Casi todas las clínicas están obligadas por ley española a tener delegado de protección de datos. El artículo 34.1 de la LOPDGDD incluye expresamente a los centros sanitarios obligados a mantener historias clínicas, con la única excepción de los profesionales que ejercen a título individual.
Eso significa que, cuando una clínica valora contratar un asistente de voz con inteligencia artificial, la decisión no la toma solo el gerente. Pasa por el DPO. Y el DPO tiene una primera pregunta que decide el resto de la conversación.
La pregunta: ¿dónde se procesa el audio?
Cuando un paciente llama para pedir cita, esa conversación genera datos de salud en el sentido del artículo 9 del RGPD. No es discutible: el considerando 35 incluye expresamente la información recogida «con ocasión de su inscripción a efectos de asistencia sanitaria», que es literalmente lo que ocurre al agendar.
El Tribunal de Justicia de la Unión Europea reforzó ese criterio en la sentencia del asunto C-21/23, de noviembre de 2024, fijando un umbral deliberadamente bajo: basta con que los datos permitan extraer conclusiones sobre el estado de salud con «cierto grado de probabilidad».
Así que no existe la opción de tratar esto como un dato ordinario. Y de ahí la pregunta: si el audio de esa llamada se transcribe en un servidor de Estados Unidos, hay una transferencia internacional de datos de salud que hay que justificar, documentar y defender.
Por qué «tiene región europea» no siempre significa lo que parece
Muchos proveedores dicen tener región europea. Conviene leer la letra pequeña, porque hay tres cosas distintas que se suelen confundir:
- Dónde se almacenan los datos en reposo.
- Dónde se procesan en tiempo real, que puede ser otro sitio.
- Quién puede acceder remotamente desde fuera para soporte o moderación de contenido.
Hay proveedores cuya documentación dice, textualmente, que el almacenamiento ocurre en la región elegida pero que el procesamiento «puede no obstante ocurrir fuera de ella». Es una frase perfectamente legal de escribir y perfectamente incompatible con lo que un DPO de clínica espera oír.
Las cinco preguntas que conviene hacer a cualquier proveedor
- ¿En qué región se procesa el audio, y en cuál se almacena? ¿Son la misma?
- ¿Usáis las grabaciones o las transcripciones para entrenar modelos? ¿Está prohibido por contrato?
- ¿Cuál es vuestra lista de subencargados y con cuánta antelación avisáis de un cambio?
- ¿Podéis acceder a la historia clínica? ¿Está bloqueado técnicamente o solo prohibido en el contrato?
- ¿Me entregáis la evaluación de impacto y el contrato de encargado, o me los tengo que hacer yo?
La última suele ser reveladora. La evaluación de impacto es obligatoria en este caso , hay categorías especiales de datos tratadas a gran escala, y corresponde legalmente a la clínica, pero el único que conoce la arquitectura es el proveedor.
Y la obligación que ya está en vigor
Desde el 2 de agosto de 2026 se aplica el artículo 50 del Reglamento europeo de inteligencia artificial: cualquier sistema destinado a interactuar directamente con personas debe informar de que es una IA, a más tardar en la primera interacción.
En una llamada telefónica eso se traduce en algo muy concreto: el asistente tiene que decir que es un asistente con inteligencia artificial en el primer turno, antes de pedir ningún dato, y con esas palabras. No vale «le atiende Laura», ni ponerlo solo en la web de la clínica.