IA en consultorios médicos: usos razonables, con la confidencialidad primero

Un consultorio pequeño o una clínica con pocos profesionales tiene una carga administrativa que no deja de crecer: confirmar turnos, contestar por WhatsApp a qué hora se atiende o qué hay que traer, redactar cartas, preparar indicaciones generales, ponerse al día con la literatura. La inteligencia artificial puede aliviar una parte de ese trabajo. Pero en salud el punto de partida no es la eficiencia: es la confidencialidad del paciente.

Antes de seguir, una aclaración honesta: en Mandato IA no somos médicos ni abogados. Esta guía es orientación general sobre herramientas y buenas prácticas de manejo de información. No es consejo clínico ni legal. Las decisiones sobre pacientes son del profesional de salud, y las dudas sobre obligaciones legales concretas conviene resolverlas con un abogado de tu país.

Por qué en salud la regla cambia: los datos de salud son datos sensibles

La información de salud no es un dato personal cualquiera. En Ecuador rige la Ley Orgánica de Protección de Datos Personales (LOPDP), publicada en el Registro Oficial 459 del 26 de mayo de 2021, según el registro de regulaciones de gob.ec. Esa ley incluye la salud entre los datos sensibles, junto con otros como los datos biométricos y genéticos, y les da una protección reforzada. Según un análisis publicado en Derecho Ecuador en septiembre de 2026, el artículo 26 de la ley exige, para tratar datos sensibles, un consentimiento explícito con finalidades especificadas con claridad.

Una nota de transparencia: al preparar esta guía intentamos leer el texto completo de la ley en varias copias oficiales en PDF y no pudimos extraer su contenido, así que los detalles de artículos que citamos vienen de ese análisis y no de nuestra lectura directa. Revisa el texto vigente antes de tomar decisiones.

El Ministerio de Salud Pública de Ecuador, en su política para el tratamiento de datos personales, indica que quienes tratan datos relativos a la salud están sujetos al deber de confidencialidad, y que esa obligación complementa el secreto profesional. La misma política menciona el uso, en lo posible, de seudonimización y anonimización en sus bases de datos. La autoridad de control es la Superintendencia de Protección de Datos Personales, que publica guías como la de gestión de riesgos y evaluación de impacto y la de protección de datos desde el diseño y por defecto.

Otros países de la región tienen normas de protección de datos con reglas parecidas para la información de salud. No las detallamos aquí porque no las verificamos una por una: si ejerces fuera de Ecuador, revisa la norma de tu país y la guía de su autoridad de datos.

Qué dice la Organización Mundial de la Salud

La OMS publicó en junio de 2021 su guía «Ethics and governance of artificial intelligence for health» (ética y gobernanza de la inteligencia artificial para la salud), fruto de consultas con un grupo internacional de expertos. Propone seis principios. El primero es proteger la autonomía humana: que las personas mantengan el control de los sistemas de salud y de las decisiones médicas, que se proteja la privacidad y la confidencialidad, y que los pacientes den un consentimiento informado válido dentro de marcos legales de protección de datos.

Los otros cinco son promover el bienestar, la seguridad de las personas y el interés público; garantizar la transparencia, la explicabilidad y la inteligibilidad; fomentar la responsabilidad y la rendición de cuentas, con tecnologías usadas por personas capacitadas y en condiciones apropiadas; asegurar la inclusión y la equidad; y promover una IA receptiva y sostenible, evaluada de forma continua mientras se usa.

En enero de 2024 la OMS agregó una guía específica sobre los grandes modelos multimodales, la familia de herramientas a la que pertenecen los asistentes conversacionales. Identifica cinco grandes usos en salud, entre ellos las tareas administrativas y de oficina, y advierte riesgos concretos: afirmaciones falsas, inexactas, sesgadas o incompletas que pueden perjudicar decisiones de salud; el sesgo de automatización, que lleva a profesionales a pasar por alto errores; y vulnerabilidades de ciberseguridad que ponen en riesgo la información de los pacientes. La guía reúne más de 40 recomendaciones para gobiernos, empresas tecnológicas y prestadores de salud.

