El uso de la Inteligencia Artificial (IA) para abordar los retos sanitarios se ha convertido en una realidad tangible en los últimos años. Estas tecnologías persiguen incrementar la eficacia de la asistencia sanitaria, mejorar la precisión de los diagnósticos y tratamientos, y apoyar la labor del profesional clínico. Entre sus principales aplicaciones destacan la predicción temprana de enfermedades, la interpretación de imágenes médicas y señales fisiológicas, la monitorización remota de pacientes, la reducción de errores en la medicación y el desarrollo de técnicas quirúrgicas menos invasivas. Asimismo, la automatización de tareas administrativas contribuye a liberar tiempo asistencial y a dedicar mayores recursos a pacientes con necesidades complejas.
Este despliegue creciente de la IA en el entorno hospitalario exige marcos de gobernanza sólidos que garanticen su uso seguro, ético y conforme al derecho. En este contexto, la Unión Europea aprobó en agosto de 2024 el Reglamento (UE) 2024/1689 (AI Act), de aplicación transversal. De acuerdo con este reglamento, determinados sistemas que incorporan IA pueden requerir evaluación de conformidad cuando su uso previsto se relaciona con actividades que suponen algún riesgo para el paciente.
Adicionalmente, los sistemas que cumplen la definición de producto sanitario del Reglamento (UE) 2017/745 (MDR) o de producto sanitario para diagnóstico in vitro del Reglamento (UE) 2017/746 (IVDR) deben cumplir requisitos adicionales (Fig. 1). Este solapamiento ha impulsado propuestas de simplificación orientadas a integrar requisitos y evidencias sin rebajar expectativas de seguridad y control del ciclo de vida. Para facilitar esta aplicación, la Unión Europea ha publicado guías, como MDCG 2025-6, sobre interacción entre el MDR, el IVDR y el AI Act, que constituyen una guía práctica para diseñadores, desarrolladores y deployers de sistemas informatizados.
Clasificación de los productos sanitarios software (MDSW) que incorporan IA
Un criterio operativo para clasificar un MDSW que incorpora IA (MDAI) es su calificación automática como sistema de alto riesgo bajo el artículo 6(1) del IA Act. Esta condición concurre únicamente cuando se cumplen dos condiciones: que el sistema actúe como componente de seguridad o constituya en sí mismo un producto sanitario; y, que esté sujeto a un procedimiento de evaluación de la conformidad por un tercero, es decir, a la certificación por un organismo notificado conforme al MDR o al IVDR. Conviene subrayar dos precisiones adicionales.
Por un lado, la consideración de alto riesgo a efectos del AI Act no implica una reclasificación automática conforme al MDR o IVDR. En el marco del MDR, la mayoría de los MDSW, incluido el que incorpora IA, se clasifica siguiendo la regla 11, en función del impacto de su información en las decisiones clínicas.
Así, si el sistema se utiliza con fines diagnósticos o terapéuticos, se clasifica al menos como clase IIa, pudiendo ascender a clase IIb o III si una decisión incorrecta puede provocar un deterioro grave de la salud o un riesgo vital. En cambio, si solo apoya procesos administrativos o muestra información sin influir directamente en decisiones clínicas, puede mantenerse en clase I.
Por otro lado, determinadas obligaciones horizontales del IA Act, como la prohibición de determinadas prácticas (artículo 5) o los requisitos de transparencia aplicables a ciertos sistemas (artículo 50), operan con independencia de la clase regulatoria.
En la práctica, muchos MDSW con IA quedan en clases más altas bajo la regla 11, lo que implica la intervención obligatoria de un organismo notificado y una evaluación más rigurosa de su seguridad, rendimiento y gestión de riesgos.
MDR 2.0/IVDR 2.0: propuesta de modificación de los reglamentos vigentes para la integración normativa
El marco dual descrito genera superposiciones y complejidades administrativas significativas.
Las propuestas de revisión del MDR e IVDR pretenden limitar la aplicación directa del AI Act a los MDAI de alto riesgo, trasladando el peso principal de los requisitos a futura legislación sectorial que pueda desarrollar la Unión Europea.
La lógica subyacente es evitar duplicidades regulatorias que puedan ralentizar la innovación o incrementar innecesariamente la carga administrativa sin una mejora proporcionada en los niveles de protección.
