IA y protección de datos en tu clínica de fisioterapia: lo que dice la ley

Quién es responsable de qué

Cuando una clínica usa un asistente virtual, la clínica es la responsable del tratamiento: decide para qué se usan los datos de sus pacientes. El proveedor del asistente es el encargado del tratamiento: trata esos datos por cuenta de la clínica y solo para prestar el servicio.

Esa relación tiene que quedar por escrito en un contrato de encargo de tratamiento, como exige el artículo 28 del Reglamento General de Protección de Datos (RGPD). En él se indica qué datos se tratan, para qué, durante cuánto tiempo, qué medidas de seguridad se aplican y qué otros proveedores intervienen.

Cuidado con los datos de salud

Los datos de salud son una categoría especial según el artículo 9 del RGPD y merecen más protección. Un buen asistente para clínicas está diseñado para no necesitarlos:

• No pide información clínica: solo el nombre, el tratamiento que busca el paciente y cuándo le viene bien.
• No pide fotos ni informes por el chat.
• Si el paciente cuenta algo de su salud, el asistente no lo valora: le ofrece una cita y avisa al equipo.
• Las conversaciones se borran pasado un plazo razonable, en lugar de guardarse para siempre.

Avisar de que es una inteligencia artificial

Desde el 2 de agosto de 2026 se aplica el artículo 50 del Reglamento europeo de Inteligencia Artificial: quien usa un sistema de IA que conversa con personas, como un asistente de WhatsApp, tiene que informarles de que están hablando con una IA, salvo que sea evidente (resumen de Addleshaw Goddard).

Ese aviso tiene que llegar en el momento del contacto, no escondido en la letra pequeña. En la práctica basta con que el asistente se presente así en su primer mensaje: «Hola, soy Lucía, la asistente virtual de la clínica».

Dónde están los datos

Pregunta siempre dónde se guardan las conversaciones. Lo ideal es que los servidores estén en la Unión Europea. Si algún proveedor trata datos fuera de ella (por ejemplo, el de inteligencia artificial), tiene que hacerlo con las garantías que prevé el RGPD, como las cláusulas contractuales tipo o el Marco de Privacidad de Datos entre la UE y Estados Unidos.

Mensajes informativos y mensajes comerciales

No todos los mensajes son iguales ante la ley:

• Informativos: confirmar una cita, recordarla el día antes o contestar a una pregunta del paciente forman parte del servicio que ha pedido.
• Comerciales: promociones, ofertas o invitaciones a volver. La Ley de Servicios de la Sociedad de la Información exige el consentimiento del paciente o, si ya es paciente, que se trate de servicios parecidos a los que contrató y que pueda darse de baja fácilmente en cada mensaje.

WhatsApp tiene además sus propias normas: el paciente tiene que haber aceptado recibir mensajes de la clínica por ese canal.

Lista de comprobación para tu clínica

• Contrato de encargo de tratamiento firmado con el proveedor del asistente.
• El asistente se presenta como inteligencia artificial en el primer mensaje.
• No pide datos de salud, fotos ni documentos por el chat.
• Servidores en la UE, o garantías claras si hay datos fuera de ella.
• Plazo de conservación definido y borrado automático de las conversaciones.
• Tu política de privacidad menciona el WhatsApp y el asistente.
• Consentimiento de tus pacientes para los mensajes comerciales.

Este artículo es informativo y no sustituye el asesoramiento de un profesional del derecho.

En Procerix firmamos el contrato de encargo con cada clínica, las automatizaciones funcionan en servidores de la UE y la recepcionista está diseñada para no pedir datos de salud. Puedes comprobar cómo se comporta en la demo, o leer qué más debe cumplir en recepcionista virtual para clínicas de fisioterapia.