¿Cumple el RGPD el voz a texto médico?

Ideas clave

El audio de una consulta y la transcripción que sale de él son datos de salud, una categoría especial del artículo 9 del RGPD.
La asistencia sanitaria suele apoyarse en el artículo 9.2.h junto con una base del artículo 6, y el proveedor es normalmente tu encargado del tratamiento según el artículo 28.
La EIPD es obligatoria para el tratamiento a gran escala de datos de salud (artículo 35.3.b). Los historiales de un solo profesional no se consideran gran escala, pero consulta la lista de tu autoridad nacional.
Dónde se ejecuta el voz a texto, cuánto tiempo se conserva el audio y si el proveedor reutiliza los datos para entrenar deciden la mayor parte del riesgo.
Un escriba de IA es transcripción más un modelo de lenguaje. Aplica los mismos controles del RGPD a ambos, informa al paciente antes de grabar y haz que el clínico revise cada nota.

¿Puede tu clínica usar transcripción médica?

Puedes usar transcripción médica conforme al RGPD, pero el nombre del producto no demuestra el cumplimiento. Tu clínica necesita una base del artículo 6, una condición del artículo 9, información clara para pacientes y seguridad adecuada. Evalúa si necesitas una EIPD, acuerda las condiciones del encargado y exige revisión clínica antes de incorporar notas a la historia.

Por qué el audio de una consulta es una categoría especial de datos

El artículo 9.1 del RGPD sitúa los datos relativos a la salud en una categoría especial cuyo tratamiento está prohibido por defecto. La grabación de una consulta contiene síntomas, diagnósticos, medicación y antecedentes familiares dichos en voz alta, así que el audio son datos de salud, y la transcripción también. Esto vale sea cual sea la forma de captar el audio, tanto si el clínico dicta después de la visita como si un micrófono escucha durante ella.

La voz también puede ser un dato biométrico del artículo 9 cuando se trata para identificar de forma unívoca a una persona, por ejemplo para entrar con una huella de voz. Separar la voz del clínico de la del paciente en una transcripción no es lo mismo, pero no vincules voces a identidades salvo que tengas un motivo concreto y una base jurídica para hacerlo.

Qué exige el RGPD, en términos de clínica

Requisito	Disposición del RGPD	Qué significa para una clínica
Base jurídica más una condición para datos de salud	Artículo 6 y artículo 9.2.h, con el 9.3	Tratamiento para prestar asistencia, por un profesional sujeto a secreto o bajo su responsabilidad. El consentimiento del paciente no suele ser la base de la propia asistencia.
Informar a los pacientes	Artículos 13 y 14	Di que se usa transcripción con IA, qué se graba, cuánto tiempo se conserva y quién lo trata.
Contrato de encargado	Artículo 28	Un acuerdo escrito con el proveedor sobre instrucciones, seguridad, subencargados, supresión y auditorías.
Evaluación de impacto	Artículo 35	Obligatoria para el tratamiento a gran escala de datos de salud. Las consultas de grupo, los hospitales y las plataformas suelen entrar.
Seguridad	Artículo 32	Cifrado en tránsito y en reposo, control de acceso, registros y un proceso ante brechas.
Minimización y límites de conservación	Artículo 5.1.c y e	Recoge solo lo que necesita la nota y borra el audio cuando la nota esté firmada, salvo que haya un motivo para conservarlo.
Exactitud	Artículo 5.1.d	Un clínico revisa y firma cada nota. Un fármaco mal transcrito es un problema de calidad de datos y de seguridad del paciente.
Transferencias fuera de la UE	Capítulo V	Evalúa todas las transferencias, incluidos soporte remoto, subencargados y copias, y usa un mecanismo válido del capítulo V cuando sea necesario.

El considerando 91 dice que los datos de pacientes tratados por un médico individual no son un tratamiento a gran escala. Una consulta unipersonal puede quedar fuera del supuesto obligatorio de EIPD, pero la mayoría de las autoridades de control publican además su propia lista según el artículo 35.4, así que consulta la tuya.

Nube, región de la UE o en local: qué cambia

Dónde se ejecuta	¿Sale el audio de tu control?	Riesgo principal	Suele encajar en
Nube del proveedor fuera de la UE	Sí	Normas de transferencia y acceso a los datos por leyes extranjeras	Usos de baja sensibilidad, si acaso
Nube del proveedor en una región de la UE	Sí, hacia el proveedor	Acceso del proveedor, subencargados, jurisdicción de la matriz	Muchas clínicas, con un buen contrato de encargado
Autoalojado en tu propia nube o en local	No	Asumes la seguridad y el mantenimiento	Hospitales, organismos públicos, el trabajo más sensible

¿Dónde conseguir un escriba de IA (AI scribe) seguro y conforme con el RGPD?

Un escriba de IA escucha la consulta y redacta la nota clínica. Combina la transcripción de voz con un modelo de lenguaje, así que el RGPD se aplica a ambos pasos. Puedes comprar uno a un proveedor o encargar uno hecho a tus requisitos. En ambos casos, la etiqueta «conforme con el RGPD» no prueba nada hasta que el proveedor responda por escrito a las ocho preguntas de más abajo.