A priori, la modificación propuesta puede considerarse de interés. Sin embargo, para valorar su alcance real es necesario conocer las políticas que adoptará la Unión Europea para regular estos productos mediante actos de ejecución u otra legislación sectorial.
Productos in house
En este contexto, deben considerarse también los productos sanitarios fabricados en hospitales (“in house”), destinados a un uso exclusivo dentro del propio centro para cubrir necesidades específicas de pacientes. De acuerdo con la Agencia Española de Medicamentos y Productos Sanitarios, solo pueden fabricarse productos de clase I y IIa, incluidos sus accesorios, sin subcontratar actividades de fabricación, quedando prohibida la fabricación de productos de clase IIb y III conforme al Real Decreto 192/2023, que adapta la normativa española al MDR.
El uso de LLMs en el entorno hospitalario
En el caso de los modelos de lenguaje (LLM) y herramientas de IA generativa de propósito general (p. ej., ChatGPT, Gemini o Copilot), deben implantarse políticas internas que regulen su uso con datos clínicos, definiendo qué información puede introducirse, con qué finalidad y bajo qué controles (Fig. 2). No debe permitirse introducir datos de pacientes identificables o no anonimizados, por riesgo de incumplir el Reglamento General de Protección de Datos y las obligaciones de confidencialidad.
Conviene extremar la cautela con versiones públicas o gratuitas que no garanticen condiciones claras de tratamiento; en su lugar, deberían emplearse solo soluciones autorizadas por el centro, con salvaguardas técnicas y contractuales. Además, debe recordarse al personal, mediante formación periódica, que no utilice estos sistemas para apoyo diagnóstico o terapéutico con casos reales, limitándolos a tareas compatibles (p. ej., redacción genérica o apoyo administrativo sin datos identificativos).
Gestión del cambio en sistemas IA
Uno de los desafíos más relevantes radica en la gestión de cambios en sistemas con capacidades de aprendizaje continuo. Tanto el MDR como el IVDR establecen que un cambio en el algoritmo de un sistema informatizado es un cambio significativo y, por tanto, debe ser auditado por un organismo notificado antes de su implementación. Dado que un MDAI con inteligencia artificial generativa puede experimentar numerosos cambios a lo largo del tiempo, auditar cada modificación sería inabordable. La propuesta contempla un plan de control de cambios predeterminados, evaluado durante la certificación del producto, que define el alcance y los límites de los cambios permitidos sin que cada uno constituya una modificación sustancial. Este enfoque equilibra flexibilidad e innovación con control y trazabilidad, asegurando que cualquier desviación significativa active mecanismos de notificación y reevaluación.
Calendario de aplicación
Esta propuesta sigue un proceso de tramitación lento en la Unión Europea. En primer lugar, la Comisión Europea debe elaborar una propuesta y remitirla al Parlamento Europeo y al Consejo para su revisión. Posteriormente, el Parlamento podrá proponer enmiendas, que deberán ser aprobadas por el Consejo para su adopción. Si no se alcanza un acuerdo, el procedimiento se repetirá y, si persisten las diferencias, se convocará un Comité de Conciliación para llegar a un consenso. Una vez aprobado el texto, se realizará una lectura final para su adopción definitiva. Para su entrada en vigor, los presidentes del Parlamento y del Consejo deben firmarlo y, tras su publicación en el Diario Oficial de la UE, será aplicable en toda la Unión Europea. No se prevé que entre en vigor antes de 2027.
En conclusión, aunque se han logrado avances significativos en la regulación de los sistemas informatizados con IA y, en particular, de aquellos cuyo uso previsto recae bajo el MDR o el IVDR, persisten incertidumbres regulatorias. La complejidad de estos sistemas plantea retos que aún deben resolverse para consolidar una normativa definitiva. Por ello, el marco regulatorio continúa evolucionando, evidenciando la necesidad de una mayor consolidación que equilibre la innovación con la protección de pacientes y usuarios.
(1) Reglamento (UE) 2024/1689 del Parlamento Europeo y del consejo de 13 de junio de 2024 por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.o 300/2008, (UE) n.o 167/2013, (UE) n.o 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial).
Descarga sugerida:
Artículo escrito por:
Miguel Ángel Campanero Martínez, Inés Suárez Rodríguez, Galder Gurtubay Artabe e Irati Esteban Barquín
Director técnico, Técnica QA&RA, Técnico QA&RA y Técnica QA&RA
A3Z Advanced
