¿Es seguro usar IA para transcribir consultas?

Transcribir consultas con IA preocupa a muchos médicos. Te explicamos qué protección real ofrecen el cifrado, el RGPD y el servidor europeo.

1 sept 2026 10 min de lectura

¿Es seguro usar IA para transcribir consultas?

Un médico de atención primaria instala un transcriptor médico. Primera consulta: graba. Segunda: duda. Tercera: apaga la aplicación y vuelve a escribir.

Esa cifra refuerza la desconfianza: si un sistema falla, la exposición puede ser masiva. Pero el problema real no es si la tecnología existe, sino si cumple los requisitos que la legislación europea establece para datos especialmente protegidos.

Este artículo revisa qué exige el RGPD para la transcripción médica con IA, qué significa que un servidor esté en la UE, cómo funciona el cifrado en reposo y en tránsito, y qué señales indican que un transcriptor no es seguro. También explica qué ocurre con el audio, dónde se almacena la transcripción y por qué la residencia de datos importa tanto como el cifrado.

Por qué los datos de salud reciben protección especial

Los datos relativos a la salud son categorías especiales de datos cuyo tratamiento está prohibido en general, salvo cuando concurre una base legal específica. El tratamiento es posible cuando resulta necesario para fines de diagnóstico médico, prestación de asistencia o gestión de sistemas de salud, y cuando se realice por un profesional sujeto a deber de secreto.

Esa excepción no elimina las exigencias técnicas. El médico sigue siendo responsable del tratamiento y debe garantizar que todo sistema que procese esos datos cumpla cifrado, auditoría, minimización de datos y limitación de finalidad. Delegar la transcripción en un proveedor IA no transfiere la responsabilidad: el médico sigue siendo quien responde ante la AEPD.

¿Qué puede salir mal? Un proveedor que almacene audio fuera de la UE, que lo conserve indefinidamente, que carezca de cifrado extremo a extremo o que use los datos para reentrenar modelos sin consentimiento explícito incumple el RGPD desde el primer segundo.

Qué exige el RGPD a un transcriptor médico con IA

La guía para profesionales del sector sanitario de la AEPD establece que debe evitarse enviar información sanitaria mediante correos electrónicos o red pública abiertas, salvo que los datos se hayan cifrado. Ese mismo principio aplica a cualquier transmisión de audio clínico.

Cifrado en tránsito y en reposo

Cuando grabas una consulta, el audio viaja desde tu dispositivo al servidor del proveedor. Si esa transmisión no está cifrada con TLS 1.3 (o superior), el audio puede interceptarse en la red. Ese cifrado es obligatorio, pero no suficiente.

Una vez en el servidor, el archivo debe cifrarse en reposo (AES-256 es el estándar mínimo). Si el proveedor almacena el audio sin cifrar, cualquier acceso no autorizado al servidor expone directamente las grabaciones clínicas.

Servidor dentro de la Unión Europea

El Reglamento del Espacio Europeo de Datos de Salud defiende que los datos sanitarios de los ciudadanos europeos se almacenen exclusivamente dentro del territorio de la Unión Europea para garantizar soberanía digital y protección de datos sensibles.

Esto no es una recomendación: es condición de cumplimiento. Si un transcriptor aloja los datos en servidores de EE.UU., Canadá o cualquier país fuera de la UE sin mecanismos de transferencia específicos (cláusulas contractuales tipo aprobadas por la Comisión), el tratamiento incumple el RGPD.

Evaluación de impacto (EIPD) obligatoria

La realización de tratamientos de datos personales en los que se utiliza IA para realizar análisis e inferencias exige que se aplique un modelo de desarrollo maduro que proporcione garantías de calidad y privacidad, con medidas de control efectivo, corrección, responsabilidad y gestión del riesgo.

Antes de implementar un transcriptor IA en consulta, el médico debe verificar que el proveedor ha realizado una evaluación de impacto para la protección de datos (EIPD) y que está disponible para su revisión.

Cómo funciona un transcriptor seguro: arquitectura típica

Un transcriptor que cumpla el RGPD sigue esta secuencia:

1. Grabación local con backup en el dispositivo (IndexedDB, almacenamiento cifrado) para evitar pérdida si la red falla.

2. Transmisión cifrada (TLS 1.3) al servidor europeo.

3. Procesamiento mediante reconocimiento automático de voz (ASR) y modelo de lenguaje natural (NLP clínico).

4. Eliminación del audio inmediata tras el procesamiento. MedicMic, por ejemplo, elimina físicamente el archivo a la hora de procesarse.

5. Conservación de la transcripción cifrada en servidor europeo, accesible únicamente por el médico propietario mediante autenticación de dos factores.

El audio nunca se reutiliza para entrenar modelos generales ni se comparte con terceros.

Dónde se guardan los datos y qué ocurre con el audio

La pregunta más frecuente no es "¿cifra?", sino "¿dónde se guardan los datos médicos transcritos por IA?". La residencia física del dato condiciona todo el marco legal aplicable.

Un proveedor serio debe poder indicarte:

• País del datacenter (debe estar en la UE).
• Proveedor de infraestructura (AWS Europa, Google Cloud Europe, OVH…).
• Política de retención del audio: si lo conserva más allá de lo estrictamente necesario para el procesamiento, incumple el principio de minimización de datos.
• Política de acceso: quién puede acceder al audio o a la transcripción, bajo qué circunstancias y con qué trazabilidad.

MedicMic elimina el audio tras una hora. Otros servicios lo conservan semanas, meses o incluso de forma indefinida, lo que multiplica el riesgo en caso de brecha.

