El marco regulatorio de la IA sanitaria en Australia

La IA sanitaria australiana se sitúa en la intersección entre la regulación federal y la estatal, de un modo que hace que la gobernanza sea particularmente compleja. A nivel federal: la Therapeutic Goods Administration regula los dispositivos médicos con IA; la Privacy Act 1988 regula la información sanitaria como una categoría de información sensible; las obligaciones de cumplimiento de Medicare se aplican a la IA utilizada en la facturación y la codificación clínica; y los colegios profesionales de registro establecen los estándares para la práctica clínica. A nivel estatal: la legislación sobre historiales clínicos de Victoria y Nueva Gales del Sur crea obligaciones adicionales; las políticas de los departamentos estatales de salud rigen la IA en los sistemas públicos de salud; y los marcos de gobernanza clínica varían según el estado y el servicio de salud.

La regulación de la TGA sobre la IA clínica como Software as a Medical Device

La TGA regula el software, incluida la IA, destinado a usarse con fines terapéuticos como producto sanitario. Es probable que un sistema de IA clínica cumpla la definición de producto sanitario (y en concreto de Software as a Medical Device) si está destinado a: diagnosticar, prevenir, controlar, tratar o aliviar una enfermedad o afección; diagnosticar, controlar, tratar, aliviar o compensar una lesión o discapacidad; investigar, sustituir o modificar la anatomía o un proceso fisiológico; o apoyar o mantener la vida.

Entre las aplicaciones habituales de IA clínica que pueden considerarse SaMD se encuentran: la IA de imagenología diagnóstica que identifica patologías; los sistemas de apoyo a la decisión clínica que recomiendan diagnósticos o tratamientos; la IA de monitorización de constantes vitales que genera alertas clínicas; la IA que clasifica a los pacientes por riesgo o urgencia (triaje); y la IA de documentación que genera codificación clínica a efectos de facturación de Medicare. Si su IA encaja en alguna de estas categorías, puede que se requiera la autorización de la TGA antes de su implementación en la práctica clínica australiana. Implementar un SaMD sin autorización genera una exposición regulatoria y de responsabilidad grave.

La vía regulatoria de la TGA para el SaMD depende de la clasificación, que a su vez depende de la finalidad prevista y del nivel de riesgo. El SaMD de Clase I (riesgo bajo) puede autodeclarar su conformidad. El SaMD de Clase IIa, IIb y III (riesgo creciente) requiere una evaluación de la conformidad por parte de un organismo de evaluación de la conformidad reconocido por la TGA. El proceso de clasificación no es sencillo para los sistemas de IA y debería contar con la participación de especialistas en asuntos regulatorios.

Las obligaciones de la Privacy Act para la IA que trata información sanitaria

La información sanitaria es información sensible según la Privacy Act, lo que conlleva obligaciones reforzadas en comparación con la información personal ordinaria. Las implicaciones prácticas para la IA sanitaria son las siguientes: el APP 3 exige el consentimiento explícito para la recogida de información sensible, salvo que se aplique una excepción sanitaria. Utilizar los historiales de pacientes existentes para entrenar modelos de IA puede no cumplir este umbral si el consentimiento no se obtuvo en el momento de la recogida con fines de entrenamiento de IA. El APP 6 restringe el uso y la divulgación de la información sanitaria a la finalidad principal de la recogida o a finalidades secundarias permitidas por excepción. Esto genera una fricción directa con los procesos de entrenamiento de IA que utilizan datos históricos de pacientes con fines que van más allá de la atención original del paciente. El APP 11 exige medidas de seguridad razonables para la información sensible; los sistemas de IA que procesan información sanitaria deben evaluarse conforme a un estándar de seguridad más exigente que los sistemas de información personal general.

El sesgo de automatización en entornos clínicos: un imperativo de gobernanza

El sesgo de automatización, es decir, que los clínicos otorguen un peso desproporcionado a las recomendaciones de la IA por encima de su propio criterio clínico, es un riesgo documentado en la implementación de la IA clínica. La presión del tiempo, la carga cognitiva y la aparente objetividad de los resultados de la IA contribuyen todos a este patrón. Las consecuencias clínicas no son hipotéticas: varios estudios han documentado casos en los que el sesgo de automatización provocó un retraso en el diagnóstico o un tratamiento inadecuado porque los clínicos no cuestionaron de manera adecuada recomendaciones de la IA que resultaron ser incorrectas.

La gobernanza de la IA en el sector sanitario australiano debe abordar explícitamente el sesgo de automatización. Esto implica: formar a los clínicos sobre las limitaciones de los sistemas de IA concretos que utilizan; establecer protocolos que exijan una evaluación clínica independiente antes de actuar según las recomendaciones de la IA en decisiones de alto riesgo; vigilar el exceso de dependencia de la IA mediante la auditoría de los patrones de decisión clínica; y diseñar los sistemas de IA para que presenten la incertidumbre de un modo que fomente, en lugar de suprimir, el criterio clínico independiente. La guía de la Australian Commission on Safety and Quality in Health Care sobre IA considera la gestión explícita del sesgo de automatización como un elemento de la implementación segura de la IA.

Para más información: OAIC (Office of the Australian Information Commissioner), guía de privacidad para organizaciones

Lecturas relacionadas

Para más información: OAIC, guía de privacidad para organizaciones