Si tienes una clínica dental, lo más probable es que la IA ya no sea una promesa, sino una herramienta que lee radiografías cada día. Sistemas como Diagnocat, Overjet o Pearl analizan panorámicas y CBCT para detectar caries, pérdida ósea o lesiones periapicales. Funcionan, ahorran tiempo y mejoran la detección. Y, precisamente por lo que hacen y con qué datos, pueden colocar a la clínica en una de las posiciones más exigentes del AI Act. La buena noticia es que el camino para gobernarlo bien es claro, si se entiende la clasificación correcta.
Por qué el diagnóstico por imagen es un caso serio
El sistema que lee una radiografía toca dos cosas sensibles a la vez: datos de salud —categoría especial del Artículo 9 del RGPD— y una función clínica que apoya decisiones sobre el paciente. Esa combinación es la que eleva el nivel de exigencia.
Además, estos productos suelen tener marcado CE como producto sanitario bajo el Reglamento (UE) 2017/745, que figura en el anexo I, sección A, del AI Act. Ese detalle no es menor: define por qué vía el AI Act los alcanza.
La clasificación, con precisión
Aquí conviene ser exactos, porque es fácil equivocar la etiqueta y, con ella, el calendario.
Un sistema de diagnóstico por imagen con marcado CE entra en el AI Act por la vía del anexo I y el Art. 6(1), que exige dos condiciones a la vez: que el sistema sea un producto de los actos del anexo I —el Reglamento (UE) 2017/745 está en su sección A— o el componente de seguridad de uno, y que ese producto «deba someterse a una evaluación de la conformidad de terceros». Si falta la segunda, no hay alto riesgo por esta vía; por eso conviene saber la clase del producto y quién evaluó su conformidad, datos que da el fabricante. Con el Digital Ómnibus, la fecha de aplicación de las obligaciones de alto riesgo por esta vía se desplaza al 2 de agosto de 2028.
El anexo III, en cambio, no tiene un apartado para el diagnóstico clínico. La asistencia sanitaria aparece en su punto 5 en dos supuestos que no son los habituales de una clínica dental: la letra a), para las autoridades públicas que evalúan el derecho a prestaciones de asistencia sanitaria, y la letra d), que incluye los «sistemas de triaje de pacientes en el contexto de la asistencia sanitaria de urgencia». Un sistema que ordenara por gravedad a los pacientes de urgencias sí entraría ahí, con su propio calendario: las obligaciones del anexo III, desde el 2 de diciembre de 2027.
Esta precisión tiene una consecuencia práctica importante: la FRIA del Artículo 27 es un instrumento del anexo III, no del anexo I, y ni siquiera de todo el anexo III: el Art. 27(1) obliga a los responsables del despliegue que sean organismos de Derecho público o entidades privadas que prestan servicios públicos, y a los de los sistemas del anexo III, punto 5, letras b) y c). Para un producto sanitario que entra por el anexo I, la FRIA no es una obligación. Presentarla como obligatoria «porque usas IA de diagnóstico» sería un error legal. La obligación que sí suele aplicar es otra.
La obligación que llega primero: la DPIA
En una clínica dental que usa IA de diagnóstico, lo más probable es que haga falta la evaluación de impacto en protección de datos (DPIA, Art. 35 RGPD). El Art. 35 del RGPD la exige cuando es probable que el tratamiento entrañe un alto riesgo; la lista publicada por la AEPD (Art. 35.4) concreta los tipos de tratamiento: la considera necesaria «en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios», y aquí suelen concurrir dos: datos de categoría especial, los de salud, y el uso de nuevas tecnologías. La gran escala, en cambio, no se da por hecha: según el considerando 91 del RGPD, el tratamiento «no debe considerarse a gran escala si lo realiza, respecto de datos personales de pacientes o clientes, un solo médico, otro profesional de la salud o abogado». No es una obligación futura ni provisional: deriva del RGPD, que ya se aplica.
Una DPIA bien hecha para este caso aborda, como mínimo:
- Base jurídica y excepción del Art. 9: la base del Art. 6 —a menudo, la ejecución del contrato de asistencia— junto con una excepción del Art. 9(2); la habitual es la de la letra h), para fines de «diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario», que remite a las condiciones y garantías de su apartado 3.
- Transferencias internacionales: si el proveedor procesa fuera del Espacio Económico Europeo —algunos son estadounidenses—, hace falta el mecanismo adecuado (cláusulas tipo, análisis de garantías). Un proveedor con sede en la UE simplifica esto; uno fuera, no.
- Conservación de las imágenes: el plazo lo fija la normativa sanitaria estatal y autonómica sobre la historia clínica; la DPIA recoge el que aplique y de dónde sale.
- Medidas técnicas: cifrado en reposo y en tránsito, seudonimización de identificadores en analítica.
La supervisión humana, sin esperar a 2028
Un principio que conviene grabar: el sistema apoya, no decide. Cuando el sistema sea de alto riesgo, el Art. 26(2) obligará a encomendar la supervisión humana a personas con «la competencia, la formación y la autoridad necesarias». El artículo 26 aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza. Hasta entonces, que el profesional revise el resultado y nunca decida el tratamiento basándose únicamente en lo que propone la IA es buena práctica clínica. Un falso negativo del sistema no puede convertirse en una decisión clínica sin criterio humano de por medio. Y conviene tener un procedimiento escrito para qué hacer cuando el resultado es anómalo.
Y el resto del stack de la clínica
No todo en una clínica es diagnóstico de alto riesgo. El inventario típico incluye sistemas de menor exposición que también hay que clasificar:
- Chatbot de citas: interactúa con pacientes, por lo que aplica la transparencia del Art. 50.1 desde el 2 de agosto de 2026 — obligación del proveedor (el sistema debe diseñarse para que el paciente sepa que habla con una IA); como responsable del despliegue, la clínica comprueba que su proveedor la tiene resuelta. Si el chatbot entra en síntomas o indicaciones médicas, sube el nivel y puede requerir DPIA.
- Predicción de ausencias y optimización de agenda: normalmente sin obligaciones específicas del AI Act. Ojo si el sistema llega a negar citas a quienes «predice» que faltarán sin que nadie lo revise: una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos en el paciente o le afecte significativamente de modo similar entra en el Art. 22 del RGPD.
- Copilotos de ofimática en tareas administrativas: uso general de bajo riesgo, pero cuentan para el inventario y para las medidas de alfabetización del Art. 4.
Qué hacer ya, sin dramatismo
El mensaje para una clínica no es de alarma; es de orden. Con el Ómnibus, las obligaciones de alto riesgo por la vía del producto sanitario tienen margen hasta 2028. Pero hay tres cosas que tiene sentido cerrar ahora:
- Inventario completo de todos los sistemas de IA de la clínica —incluidos los de las distintas sedes, que a menudo usan software distinto—; así queda en un caso completo sobre la demo dental.
- DPIA para el diagnóstico por imagen y para cualquier otro tratamiento que la exija. Es la obligación que con más probabilidad aplica ya.
- Medidas de alfabetización y política de uso para el personal clínico (Art. 4), con evidencia trazable.
Hacerlo bien no es comprar tranquilidad ni exhibir un sello. Es tener la documentación revisada y auditable lista para defender, con criterio, que la clínica usa la IA como debe.
Contenido con arreglo a los artículos 4, 6, 26, 27 y 50 y a los anexos I y III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744, y a los artículos 9, 22 y 35 y al considerando 91 del Reglamento (UE) 2016/679.
Las menciones a productos comerciales son descriptivas del mercado; no implican relación comercial. Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.