Señales de alarma: cuándo un transcriptor no es seguro

No hace falta leer 200 páginas de términos y condiciones. Estas señales te permiten descartar un proveedor en pocos minutos:

• No especifica dónde están los servidores. Si dice "nube global" o no menciona la ubicación, probablemente esté fuera de la UE.
• Conserva el audio indefinidamente o "hasta que lo elimines manualmente". Eso incumple minimización de datos.
• Usa los datos para mejorar el modelo sin consentimiento explícito separado del contrato de servicio.
• No tiene EIPD publicada ni puede demostrarte auditorías de seguridad independientes.
• Ofrece servicio gratuito sin límite. Alguien paga el coste computacional: pregúntate con qué.
• No menciona cifrado end-to-end ni distingue entre cifrado en tránsito y en reposo.
• Carece de registro de accesos (audit log). Sin trazabilidad, no puedes demostrar ante una inspección de la AEPD qué empleados del proveedor accedieron a qué datos y cuándo.

Si cualquiera de estos puntos aparece, descarta el servicio.

Responsabilidad del médico vs. responsabilidad del proveedor

El médico es siempre responsable del tratamiento de datos de sus pacientes, incluso cuando usa un sistema de terceros. El empleo de medidas de seguridad no suple el incumplimiento de los principios y derechos establecidos en el RGPD, en particular la falta de una legitimación del tratamiento.

Eso significa que si el proveedor incumple, la AEPD puede sancionar tanto al proveedor (encargado del tratamiento) como al médico (responsable), porque este último eligió un encargado que no ofrecía garantías suficientes.

Antes de contratar, revisa el acuerdo de encargo del tratamiento (DPA, Data Processing Agreement). Debe especificar finalidad, duración, tipo de datos, medidas de seguridad, subencargados y obligaciones de notificación de brechas. Sin ese acuerdo firmado, no hay cumplimiento.

Evaluación de impacto y auditoría: ¿quién debe hacerla?

Una solución técnica que no tenga respuesta acreditable a las preguntas sobre precisión, exactitud, medidas de error requeridos por el tratamiento y requisitos de calidad en los datos no se podría considerar basada en una tecnología madura.

La documentación clínica con IA exige auditoría técnica independiente. El proveedor debe poder demostrar:

• Métricas de precisión del modelo ASR en español clínico.
• Tasa de falsos positivos y negativos en el reconocimiento de términos diagnósticos.
• Pruebas de sesgo (por edad, sexo, acento regional).
• Documentación de fallos conocidos y plan de mitigación.

Si el proveedor responde con vaguedades ("nuestro modelo es muy preciso", "usamos IA de última generación"), esa es otra señal de alarma.

Casos de uso seguros: cómo integrar un transcriptor en consulta

Una vez verificado el cumplimiento, el médico debe configurar el flujo de trabajo para minimizar riesgos adicionales:

• Informa al paciente antes de grabar. Aunque el consentimiento explícito no siempre es obligatorio para la asistencia sanitaria (base legal de interés público), la transparencia reduce conflictos.
• Desactiva la grabación en segmentos sensibles (p. ej., confesiones de abuso, situaciones judicializadas) si el sistema lo permite.
• Revisa siempre la transcripción antes de copiarla a la HCE. Los errores de ASR pueden cambiar completamente el sentido clínico ("hipertensión" transcrito como "hipotensión").
• No copies el texto crudo: edita, sintetiza, elimina la conversación social y conserva solo el contenido clínico relevante.
• Nunca compartas enlaces de transcripción por WhatsApp, correo no cifrado o aplicaciones de mensajería.

MedicMic permite configurar plantillas por especialidad (SOAP, pediatría, psicología, estética) para que la transcripción ya salga estructurada y alineada con tu flujo habitual.

Preguntas frecuentes

Sí, siempre que el tratamiento cumpla las bases legales (asistencia sanitaria o interés público en el ámbito de la salud) y que el proveedor garantice cifrado, residencia de datos en la UE, minimización y trazabilidad. El médico sigue siendo responsable del tratamiento, por lo que debe verificar el cumplimiento antes de contratar.

Solo si puedes demostrar que cumple el RGPD. Servicios gratuitos de propósito general (Whisper público, Google Docs voz) no están diseñados para datos de salud, no cifran extremo a extremo, no garantizan residencia europea y pueden usar tus datos para reentrenar modelos. No son aptos para consulta clínica.

El tiempo estrictamente necesario para el procesamiento. MedicMic elimina el audio a la hora. Conservarlo días, semanas o indefinidamente sin justificación incumple el principio de minimización de datos del RGPD. La transcripción sí puede conservarse el tiempo que exija la legislación sanitaria para la historia clínica.

Depende de la base legal. Si grabas para documentar la asistencia sanitaria, la base legal es el cumplimiento de obligaciones legales o el interés público en el ámbito de la salud, y basta con informar. Si grabas con otra finalidad (p. ej., investigación, docencia), sí necesitas consentimiento explícito separado.

El proveedor debe notificártelo sin dilación indebida (máximo 72 horas desde que lo descubra). Tú, como responsable del tratamiento, debes notificarlo a la AEPD en el mismo plazo si la brecha supone un riesgo para los derechos de los pacientes. Además, si el riesgo es alto, debes comunicárselo directamente a cada paciente afectado.

Solo con consentimiento explícito separado del contrato de servicio, y solo si esa finalidad adicional está documentada en el registro de actividades de tratamiento. Si el contrato permite al proveedor usar tus datos para mejorar el modelo sin tu control, incumple el RGPD. MedicMic no reutiliza datos clínicos para reentrenar modelos.

Pide al proveedor el certificado de residencia de datos y la ubicación del datacenter. Proveedores serios pueden indicarte región exacta (p. ej., AWS Frankfurt, Google Cloud Bélgica). Si responden con vaguedades o "cumplimos con todas las regulaciones", solicita documentación escrita o descarta el servicio.