Cargando artículos…
LABARNAREVISTA DE INTELIGENCIACómo ven los reguladores de los EAU la IA generativa en la atención sanitaria: una guía práctica sobre marcos de cumplimiento, vías de aprobación y estrategia de implementación.
Cargando artículos…
La IA sanitaria en los EAU se encuentra en la intersección de tres organismos rectores distintos: la Autoridad Sanitaria de Dubái, el Departamento de Salud de Abu Dabi y el Ministerio federal de Salud y Prevención. Cada entidad ha publicado directrices, emitido circulares o participado en marcos piloto que determinan cómo pueden introducirse las herramientas de IA generativa en entornos clínicos. Comprender cómo interactúan estos organismos —y en qué aspectos divergen sus mandatos— es la primera tarea analítica que cualquier equipo de implementación debe completar antes de escribir una sola línea de configuración.
El nivel federal establece los parámetros más amplios. El Ministerio de Salud y Prevención ha publicado directrices sobre sistemas de salud digital que establecen expectativas básicas en torno a la integridad de los datos, la clasificación de los sistemas y la responsabilidad clínica. Estos parámetros aún no constituyen una ley específica sobre IA plenamente codificada, pero establecen el marco interpretativo dentro del cual ambos emiratos ejercen su propia autoridad.
Cargando artículos…
Abu Dabi y Dubái han desarrollado sus propios instrumentos de gobernanza de datos sanitarios. El Departamento de Salud de Abu Dabi gestiona la plataforma Malaffi, que funciona como el intercambio de información sanitaria del emirato y establece las expectativas de residencia de datos para cualquier sistema conectado. La Autoridad Sanitaria de Dubái gestiona su propia infraestructura unificada de historiales médicos y ha sido más activa públicamente a la hora de formular principios de gobernanza de la IA mediante sus estrategias de salud digital publicadas.
La cuestión de cómo ven los reguladores de los EAU la IA generativa en la atención sanitaria comienza por la clasificación. Los reguladores no tratan todos los sistemas de IA de la misma manera. Un asistente de documentación que redacta resúmenes clínicos se evalúa de forma distinta a una herramienta de apoyo diagnóstico que influye en las decisiones terapéuticas. Esta distinción —entre la IA administrativa y la IA clínica— determina casi todos los requisitos de cumplimiento posteriores.
Por lo general, se espera que el apoyo a la toma de decisiones clínicas que incorpora IA generativa cumpla un estándar probatorio más elevado. Al evaluar herramientas que generan información sobre la que un profesional clínico podría actuar, los reguladores han recurrido a marcos internacionales consolidados, incluidas las directrices del Foro Internacional de Reguladores de Dispositivos Médicos. La cuestión clave es si el resultado del sistema constituye una recomendación médica o simplemente una ayuda para la comunicación.
La IA generativa administrativa —herramientas que se ocupan de la transcripción, la programación de citas, los borradores de comunicaciones con pacientes y la generación de documentación— tiende a afrontar una carga regulatoria menor, aunque las obligaciones de protección de datos siguen siendo las mismas. Todo sistema que procese datos de pacientes, con independencia de su función clínica, debe cumplir las normas de gobernanza de la información sanitaria que tanto el Departamento de Salud de Abu Dabi como la Autoridad Sanitaria de Dubái han formulado en sus respectivos marcos de políticas de datos.
La determinación de la clasificación debe completarse en la etapa más temprana de la planificación del despliegue, idealmente antes de seleccionar al proveedor. Clasificar erróneamente una herramienta como administrativa cuando funciona en el ámbito clínico es la fuente más común de fricción regulatoria, y corregirlo durante la implementación añade retrasos considerables a cualquier calendario de despliegue.
La residencia de datos no es negociable en la IA aplicada a la atención sanitaria en los EAU. Tanto el Departamento de Salud de Abu Dabi como la Autoridad Sanitaria de Dubái exigen que los datos identificables de los pacientes permanezcan dentro de la jurisdicción de los EAU. Este requisito repercute en cada decisión arquitectónica que debe tomar un despliegue de IA generativa, desde el alojamiento del modelo y el enrutamiento de inferencias hasta la infraestructura de registro.
Esto plantea un desafío inmediato para las organizaciones que recurren por defecto a la inferencia en la nube global. Los principales modelos de lenguaje APIs suelen enrutar las solicitudes a través de centros de datos ubicados fuera de los EAU, a menos que se adopten acuerdos contractuales y arquitectónicos específicos. La información sanitaria —incluso cuando se utiliza para generar resúmenes o borradores de comunicaciones— puede constituir datos regulados si contiene identificadores, diagnósticos o historiales clínicos.
Un enfoque práctico consiste en realizar una auditoría del flujo de datos antes de seleccionar o configurar cualquier sistema de IA generativa. La auditoría traza cada punto en el que la información del paciente entra en el sistema, cada etapa de transformación o inferencia y cada ubicación —física y lógica— en la que se escriben o almacenan temporalmente los datos. Este documento pasa entonces a ser un anexo en cualquier interacción regulatoria con la Autoridad Sanitaria de Dubái o el Departamento de Salud de Abu Dabi.
