RGPD y transcripción médica con IA

RGPD transcripción médica IA obliga a cifrado extremo a extremo, servidor EU y análisis EIPD. Qué exige realmente la normativa y cómo cumplirla.

1 sept 2026 9 min de lectura

RGPD y transcripción médica con IA

Este artículo desglosa exactamente qué exige el RGPD cuando procesas voz clínica con IA, qué contratos se necesitan, dónde pueden estar los servidores, cuándo es obligatoria la Evaluación de Impacto en Protección de Datos y qué debe contener la cláusula informativa al paciente.

Por qué el RGPD trata los datos médicos procesados por IA como categoría especial

El artículo 9.1 del RGPD prohíbe explícitamente el tratamiento de datos relativos a la salud, salvo que concurra alguna de las excepciones del apartado 2. Cuando una IA transcribe voz clínica, procesa simultáneamente tres tipos de dato personal:

• Dato biométrico identificativo (la voz como patrón único según considerando 51 RGPD)
• Dato de salud (contenido clínico transcrito)
• Dato identificativo directo (nombre del paciente si aparece en la grabación)

La Agencia Española de Protección de Datos (AEPD) publicó en 2023 su Guía sobre tratamientos de datos de salud reiterando que cualquier herramienta que procese voz con contenido clínico requiere base jurídica del artículo 9.2 RGPD, no del 6. En la práctica clínica española, la base habitual es el artículo 9.2.h (medicina preventiva, diagnóstico médico y gestión de servicios sanitarios) combinado con la Ley 41/2002 de autonomía del paciente.

Qué contratos exige el RGPD entre médico, plataforma de IA y proveedores cloud

El médico es responsable del tratamiento (art. 24 RGPD). La plataforma de transcripción actúa como encargado del tratamiento (art. 28). El proveedor de infraestructura cloud es subencargado. Esta cadena requiere:

• Naturaleza, finalidad, tipo de datos y categorías de interesados
• Duración del tratamiento
• Obligaciones del encargado: procesar solo bajo instrucción documentada, garantizar confidencialidad del personal, implementar medidas técnicas del art. 32
• Prohibición de subcontratación sin autorización previa escrita del responsable
• Asistencia al responsable para responder ejercicios de derechos ARCO y para realizar EIPD
• Compromiso de eliminar o devolver todos los datos al término del servicio
• Auditorías: permitir y contribuir a inspecciones del responsable o auditor designado

Las plantillas genéricas de «DPA» (Data Processing Agreement) estadounidenses incumplen sistemáticamente el art. La AEPD sanciona la ausencia de contrato conforme al art. 28 con multas de hasta 10 M€ (art.

Dónde pueden procesarse los datos: transferencias internacionales y decisión Schrems II

El art. 44 RGPD prohíbe transferir datos fuera del Espacio Económico Europeo (EEE: UE + Noruega, Islandia, Liechtenstein) sin garantías adecuadas. Tras la sentencia Schrems II (TJUE C-311/18, julio 2020), que invalidó el Privacy Shield UE-EEUU, cualquier transferencia a proveedores cloud estadounidenses requiere:

1. Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión (Decisión 2021/914)

2. Medidas suplementarias caso por caso tras análisis de riesgo que considere: legislación del país tercero, naturaleza de los datos, finalidad del tratamiento, posibilidad de acceso por autoridades públicas

En datos de salud, la AEPD y el Comité Europeo de Protección de Datos (CEPD) han señalado que las medidas suplementarias deben incluir cifrado con claves gestionadas exclusivamente en la UE. Proveedores con sede en EE. UU. conforme a la FISA Section 702 o la Executive Order 12333 quedan sometidos a obligaciones de divulgación que anulan las garantías del RGPD.

Cuándo es obligatoria la Evaluación de Impacto en Protección de Datos

• Tratamientos de datos biométricos con finalidad de identificación unívoca (voz)
• Tratamientos que impliquen uso de nuevas tecnologías o uso innovador de tecnologías consolidadas (IA generativa, modelos de lenguaje)
• Tratamientos de datos de pacientes cuando el responsable sea un médico en ejercicio individual y utilice plataformas de terceros

Si tu transcriptor IA cumple DOS o más criterios de la lista AEPD, la EIPD es obligatoria, no recomendable. Cómo la IA transforma la consulta médica incluye un apartado sobre la relación entre innovación tecnológica y evaluación de riesgos.

• Descripción sistemática del tratamiento y finalidades
• Evaluación de necesidad y proporcionalidad
• Evaluación de riesgos para derechos y libertades
• Medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen protección

Documentos con secciones genéricas del tipo «utilizamos cifrado» no cumplen. Se necesita un análisis concreto: qué modelo de IA (GPT-4, Whisper, Claude), dónde se ejecuta, qué registros (logs) se generan, cuánto tiempo se conservan, quién tiene acceso administrativo y qué ocurre con los embeddings. Una EIPD clínica válida ocupa 15-25 páginas.