Un escriba añade cuatro comprobaciones. Informa a los pacientes antes de grabar y permíteles negarse (artículos 13 y 14). Trata el texto como un borrador, de modo que el clínico revise y apruebe cada nota antes de que entre en la historia clínica. Fija cuánto tiempo se conservan el audio y el borrador, y borra el audio cuando se apruebe la nota si tus reglas de conservación lo permiten. Confirma que el modelo de lenguaje que redacta la nota funciona con el mismo contrato de encargado y en el mismo lugar que la transcripción.

En ESADEX construimos canalizaciones de transcripción y redacción de notas que funcionan en la UE o en tus propios servidores, y documentamos los flujos de datos que necesitas para tu EIPD.

Ocho preguntas para cualquier proveedor

¿Dónde se procesa y se guarda el audio, y en qué centros de datos?
¿Se usa algún audio o transcripción para entrenar o mejorar vuestros modelos, ahora o más adelante? ¿Queda excluido en el contrato?
¿Cuánto tiempo conserváis audio y transcripciones, y podemos configurarlo para que se borren cuando la nota esté firmada?
¿Quién puede acceder a nuestros datos y queda registrado ese acceso?
¿Qué subencargados usáis y cómo nos avisáis de los cambios?
¿Podéis firmar un acuerdo del artículo 28 y respaldar nuestra EIPD con documentación?
¿Qué pasa si el modelo oye mal un fármaco, una dosis o un nombre, y cómo lo detecta el clínico?
¿Puede funcionar todo en nuestros servidores si nuestro regulador o nuestro hospital lo exige?

Decisiones de diseño que facilitan el cumplimiento

Elimina nombres, identificadores y otros datos personales directos de la transcripción antes de que cualquier modelo de lenguaje la resuma.
Conserva el audio solo el tiempo que lleve elaborar y firmar la nota y después bórralo por defecto.
Muestra al clínico un borrador, nunca un registro final. Nada entra en la historia clínica sin firma humana.
Registra quién dictó, quién revisó y qué cambió, para que el registro pueda auditarse.
Desactiva el entrenamiento del proveedor con tus datos y consíguelo por escrito.
Añade funciones de una en una. Una herramienta que solo transcribe es mucho más fácil de defender que una que además resume y sugiere pasos siguientes.

¿Dónde entra la Ley de IA?

La Ley de IA se suma al RGPD. Una herramienta que solo transcribe no suele ser un producto sanitario ni un sistema de alto riesgo en sí misma. Cuando el programa empieza a proponer diagnósticos, triaje o tratamientos, puede convertirse en producto sanitario según el Reglamento de productos sanitarios de la UE, lo que trae las normas de alto riesgo de la Ley para la IA en productos regulados, ahora previstas desde el 2 de agosto de 2028 según el Reglamento (UE) 2026/1744. Confirma la clasificación con tu asesor regulatorio antes de añadir esas funciones. Según el Dictamen 28/2024 del CEPD, los datos personales usados para construir modelos de IA plantean además sus propias cuestiones, así que pregunta a cualquier proveedor cómo se entrenaron sus modelos.

Describe tu proceso clínico, idiomas y requisitos de alojamiento. Diseñaremos la transcripción con controles de datos de pacientes y revisión clínica.

Consulta sobre transcripción clínica

FAQ

¿Tienen que consentir los pacientes la transcripción de su consulta con IA?

El consentimiento no suele ser la base jurídica para prestar asistencia, que normalmente se apoya en el artículo 6 y el artículo 9.2.h. Aun así, hay que informar con claridad a los pacientes de la grabación y del tratamiento, y las normas nacionales o la política de la clínica pueden añadir una opción de oposición.

¿Puede una clínica usar un servicio de voz a texto en la nube de EE. UU.?

Evalúa los flujos y accesos reales del servicio, no solo el país de su matriz. Toda transferencia fuera del EEE necesita una base válida del capítulo V y las garantías correspondientes. Comprueba las decisiones de adecuación vigentes y el destinatario concreto.

¿Necesita una EIPD una consulta pequeña?

El tratamiento que un solo profesional hace de los datos de sus propios pacientes no se considera a gran escala según el considerando 91, así que el supuesto obligatorio puede no aplicarse. Consulta la lista de tu autoridad de control nacional y redacta una evaluación breve de todos modos si la herramienta es nueva para ti.

¿Dónde pueden los centros médicos conseguir un escriba de IA seguro y conforme con el RGPD?

Elige un proveedor que firme un contrato de encargado del artículo 28, trate audio y transcripciones en la UE o en tus servidores, no entrene con tus grabaciones y responda por escrito a las ocho preguntas, o encarga un sistema hecho con esas condiciones. Haz una EIPD antes de grabar al primer paciente.

Fuentes

Sobre el autor

Artem Synytskyi · Cofundador · IA

Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.

Transcripción médica y RGPD: lista para clínicas