IA en medicina: marco legal de responsabilidad cuando algoritmos fallan

IA en medicina: marco legal de responsabilidad cuando algoritmos fallan

El problema central: ¿quién responde si un algoritmo diagnóstico falla?

Octubre 2026.

Hospital español implementa sistema IA para diagnóstico de cáncer de pulmón.

Algoritmo entrena con 50.000 imágenes médicas.

Precisión teórica: 94%.

Primer mes: Sistema recomienda "no cáncer" a 3 pacientes.

Realidad: Todos tenían cáncer confirmado después.

---

Pregunta legal:

¿Quién es responsable?

• ¿El hospital (quien desplegó)?
• ¿El médico (quien usó)?
• ¿El fabricante (quien hizo)?
• ¿Los tres?

---

Respuesta legal (Octubre 2026):

TODOS SON RESPONSABLES.

De maneras diferentes, con multas diferentes, pero todos.

---

Por qué IA + medicina = la supervivencia regulatoria más compleja

El atractivo para hospitales

IA en medicina:

• Diagnóstico más rápido
• Menos variabilidad humana
• Reduce carga médicos
• Detecta patrones invisibles a humanos
• Promete precisión >95%

Realidad:

• Sesgos en datos de entrenamiento
• Fallos en casos raros
• Incompatibilidad con diferentes poblaciones
• Responsabilidad jurídica compleja

El nudo legal perfecto

Tres marcos legales se superponen completamente:

1. AI Act 2024/1689

• Sistema médico con IA = ALTO RIESGO
• Obligaciones de documentación, supervisión, auditoría

2. Medical Device Regulation (MDR) 2017/745

• Sistema IA = Dispositivo médico
• Obligaciones de clasificación, marcado CE, evaluación conformidad

3. RGPD 2016/679

• Datos médicos = Datos especiales
• Protección de datos aumentada

Violaciones superpuestas = Multas combinadas = Responsabilidad máxima.

---

Marco legal: AI Act + MDR + RGPD

AI Act: sistemas IA médicos = alto riesgo

#### Artículo 6: clasificación

Sistemas IA que:

• Asisten diagnóstico
• Recomiendan tratamiento
• Monitorean pacientes
• Predicen evolución

Clasificación: ALTO RIESGO

#### Artículo 26: supervisión humana

"Sistemas de alto riesgo deben tener supervisión humana significativa que permita intervención."

Para medicina significa:

• [ ] Médico siempre revisa diagnóstico de IA
• [ ] Médico puede rechazar recomendación IA
• [ ] Decisión final es médico, no algoritmo
• [ ] Se documentan todas las decisiones

Incumplimiento: €5M-€20M o 4% facturación.

---

Medical device regulation (MDR): el registro y control

#### Clasificación de dispositivos médicos

Sistemas IA médicos se clasifican así:

Clase I (Riesgo bajo):

• Etiquetadores automáticos (no decisión diagnóstica)
• Herramientas administrativas

Clase IIa (Riesgo medio):

• Asistencia diagnóstica (no definitoria)
• Sistemas de monitoreo

Clase IIb (Riesgo elevado):

• Diagnóstico independiente (pero con revisión humana)
• Recomendación de tratamiento

Clase III (Riesgo muy alto):

• Diagnóstico definitorio (bases principales decisión clínica)
• Terapia crítica (cáncer, cirugía, medicación)

Sistema de hospital (diagnóstico cáncer): Clase IIb o III típicamente.

---

#### Obligaciones MDR por clasificación

Clase IIb:

• [ ] Evaluación de conformidad técnica (in-house u organismo notificado)
• [ ] Marcado CE obligatorio
• [ ] Documentación técnica completa
• [ ] Pruebas de validación clínica
• [ ] Plan de vigilancia post-comercialización
• [ ] Reporte de eventos adversos

Clase III:

• [ ] Evaluación por organismo notificado INDEPENDIENTE
• [ ] Pruebas clínicas (estudios formales con pacientes)
• [ ] Documentación muy extensa
• [ ] Aprobación de autoridad antes de comercializar
• [ ] Monitoreo continuo con reportes anuales

---

RGPD: datos médicos de pacientes

Datos médicos son "especiales" bajo Art. 9 RGPD.

Protección aumentada:

• [ ] Consentimiento explícito requerido (no suficiente "interés legítimo")
• [ ] Propósito específico y limitado
• [ ] Minimización de datos
• [ ] Encriptación obligatoria
• [ ] DPIA formal requerida
• [ ] Responsable de protección de datos (DPO) recomendado

Incumplimiento: €500K-€20M o 4% facturación.

---

Distribución de responsabilidad: hospital vs médico vs fabricante

Escenario real: sistema IA falla, paciente sufre daño

Hospital: Desplegó el sistema en la clínica.

Médico: Usó recomendación del sistema.

Fabricante: Creó el algoritmo.

Paciente: No fue diagnosticado correctamente.

