Inteligencia Artificial

Ley Europea de IA en clínicas estéticas: guía para cumplirla

Qué exigen la Ley Europea de IA y el RGPD a tu clínica estética: aviso al paciente, médico responsable y datos. Descarga la guía gratis de 16 puntos.

Desde el 2 de agosto de 2026 ya no hay zona gris: si un paciente escribe a tu clínica y le contesta una inteligencia artificial, tiene que saber que no habla con una persona. Es la parte más visible de la Ley Europea de IA. La menos visible afecta a quién decide en tu clínica y a dónde van los datos de tus pacientes.

Este artículo resume lo que cambia para una clínica de medicina estética, qué revisar en cada caso y cómo comprobar en 15 minutos si lo estás haciendo bien. Al final puedes descargar la guía en PDF con el autodiagnóstico de 16 puntos.

Qué cambió el 2 de agosto de 2026 en la Ley Europea de IA

La normativa europea de inteligencia artificial se aplica por fases. La que afecta de lleno a las clínicas es la de transparencia: el artículo 50 del reglamento obliga a avisar a la persona cuando interactúa directamente con un sistema de IA, salvo que resulte evidente. El aviso tiene que ser claro y estar visible en la primera interacción.

2 ago 2026

La transparencia ya es obligatoria

Artículo 50: avisar cuando el paciente habla con una IA

El resto del calendario es más relajado. Tras el llamado Ómnibus de IA, los sistemas de alto riesgo del anexo III se aplazan hasta el 2 de diciembre de 2027 y los vinculados a productos regulados, como los dispositivos médicos, hasta el 2 de agosto de 2028. Eso no significa que puedas esperar: lo que usas hoy para atender pacientes entra en la parte que ya rige.

Las obligaciones recaen sobre el proveedor de la herramienta y también sobre quien la usa. Contratar un software externo no te quita responsabilidad: tú decides dónde aparece el aviso, qué canales cubre y qué datos le das.

A qué te obliga en la práctica

Traducido a la rutina de una clínica, se reduce a tres reglas. Son las mismas que usamos en la guía descargable.

Regla 1: el médico sigue siendo el responsable final

La IA puede contestar horarios, confirmar una cita o recordar una revisión. No puede decidir un tratamiento. Según el resumen de Médicos y Pacientes (OMC) sobre la entrada en vigor, el profesional sanitario mantiene la responsabilidad final de cualquier decisión clínica y la IA se limita a asistir.

En la práctica, conviene comprobar cuatro cosas:

Hay un profesional identificado como responsable de cada decisión clínica.
La IA no emite diagnósticos ni pautas de tratamiento sin validación.
Lo clínico se deriva siempre a una persona del equipo.
Existe un procedimiento escrito para corregir o anular lo que haga la IA.

Regla 2: informa al paciente cuando interviene la IA

Un asistente de WhatsApp que se hace pasar por recepción es el caso típico de incumplimiento. El aviso debe aparecer al empezar la conversación y en todos los canales: WhatsApp, web, llamadas automáticas y correo. Y el paciente tiene que poder pedir hablar con una persona en cualquier momento.

Un aviso eficaz cabe en una línea: "Soy el asistente de IA de la clínica. Si prefieres hablar con una persona, escríbelo y te atenderá el equipo." Ponlo en el primer mensaje, no en la política de privacidad.

Guarda también constancia de cuándo y cómo informaste. Si algún día te preguntan, "lo hacemos así" no es una prueba; una captura del flujo y la fecha del cambio, sí.

Regla 3: protege los datos de tus pacientes

Esta es la regla donde más clínicas se exponen sin darse cuenta. Pegar el historial de un paciente, su nombre o una foto en una herramienta de IA generativa de consumo es enviar datos de salud a un tercero. La recomendación de la OMC es clara: no meter datos de pacientes en aplicaciones de IA generativa sin aprobación institucional.

Para que una herramienta pueda tocar datos de pacientes, revisa que:

La dirección de la clínica la ha aprobado de forma expresa.
Hay contrato con el proveedor y una cláusula que impide usar vuestros datos para entrenar sus modelos.
Sabes dónde se almacenan los datos y quién accede a ellos.
Existe un registro de las herramientas de IA que se usan en la clínica.

La Agencia Española de Protección de Datos publica una guía de adecuación al RGPD de los tratamientos que incorporan IA que conviene tener a mano.

Fotos de antes y después: el punto donde más se falla

Las clínicas estéticas manejan datos de salud como alergias, tratamientos o fotografías de antes y después, y están sujetas al RGPD y a la LOPDGDD. Según la asesoría Legiscope, publicar fotos de resultados sin consentimiento es una de las prácticas más denunciadas en centros de estética.

Las imágenes de antes y después son datos de salud y, si se tratan con medios técnicos que permiten identificar a la persona, pueden considerarse además datos biométricos. En ambos casos son categoría especial: exigen una base jurídica reforzada y, en la práctica, consentimiento específico del paciente para cada uso.

