La enfermera y ChatGPT: Una violación de la privacidad a punto de ocurrir
Una enfermera titulada en una sala hospitalaria concurrida debe completar un resumen de alta antes de que termine el turno. Con poco tiempo, abre ChatGPT y escribe:
Lo que acaba de pasar: La información sanitaria identificable ha sido introducida en un servicio externo de IA no aprobado. Evalúa la autoridad para la divulgación, los ajustes del servicio, la ubicación de procesamiento y las obligaciones de privacidad aplicables. El aviso por sí solo no establece si existía consentimiento u otra base legal.
Riesgos clínicos de IA
La IA en entornos clínicos introduce riesgos de seguridad del paciente, regulatorios y de responsabilidad que los marcos administrativos de gobernanza de IA por sí solos no pueden abordar.
IA diagnóstica y soporte a la decisión clínica
Las herramientas de IA utilizadas en radiología, patología y toma de decisiones clínicas pueden cumplir la definición de dispositivo médico dependiendo de su propósito y funcionalidad previstos. A menos que esté excluido o exento, un dispositivo médico generalmente necesita su inclusión en el ARTG antes de su suministro. La validación clínica y las responsabilidades aplicables tras la comercialización siguen siendo importantes para la seguridad del paciente.
No cumplimiento de la TGA + responsabilidad por daño al paciente si no se controlan los errores diagnósticos de IA.
Recomendaciones de tratamiento con IA
La IA generativa utilizada para sugerir protocolos de tratamiento, dosis de medicamentos o vías de atención sin supervisión clínica adecuada crea brechas de responsabilidad. Cuando un clínico actúa siguiendo una recomendación de IA, eso resulta en daño al paciente, cuestiones de responsabilidad y cobertura de seguro, se vuelve complejo sin una documentación clara de gobernanza.
Las recomendaciones de tratamiento con IA no validadas crean brechas de responsabilidad clínica inasegurables.
IA autónoma en la coordinación de cuidados
Los agentes de IA ayudan cada vez más en la programación de citas, el triaje de pacientes, la planificación del alta y la coordinación de derivaciones. Evalúan los usos en cuidados de personas mayores y salud mental en función de las obligaciones de seguridad clínica y deber de cuidado. Desde el 10 de diciembre de 2026, las decisiones automatizadas que califican también requieren transparencia en la política de privacidad bajo la APP 1.
Evaluar la IA de coordinación de cuidados para garantizar la seguridad clínica y las obligaciones de transparencia aplicables en la gestión de la ADM.
Riesgos de IA Administrativa
El mayor volumen de brechas de privacidad relacionadas con IA en salud no proviene de la IA clínica, sino del personal que usa herramientas de IA de propósito general en sus flujos de trabajo diarios.
ChatGPT para notas de pacientes y resúmenes de alta
Una enfermera en una sala concurrida utiliza un servicio público de ChatGPT no aprobado para redactar un resumen de alta, introduciendo el nombre del paciente, fecha de nacimiento, diagnóstico, medicación y datos del médico tratante. Esto genera graves riesgos para la información sanitaria. El hospital debe contener el incidente y evaluar los arreglos de servicio, la autoridad para la divulgación, las leyes de privacidad aplicables y cualquier obligación de notificación de brechas de datos.
Escribas médicos con IA y documentación clínica
Los escribas de IA ambiental escuchan las consultas entre pacientes y clínicos y generan notas clínicas. Los proveedores deben evaluar el consentimiento, el manejo de datos, los acuerdos con los proveedores y las obligaciones aplicables de privacidad sanitaria, incluyendo dónde se procesan las grabaciones. Los requisitos de la Ley de Mi Historial Médico dependen de si y cómo se involucra la información del sistema.
Personal médico utilizando IA de consumo para la investigación
El personal médico que busca evidencia de tratamiento, interacciones farmacológicas o guías clínicas utilizando herramientas de IA de propósito general puede incluir inadvertidamente contexto específico del paciente en sus consultas, por ejemplo, 'mi paciente tiene la condición X y está tomando medicación Y, ¿qué ajuste de dosis es apropiado?' Esta consulta identificable por el paciente es procesada por un servicio externo de IA no cubierto por ningún acuerdo de BAA o procesamiento de datos.
Personal de Administración y Herramientas de IA para Facturación
El personal administrativo de hospitales y clínicas está adoptando herramientas de IA para procesar reclamaciones de seguros, gestionar la facturación de Medicare y redactar la correspondencia. Estas herramientas a menudo requieren datos de salud y finanzas de los pacientes como entrada. Sin controles de clasificación de datos, el personal puede utilizar herramientas de IA no aprobadas que exponen números de Medicare, detalles de seguros privados de salud y códigos de diagnóstico sensibles.
Marco Regulatorio Australiano de la IA en Salud
La IA en salud en Australia se sitúa en la intersección de múltiples regímenes regulatorios. Entender cada obligación es el primer paso para una gobernanza efectiva.
Soberanía de los Datos de Salud
La Ley de Mi Historial Médico regula la recopilación, uso y divulgación dentro del sistema Mi Historial Médico. Se requiere acceso y manejo autorizados. La OAIC explica que, tras la descarga legal en el sistema local de un proveedor, la mayoría de las normas de la Ley de Mi Historial Médico ya no regulan el manejo posterior; en su lugar, se aplican la Ley de Privacidad, las leyes de privacidad estatales o territoriales y las obligaciones profesionales.
Información Sensible y Cumplimiento de APP
La información sanitaria es información sensible según la Ley de Privacidad. Las obligaciones relevantes incluyen los requisitos de recogida de APP 3, el uso y divulgación de APP 6, la divulgación de APP 8 en el extranjero y la seguridad de APP 11. Desde el 10 de diciembre de 2026, las decisiones automáticas que califican con información personal también requieren transparencia en la política de privacidad sobre la información y los tipos de decisión relevantes.