Las organizaciones que operan en ambos emiratos afrontan una tarea de cumplimiento compuesta porque los dos marcos, aunque coinciden en su filosofía, difieren en sus requisitos específicos de notificación, consentimiento y auditoría. Una misma estrategia de implementación no puede limitarse a asumir que la autorización de la DHA satisface los requisitos de Abu Dabi, o viceversa. Mantener registros de cumplimiento separados para cada jurisdicción es prudente desde el punto de vista operativo, incluso cuando el sistema subyacente sea idéntico.
Cargando artículos…
Históricamente, el consentimiento informado en la atención sanitaria de los EAU ha seguido normas internacionales derivadas de principios bioéticos codificados mediante las directrices de la OMS y circulares ministeriales locales. La introducción de la IA generativa añade una dimensión de divulgación que la mayoría de los formularios de consentimiento existentes no abordan. Los pacientes tienen un interés reconocido en saber si los sistemas de IA participaron en la generación de comunicaciones clínicas, la redacción de diagnósticos o el resumen de sus expedientes.
En el momento de redactarse este texto, ni la DHA ni el DOH de Abu Dabi han emitido una circular independiente específica que exija un lenguaje de divulgación específico sobre la IA en los formularios de consentimiento de los pacientes. Sin embargo, ambos organismos han expresado, a través de foros públicos y documentos publicados sobre estrategias de salud digital, que la transparencia ante los pacientes es una característica esperada de una implementación responsable de la IA. Las organizaciones que sigan adelante sin actualizar su arquitectura de consentimiento asumen un riesgo de gobernanza que probablemente se convertirá con el tiempo en un requisito de cumplimiento estricto.
El proceso de actualización del consentimiento consta de tres elementos. El primero es un texto informativo que describe, con un nivel de lectura accesible, qué hacen los sistemas de IA en el entorno asistencial. El segundo es un mecanismo de exclusión voluntaria para los pacientes que se opongan a la participación de la IA en su documentación o comunicación. El tercero es un registro de auditoría que consigna las decisiones de consentimiento y las vincula con episodios asistenciales específicos. Los tres deberían incorporarse a la arquitectura del sistema, en lugar de añadirse posteriormente.
La seguridad es el ámbito en el que las implementaciones de IA en la atención sanitaria generan fricciones regulatorias con mayor frecuencia. En la atención sanitaria de los EAU, se espera que los sistemas de IA cumplan las mismas normas de seguridad de la información que se aplican en general a los sistemas de información clínica. Esto significa que los controles de acceso, el cifrado de los datos en reposo y en tránsito, los registros de auditoría y los protocolos de respuesta a incidentes son requisitos básicos, no mejoras opcionales.
En el caso específico de la IA generativa, la superficie expuesta a riesgos de seguridad es mayor que en los sistemas de software tradicionales. La inferencia de modelos puede memorizar y reproducir involuntariamente datos de entrenamiento. Los ataques de inyección de instrucciones pueden manipular los resultados. Las alucinaciones en los resultados pueden generar contenido clínicamente peligroso que parece fidedigno. Cada uno de estos vectores requiere medidas explícitas de mitigación en cualquier implementación que cumpla la normativa.
La Autoridad Sanitaria de Dubái ha hecho referencia a ISO 27001 como marco de referencia de seguridad en sus directrices para proveedores de salud digital. Las directrices equivalentes de Abu Dabi remiten a normas internacionales similares. Ninguno de los dos organismos exige la certificación ISO 27001 como requisito legal previo para todas las implementaciones de IA, pero la certificación refuerza de manera significativa la credibilidad de una solicitud de cumplimiento y reduce el alcance de las preguntas que probablemente plantee un regulador durante la revisión.
Un marco de seguridad práctico para una implementación de IA generativa en la atención sanitaria debería incluir, como mínimo: una lógica de validación de resultados que marque el contenido clínicamente improbable, controles de acceso que limiten qué usuarios pueden utilizar determinadas capacidades del modelo, un registro de auditoría exhaustivo de todas las entradas y salidas, y un procedimiento documentado de respuesta a incidentes específico para fallos de la IA. La arquitectura de seguridad debería documentarse y probarse antes de que el sistema acceda a datos reales de pacientes. Para un análisis más profundo de cómo se aplican estos requisitos en producción, la metodología expuesta en Agentes explicables: un mandato para los sectores regulados ofrece una referencia arquitectónica útil.
La Autoridad Sanitaria de Dubái gestiona un proceso de evaluación de tecnologías sanitarias que se aplica a los productos de salud digital introducidos en los centros que autoriza. En el caso de los sistemas de IA que cumplen el umbral de apoyo a la toma de decisiones clínicas, este proceso implica una solicitud formal que incluye documentación técnica, pruebas de la validación del sistema en poblaciones de pacientes pertinentes y una evaluación de la clasificación del riesgo.
Cargando artículos…