Subirlas a un ChatGPT de cuenta personal para "pulir un texto" o "generar una descripción" es el error más frecuente. Lo correcto es combinar tres cosas:

Una cuenta empresarial con contrato de encargado del tratamiento.
Una cláusula de no entrenamiento con vuestros datos.
El consentimiento del paciente para ese uso concreto.

3 %

de la facturación mundial, sanción máxima

o 15 millones de euros, por incumplir la transparencia del artículo 50

Cómo saber si estás cumpliendo: autodiagnóstico de 16 puntos

La forma más rápida de saber dónde estás es ponerlo por escrito. Reúne a quien lleve la dirección, la recepción y la parte médica, y repasad los puntos uno a uno. Cada respuesta es Sí, No o No lo sé, y el "No lo sé" cuenta como No: lo que no puedes demostrar es lo primero que hay que revisar.

La guía reúne 16 puntos de control repartidos en las tres reglas, un semáforo para interpretar el resultado y un plan de 30 días para corregir lo que falle.

Plan de 30 días para ponerte al día

No hace falta frenar la clínica. Un orden razonable es este:

Semana 1, inventario. Lista qué herramientas de IA se usan, quién las usa y con qué datos.
Semana 2, transparencia. Añade el aviso de IA en todos los canales y actualiza la información de privacidad.
Semana 3, datos. Revisa contratos con proveedores, la cláusula de no entrenamiento y los consentimientos de fotos.
Semana 4, equipo. Explica al equipo qué puede y qué no puede hacer la IA y documenta cómo se corrige.

Si hoy no sabes qué herramientas usa tu equipo, empieza por ahí. Es habitual que alguien esté usando una cuenta gratuita de IA para redactar mensajes sin que la dirección lo sepa.

Qué pasa si no haces nada

Más allá de las sanciones, el riesgo real es menos vistoso: perder la confianza de un paciente que descubre que sus fotos acabaron en una herramienta que no controlas, o que le contestó una máquina sin avisarle. En una clínica estética, la confianza es lo que se vende.

Quien automatiza sin estas bases no ahorra tiempo, acumula riesgo. Y arreglarlo a posteriori cuesta más que hacerlo bien desde el principio.

Automatizar sí, pero con criterio

Cumplir la ley no es un argumento para dejar de automatizar. Es la condición para hacerlo bien. Las tareas repetitivas se pueden delegar sin tocar nada clínico: responder dudas de horarios, confirmar citas, enviar recordatorios o gestionar la lista de espera.

Un asistente de WhatsApp con IA bien configurado avisa de que es una IA, deriva lo clínico a una persona y no guarda más datos de los necesarios. Lo mismo vale para un agente de citas o una recepcionista con IA: lo que cambia es cómo se configuran, no si se usan. Si tu WhatsApp está saturado, mira cómo se resuelve el problema de la saturación sin renunciar a la atención personal.

Esta guía es informativa y no constituye asesoramiento jurídico. Para tu caso concreto, consulta con tu delegado de protección de datos o con un abogado especializado en sanidad.

Preguntas frecuentes

¿La Ley Europea de IA se aplica a mi clínica si solo uso un chat automático de WhatsApp?

Sí, el artículo 50 se refiere a cualquier sistema que interactúe directamente con personas, sea un chat, un asistente de voz o un formulario conversacional. Lo habitual es que el proveedor de la herramienta tenga que diseñarla para informar, y que tú configures cómo se muestra ese aviso.

¿Puedo usar ChatGPT para contestar a mis pacientes?

Con datos reales de pacientes, no en una cuenta personal. Si usas una herramienta de IA generativa, tiene que estar aprobada por la dirección, tener contrato con el proveedor y una cláusula que impida entrenar con vuestros datos.

¿Necesito consentimiento para las fotos de antes y después?

Son datos de salud y pueden ser además biométricos, así que lo prudente es contar con consentimiento específico para cada uso: historial clínico, redes sociales, web, o cualquier herramienta de IA.

¿Cuánto puede costarme incumplir la transparencia?

Hasta 15 millones de euros o el 3 % de la facturación mundial, según el artículo 99.4.g del reglamento. La cuantía real depende de la gravedad y del tamaño de la organización.

¿Cuándo entran las obligaciones de alto riesgo?

El calendario actual fija el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y el 2 de agosto de 2028 para los vinculados a productos regulados. La transparencia, en cambio, ya rige.

Siguiente paso

Descarga la guía, repasa los 16 puntos con tu equipo y apunta el resultado. Si quieres saber cómo automatizar la atención de tu clínica cumpliendo estas reglas, el diagnóstico gratuito te devuelve un plan personalizado.

Fuentes

¿Lista para implementarlo en tu clínica?

El diagnóstico gratuito incluye un roadmap personalizado.