Las tecnologías de IA generativa tienen el potencial de mejorar la atención de salud, pero solo si quienes las desarrollan, regulan y usan identifican y tienen plenamente en cuenta los riesgos asociados.

Para un consultorio, eso se traduce en usar la IA donde el error es fácil de detectar y barato de corregir, y mantenerla lejos de donde un error afecta directamente a un paciente.

Usos razonables en un consultorio pequeño

1. Agenda y recordatorios

Aquí no hace falta IA: hace falta una agenda que se gestione sola. Google Calendar tiene agendas de citas con página de reservas. Según la ayuda de Google, con una Cuenta de Google personal puedes crear una sola página de reservas; los recordatorios automáticos por correo para quien reserva, las agendas múltiples y otras funciones requieren una suscripción apta, como Google One Premium o planes de Google Workspace como Business Standard. La ayuda también indica que puedes configurar correos de confirmación y hasta cinco recordatorios, aunque no editar su texto.

Un cuidado específico de salud: el nombre de la cita y el contenido del recordatorio no deberían revelar el motivo de la consulta. «Cita con la Dra. Pérez» está bien; «Control de [condición]» expone un dato sensible a cualquiera que vea el correo o la pantalla del celular.

2. Respuestas a preguntas administrativas

Horarios, dirección, formas de pago, qué documentos traer, cómo reprogramar. Son preguntas sin datos clínicos y con una respuesta estándar. La app WhatsApp Business permite guardar respuestas rápidas para mensajes frecuentes y configurar un mensaje de ausencia que, según su centro de ayuda, puede enviarse siempre, con horario personalizado o fuera del horario comercial. La IA es útil para redactar ese banco de respuestas, no para contestar sola:

Trabajo en un consultorio médico pequeño. Redacta respuestas breves
(máximo 50 palabras), amables y en tuteo para estas preguntas
administrativas. Deja entre corchetes los datos que debo completar.

Reglas obligatorias:
- No des ninguna orientación médica.
- Si la pregunta menciona síntomas, medicamentos o resultados,
  responde solo: «Para eso necesitamos que te vea el médico.
  ¿Te agendo una cita? Si es una urgencia, acude al servicio de
  emergencias más cercano.»

Preguntas:
1. ¿A qué hora atienden los sábados?
2. ¿Qué tengo que traer a la primera consulta?
3. ¿Cómo cambio mi cita?
4. ¿Aceptan pago con tarjeta?
5. Me duele el pecho desde ayer, ¿qué tomo?

El médico o la persona responsable revisa cada respuesta antes de guardarla. La quinta pregunta del ejemplo es a propósito: cualquier banco de respuestas tiene que tener una salida clara para lo que no es administrativo.

3. Borradores de cartas e indicaciones generales

Una carta de derivación genérica, un aviso de cambio de horario, una hoja de indicaciones generales sobre cómo prepararse para un examen: la IA puede dar una primera versión que el médico corrige y firma. La clave es que el borrador sea genérico, sin datos del paciente, y que el contenido clínico lo defina y revise el profesional.

Redacta una hoja de indicaciones GENERALES para pacientes adultos que
se van a realizar [NOMBRE DEL EXAMEN]. Lenguaje claro, nivel de lectura
sencillo, máximo 250 palabras, en tuteo.

Incluye solo estos puntos, que yo definí como médico:
- Ayuno: [INDICACIÓN DEL MÉDICO]
- Medicación habitual: [INDICACIÓN DEL MÉDICO]
- Qué traer: [LISTA]
- Cuándo llamar al consultorio: [CRITERIOS DEL MÉDICO]

No agregues recomendaciones clínicas que no estén en esta lista.
Termina con: «Si tienes dudas, consulta con tu médico.»

Fíjate en la estructura: la IA aporta redacción y claridad; las indicaciones clínicas las pone el médico entre corchetes. Si la herramienta agrega algo que no pediste, se borra.

