¿Necesita una clínica una EIPD antes de lanzar un asistente telefónico de IA?
Evaluación inicial y lista de evidencias para una EIPD de IA aplicada a citas, información y enrutamiento de llamadas.
La respuesta corta
Una clínica debería completar y documentar una evaluación inicial de EIPD antes de que un asistente telefónico con IA atienda una llamada real. No todo despliegue exige automáticamente una evaluación de impacto relativa a la protección de datos completa. Según el RGPD, la cuestión es si el tratamiento previsto puede entrañar un alto riesgo para los derechos y libertades de las personas.
En este contexto pueden coincidir varios factores: información sanitaria, pacientes que pueden ser vulnerables, tecnología nueva, supervisión de llamadas y tratamiento a escala. Eso no produce una respuesta automática. Exige revisar pronto el flujo real, la lista de la autoridad nacional competente y el criterio del delegado de protección de datos. Si es probable que exista alto riesgo, la EIPD debe terminarse antes de iniciar el tratamiento.
Evalúe el flujo real, no la etiqueta del producto
Empiece por las acciones concretas del asistente. Dibuje las llamadas entrantes y salientes, cambios de cita, comprobaciones de identidad, información aprobada, mensajes, transferencias y seguimiento. Indique si se conserva el audio, una transcripción, un resumen estructurado o solo eventos técnicos. Identifique cada sistema de origen, destinatario, encargado, lugar de tratamiento y ruta alternativa.
Un piloto no queda automáticamente fuera de las reglas. Si participan pacientes reales y datos personales, ese tratamiento debe evaluarse antes de la primera llamada. Las conversaciones sintéticas ayudan a probar el diseño, pero no muestran el riesgo de una identidad equivocada, una revelación inesperada de salud, el acceso del personal o un mensaje enviado a la cola errónea.
Asigne una finalidad limitada a cada caso de uso
Expresiones como atención al paciente o automatización de llamadas son demasiado amplias. La confirmación de cita, el cambio de fecha, las indicaciones prácticas, la petición de devolución de llamada y el mensaje administrativo deben describirse por separado. Para cada caso, defina el resultado que el asistente puede producir y los datos mínimos que necesita.
Después cuestione cada campo y cada copia. ¿Hace falta grabar? ¿Debe mantenerse la transcripción cuando el sistema de citas ya confirmó el cambio? ¿Recepción necesita toda la conversación o un caso breve y estructurado? Un paciente puede mencionar información sanitaria sin que se le pregunte. El diseño debe preverlo incluso cuando el guion aprobado sea administrativo.
Use los criterios de EIPD como evaluación razonada
Las directrices del EDPB mencionan datos sensibles o muy personales, tratamiento a gran escala, personas vulnerables, supervisión sistemática, decisiones automatizadas con efectos importantes, combinación de conjuntos de datos y tecnología innovadora. Un flujo telefónico de pacientes puede cumplir varios criterios, pero el resultado depende de la escala, el contexto, la finalidad y las salvaguardas.
No convierta el ejercicio en una puntuación de un cuestionario del proveedor. Consulte la lista obligatoria publicada por la autoridad nacional competente y explique por qué se aplica o no cada criterio relevante. El EDPB considera que varios criterios son una señal fuerte, aunque reconoce que uno puede bastar en un caso concreto. La clínica necesita una conclusión defendible, no un umbral mágico.
Pruebe necesidad y proporcionalidad antes de elegir medidas
Una EIPD debe preguntar si el mismo resultado operativo puede lograrse con menos datos personales o un método menos intrusivo. Compare grabación completa con ausencia de grabación, transcripción íntegra con caso estructurado, acceso amplio con colas por función y almacenamiento indefinido con conservación ligada a la finalidad. Aplique una verificación más fuerte solo a las acciones que realmente la necesiten.