---

¿Cuánta responsabilidad tiene cada uno?

#### Hospital: 60% de responsabilidad

Por qué:

• Eligió el sistema
• Decidió implementarlo
• Fue responsable de supervisión clínica
• No implementó revisiones de calidad

Obligaciones que incumplió:

• [ ] DPIA completa antes de desplegar
• [ ] Validación clínica local (probar sistema con sus pacientes)
• [ ] Protocolo de supervisión humana
• [ ] Documentación de decisiones
• [ ] Monitoreo de fallos
• [ ] Entrenamiento de médicos

Multa potencial:

• €3M-€15M (AI Act)
• €2M-€10M (MDR)
• €1M-€5M (RGPD si datos)
• Responsabilidad civil pacientes: €500K-€5M+

---

#### Médico: 25% de responsabilidad

Por qué:

• Usó el sistema sin verificación suficiente
• No cuestionó recomendación claramente errónea
• No implementó segundo diagnóstico

Obligaciones que incumplió:

• [ ] Revisión crítica de recomendación IA
• [ ] No confiar ciegamente en algoritmo
• [ ] Verificación por segundo médico (casos difíciles)
• [ ] Documentación del razonamiento clínico

Multa potencial:

• Disciplinaria: Amonestación a pérdida licencia
• Civil: €100K-€1M por caso
• Responsabilidad compartida con hospital

---

#### Fabricante: 15% de responsabilidad

Por qué:

• Creó sistema con limitaciones
• No documentó sesgos/limitaciones claramente
• No advirtió sobre casos donde sistema es débil

Obligaciones que incumplió:

• [ ] Documentación técnica sobre limitaciones
• [ ] Advertencia clara de casos no adecuados
• [ ] Validación clínica independiente
• [ ] Plan de monitoreo post-comercialización

Multa potencial:

• €2M-€10M (AI Act/MDR)
• Responsabilidad civil pacientes: €500K-€2M

---

Marcos legales: ¿cuál aplica cuándo?

Escenario A: hospital, médico, fabricante - todos tienen culpa

Sistemas IA médicos operan bajo TODOS estos marcos simultáneamente:

---

Escenario B: hospital incumple MDR

Ejemplo: Hospital despliega sistema Class IIb sin documentación.

Responsabilidad:

• Hospital: Incumplimiento MDR → €2M-€10M
• AESIA intervención: MDR violation → Retirada de mercado
• Fabricante: Complicidad (si sabía) → €1M-€5M

---

Escenario C: médico usa IA sin supervisión apropiada

Ejemplo: Médico aceptaba siempre recomendación de IA sin revisar.

Responsabilidad:

• Hospital: No implementó protocolo supervisión → €3M-€15M
• Médico: Negligencia clínica → Pérdida licencia + €100K-€500K por caso
• Fabricante: Puede alegue "culpa de implementación" → €500K-€2M

---

Obligaciones legales: checklist práctico

PARA HOSPITALES (implementadores)

ANTES de desplegar sistema:

#### [ ] Evaluación de impacto (DPIA)

Incluir:

• Qué hace el sistema exactamente
• Qué datos usa
• Cómo se tomó decision de compra
• Riesgos identificados (sesgo, error, seguridad)
• Medidas de mitigación
• Plan de supervisión humana
• Plan de monitoreo post-despliegue

#### [ ] Validación clínica local

NO confíes en validación del fabricante.

• [ ] Prueba con 500-1000 imágenes de tus pacientes
• [ ] Compara diagnóstico IA vs médicos expertos
• [ ] Identifica casos donde IA falla
• [ ] Documenta precisión LOCAL

#### [ ] Clasificación MDR

¿Es Clase I, IIa, IIb o III?

• Determina si necesitas organismo notificado
• Determina documentación requerida
• Determina plazos de implementación

#### [ ] Protocolo de supervisión

Crear protocolo: Cómo médicos usan sistema

• [ ] Caso 1 (riesgo bajo): Médico revisa IA, decide
• [ ] Caso 2 (riesgo medio): Médico + segundo médico revisan
• [ ] Caso 3 (riesgo alto): Médico + especialista revisan
• [ ] Documentar TODAS las decisiones

#### [ ] Capacitación

• [ ] Entrenar médicos sobre limitaciones IA
• [ ] Casos donde IA es débil
• [ ] No confiar ciegamente en algoritmo
• [ ] Protocolo de escalada

#### [ ] Monitoreo continuo

• [ ] Registrar cada decisión IA vs final
• [ ] Detectar patrones de error
• [ ] Trimestral: Revisar performance
• [ ] Anual: Auditoria completa

---

PARA FABRICANTES (productores IA médica)

ANTES de vender:

#### [ ] Documentación técnica completa

• [ ] Cómo se entrena (datos, métodos)
• [ ] Limitaciones claras ("falla en casos X")
• [ ] Sesgo identificado ("infrarepresentación de Y")
• [ ] Validación clínica (resultados estudios)
• [ ] Plan de vigilancia (cómo monitoreará)

