PeriaMed

¿Puedo subir una historia clínica a ChatGPT? Lo que dice el RGPD para el perito médico

Pegar un informe médico en un asistente de IA de consumo es rápido y tentador. Para un perito, también puede ser una comunicación de datos de salud sin contrato, fuera de la UE y con fines que no controla.

Equipo PeriaMed · 5 min de lectura

Un perito con veinte informes de alta, un parte de urgencias y una resonancia encima de la mesa tiene una tentación evidente: pegarlo todo en un asistente de IA y pedirle una cronología. Funciona razonablemente bien, es gratis o casi, y tarda segundos.

El problema no es técnico. Es que un perito médico es el responsable del tratamiento de esos datos (lo explicamos en RGPD y perito médico), y al pegarlos en una herramienta de consumo toma una decisión de cumplimiento de la que responde personalmente.

Por qué no es lo mismo que usar un procesador de textos

Cuando un perito escribe su informe en un ordenador, los datos no salen de su control. Cuando los pega en un asistente de IA en la nube, ocurren tres cosas a la vez:

  1. Los comunica a un tercero, que los trata en sus servidores.
  2. Ese tercero decide —según sus condiciones de uso y la configuración de la cuenta— qué hace con ellos.
  3. Los datos son de categoría especial: salud de una persona que no ha consentido nada de esto.

Sin contrato de encargo

El artículo 28 del RGPD exige que quien trata datos por cuenta del responsable esté vinculado por un contrato de encargo que fije su objeto, su duración, las medidas de seguridad y el destino de los datos al terminar. Las versiones de consumo de los asistentes de IA no suelen ofrecerlo; las versiones empresariales sí, con condiciones distintas. Sin ese contrato, el envío deja de ser un encargo y pasa a ser una comunicación de datos de salud sin garantías.

Fuera de la Unión Europea

Si los servidores están fuera del Espacio Económico Europeo, hay una transferencia internacional que tiene que apoyarse en alguno de los mecanismos del capítulo V del RGPD: una decisión de adecuación, cláusulas contractuales tipo u otras garantías. No es imposible, pero el perito tiene que saber cuál se aplica, y en una cuenta de consumo casi nunca lo sabe.

Entrenamiento con tus documentos

Según el proveedor, el plan y la configuración, el contenido de las conversaciones puede usarse para mejorar los modelos. Para un dato de salud, esa es una finalidad distinta de la pericial que el perito no puede autorizar en nombre del paciente.

«Quito el nombre y listo»: por qué no basta

Es la respuesta más habitual, y es insuficiente. Una narración clínica identifica por acumulación: la fecha del accidente, el hospital, una lesión poco frecuente y la profesión del lesionado bastan muchas veces para saber de quién se habla, sobre todo en un municipio pequeño.

Quitar el nombre es una forma básica de seudonimización, no una anonimización. El texto sigue siendo dato personal y sigue sujeto al RGPD. La diferencia entre los dos conceptos es jurídica y tiene consecuencias; la desarrollamos en seudonimización y anonimización de datos de salud.

La otra mitad del problema: el dictamen

Más allá de la protección de datos, un asistente genérico no conoce el baremo aplicable, no cita de dónde saca cada afirmación y no distingue entre lo acreditado y lo que dice la parte. Lo comparamos en detalle en IA para peritos médicos: ChatGPT frente a IA especializada.

Y si el informe se apoya en IA, conviene saber cuándo y cómo declararlo: lo explicamos en declarar el uso de IA en el informe pericial.

Lo que debería poder contestar cualquier herramienta

Antes de subir una sola historia clínica, estas preguntas deberían tener respuesta por escrito:

  • ¿Hay contrato de encargo del tratamiento (art. 28)?
  • ¿Dónde se alojan los datos y quiénes son los subencargados?
  • ¿Se usan los documentos para entrenar modelos?
  • ¿Qué llega exactamente al modelo de IA, y con qué identificadores?
  • ¿Cuánto tiempo se conservan los datos, y cómo se suprimen?

Si alguna respuesta no existe o es ambigua, la herramienta no está diseñada para datos de salud, por buena que sea redactando.

Cómo lo resolvemos en PeriaMed

PeriaMed se diseñó para esto desde el principio:

  • Actúa como encargada del tratamiento, con contrato de encargo publicado.
  • Los datos se alojan en servidores de la Unión Europea.
  • Los documentos no se usan para entrenar ningún modelo.
  • Al generar un informe, los identificadores directos del paciente se sustituyen antes de llegar al modelo y se restituyen al final, ya en tu documento.

Una excepción, declarada: el chat con el caso no seudonimiza, porque el perito necesita preguntar por su propio expediente con las identidades reales. El detalle está en privacidad y RGPD.

Conclusión

Pegar una historia clínica en un asistente de IA de consumo suele implicar, a la vez, una comunicación de datos de salud sin contrato de encargo, una posible transferencia fuera de la UE y una finalidad —el entrenamiento— que el perito no puede autorizar. Quitar el nombre no lo arregla. La IA puede ser una herramienta excelente para el trabajo pericial, siempre que la herramienta conteste por escrito a las preguntas que el RGPD obliga al perito a hacerse.

Si quieres trabajar con IA sobre tus expedientes con contrato de encargo y datos en la UE, puedes probar PeriaMed gratis, sin tarjeta.

Referencias

Preguntas frecuentes

¿Es ilegal usar ChatGPT con datos de pacientes?
No hay una prohibición expresa de la herramienta, pero el uso de un asistente de consumo con datos de salud identificables plantea problemas difíciles de resolver: normalmente no existe un contrato de encargo del artículo 28 del RGPD, los datos pueden tratarse fuera del Espacio Económico Europeo y, según la configuración, el contenido puede utilizarse para mejorar los modelos. Para un perito, que es el responsable del tratamiento, cada uno de esos puntos es una obligación incumplida.
¿Y si quito el nombre del paciente antes de pegar el texto?
Ayuda, pero rara vez basta. Una narración clínica con fechas, centros, lesiones poco frecuentes y circunstancias del accidente puede permitir identificar a la persona aunque no aparezca su nombre. Quitar el nombre es una forma básica de seudonimización, no una anonimización, y el texto sigue siendo dato personal sujeto al RGPD.
¿Qué debe ofrecer una herramienta de IA para que un perito pueda usarla con historias clínicas?
Como mínimo, un contrato de encargo del tratamiento, la ubicación de los datos y de los subencargados (idealmente dentro de la UE), el compromiso escrito de no usar los documentos para entrenar modelos, plazos de conservación definidos y una forma de ejercer los derechos de supresión. Si alguna de esas respuestas no existe por escrito, la herramienta no está pensada para datos de salud.