El paciente también necesita una alternativa práctica cuando no puede o no quiere usar el canal de IA. El aviso al inicio debe ser claro, pero la transparencia no vuelve necesario ni proporcional todo el tratamiento. La clínica sigue necesitando una base jurídica, una finalidad definida, datos mínimos, acceso limitado y una ruta que funcione hacia una persona.
Convierta cada riesgo en un control con responsable y prueba
Describa fallos concretos: se cambia la cita del paciente equivocado, un mensaje sensible llega al equipo incorrecto, se lee una instrucción antigua, un tiempo de espera de integración crea dos acciones o un usuario de soporte ve más contenido del necesario. Para cada escenario, documente impacto, probabilidad, prevención, detección, recuperación y la persona responsable.
Los controles necesitan evidencia. Pruebe los pasos de identidad, permisos, tareas de borrado, registros de eventos, transferencia humana, respuestas incorrectas, caídas y reversión. El proveedor puede aportar arquitectura, encargados, medidas de seguridad y resultados de pruebas. Esa información ayuda al responsable, pero el paquete de seguridad o la plantilla del proveedor no sustituye la evaluación de la finalidad, los pacientes y el proceso propios.
Mantenga las decisiones clínicas y de impacto en personas autorizadas
Un asistente administrativo puede informar de que es IA, seguir información aprobada, ejecutar acciones de cita permitidas y dirigir un caso completo. No debería diagnosticar, interpretar síntomas o resultados, decidir urgencia clínica o acceso a la asistencia, juzgar consentimiento o capacidad, resolver una autorización discutida de quien llama por un paciente ni cerrar un asunto de protección.
Incluya estos límites en la EIPD, el diseño de conversación y las pruebas de aceptación. Una palabra puede activar una derivación prudente, pero no debe presentarse como evaluación clínica. Cuando la petición sea ambigua, sensible o quede fuera del alcance, el resultado seguro es una transferencia visible, con contexto y un responsable humano.
Apruebe antes del lanzamiento y revise tras cambios importantes
Involucre al delegado de protección de datos cuando aún sea posible cambiar el diseño. Si persiste un alto riesgo residual pese a las salvaguardas, el RGPD exige consultar previamente a la autoridad de control antes de iniciar el tratamiento. Registre la aprobación, acciones pendientes, responsables y evidencias exigidas para producción, en vez de archivar la EIPD después de comprar.
Revise la evaluación cuando cambien la finalidad, el modelo, la cadena de encargados, la grabación, la conservación, la integración, la escala o el límite clínico. La Comisión Europea describe la EIPD como una herramienta viva. Para compras también es útil: muestra qué está permitido, qué debe probarse y qué cambio requiere otra decisión. Este artículo ofrece información práctica de implantación, no asesoramiento jurídico.
FAQ
¿Todo asistente telefónico de IA para pacientes requiere una EIPD?
No. La prueba jurídica depende del alto riesgo del tratamiento real. Los datos de salud, la escala, los pacientes vulnerables, la supervisión y la tecnología nueva pueden hacer probable una EIPD completa. La clínica debe documentar la evaluación inicial y revisar la lista nacional aplicable.
¿Puede el cuestionario de seguridad del proveedor sustituir la EIPD?
No. Las pruebas del proveedor son importantes, pero el responsable debe evaluar su finalidad, base jurídica, pacientes, accesos, sistemas, riesgos y salvaguardas. Las funciones jurídicas dependen de la configuración real y deben confirmarse antes del lanzamiento.
¿Puede empezar un piloto real antes de terminar la EIPD?
Si el tratamiento previsto en el piloto puede entrañar alto riesgo, la EIPD debe terminarse antes de usar datos personales reales. El diseño y las pruebas con datos sintéticos pueden continuar mientras se cierra la evaluación y sus controles.
Fuentes y lecturas adicionales
- European Commission: data protection obligations and DPIAs
- European Data Protection Board: endorsed DPIA Guidelines WP248 rev.01
- Article 29 Working Party: Guidelines on Data Protection Impact Assessment
- European Commission: principles of the GDPR
- European Commission: Article 50 AI Act transparency guidelines