IA y marcado CE: qué revisar en el software sanitario

La Comisión Europea ha vuelto a situar el Reglamento de Inteligencia Artificial (Reglamento de IA) como marco jurídico central para el uso de sistemas de IA en la UE, mientras que el BOE mantiene el foco en contenidos formativos y de temario ligados a RGPD y LOPDGDD. Este contexto obliga a las clínicas y consultas privadas en España a revisar, antes de comprar o renovar tecnología, dos frentes a la vez: si el software entra en el perímetro de “producto sanitario” con marcado CE y qué papel asume la clínica (responsable del tratamiento) cuando el proveedor integra IA que trata datos de salud, según el marco descrito por la Comisión Europea y los contenidos sobre protección de datos publicados en el BOE.

Qué cambia con el Reglamento de IA en una clínica privada

La Comisión Europea resume que el Reglamento de IA establece un marco jurídico exhaustivo para regular la IA en la UE, junto a otras normas del entorno digital, con un enfoque de gobernanza y obligaciones según el riesgo del sistema (según la European Commission, en su documentación divulgativa sobre el Reglamento de IA).

Para una clínica, la implicación práctica inmediata no es “implantar IA”, sino clasificar lo que ya compra o usa: agendas con triage automatizado, transcripción de voz a texto, asistentes que redactan informes, chatbots internos, soluciones de codificación o herramientas de ayuda a la decisión integradas en plataformas clínicas. Aunque la documentación de la Comisión no actúa como guía sectorial sanitaria, sí marca un punto de control para gerencia: cualquier solución que se anuncie como IA o incorpore automatización avanzada requiere diligencia en compras y contratos.

Quién debe hacer qué: proveedor, clínica y encargados

En la práctica, la clínica suele operar como cliente y usuaria del sistema y, en protección de datos, como responsable del tratamiento de datos de salud cuando decide finalidades y medios (un encuadre coherente con el enfoque del RGPD que aparece en temarios publicados en el BOE). El proveedor del software puede ser encargado del tratamiento y, además, en el marco del Reglamento de IA, podría tener obligaciones propias como proveedor del sistema.

Implicación para gerencia: al negociar un contrato o renovación, conviene exigir al proveedor que concrete por escrito qué componentes son IA, para qué finalidades se usan y qué roles asume cada parte, sin dar por supuesto que “si el software es sanitario ya está todo cubierto”. La Comisión Europea describe el Reglamento de IA como un marco de regulación general de IA; por tanto, el encaje concreto puede depender de cómo se use el sistema en la clínica.

Marcado CE y software sanitario: por qué sigue siendo un filtro de compra

El marcado CE actúa como señal regulatoria cuando el software se comercializa como producto sanitario o cumple los requisitos para serlo. En el ecosistema normativo citado en las fuentes, el Real Decreto 192/2026, según la referencia publicada por Noticias Jurídicas, incluye una mención explícita a situaciones en las que determinados productos no podrán ir marcados con el marcado CE, dentro de un contexto de introducción acelerada y excepcional en el mercado.

Sin entrar en casuística técnica, esa referencia sirve de recordatorio para una clínica: marcado CE y “software de salud” no son sinónimos, y pueden existir escenarios en los que un producto no vaya marcado CE. El responsable de compras debe tratarlo como un requisito documental y de diligencia debida, no como un detalle comercial.

Qué revisar en una compra o renovación

Desde la perspectiva de gestión, lo relevante es pedir evidencias y dejar rastro documental. A la hora de evaluar un software que afecte a procesos clínicos o al manejo de información sanitaria, la clínica debería solicitar al proveedor, como mínimo:

• Declaración sobre si el producto está marcado CE y, si aplica, en qué condiciones se comercializa.
• Documentación de uso previsto (para evitar que una herramienta de “gestión” se utilice como si fuera de finalidad clínica regulada).
• Alcance funcional real: si incluye módulos de IA (p. ej., resumen de historia, clasificación automática, extracción de datos), para alinear el uso con lo contratado.