Regulación de Dispositivos Médicos con IA
La TGA regula el software que cumple con la definición de dispositivo médico salvo que esté excluido. El análisis de imagen médica, el apoyo al diagnóstico, las recomendaciones de tratamiento y la predicción de resultados clínicos deben evaluarse según el propósito y la funcionalidad previstos. La inclusión en ARTG es generalmente requerida antes del suministro, salvo que se aplique una exclusión o exención, con las obligaciones aplicables de evaluación y post-comercialización.
Obligaciones de IA en el cuidado de ancianos
La Ley de Cuidado de Personas Mayores de 2024 entró en vigor el 1 de noviembre de 2025, junto con el fortalecimiento de los Estándares de Calidad para la Atención a Mayores. Los proveedores que utilicen IA para la predicción de caídas, planificación de cuidados o gestión de medicación deberían evaluar su papel en una atención segura y centrada en la persona, con la supervisión humana y los procesos de consentimiento adecuados.
Descubre más sobre los marcos de gobernanza y cumplimiento de la IA
Marco de Gobernanza de la IA en Salud
Un marco práctico de cinco pasos para hospitales, clínicas y proveedores de cuidado de ancianos que construyen programas de gobernanza de IA que satisfacen a OAIC, TGA y organismos de acreditación.
Inventario de herramientas de IA y clasificación de riesgos
Mapea todas las herramientas de IA en uso en tu servicio de salud, clínicas, administrativas e investigadoras. Clasifica cada una por nivel de riesgo: IA clínica (obligaciones TGA), herramientas para procesar historiales médicos (Ley de Privacidad/Ley de Mis Historiales Médicos) y IA de productividad general utilizada por el personal. El descubrimiento de IA en sombra es esencial, la mayoría de los hospitales subestiman significativamente la adopción de herramientas de IA.
Aona descubre actividad de IA observada en endpoints soportados y desplegadosPolíticas de Protección de Datos de Pacientes
Implementar controles que impidan que la información sanitaria identificable por el paciente entre en herramientas de IA no aprobadas. Esto incluye controles técnicos (políticas DLP que detectan identificadores de salud, números de Medicare, códigos de diagnóstico), políticas de personal y listas de herramientas aprobadas. La prevención es mucho menos costosa que la notificación de la NDB y la investigación OAIC.
Bloquear automáticamente los datos de los pacientes para que no lleguen a la IA no aprobadaComité de Gobernanza de IA Clínica
Establecer un comité de gobernanza que incluya CMO/CNO, responsable de privacidad, seguridad informática, asesor legal y responsables clínicos. Este comité aprueba herramientas clínicas de IA, revisa el cumplimiento de la TGA, supervisa la respuesta a incidentes y proporciona la responsabilidad a nivel de consejo que los reguladores cada vez más esperan de los servicios sanitarios.
Gobernanza documental para apoyar revisiones de privacidad, seguridad clínica y acreditaciónMarcos de Formación y Consentimiento del Personal
Formar a todo el personal clínico y administrativo sobre qué información sanitaria puede y qué no puede compartirse con herramientas de IA. Establecer procesos de consentimiento del paciente para cualquier uso de IA que afecte a las decisiones de cuidado. Documentar el consentimiento en los registros clínicos. Los registros de formación y las certificaciones de políticas son pruebas críticas en cualquier investigación regulatoria.
Los registros de formación + las certificaciones de políticas reducen significativamente el riesgo regulatorioRespuesta a incidentes y procedimientos NDB
Documentar un procedimiento específico de respuesta a incidentes de IA que cubra contención, evaluación, notificación y preservación de pruebas. Según el esquema NDB de la Ley de Privacidad, tome todas las medidas razonables para evaluar una posible infracción elegible en un plazo de 30 días. Notifique a la OAIC y a las personas en riesgo de daño grave tan pronto como sea posible cuando una brecha elegible requiera notificación.
Evalúa con prontitud; notifique tan pronto como sea posible cuando sea necesarioCómo Aona protege a las organizaciones sanitarias australianas
Asegure el uso de IA por personal clínico y administrativo con visibilidad, controles de datos sensibles y evidencia para su programa de gobernanza.
Descubrimiento de IA en la sombra en entornos sanitarios
Descubre la actividad observada de IA del personal en navegadores y rutas de escritorio compatibles, incluyendo herramientas no aprobadas. La extensión de navegador o la aplicación nativa de Aonadebe desplegarse en los endpoints correspondientes.
Controles de protección de datos del paciente
Aplica políticas para detectar y bloquear información sensible del paciente en prompts y archivos en rutas de IA compatibles. Configura y valida los controles para los requisitos de tu servicio sanitario.
Auditorías para OAIC y Acreditación
Utilizar los registros de actividad observada y de políticas-eventos para apoyar investigaciones de privacidad, revisiones de gobernanza y trabajos de acreditación. Estos registros complementan la evidencia y obligaciones más amplias del servicio de salud.
Aplicación de políticas en los flujos de trabajo clínicos
Despliega políticas de uso de IA para empleados en equipos clínicos y administrativos en endpoints gestionados y soportados. Aplica controles de acceso a herramientas aprobadas y datos sensibles con una guía clara del personal.
Fuentes y lecturas adicionales
- OAIC: Usando el sistema My Health Record
- OAIC: Privacidad y productos comerciales de IA
- OAIC: APP 1 y transparencia en la toma de decisiones automatizada
- OAIC: Evaluación y notificación de brechas de datos
- TGA: Regulación de software de IA y dispositivos médicos
- Entrada en vigor de la Ley de Cuidado de Personas Mayores de 2024 del Departamento de Salud