Antes de que una IA conteste el teléfono de una clínica, el delegado de protección de datos debería poder responder quince preguntas con documentos, no con promesas. Las más importantes son tres: dónde se procesa exactamente el audio, quién más trata los datos y si el modelo de IA ve datos identificativos. Esta lista está pensada para imprimirla y pasársela a cualquier proveedor, también a nosotros.
Por qué una llamada de cita es un dato de salud
Que una persona tenga cita en una clínica revela algo sobre su salud. Por eso la llamada entra en las categorías especiales del artículo 9 del RGPD, con protección reforzada. Y una IA de voz trata esos datos en varias piezas a la vez: telefonía, transcripción, modelo de lenguaje, voz y almacenamiento. Cada pieza puede estar en un país distinto. Lo explicamos en IA en clínicas y RGPD: la pregunta que decide la compra.
La lista
Dónde están los datos
- ¿Dónde se procesa cada pieza? Telefonía, reconocimiento de voz, modelo de lenguaje, voz sintética y base de datos. País o región de cada una, por escrito.
- ¿Hay transferencias fuera del Espacio Económico Europeo? Si las hay, con qué garantía: cláusulas contractuales tipo, decisión de adecuación o ninguna.
- ¿Quién del proveedor puede acceder y desde dónde? El soporte técnico también es tratamiento.
Contrato y proveedores
- Contrato de encargado del tratamiento según el artículo 28 del RGPD, preferiblemente sobre las cláusulas tipo de la AEPD.
- Lista de subencargados pública o entregada, con lo que hace cada uno y dónde.
- Aviso previo de cambios de subencargados con plazo para oponerse.
- Prohibición de usar los datos para entrenar modelos, extendida a todos los subencargados.
Minimización y seguridad
- ¿El modelo de IA recibe nombre, DNI o teléfono? No debería necesitarlos: puede trabajar con referencias opacas.
- ¿Accede a la historia clínica? Para gestionar citas no hace falta, y el bloqueo debería ser técnico, no solo contractual.
- ¿Se graba el audio? Lo prudente es que no se grabe por defecto y que, si se activa, se pida consentimiento al paciente con alternativa real.
- ¿Cómo se verifica la identidad antes de dar información de una cita? El número de teléfono solo no basta.
- Cifrado y separación entre clínicas, y registro de accesos que no se pueda modificar.
Transparencia y límites
- ¿Se identifica como IA al inicio de cada llamada? Lo exige el artículo 50 del Reglamento (UE) 2024/1689. Ver el Reglamento de IA en una clínica.
- ¿Qué hace ante un síntoma? Debe pasar a una persona. Si valora o prioriza, puede ser producto sanitario y una decisión automatizada del artículo 22 del RGPD. Ver qué debe hacer una IA ante un síntoma.
- Documentación para el DPO: evaluación de impacto pre-elaborada, registro de actividades de tratamiento, mapa de flujos y plantilla de información al paciente.
Las respuestas que deberían hacerte desconfiar
- «Cumplimos el RGPD», sin decir dónde se procesa cada pieza.
- «Nuestros servidores están en Europa», cuando el modelo de lenguaje o la voz se procesan en otro sitio.
- «Grabamos para mejorar la calidad», sin consentimiento ni plazo de borrado.
- «Le podemos pasar el contrato si lo necesita», cuando debería estar disponible desde el primer día.
Cómo responde Agendavia a esta lista
Las respuestas están publicadas, para que el DPO no tenga que pedirlas:
- Toda la cadena se procesa en la Unión Europea: Microsoft Azure en Países Bajos e Irlanda, y modelo de lenguaje y telefonía en región europea. Lista completa en subencargados.
- El modelo de IA trabaja con referencias opacas y no recibe nombre, DNI ni teléfono.
- No hay acceso a la historia clínica, bloqueado técnicamente.
- No se graba el audio por defecto.
- Verificación en dos datos antes de decir nada sobre una cita.
- Al darse de alta, la clínica recibe en su panel el contrato de encargado, la evaluación de impacto, el registro de actividades y los demás documentos, con su nombre. El modelo del contrato está en contrato de encargado.
El detalle de las siete medidas de seguridad está en Seguridad y RGPD. Si tu DPO quiere revisar la documentación antes de abrir cuenta, se la mandamos entera.