La inteligencia artificial ya puede leer exploraciones médicas con una precisión que rivaliza con la de los radiólogos, predecir la aparición de enfermedades a partir de datos de dispositivos portátiles y alimentar asistentes virtuales que clasifican síntomas en tiempo real. La promesa clínica es enorme. Pero una pregunta más profunda persigue a las políticas de salud: no si la IA puede diagnosticar cáncer, sino quién controla los datos que lo hacen posible.
Las compañías de seguros, los gigantes farmacéuticos y las instituciones financieras tienen poderosos incentivos comerciales para acceder al torrente de datos de salud que fluye a través de los sistemas de IA. Y los marcos de gobernanza diseñados para detenerlos siguen siendo fragmentados, inconsistentes y, en algunos lugares, inexistentes.
Un informe mundial publicado en The Lancet el 24 de julio de 2026, que examina los marcos de gobernanza emergentes para la IA en la prestación de atención sanitaria, llega en un momento crucial. Múltiples organismos internacionales, incluidos la Organización Mundial de la Salud y las Naciones Unidas, han emitido importantes documentos de política solo este año. Pero la brecha entre la ambición regulatoria y la protección real es por donde se filtran los datos de los pacientes.
“La tensión central es casi cruel”, dijo la Dra. Mariana Vos, investigadora en ética de datos de salud en la Universidad de Ámsterdam, quien contribuyó al informe EB158/19 de la OMS de enero de 2026. “La IA en la atención sanitaria necesita grandes conjuntos de datos para funcionar eficazmente. Pero esos mismos conjuntos de datos contienen la información personal más sensible que poseen las personas. Cada byte de datos que hace más inteligente a un algoritmo es también un byte que puede ser extraído, vendido o reutilizado.”
Esa reutilización es el núcleo de la preocupación. Una IA de imágenes médicas entrenada con miles de radiografías de tórax de un hospital público aprende patrones que podrían indicar no solo enfermedades, sino también edad, estilo de vida, estatus socioeconómico y riesgo de seguro. Cuando ese modelo, o los datos que lo respaldan, llega a manos de un asegurador, un comercializador farmacéutico o un banco que evalúa la elegibilidad para un préstamo, el propósito clínico original ha sido silenciosamente subvertido.
El informe EB158/19 de la OMS, titulado “Gobernanza de datos de salud e inteligencia artificial”, pide enfoques regulatorios armonizados en toda la IA, los datos y la salud digital. Enfatiza la protección de datos, el uso ético y la rendición de cuentas. El informe reconoce que el actual mosaico de leyes nacionales crea refugios seguros para la extracción comercial de datos e insta a los estados miembros a tratar los datos de salud como una categoría especial que merece protecciones más fuertes que la información personal general.
Pero la armonización entre jurisdicciones está resultando difícil porque los principales bloques regulatorios tienen filosofías fundamentalmente diferentes sobre los derechos de datos y el acceso comercial.
La Unión Europea lidera con el marco más completo. El Reglamento General de Protección de Datos, en vigor desde 2018, trata los datos de salud como una categoría especialmente protegida que requiere consentimiento explícito para su procesamiento. La Ley de IA de la UE, que entró en fases de aplicación en 2025, clasifica la IA médica como de “alto riesgo”, sometiéndola a evaluaciones de conformidad obligatorias antes de su implementación. Juntos, estos instrumentos crean lo que la ONU llama un enfoque “centrado en el ser humano”: los titulares de los datos conservan un control significativo, y el uso comercial secundario está presumiblemente prohibido a menos que se apliquen exenciones específicas.
China ha tomado un camino diferente pero igualmente asertivo. Su Ley de Protección de Información Personal, promulgada en 2021, clasifica la información de salud médica como “información personal sensible” que requiere un consentimiento específico y separado para cada propósito de procesamiento. Un solo formulario de consentimiento que cubra tanto la atención clínica como el entrenamiento algorítmico no es suficiente. La ley también impone requisitos de localización de datos, lo que significa que los datos de pacientes chinos utilizados en el entrenamiento de IA deben permanecer dentro de las fronteras del país. Esto crea un enfoque de jardín amurallado que protege los datos nacionales pero complica la colaboración internacional.
Estados Unidos es la excepción. A pesar de albergar la industria de IA de salud más grande del mundo, no tiene una ley federal integral que regule la IA de salud o los datos que consume. La Ley de Portabilidad y Responsabilidad de Seguros de Salud cubre los datos clínicos en poder de entidades cubiertas como hospitales y aseguradoras, pero fue redactada en 1996, mucho antes de que existieran los procesos de entrenamiento de IA o los corredores de datos. La Administración de Alimentos y Medicamentos regula los dispositivos médicos impulsados por IA caso por caso, pero solo cuando la IA se comercializa como herramienta de diagnóstico. Un modelo de IA utilizado internamente por una aseguradora para ajustar primas o identificar pacientes de alto costo queda fuera de la competencia de la FDA por completo.
El resultado es la fragmentación. Un mosaico de leyes de privacidad a nivel estatal (CPRA de California, CPA de Colorado, CDPA de Virginia, entre otras) crea un laberinto de cumplimiento. Una orden ejecutiva de 2025 sobre IA en la atención sanitaria impulsó un estándar nacional unificado, solicitando al Departamento de Salud y Servicios Humanos que desarrollara orientación sobre transparencia de datos, equidad algorítmica y consentimiento del paciente para el entrenamiento de IA. Pero esa orientación sigue en borrador y no se ha aprobado ninguna legislación federal.
