RGPD y datos de salud: recepción telefónica con IA en clínicas

Por qué una cita ya es un dato de salud

El artículo 9 del RGPD protege de forma reforzada los datos de categoría especial, entre ellos los de salud. Saber que una persona ha pedido cita en una clínica oftalmológica, en un dentista o en un psicólogo ya dice algo sobre su salud. Por eso un agente que atiende llamadas en sanidad trata datos del art. 9, aunque solo agende (Secure Privacy).

Eso no impide usar una recepcionista IA. Significa hacerlo con tres piezas en orden: contrato de encargado, evaluación de impacto e información clara al paciente.

Contrato de encargado y subencargados

La clínica es la responsable del tratamiento. Centralitia es encargado y firma con cada clínica un contrato que fija qué datos se tratan, para qué, durante cuánto tiempo, con qué medidas de seguridad y con qué subencargados.

Sobre los subencargados, la información completa: la web, el panel y la base de datos (citas, registro de llamadas, transcripciones y resúmenes) están en servidores propios en España. El audio de la llamada y su procesamiento de voz pasan por Telnyx, que puede tratar datos fuera del Espacio Económico Europeo con cláusulas contractuales tipo. Es un punto que tu delegado de protección de datos debe conocer y valorar en la evaluación de impacto.

Evaluación de impacto

Una IA que trata datos de salud de pacientes es, en la práctica, un tratamiento que requiere una evaluación de impacto en protección de datos (EIPD) (Secure Privacy). Le corresponde a la clínica como responsable. Nosotros te damos la información que necesitas para hacerla:

• Flujo de datos: qué entra en cada llamada, por dónde pasa y dónde se guarda.
• Subencargados y transferencias internacionales.
• Configuración de grabación, transcripción y plazos de conservación.
• Qué datos pide la IA y cuáles no (ver abajo).
• Cómo se transfiere a una persona y cómo se gestionan las urgencias.

Lo que pide la AEPD al transcribir voz con IA

En 2026 la AEPD publicó sus criterios sobre transcripción de voz con IA (AEPD, parte II; parte I). Los puntos que afectan a una clínica:

• Informar antes de empezar, no durante ni al final.
• Explicar los riesgos relevantes, las limitaciones conocidas y las posibles inexactitudes del sistema.
• Indicar los plazos de conservación del audio y de la transcripción, y cómo ejercer el acceso y la rectificación.
• «Si continúas, consientes» no es un consentimiento válido.
• Quien adopta el servicio es responsable del tratamiento y debe vigilar de forma continua errores sistemáticos, sesgos lingüísticos e inferencias sensibles.
• Las voces sintéticas no son datos personales, pero los metadatos y el contenido vinculables a una persona sí lo son.

Qué pregunta la IA y qué no

La regla de diseño es la minimización: pedir solo lo necesario para dar la cita.

La IA no diagnostica ni hace triaje clínico: no decide si algo es urgente según lo que cuenta el paciente. Si el paciente describe una urgencia, la IA le indica llamar al 112 o pasa la llamada al profesional. Esto también la mantiene fuera de la categoría de alto riesgo del Reglamento de IA (lo explicamos en AI Act).

Recomendaciones prácticas para la clínica

• Graba solo si lo vas a usar. La transcripción y el resumen suelen bastar para saber qué se habló. Si grabas, fija un plazo corto.
• Revisa la locución inicial con tu delegado de protección de datos: aviso de IA, grabación y transcripción si aplica, y cómo hablar con una persona.
• Configura qué responde la IA: horarios, precios, preparación para pruebas, aparcamiento. Lo que no esté configurado, no lo contesta: toma nota y avisa.
• Define a quién se transfiere y qué pasa fuera de horario.
• Revisa transcripciones de vez en cuando para detectar si los pacientes están dando más información de la necesaria y ajusta las preguntas.
• Actualiza tu registro de actividades y tu política de privacidad. En Seguridad tienes un texto modelo.
• Forma al equipo en cómo recibir una llamada transferida con su resumen.