europea — AI Literacy: Questions & Answers y AEPD — Adecuación al RGPD de tratamientos que incorporan Inteligencia Artificial. La guía de la AEPD está marcada como «en revisión»; se utiliza aquí únicamente para principios generales de protección de datos. Este artículo no constituye asesoramiento jurídico.