Las consecuencias prácticas ya son visibles. Consideremos las herramientas de IA de imágenes médicas, ahora implementadas en cientos de hospitales en todo el mundo para la detección de mamografías, radiografías de tórax y exploraciones de retina. Estos sistemas dependen de conjuntos de datos de entrenamiento grandes y diversos para evitar sesgos. Pero los mismos conjuntos de datos, cuando se agregan con reclamaciones de seguros o registros de farmacia, pueden generar perfiles predictivos que se extienden mucho más allá del diagnóstico. Un algoritmo que detecta la retinopatía diabética temprana también puede predecir, con una precisión sorprendente, qué pacientes probablemente presentarán reclamaciones costosas en los próximos cinco años.
Los dispositivos portátiles de monitoreo de salud añaden otra dimensión. Los relojes inteligentes y las pulseras de fitness recogen continuamente datos de frecuencia cardíaca, patrones de sueño, niveles de actividad y oxígeno en sangre. Cuando estos flujos se conectan a plataformas de salud impulsadas por IA, la corriente de datos se convierte en una mina de oro para las aseguradoras que buscan ajustar las primas basándose en la puntuación de riesgo conductual. Varias aseguradoras importantes de EE. UU. ya ofrecen descuentos en primas a los clientes que comparten datos de dispositivos portátiles, un programa voluntario que los críticos argumentan que crea un sistema coercitivo de dos niveles donde la privacidad cuesta dinero.
Los asistentes de salud virtuales y las plataformas de diagnóstico inteligente plantean preocupaciones similares. Las conversaciones con los bots de triaje de IA contienen historiales detallados de síntomas, listas de medicamentos y divulgaciones sobre el estilo de vida. Según la ley estadounidense actual, gran parte de estos datos no están protegidos por HIPAA si la plataforma es operada por una empresa de tecnología en lugar de un proveedor de atención médica. Los datos pueden usarse para entrenar modelos comerciales, mejorar la orientación publicitaria o venderse a terceros con solo un aviso de términos de servicio que pocos pacientes leen.
Los algoritmos de suscripción de seguros pueden ser la aplicación de mayor riesgo. Los sistemas de IA que analizan datos de reclamaciones, historiales de recetas e incluso determinantes sociales de la salud para predecir costos futuros son cada vez más comunes en la industria. Estos modelos pueden denegar cobertura, aumentar primas o dirigir a los pacientes hacia vías de tratamiento específicas basándose en juicios algorítmicos que los pacientes nunca ven y no pueden apelar. La naturaleza de “caja negra” de muchos sistemas de aprendizaje automático significa que incluso los reguladores tienen dificultades para auditar si las decisiones son justas o discriminatorias.
La notificación automatizada de eventos adversos, aunque destinada a mejorar la seguridad de los medicamentos, también crea nuevos vectores para la exposición de datos. Cuando los sistemas de IA escanean automáticamente registros de salud electrónicos en busca de reacciones adversas a medicamentos y envían informes a los reguladores, el proceso puede transmitir inadvertidamente historiales completos de pacientes. La minimización de datos (extraer solo los puntos de datos clínicos relevantes) sigue siendo un desafío técnico no resuelto en muchos sistemas implementados.
El Libro Blanco de la ONU sobre Gobernanza de la IA en la Atención Sanitaria, publicado a principios de 2026, documenta estos enfoques divergentes y advierte que, sin convergencia, la confianza pública se erosionará. “No se puede esperar que los pacientes adopten la atención médica mejorada por IA si temen que su información de salud más íntima sea monetizada por terceros a los que nunca autorizaron”, afirma el documento. Recomienda que todas las jurisdicciones adopten tres estándares: consentimiento explícito para cualquier uso no clínico de datos de salud, informes de transparencia obligatorios para conjuntos de datos de entrenamiento de IA y auditoría independiente de las decisiones algorítmicas que afectan el acceso o la fijación de precios de los pacientes.
Si estos estándares serán adoptados sigue siendo incierto. La UE es la más cercana al cumplimiento. El enfoque de China es sólido en consentimiento pero débil en supervisión independiente. EE. UU. no tiene ni requisitos integrales de consentimiento ni auditoría independiente, aunque la orden ejecutiva de 2025 señala un impulso federal.
El informe EB158/19 de la OMS enmarca estas cuestiones como un asunto de equidad sanitaria global. Las naciones en desarrollo, señala, a menudo carecen tanto de la infraestructura regulatoria como del poder de negociación para evitar que sus datos de pacientes sean extraídos por entidades comerciales extranjeras. Los modelos de IA entrenados con datos de entornos de bajos recursos pueden producir avances que se comercializan en países ricos, sin que ningún beneficio regrese a las comunidades que aportaron los datos.
El desafío de gobernanza para la IA en la atención sanitaria no es principalmente técnico. Ni siquiera es principalmente médico. Es una cuestión de poder: quién decide cómo se recopilan, analizan y monetizan los datos más íntimos que generan los seres humanos. Los marcos que se están construyendo hoy en Ginebra, Bruselas, Pekín y Washington determinarán si la IA se convierte en una herramienta para el empoderamiento del paciente o un mecanismo de vigilancia comercial disfrazado con el lenguaje de la curación.
Traducido por Alessandra