Los datos de tus pacientes no son datos cualquiera
Todo lo que ocurre en una sesión —lo que tu paciente cuenta, lo que tú anotas, tus hipótesis clínicas— son datos de salud: una categoría especial de datos personales que el artículo 9 del RGPD protege con las máximas garantías. A esa capa legal se suma otra deontológica: el deber de secreto profesional que recogen los códigos de los colegios de psicología.
- Como profesional, eres el responsable del tratamiento de esos datos: decides qué herramientas los tocan y respondes por ello.
- Cualquier empresa que procese esos datos por ti (un software de notas, una IA, una plataforma de videollamada) es un encargado del tratamiento, y la ley exige un contrato específico con ella (artículo 28 RGPD).
- Esto aplica igual si trabajas por cuenta propia: la responsabilidad no desaparece por ser una consulta pequeña.
Qué pasa exactamente cuando pegas una sesión en ChatGPT
Cuando introduces información de un caso real en la versión de consumo de ChatGPT —la web o la app que usa casi todo el mundo—, están ocurriendo varias cosas a la vez, y ninguna encaja bien con el RGPD:
- Estás cediendo datos de salud a un tercero sin contrato de encargo de tratamiento: sus condiciones de consumo no lo incluyen.
- Salvo que lo desactives expresamente en la configuración, tus conversaciones pueden usarse para entrenar sus modelos.
- Los datos se procesan fuera de la Unión Europea, bajo marcos de transferencia genéricos que tú tendrías que poder justificar para datos de salud.
- No hay garantías específicas de retención, acceso ni supresión pensadas para información clínica.
- Todo ello queda fuera de tu registro de actividades de tratamiento y de la información que das a tus pacientes.
El problema no es la calidad de la herramienta: es que ni su contrato ni su diseño están pensados para tratar datos de salud por cuenta de un profesional sanitario.
«Pero yo lo anonimizo antes»
Es el argumento más habitual, y casi nunca se sostiene. Quitar el nombre no anonimiza: un relato clínico contiene edad, profesión, situación familiar, acontecimientos vitales y detalles que, combinados, hacen a la persona identificable. El RGPD considera eso seudonimización, no anonimización — y los datos seudonimizados siguen siendo datos personales, con todas las obligaciones intactas.
- Una anonimización real exigiría eliminar tanto detalle que el caso perdería su utilidad clínica.
- El riesgo de reidentificación crece cuanto más contexto necesitas darle a la IA para que el análisis sirva de algo.
- Y aunque anonimizaras a la perfección, seguirías rozando el deber de secreto: el contenido de una sesión no deja de ser confidencial por cambiarle el nombre.
¿Y las versiones de pago o Enterprise?
Seamos justos: las versiones API, Team y Enterprise de los grandes proveedores sí ofrecen contrato de encargo de tratamiento y excluyen el entrenamiento con tus datos. Si un profesional monta su flujo sobre ellas, bien configuradas, está en un terreno mucho más defendible. Pero conviene entender qué queda sin resolver:
- La carga de configurarlo y documentarlo correctamente (transferencias, retención, subencargados) recae íntegramente sobre ti.
- Sigues trabajando con una herramienta generalista: sin flujo de consentimiento del paciente, sin minimización pensada para clínica, sin trazabilidad de qué se envió y por qué.
- Y el límite de fondo no cambia: la IA solo conoce el caso por lo que tú le escribes en cada conversación — un relato parcial, sin historial y sin acceso a lo que realmente ocurrió en sesión.
Qué exige el RGPD para usar IA con pacientes
Usar inteligencia artificial en la práctica clínica es perfectamente legal si se hace con las garantías adecuadas. La lista de mínimos que deberías poder marcar con cualquier herramienta:
- Contrato de encargo de tratamiento (DPA) con el proveedor, que cubra datos de salud.
- Tratamiento de los datos dentro de la UE, o transferencias con garantías que puedas justificar.
- Compromiso contractual de que tus datos no se usan para entrenar modelos.
- Políticas claras de retención y supresión — idealmente, sin retención permanente en los proveedores de IA.
- Registro público de subencargados: saber qué empresas tocan el dato y para qué.
- Información y, cuando proceda, consentimiento informado del paciente.
- Minimización: que la herramienta solo trate lo necesario para su función.
Cómo lo resuelve TherapeutIA
TherapeutIA existe precisamente para que puedas tener la potencia de la IA en tu práctica sin heredar este problema. Está diseñada desde el origen para el contexto clínico:
- Contrato de encargo de tratamiento incluido, pensado para datos de salud.
- Tratamiento de datos en la Unión Europea, cifrados en tránsito y en reposo.
- Tus datos nunca se usan para entrenar modelos, y los proveedores de IA procesan en modo sin retención permanente.
- El audio de las sesiones no se almacena: se procesa para transcribir y analizar, y se elimina.
- Flujo de consentimiento informado del paciente integrado, con firma digital.
- Registro de subencargados publicado y actualizado.
- Y además del cumplimiento: el análisis parte del material directo de la sesión y del historial del caso, desde modelos terapéuticos validados — no del resumen que le escribas a un chat.
Ver en detalle cómo tratamos los datos →