Estas comprobaciones no sustituyen el criterio del asesor ni la revisión técnica, pero sí ayudan a que la clínica no asuma riesgos por falta de verificación.

Protección de datos: el BOE vuelve a poner RGPD en primer plano

El BOE ha publicado una disposición (Disposición 20626 del BOE núm. 247 de 2026) que recoge como materia de temario el Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD). Aunque se trate de un contenido de temario, para el sector privado es una pista clara: la protección de datos sigue siendo un eje transversal en procedimientos, inspecciones y cultura de cumplimiento.

En una clínica, el dato especialmente sensible es el dato de salud. Si el software incluye IA (por ejemplo, para transcribir consultas o estructurar texto libre), el flujo de datos puede ampliarse: proveedores de nube, subencargados, almacenamiento temporal, y reutilización para mejorar modelos. En ese punto, gerencia debe asegurarse de que el contrato y la documentación del proveedor no dejan zonas grises.

Tres controles de gestión antes de “activar” funciones de IA

Basándose en el marco general del RGPD citado en el BOE, y en el hecho de que el Reglamento de IA establece obligaciones según el tipo de sistema (según la Comisión Europea), la clínica puede ordenar la revisión interna alrededor de tres controles prácticos:

1. Finalidad y configuración: confirmar qué datos se tratan y con qué finalidad cuando se activa una función de IA (p. ej., transcripción, extracción de campos).
2. Encargos y subencargos: identificar si hay terceros que acceden a datos y si están cubiertos en el contrato de encargo.
3. Información y registro interno: asegurar que la clínica puede documentar el tratamiento y responder ante solicitudes o incidencias, coherente con el marco RGPD/LOPDGDD.

Qué significa para la clínica en contratación y auditoría de proveedores

En paralelo al enfoque regulatorio, el análisis sobre regulación e innovación citado por elEconomista apunta a una consecuencia práctica: el cumplimiento normativo puede resultar manejable para grandes empresas y costoso para las pequeñas (según el documento referenciado de elEconomista). Traducido a compras sanitarias, esto puede generar un mercado con proveedores muy desiguales en documentación, evidencias y capacidad de respuesta.

Implicación para la clínica: en licitaciones privadas o comparativas de proveedores, no basta con mirar precio y funcionalidades. Hay que introducir criterios de capacidad de cumplimiento: tiempos de respuesta ante auditorías, claridad contractual, y disponibilidad de documentación sobre CE (si procede) y sobre el uso de IA (si existe).

Qué queda pendiente y cómo seguirlo sin anticiparse

La Comisión Europea presenta el Reglamento de IA como un marco amplio. Para una clínica privada, parte de la operativa concreta puede depender de desarrollos posteriores, guías y aplicación práctica en el mercado (por ejemplo, cómo etiquetan los proveedores funciones de IA o qué documentación aportan). Por eso, cuando un proveedor prometa “conformidad total”, conviene pedir referencias documentales verificables y dejar constancia de lo entregado.

En la parte de protección de datos, la inclusión del RGPD y la LOPDGDD en publicaciones del BOE no introduce por sí misma nuevas obligaciones para la clínica, pero sí refuerza que cualquier proyecto de software sanitario con IA debe nacer con contratos, registros y control de accesos ordenados.

Referencias y enlaces

• Reglamento de IA (documentación de la Comisión Europea): European Commission
• RGPD y LOPDGDD (temario publicado en el BOE, Disposición 20626): BOE
• Marcado CE y limitaciones en introducción acelerada (referencia al Real Decreto 192/2026 en Noticias Jurídicas): Noticias Jurídicas
• Cumplimiento normativo y coste para pequeñas empresas (documento referenciado por elEconomista): elEconomista

Este artículo resume información pública del sector. No es asesoramiento legal ni fiscal.