AI Act para Healthtech: Dispositivos Médicos, Datos de Salud y Cumplimiento

La mayoría sí, pero no toda. La IA que es en sí misma un producto o componente de seguridad cubierto por el MDR 2017/745 o el IVDR 2017/746 y requiere evaluación de conformidad por un organismo notificado es de alto riesgo (Art. 6(1) + Anexo I). La IA del Anexo III punto 5(c) (seguros de vida y salud) y 5(d) (triaje de urgencias) también es de alto riesgo. La IA de bienestar general o apps de salud no diagnósticas puede no ser alto riesgo.

La guía MDCG 2025-6 es un documento de la Comisión Europea sobre la interacción entre el Reglamento de Dispositivos Médicos (MDR 2017/745), el de Diagnóstico In Vitro (IVDR 2017/746) y el AI Act. Establece cómo integrar las obligaciones de evaluación de conformidad para evitar duplicación cuando un dispositivo médico con IA debe cumplir tanto el MDR/IVDR como el AI Act.

Los datos de salud son categorías especiales (Art. 9(1) RGPD). Las bases jurídicas habituales son: consentimiento explícito (Art. 9(2)(a)), tratamiento necesario para fines de asistencia sanitaria (Art. 9(2)(h)), o razones de interés público en el ámbito de la salud pública (Art. 9(2)(i)). La elección depende del contexto: asistencia sanitaria directa, investigación, salud pública. La LOPDGDD regula adicionalmente los datos de salud en sus arts. 7-11.

La DPIA (EIPD, Art. 35 RGPD) es obligatoria para tratamientos de alto riesgo, incluyendo el tratamiento a gran escala de categorías especiales de datos (salud, biometría). En healthtech, casi cualquier tratamiento de datos de salud con IA requiere DPIA. Debe documentar el análisis de riesgos, las medidas de mitigación y la valoración residual. Es un requisito previo al inicio del tratamiento.

El Art. 5(1)(f) del AI Act prohíbe los sistemas de IA que infieren emociones en el lugar de trabajo y en instituciones educativas, con excepciones por razones médicas o de seguridad. En contextos sanitarios puede estar permitido si cumple los requisitos del AI Act y del RGPD. El reconocimiento de emociones como categoría de alto riesgo se regula en el Anexo III punto 1(c) cuando no esté prohibido.

Las sanciones máximas son: hasta 35 millones de € o el 7% de la facturación global para prácticas prohibidas; hasta 15 millones de € o el 3% para incumplimiento de obligaciones de alto riesgo. Para PYMEs y startups, se aplica el importe absoluto inferior. Además, el incumplimiento del MDR/IVDR puede generar sanciones adicionales bajo la normativa de dispositivos médicos.

La AEPD ha sancionado a Marina Salud, S.A. con €500.000 (2025) por encargo de subencargado ilícito bajo el Art. 28 RGPD. Aunque no es un caso de IA específicamente, ilustra la supervisión activa de la AEPD en el sector sanitario. La AEPD también ha publicado guías para profesionales del sector sanitario y para pacientes y usuarios.

La AESIA supervisa el AI Act. La AEMPS (Agencia Española de Medicamentos y Productos Sanitarios) supervisa los dispositivos médicos bajo el MDR/IVDR. La AEPD supervisa el tratamiento de datos de salud bajo el RGPD. En casos de IA médica, las tres autoridades pueden intervenir simultáneamente. A nivel europeo, la Oficina Europea de IA coordina la aplicación del AI Act.