Información al paciente: qué debe contener la cláusula para grabación y transcripción

El art. 13 RGPD exige información transparente en el momento de recogida de datos. Cuando grabas una consulta, debes informar antes de iniciar la grabación:

"Voy a grabar nuestra conversación para generar automáticamente el informe clínico mediante inteligencia artificial. La grabación se procesa en servidores europeos cifrados y se elimina tras generar la nota. ¿Está de acuerdo?"

• Identidad del responsable (médico colegiado nº X) y DPO si existe
• Finalidad: documentación clínica asistencial
• Base jurídica: art. h RGPD + Ley 41/2002 art.

15

• Destinatarios: [nombre plataforma IA] como encargado del tratamiento
• Transferencias internacionales: sí/no, y en caso afirmativo garantías
• Plazo de conservación: grabación eliminada tras la transcripción; nota clínica conservada según los plazos legales (mínimo 5 años post-alta según RD 1093/2010)
• Derechos ARCO: acceso, rectificación, supresión, limitación, portabilidad.

En 2024 la AEPD sancionó a tres clínicas dentales por usar grabación con IA sin cláusula informativa específica (procedimientos PS/00234/2024, PS/00291/2024, PS/00307/2024). La ausencia de información específica sobre uso de IA no queda cubierta por la cláusula genérica de protección de datos de la clínica.

Medidas técnicas obligatorias según el artículo 32 RGPD

El art. 32 del RGPD exige «medidas técnicas y organizativas apropiadas» considerando el estado de la técnica, el coste, la naturaleza y los riesgos. En transcripción médica con IA, el estándar del mercado 2024-2025 incluye:

• Los datos se cifran en tránsito y en reposo.
• El audio se borra físicamente del almacenamiento a la hora.

• Autenticación multifactor obligatoria.
• Principio de privilegio mínimo: personal técnico sin acceso a contenido clínico.
• Registros de acceso auditables conservados durante 1 año.

• Los datos de cada médico se encuentran en un "tenant" aislado.
• Imposibilidad técnica de cruce

Preguntas frecuentes

No necesitas consentimiento explícito si la base jurídica es el artículo 9.2.h RGPD (asistencia sanitaria). La transcripción forma parte de la documentación clínica necesaria para la atención médica, que está legitimada por la Ley 41/2002. Sí necesitas informar al paciente antes de grabar, explicando que usas IA y ofreciendo la posibilidad de oposición, pero el consentimiento formal no es obligatorio salvo que tu EIPD identifique riesgos adicionales que lo requieran.

Realizar transferencias internacionales de datos de salud sin las garantías de los artículos 44-50 del RGPD constituye una infracción muy grave conforme al artículo 83.5. A profesionales individuales, la AEPD les ha impuesto sanciones significativas por transferencias ilícitas de datos de salud. Además, existe responsabilidad civil por daños a pacientes si hay brecha de seguridad.

No puedes usar una EIPD genérica para diferentes plataformas. Cada sistema de transcripción médica con IA requiere EIPD específica porque cambian variables críticas: modelo de IA empleado, ubicación de servidores, subencargados implicados, medidas de seguridad implementadas y flujos de datos concretos. Puedes reutilizar la metodología y secciones descriptivas del contexto clínico, pero el análisis de riesgos y medidas debe ser individualizado para cada herramienta tecnológica utilizada.

El RGPD exige aplicar el principio de minimización: conservar datos solo el tiempo estrictamente necesario. En transcripción médica, el audio debe eliminarse inmediatamente tras generar y validar la transcripción, habitualmente en minutos u horas. Conservar audio más allá de lo técnicamente necesario incrementa el riesgo y puede considerarse incumplimiento del artículo 5.1.e RGPD.

La obligación de designar DPO depende del artículo 37 RGPD: es obligatorio si realizas tratamiento a gran escala de datos de salud o tu actividad principal requiere observación regular y sistemática. Un médico individual con consulta privada que usa transcripción IA generalmente no requiere DPO obligatorio, aunque es recomendable contar con asesoramiento especializado. Clínicas con varios profesionales, hospitales o centros que traten miles de pacientes mensualmente sí están obligados a designar DPO.

Si el audio ya fue eliminado tras la transcripción (procedimiento correcto), debes informar al paciente que el audio no se conserva por principio de minimización, pero puede acceder a la transcripción y nota clínica completa. Si excepcionalmente conservas audios, el paciente tiene derecho de acceso según artículo 15 RGPD y debes facilitarle copia en formato accesible en el plazo de un mes. Documenta siempre tanto estas solicitudes como sus respuestas.