4. Resúmenes de literatura

Ponerse al día con artículos es otro uso razonable, porque no involucra pacientes. Empieza por buscar en fuentes reconocidas: PubMed, mantenido por el Centro Nacional de Información Biotecnológica de la Biblioteca Nacional de Medicina de Estados Unidos, es gratuito y reúne más de 40 millones de citas y resúmenes, aunque no aloja los textos completos. Después, pega en el asistente el resumen o el texto al que tengas acceso legítimo y pide un resumen estructurado.

Resume el siguiente artículo científico para un médico general.
Usa SOLO el texto que te pego; si algo no está en el texto, escribe
«no consta en el texto».

Estructura:
1. Pregunta de investigación
2. Diseño y población (tamaño de la muestra, país)
3. Resultado principal, con las cifras tal como aparecen
4. Limitaciones que mencionan los autores
5. Qué NO permite concluir este estudio

[PEGA AQUÍ EL RESUMEN O EL TEXTO DEL ARTÍCULO]

Lo que no hay que hacer

• Pegar historias clínicas, recetas, resultados de laboratorio o capturas de chats con pacientes que contengan nombre, cédula, fecha de nacimiento, teléfono, dirección o cualquier dato que permita identificar a la persona.
• Usar un asistente de IA para diagnosticar, decidir un tratamiento o interpretar resultados de un paciente concreto. La OMS advierte del riesgo de afirmaciones falsas o incompletas y del sesgo de automatización.
• Dejar que un chatbot responda a pacientes sobre síntomas o medicación.
• Usar cuentas personales gratuitas, compartidas entre varias personas, para trabajo del consultorio.
• Grabar o transcribir consultas con herramientas de IA sin haber revisado antes la base legal, el consentimiento del paciente y las condiciones del proveedor.
• Dar por buena una cita bibliográfica que entregó la IA sin haberla encontrado tú.

Cómo anonimizar antes de usar IA

Hay dos conceptos que conviene no confundir. Seudonimizar es reemplazar los datos que identifican por un código, guardando aparte la tabla que permite volver a identificar a la persona. Anonimizar es quitar o transformar la información de modo que ya no se pueda identificar a nadie, ni siquiera combinando datos. Lo seudonimizado sigue siendo dato personal; por eso, para usar una herramienta externa, lo prudente es acercarse lo más posible a la anonimización.

Una prueba práctica: lee el texto anonimizado y pregúntate si una persona que conoce al paciente, o la comunidad donde vive, podría reconocerlo. Si la respuesta es «quizás», todavía no está listo. Y recuerda que para la mayoría de los usos razonables de esta guía (agenda, preguntas administrativas, indicaciones generales, literatura) no hace falta ningún dato de un paciente.

Política interna de uso de IA: plantilla para copiar

Una política de una página, firmada por todo el equipo, evita la mayoría de los problemas. Esta plantilla es un punto de partida: adáptala a tu consultorio y, si tratas datos de muchos pacientes, revísala con un abogado especializado en protección de datos de tu país.

POLÍTICA INTERNA DE USO DE INTELIGENCIA ARTIFICIAL
[NOMBRE DEL CONSULTORIO] · Versión [1.0] · Vigente desde [FECHA]
Responsable: [NOMBRE Y CARGO]

1. PARA QUÉ SÍ USAMOS IA
   - Redactar borradores de textos administrativos y generales
     (avisos, cartas sin datos de pacientes, respuestas a preguntas
     administrativas).
   - Redactar indicaciones generales cuyo contenido clínico define
     y revisa un médico.
   - Resumir literatura científica a partir del texto original.

2. PARA QUÉ NO USAMOS IA
   - Diagnosticar, indicar tratamientos o interpretar resultados
     de un paciente.
   - Responder a pacientes sobre síntomas, medicación o resultados.
   - Cualquier tarea que requiera datos que identifiquen a un paciente.

