En la mayoría de las organizaciones, el alto riesgo no está en el negocio sino en Recursos Humanos: la IA que decide algo sobre personas es la que seleccionó candidatos, no la que optimiza la operación.
La sanidad privada es una de las excepciones, y conviene decirlo sin rodeos: aquí el alto riesgo está donde uno lo espera. En la consulta.
Lo que casi nadie distingue es que llega por dos vías distintas, con requisitos distintos, y confundirlas lleva a clasificar mal en las dos direcciones.
La figura sigue un sistema de IA de la clínica por las dos vías del alto riesgo. La primera es el Art. 6(1): producto sanitario —o componente de seguridad de uno— que exige evaluación de la conformidad por tercero, las dos condiciones a la vez. La segunda es el anexo III, punto 5, letra d), que alcanza por sí mismo al triaje de pacientes en urgencias. Añade Recursos Humanos, por el punto 4 del mismo anexo, y deja fuera, como uso administrativo o de apoyo, lo que no entra por sí solo en ninguna vía: citas, transcripción o nota clínica asistida, cuyos datos de salud siguen sujetos al RGPD. Las dos vías se comprueban por separado, y en las salidas del anexo III cabe la excepción del Art. 6(3).
Vía 1 — El Anexo I, que exige dos condiciones, no una
Esta es la ruta de los sistemas integrados en productos sanitarios. El Art. 6(1) dice que un sistema es de alto riesgo cuando reúne las dos condiciones siguientes:
«a) que el sistema de IA esté destinado a ser utilizado como componente de seguridad de un producto que entre en el ámbito de aplicación de los actos legislativos de armonización de la Unión enumerados en el anexo I, o que el propio sistema de IA sea uno de dichos productos, y
b) que el producto… deba someterse a una evaluación de la conformidad de terceros para su introducción en el mercado o puesta en servicio con arreglo a los actos legislativos de armonización de la Unión enumerados en el anexo I.»
«Y», no «o». Ambas.
La consecuencia práctica es que no todo software clínico con IA cae aquí. Cae el que es —o forma parte de— un producto sanitario que necesita evaluación de conformidad por un organismo notificado. El análisis de imagen que detecta y cuantifica hallazgos suele estar en ese grupo. Una herramienta de apoyo que no es producto sanitario regulado, no.
Dato práctico que ahorra discusiones: esa condición no la determinas tú. La determina el marcado del producto y su documentación. Si el fabricante lo comercializa como producto sanitario con su evaluación de conformidad, la primera vía está activa; si no, hay que mirar la segunda.
Vía 2 — El Anexo III, y aquí está la sorpresa
El triaje no llega por el Anexo I. Llega por el Anexo III, punto 5, letra d):
«Sistemas de IA destinados a ser utilizados para la evaluación y la clasificación de las llamadas de emergencia… o para el envío o el establecimiento de prioridades en el envío de servicios de primera intervención… y en sistemas de triaje de pacientes en el contexto de la asistencia sanitaria de urgencia».
Es un punto que casi nunca se cita al hablar de sanidad, porque su título, sobre el acceso a servicios esenciales, no suena a clínica. Y sin embargo ahí está: el triaje de urgencias entra en el Anexo III por sí mismo, sin necesidad de ser producto sanitario.
Dos vías, dos criterios, y ninguna sustituye a la otra. Un sistema puede entrar por la primera, por la segunda, o por ninguna.
Lo que no es alto riesgo, y suele darse por serlo
Merece decirse porque el efecto del miedo es tan real como el del descuido.
La documentación clínica asistida —generar la nota a partir de la conversación—, la gestión de citas, la transcripción, el asistente que redacta informes administrativos: nada de eso entra por sí solo en ninguna de las dos vías. No decide sobre el acceso a un servicio ni es componente de seguridad de un producto regulado.
Eso no las deja sin obligaciones. Tratan datos de salud —categoría especial del Art. 9 del RGPD—, y eso puede exigir una DPIA: el Art. 35(3)(b) la exige cuando el tratamiento de categorías especiales es a gran escala, y, fuera de ese supuesto, el Art. 35(1) la exige cuando es probable que el tratamiento entrañe un alto riesgo; la lista publicada por la AEPD (Art. 35.4) concreta los tipos de tratamiento: la considera necesaria cuando se reúnen dos o más de sus criterios. Es una evaluación distinta de la clasificación del AI Act y no depende de ella. La confusión más cara en este sector no es clasificar de más: es creer que si no es alto riesgo, no hay nada que hacer con los datos.
Y la parte que sí comparte con todos los demás sectores
Aquí es donde el artículo se junta con el anterior.
Una clínica, un hospital privado o un grupo sanitario tiene también un departamento de personas, y ese departamento usa software para contratar y evaluar. El Anexo III.4 le aplica exactamente igual que a una empresa de logística, y por las mismas razones.
De modo que en sanidad no es que el alto riesgo esté en otro sitio. Es que está en los dos: en la actividad clínica y en Recursos Humanos. Y el segundo es el que se olvida, porque toda la atención se la lleva el primero.
La fecha, que aquí importa más que en ningún otro sector
Ninguna de las dos vías está en aplicación.
El régimen del Anexo III empieza el 2 de diciembre de 2027 —y la fecha que circula en muchas guías es otra—. El del Anexo I, el 2 de agosto de 2028. Hoy no hay incumplimiento posible por ninguna de las dos.
Se dice aquí con énfasis porque es el sector donde más se ha usado la urgencia como argumento comercial. La preparación tiene sentido por el volumen de sistemas implicados, no porque haya un plazo venciendo.
Qué sí está en vigor, sea cual sea la clasificación
Lo mismo que para cualquier otra organización: el Art. 4 de alfabetización en IA y el Art. 5 de prácticas prohibidas, desde el 2 de febrero de 2025. El primero cambió de redacción con el Digital Ómnibus sin dejar de obligar; el segundo no admite excepción por sector ni por tamaño.
Con una nota que en sanidad no es teórica: el Art. 5 prohíbe inferir emociones en los lugares de trabajo y en los centros educativos, salvo cuando el sistema esté destinado a ser instalado o introducido en el mercado por motivos médicos o de seguridad. Un sistema que analice el estado del personal —no del paciente— entra en terreno prohibido, no en terreno de alto riesgo. Son cosas distintas y la segunda no se documenta: se deja de usar.
Contenido con arreglo a los artículos 4, 5 y 6 y a los anexos I y III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026).
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.