HEALTH AI
Entrenar IA con datos de salud: qué bases jurídicas permite el RGPD
Redacción Lexdara · Publicado: · Última actualización:
Los datos de salud son una categoría especial. Para usarlos en proyectos de IA hace falta una base del artículo 6 y una excepción del artículo 9, además de las garantías de la normativa española de investigación.
En 30 segundos
Para tratar datos de salud en un proyecto de IA hacen falta dos cosas a la vez: una base jurídica del artículo 6 del RGPD y una de las excepciones del artículo 9.2. En investigación, España añade reglas propias.
Qué dice exactamente la norma
El artículo 9.1 prohíbe tratar datos de salud salvo que se aplique alguna excepción del 9.2. Las más relevantes para IA sanitaria son:
- a) Consentimiento explícito del paciente para uno o varios fines concretos.
- h) Asistencia sanitaria, cuando el sistema forma parte del diagnóstico o tratamiento, bajo secreto profesional.
- i) Interés público en salud pública.
- j) Investigación científica, con las garantías del artículo 89.
En España, la disposición adicional decimoséptima de la Ley Orgánica 3/2018 (LOPDGDD) regula el uso de datos de salud en investigación, incluido el uso de datos seudonimizados.
Qué añade el EHDS
El Espacio Europeo de Datos Sanitarios (Reglamento (UE) 2025/327) creará, desde 2029, una vía de acceso regulado para el uso secundario de datos de salud con fines de innovación e investigación, a través de organismos de acceso y entornos seguros.
Riesgos
- Suponer que los datos están anonimizados cuando solo están seudonimizados.
- Usar datos recogidos para la asistencia en un proyecto comercial sin base jurídica.
- Olvidar la evaluación de impacto, casi siempre obligatoria.
Nota
Esta pieza ofrece información jurídica general, no asesoramiento para un proyecto concreto.
Preguntas frecuentes
¿Se pueden usar datos de salud para entrenar IA?
Sí, si hay a la vez una base jurídica del artículo 6 del RGPD y una excepción del artículo 9.2, como el consentimiento explícito, la asistencia sanitaria, la salud pública o la investigación científica con garantías.
¿Los datos seudonimizados son anónimos?
No. Los datos seudonimizados siguen siendo datos personales y se les aplica el RGPD.
¿Qué regula la disposición adicional 17.ª de la LOPDGDD?
El uso de datos de salud en investigación en España, incluido el uso de datos seudonimizados.
Sigue leyendo en Lexdara
- [Espacio Europeo de Datos Sanitarios: el calendario que deben conocer hospitales y empresas de salud digital](/articulo/espacio-europeo-datos-sanitarios-ehds-calendario)
- [Productos sanitarios con IA: el AI Act no se les aplicará hasta agosto de 2028](/articulo/productos-sanitarios-ia-ai-act-mdr-2028)
- [El EDPB fija criterios sobre anonimización y web scraping para entrenar IA generativa](/articulo/edpb-directrices-anonimizacion-web-scraping-ia-generativa)
Qué cambia en la práctica
- Identifica a la vez la base del art. 6 y la excepción del art. 9.2 antes de empezar.
- Distingue seudonimización de anonimización: los datos seudonimizados siguen siendo personales.
- Prevé una evaluación de impacto y, en investigación, la intervención del comité de ética.
Referencias normativas
- RGPD, arts. 6, 9 y 89
- Ley Orgánica 3/2018 (LOPDGDD), disposición adicional decimoséptima
- Reglamento (UE) 2025/327 (EHDS)