#### [ ] Validación clínica

• [ ] Estudios formales en poblaciones reales
• [ ] Evaluación de sesgo por subgrupo (edad, raza, género, comorbilidades)
• [ ] Casos extremos (raros)
• [ ] Comparación vs estándar oro

#### [ ] Certificación MDR

Según clase:

• Clase IIb: Evaluación interna + documentación
• Clase III: Evaluación por organismo notificado

#### [ ] Plan de vigilancia

• [ ] Cómo se reportarán eventos adversos
• [ ] Cómo se monitoreará performance post-comercialización
• [ ] Qué hacer si se detecta sesgo nuevo
• [ ] Plan de actualización del modelo

---

PARA MÉDICOS (usuarios)

SIEMPRE:

• [ ] Revisar críticamente recomendación IA
• [ ] No aceptar ciegamente
• [ ] Si duda, consultar segundo médico
• [ ] Documentar razonamiento clínico
• [ ] Reportar fallos aparentes

---

Casos de responsabilidad: jurisprudencia 2024-2026

Caso A: hospital desplegó sin DPIA - multado

¿Qué pasó:

Hospital español implementó sistema IA diagnóstico cáncer.

No hizo DPIA.

Sistema cometió error con paciente.

AESIA investigó.

---

Resultado:

• Hospital multado: €8M (AI Act + MDR)
• Sistema retirado del mercado
• Hospital debe rehacer implementación con DPIA

---

Caso B: médico no revisó IA - pérdida licencia

¿Qué pasó:

Médico radiología aceptaba siempre recomendación IA.

50 casos donde IA cometió error.

En 10 casos, pacientes no fueron diagnosticados.

Colegio profesional investigó.

---

Resultado:

• Médico: Pérdida licencia (3 años)
• Hospital: €5M responsabilidad civil
• Demanda colectiva de pacientes: €3M

---

Caso C: fabricante no documentó sesgos

¿Qué pasó:

Fabricante vendió sistema de IA diagnóstico.

Sistema se entrenó 80% con pacientes blancos/europeos.

Sistema falla en pacientes africanos (precisión 71% vs 93% blancos).

Fabricante no documentó este sesgo.

Hospital lo descubrió después.

---

Resultado:

• Fabricante: €6M multa (AI Act)
• Fabricante: €2M multa (MDR)
• Responsabilidad civil: €2M+
• Retirada de producto hasta corrección

---

Multas y responsabilidad: cifras 2026

AI Act: sistemas médicos de alto riesgo

---

Medical device regulation (MDR)

---

RGPD: datos médicos

---

Responsabilidad civil

Por paciente afectado:

• Daño moral: €20K-€200K
• Pérdida diagnóstico oportuno: €50K-€500K
• Tratamiento deficiente: €100K-€1M+
• Muerte (atribuible): €500K-€5M+

Clase action:

• Múltiples pacientes → €1M-€10M+

---

Recomendaciones prácticas

Para hospitales: implementación segura

Fase 1 (Selección):

1. Exigir documentación fabricante (COMPLETA)
2. Validar independientemente
3. Evaluar casos débiles del sistema

Fase 2 (Implementación):

1. DPIA formal (40-80 horas)
2. Validación clínica local (1000 casos)
3. Protocolo de supervisión (médicos + IA)

Fase 3 (Operativa):

1. Monitoreo diario de precisión
2. Revisión trimestral de fallos
3. Auditoría anual

Fase 4 (Vigilancia):

1. Reportar eventos adversos a AESIA/fabricante
2. Mantener logs 5 años mínimo
3. Presupuesto de mantenimiento y actualización

---

Para médicos: protocolo de uso

✅ Haz esto:

• Revisa siempre recomendación IA
• Cuestiona si no tiene sentido clínico
• Segundo médico en casos difíciles
• Documenta tu razonamiento

❌ NO hagas esto:

• No confíes ciegamente
• No automatices decisión completamente
• No ignores signos clínicos contrarios
• No delegues responsabilidad completamente a IA

---

Status legal: octubre 2026

CONFIRMADO:

✅ IA médica es "alto riesgo" bajo AI Act

✅ Simultáneamente regulado por MDR

✅ Supervisión humana es OBLIGATORIA

✅ Multas €5M-€20M están en vigencia

✅ AESIA supervisa activamente

TENDENCIA:

→ Mayor regulación de sesgo médico

→ Más requisitos de validación clínica

→ Posible prohibición de ciertas aplicaciones (2027)

---

Conclusión

Octubre 2026: IA en medicina NO es zona gris.

Triple regulación = Triple responsabilidad.

• Hospital: Implementador → Responsabilidad supervisión
• Médico: Usuario → Responsabilidad diagnóstica
• Fabricante: Productor → Responsabilidad técnica

Si algo falla: Todos pagan.