Médicos, IA y datos de salud: art. 9 RGPD, HDS, secreto médico
Última actualización : 2026-10-11
Los datos de salud son datos sensibles (art. 9 RGPD); la exigencia francesa de un alojador certificado de datos de salud (HDS, artículo L.1111-8 del Código de la Salud Pública) se dirige a quien aloja esos datos por cuenta del profesional o del paciente, lo que no describe un tratamiento que se queda en el ordenador del médico. Esa respuesta no lo resuelve todo: el texto enviado después al proveedor del modelo sigue sujeto al RGPD y al secreto médico.
Qué dice el RGPD
El artículo 9, apartado 1, del RGPD (Reglamento (UE) 2016/679 de 27 de abril de 2016) prohíbe el tratamiento de ciertas categorías de datos, entre ellas los «datos relativos a la salud». El artículo 4, punto 15, los define como los datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.
Esta prohibición admite excepciones. El apartado 2, letra h), se refiere al tratamiento necesario para el diagnóstico médico, la prestación de asistencia sanitaria o la gestión de los servicios de salud. El apartado 3 añade una condición: los datos deben ser tratados por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, o por otra persona también sujeta a una obligación de secreto.
Qué dice el secreto médico
El artículo R.4127-4 del Código de la Salud Pública francés (código de deontología médica, en vigor desde el 8 de agosto de 2004 según Légifrance) establece que el secreto profesional, instituido en interés de los pacientes, se impone a todo médico en las condiciones establecidas por la ley. El comentario del Consejo Nacional de la Orden de los Médicos de Francia explica que el secreto cubre todo lo que el médico ha conocido en el ejercicio de su profesión: lo que se le confió, pero también lo que vio, oyó o comprendió.
Qué es el HDS y cuándo se aplica
HDS significa «hébergeur de données de santé» (alojador de datos de salud). El artículo L.1111-8 del Código de la Salud Pública (versión en vigor desde el 1 de julio de 2025 según Légifrance) se refiere a toda persona que aloja datos personales de salud recogidos con ocasión de actividades de prevención, diagnóstico, cuidados o seguimiento social o médico-social. Ese alojamiento se realiza por cuenta de las personas que originaron la producción o la recogida de los datos, o por cuenta del paciente. Para los datos en soporte digital, el alojador debe tener un certificado de conformidad emitido por un organismo acreditado.
El referencial de certificación HDS v2.0 de la Agence du Numérique en Santé (abril de 2024, orden de 26 de abril de 2024) precisa el ámbito. La certificación se aplica a toda persona que presta total o parcialmente un servicio de alojamiento y tiene la condición de encargado del tratamiento en el sentido del artículo 28 del RGPD. Se contemplan seis actividades: los emplazamientos físicos, la infraestructura de hardware, la infraestructura virtual, la plataforma de alojamiento de aplicaciones, la administración y explotación del sistema de información, y la copia de seguridad de los datos de salud.
Estos textos describen a un prestador que aloja por cuenta de un tercero. No mencionan el ordenador de un médico que trata él mismo sus datos. El proyecto de guía HAS-CNIL (documento de trabajo del 16 de febrero de 2026) recuerda que, cuando los datos de salud se alojan en los servidores de un tercero, por ejemplo en la nube, ese tercero debe estar certificado como alojador de datos de salud. Saber si el envío de un texto a un servicio de IA entra en esa regla depende del servicio, de su contrato y de los datos enviados. Los textos citados aquí no responden a esa pregunta para un servicio de IA de uso general: consúltala con tu DPO o con un abogado, y con el proveedor.
Esta certificación es propia de Francia. En los demás países de la Unión se aplica el artículo 9 del RGPD, pero las normas de alojamiento y de secreto dependen del derecho nacional.
Qué hace ndaact.ai y sus límites
ndaact.ai detecta en tu ordenador los datos personales del texto antes de enviarlo (nombres, fechas de nacimiento, identificadores, menciones de salud) y los sustituye por marcadores. El proveedor del modelo recibe los marcadores en lugar de las entidades detectadas. La tabla de correspondencia que te permite leer la respuesta se queda en tu máquina. Es una seudonimización en el sentido del artículo 4, punto 5, del RGPD: para ti, los datos siguen siendo datos personales.
La detección tiene límites que conviene conocer:
- Los datos de salud no tienen una forma fija. Un diagnóstico, un tratamiento o un antecedente se escriben de muchas maneras. La detección del modelo es probabilística y puede pasar por alto menciones, que entonces salen en claro.
- Los identificadores indirectos siguen siendo un punto ciego. El proyecto de guía HAS-CNIL señala que la historia de la enfermedad de un paciente puede convertirse en un dato identificativo, sobre todo en enfermedades raras. Un caso clínico redactado libremente puede permitir encontrar al paciente por cruce de datos, incluso sin nombre.
- El texto con los datos ocultados sigue llegando al proveedor del modelo. Los marcadores no eliminan ni el contexto clínico ni lo que no se detectó.
- Relee el texto antes de enviarlo. La herramienta es una ayuda, no una garantía.
Lo que esta guía no dice
ndaact.ai es una medida técnica entre otras. Su uso no hace que un tratamiento cumpla el RGPD, no exime de una evaluación de impacto cuando se exige, no sustituye un contrato con el proveedor y no equivale a un dictamen de tu colegio profesional. La decisión de enviar a un servicio de IA un texto sacado de una historia clínica sigue siendo una decisión profesional que te corresponde.
Esta página es una traducción. Prevalece la versión francesa.