3. DATOS
   - Prohibido ingresar en herramientas de IA: nombres, cédulas,
     números de historia clínica, fechas de nacimiento, teléfonos,
     direcciones, fotos, estudios de imagen o documentos de pacientes.
   - Antes de pegar cualquier texto, se anonimiza según la tabla
     de la sección 7.
   - Ante la duda, no se pega.

4. HERRAMIENTAS AUTORIZADAS
   - Solo: [HERRAMIENTA Y PLAN], con cuentas individuales a nombre
     del consultorio.
   - Opción de uso de datos para entrenamiento: [DESACTIVADA / NO APLICA
     EN ESTE PLAN]. Revisado el [FECHA].
   - Prohibido usar cuentas personales para trabajo del consultorio.

5. REVISIÓN HUMANA
   - Todo texto generado con IA lo revisa [CARGO] antes de usarlo.
   - Todo contenido con información clínica lo revisa y aprueba
     un médico.
   - Las cifras y citas se cotejan con la fuente original.

6. TRANSPARENCIA
   - Si un paciente pregunta, se le explica para qué usamos IA
     y para qué no.

7. ANONIMIZACIÓN (resumen)
   - Eliminar identificadores directos.
   - Fechas exactas -> edad o tiempo relativo.
   - Lugares y rasgos poco comunes -> generalizar.
   - Imágenes y archivos -> no se suben.

8. INCIDENTES
   - Si alguien pegó por error datos de un paciente, avisa el mismo
     día a [RESPONSABLE]. Se borra la conversación, se registra qué
     pasó y se evalúa con asesoría si hay que notificar.

9. REVISIÓN DE ESTA POLÍTICA
   - Cada [6] meses o cuando cambie una herramienta o la norma.

Firmas del equipo: ______________________  Fecha: __________

Dos ejemplos de punta a punta (ficticios)

Una pediatra con consultorio propio

Ejemplo ficticio: la Dra. Rosales usa una página de reservas de Google Calendar con un plan que incluye recordatorios por correo, y los títulos de las citas solo dicen «Consulta pediátrica». Con ayuda de un asistente de IA redactó quince respuestas rápidas para WhatsApp Business sobre horarios, vacunación disponible y documentos, todas revisadas por ella, con una respuesta fija para cualquier pregunta sobre síntomas. Nunca pega datos de pacientes: sus usos de IA son textos generales y resúmenes de artículos que encuentra en PubMed.

Una clínica pequeña con cuatro profesionales

Ejemplo ficticio: la clínica adoptó la política interna de esta guía, contrató un plan de equipo de un asistente de IA con cuentas individuales y revisó que el plan no use sus datos para entrenar. La recepcionista usa la IA para borradores de avisos y cartas administrativas; los médicos, para hojas de indicaciones generales que luego corrigen. Cuando un médico quiso pegar un informe de laboratorio para «ordenarlo», la política lo frenó: ese documento identifica al paciente y no entra en ninguna herramienta externa.

Errores comunes

• Creer que borrar el nombre basta. La fecha de nacimiento, el barrio o una condición rara pueden identificar igual.
• Usar la cuenta gratuita personal del médico para tareas del consultorio.
• Dejar que el título de una cita o un recordatorio revele el motivo de la consulta.
• Pedirle a la IA referencias bibliográficas y citarlas sin verificarlas.
• Tener un chatbot que responde preguntas clínicas «solo para orientar».
• No tener nada escrito: sin una política, cada persona del equipo decide sola qué pega y dónde.

En resumen

La IA puede quitarle horas de trabajo administrativo a un consultorio pequeño, y la OMS reconoce las tareas administrativas entre sus usos posibles. Pero la regla es clara: los datos de salud son sensibles, la decisión clínica es del médico y cualquier error de la herramienta tiene que ser fácil de detectar. Si empiezas por la agenda, las respuestas administrativas y una política escrita, ya tienes la mayor parte del beneficio con muy poco riesgo. Lo que dice esta guía sobre confidencialidad sirve también a psicólogos, odontólogos y otros profesionales de la salud.