Este estudio de caso ilustra cómo las organizaciones sanitarias abordan la gobernanza de la IA cuando los sistemas de IA abarcan la toma de decisiones clínicas, la imagen diagnóstica, el triaje de pacientes y la automatización administrativa. Muestra el reto particular de la gobernanza de la IA en el sector sanitario: la necesidad de integrar la regulación de productos sanitarios, la normativa de privacidad, los estándares de seguridad clínica y la gobernanza general de la IA en un marco coherente.

Nota: este es un escenario ilustrativo construido para mostrar patrones prácticos de gobernanza en el sector sanitario. Los requisitos regulatorios y las referencias a marcos normativos son exactos desde el punto de vista factual.

El escenario

Una red hospitalaria de tamaño medio despliega IA en cuatro ámbitos: el apoyo a la decisión clínica (alertas de interacciones farmacológicas, predicción de sepsis, alerta temprana de deterioro), la imagen diagnóstica (radiología asistida por IA para radiografías de tórax y mamografías), el triaje de pacientes (priorización del servicio de urgencias impulsada por IA) y los sistemas administrativos (optimización de la programación, gestión de camas, automatización de la codificación y facturación, y asistencia en la documentación clínica).

El reto de la gobernanza

La gobernanza de la IA en el sector sanitario es más compleja que en la mayoría de los sectores porque los sistemas de IA se ven afectados por múltiples marcos regulatorios de forma simultánea. Los sistemas de IA clínica que orientan el diagnóstico o el tratamiento pueden calificarse como productos sanitarios, sujetos al Reglamento de Productos Sanitarios de la UE (MDR 2017/745), al marco de la FDA para el software basado en IA/ML como producto sanitario (Software as a Medical Device), o a la regulación de la TGA sobre productos sanitarios basados en software en Australia. La normativa de privacidad se aplica a todos los sistemas que tratan datos de pacientes: la información de salud constituye una categoría especial en virtud del RGPD (artículo 9), información sensible en virtud de la Ley de Privacidad australiana (Australian Privacy Act) e información sanitaria protegida en virtud de la HIPAA estadounidense. El Reglamento de IA de la UE (EU AI Act) clasifica como de alto riesgo la IA destinada a utilizarse como componente de seguridad de productos sanitarios. Los estándares de seguridad clínica (como el DCB0129/DCB0160 de NHS Digital en el Reino Unido) imponen requisitos específicos para la gestión del riesgo clínico en las tecnologías de la información sanitaria.

Diseño del marco de gobernanza

El hospital implementa un modelo de gobernanza de dos vías. La primera vía abarca la IA clínica, es decir, los sistemas que orientan decisiones clínicas o que interactúan con la atención al paciente. Estos se gobiernan a través del comité de seguridad clínica, con requisitos específicos: validación clínica antes del despliegue (pruebas frente a resultados clínicos, no solo frente al rendimiento técnico), clasificación regulatoria (si constituye o no un producto sanitario), evaluación del riesgo clínico (qué ocurre cuando la IA se equivoca), requisitos de supervisión humana (la IA asiste pero no sustituye el criterio clínico) y vías de notificación de incidentes clínicos. La segunda vía abarca la IA administrativa, los sistemas que respaldan las operaciones sin afectar directamente a la atención clínica. Estos siguen las prácticas estándar de gobernanza de la IA: evaluación de riesgos, supervisión de sesgos, cumplimiento de la protección de datos y gestión de proveedores.

Decisiones clave de gobernanza

El sistema de predicción de sepsis ilustra el reto de la gobernanza. Monitoriza las constantes vitales, los resultados de laboratorio y las notas clínicas para alertar a los profesionales sanitarios ante una posible sepsis. Si pasa por alto un caso (falso negativo), es posible que el paciente no reciba un tratamiento oportuno. Si genera demasiadas alertas (falsos positivos), los profesionales clínicos desarrollan fatiga por alertas y terminan ignorándolo. El marco de gobernanza debe abordar: los estándares de validación clínica (sensibilidad, especificidad y valor predictivo positivo frente a la población de pacientes local), la calibración del umbral de alerta (equilibrando falsos negativos frente a falsos positivos), la documentación de las anulaciones humanas (toda alerta anulada debe justificarse clínicamente), la supervisión continua del rendimiento (el rendimiento del modelo frente a los resultados reales de los pacientes) y la notificación regulatoria (eventos adversos vinculados a decisiones influidas por la IA).

Para saber más: OMS, IA para la salud | ISO/IEC 42001

Lecturas relacionadas

Para saber más: OMS, IA para la salud | ISO 42001