01 Clínicas y RGPD
Una IA puede atender a tus pacientes cumpliendo el RGPD. Con condiciones.
El cumplimiento no es una propiedad del producto, es una propiedad de cómo lo despliegas. Esta es la lista de lo que hay que comprobar, sirva el proveedor que sirva.
La respuesta corta
Sí, un asistente de IA puede atender consultas de pacientes cumpliendo el RGPD y la LOPDGDD, pero el cumplimiento depende de cómo esté desplegado, no de la marca. Las condiciones son cinco: contrato de encargado del tratamiento con el proveedor, saber dónde se alojan los datos y quiénes son los subencargados, diseñar el agente para que no recoja datos de salud (categoría especial del art. 9), avisar al usuario de que habla con un sistema de IA (artículo 50.1 del Reglamento de IA, aplicable desde el 2 de agosto de 2026), y fijar plazos de conservación y borrado. Ningún sello convierte por sí solo un chatbot en «conforme al RGPD»: existen certificaciones del artículo 42 del RGPD para tratamientos concretos, pero son voluntarias y no eximen de responsabilidad a la clínica.
Datos de mercado comprobados el 19 de agosto de 2026
Fuentes: Reglamento (UE) 2016/679 (RGPD) · Ley Orgánica 3/2018 (LOPDGDD), que desarrolla el RGPD en España · Reglamento (UE) 2024/1689 (Reglamento de IA)
1. Contrato de encargado del tratamiento con el proveedor
Si un asistente de IA conversa con tus pacientes, el proveedor trata datos personales por cuenta de la clínica. Eso exige el contrato del artículo 28 del RGPD, por escrito, con el objeto, la duración, las instrucciones y las obligaciones de confidencialidad.
Es el primer documento que hay que pedir, antes que la demo. Si un proveedor no tiene uno preparado, la conversación se acaba ahí.
2. Dónde están los datos y quién más los ve
Un agente conversacional casi nunca es una sola empresa: hay un proveedor del modelo de lenguaje, un alojamiento y, si hay WhatsApp, la plataforma de Meta. Cada uno es un subencargado y tienes derecho a saber quiénes son y dónde están.
Lo que hay que preguntar es concreto: en qué país se alojan las conversaciones, qué proveedores de modelo se usan, y si esos proveedores entrenan con tus conversaciones o no.
3. El problema del artículo 9: datos de salud
Los datos de salud son categoría especial y su tratamiento está prohibido salvo excepciones tasadas. Aquí está la trampa de este tipo de proyectos: un paciente escribe su motivo de consulta sin que nadie se lo pida, y con eso ya has recibido un dato de salud por un canal que no estaba pensado para eso.
La respuesta correcta no es un sello, es una decisión de diseño: el agente se construye para no pedir ni almacenar el motivo clínico. Pide nombre, contacto y disponibilidad, y deja el detalle clínico para la consulta. Un agente que pregunta «¿qué te pasa?» para «orientar mejor» está fabricando un problema.
- — El agente no pregunta por síntomas, diagnósticos ni tratamientos.
- — Si el paciente los cuenta igual, hay una política de qué se guarda y durante cuánto.
- — El agendado usa servicio, no motivo clínico.
4. Decir que es un sistema automático
La obligación concreta está en el artículo 50.1 del Reglamento de IA de la UE (Reglamento (UE) 2024/1689), aplicable desde el 2 de agosto de 2026: un sistema de IA destinado a interactuar directamente con personas tiene que estar diseñado para que esas personas sepan que están interactuando con un sistema de IA, salvo que resulte evidente para una persona razonablemente informada, atenta y perspicaz. La información se da, como muy tarde, en la primera interacción (artículo 50.5).
Dos precisiones que casi nadie hace bien. La primera: esa obligación recae sobre el proveedor del sistema, no sobre la clínica que lo despliega; pídesela a tu proveedor por escrito. La segunda: el RGPD no obliga a avisar de que hablas con una máquina —sus deberes de transparencia van sobre el tratamiento de datos—, así que quien te venda esto como «requisito RGPD» no ha leído ninguna de las dos normas.
En la práctica se resuelve con una frase en el primer mensaje y una identidad que no finja ser humana. No es solo un requisito legal: un agente pillado fingiendo ser una persona destruye la confianza de golpe.
5. Conservación, borrado y derechos
Las conversaciones son datos personales, así que necesitan plazo de conservación, un procedimiento para atender los derechos de acceso y supresión, y aparecer en el registro de actividades de tratamiento y en la política de privacidad de la clínica.
Esto casi siempre falta. La web se actualiza con el chat nuevo y nadie toca la política de privacidad, que sigue sin mencionar que hay un asistente conversacional guardando mensajes.
Bloque del proveedor
Cómo cumple Captia cada punto
Contrato de encargado del tratamiento disponible. Cada negocio tiene su agente y sus datos aislados de los del resto: no hay una base común entre clientes.
El agente se diseña para agendar sin recoger motivo clínico, y se presenta como asistente automático desde el primer mensaje.
Lo que Captia no puede hacer por ti: actualizar la política de privacidad de tu clínica ni tu registro de actividades. Eso es tuyo, y es la parte que se olvida.
Preguntas frecuentes
¿Existe un certificado RGPD para chatbots?
No como suele venderse. Existen certificaciones del artículo 42 del RGPD —como el sello europeo Europrivacy— pero se refieren a tratamientos concretos, son voluntarias, no certifican «el producto» en abstracto y no eximen de responsabilidad a la clínica. Si un proveedor usa un certificado como sustituto del contrato de encargado y del diseño, es marketing. Lo que sí puedes exigir: contrato del artículo 28, lista de subencargados y decisiones de diseño verificables.
¿Puede el asistente preguntar el motivo de la consulta?
Es mejor que no. El motivo clínico es un dato de salud (art. 9 del RGPD) y su tratamiento está restringido. Para agendar basta con el servicio, el nombre y la disponibilidad; el detalle clínico se queda para la consulta.
¿Hay que avisar de que es una IA?
Sí, y desde el 2 de agosto de 2026 es exigible: el artículo 50.1 del Reglamento (UE) 2024/1689 obliga a que un sistema de IA que interactúa directamente con personas esté diseñado para que sepan que hablan con una IA, salvo que resulte evidente para una persona razonablemente informada y atenta. Dos matices: la obligación recae sobre el proveedor del sistema, no sobre la clínica, y no viene del RGPD —el RGPD regula la transparencia sobre el tratamiento de datos, no sobre con quién hablas—. Se resuelve con una frase en el primer mensaje.
¿Esto es asesoramiento legal?
No. Es una lista de comprobación práctica escrita por un proveedor del sector. Para validar tu caso concreto, consúltalo con quien lleve la protección de datos de tu clínica.
Los rangos de precio de mercado provienen de páginas públicas de proveedores del sector en la fecha indicada en cada guía; cambian, contrástalos. Captia es parte interesada: aparece siempre en un bloque identificado, nunca como conclusión del análisis.
Seguir por aquí
02 Solicita una demo
Solicita una demo
Cuéntanos un poco sobre tu negocio y te enseñamos tu agente funcionando. Sin compromiso.