El estado de la IA en el sector sanitario
La inteligencia artificial está transformando el sector sanitario a un ritmo sin precedentes. Desde el apoyo a la toma de decisiones clínicas y la diagnóstico por imagen hasta la automatización administrativa y el descubrimiento de fármacos, las herramientas de IA se están adoptando en todos los departamentos de las organizaciones sanitarias modernas.
Sin embargo, esta rápida adopción introduce importantes riesgos de seguridad y cumplimiento. Los datos sanitarios se encuentran entre los más sensibles y altamente regulados de cualquier sector. Una sola filtración de datos que afecte a información sanitaria protegida (PHI) puede dar lugar a sanciones superiores a $1.5 million por categoría de infracción en virtud de HIPAA, además de un daño devastador a la reputación y una erosión de la confianza de los pacientes.
El reto para los responsables de TI y de seguridad del sector sanitario es claro: aprovechar las ventajas de la IA en cuanto a productividad y calidad asistencial, manteniendo al mismo tiempo una protección de datos y un cumplimiento normativo a prueba de fallos. La Shadow AI, cuando médicos, investigadores o personal administrativo utilizan herramientas de IA no aprobadas, resulta especialmente peligrosa en los entornos sanitarios, donde una sola consulta que contenga identificadores de pacientes podría constituir una infracción de HIPAA.
Principales riesgos de seguridad de la IA en el sector sanitario
Las organizaciones sanitarias deben abordar varios riesgos críticos de seguridad de la IA que son propios del sector médico o que se ven amplificados en él.
Exposición de información sanitaria protegida (PHI): el riesgo más inmediato es la fuga de PHI a través de las interacciones con la IA. Cuando el personal pega notas de pacientes, resultados de laboratorio o informes de imagen en chatbots de IA para resumirlos o analizarlos, esos datos pueden ser almacenados, registrados o utilizados para entrenar el modelo por parte del proveedor de IA. Incluso los datos anonimizados pueden volver a identificarse cuando se combinan con otros conjuntos de datos.
Errores en la toma de decisiones clínicas: las herramientas de IA utilizadas para el apoyo diagnóstico, las recomendaciones de tratamiento o el triaje tienen implicaciones para la seguridad de la vida. Los resultados inexactos, ya sea por alucinaciones, datos de entrenamiento obsoletos o sesgos del modelo, pueden repercutir directamente en los resultados de los pacientes. A diferencia de otros sectores, los errores de la IA en la sanidad pueden causar daños físicos.
Carencias en los acuerdos de asociación (BAA): en virtud de HIPAA, cualquier proveedor de IA que procese PHI debe firmar un BAA. Muchas herramientas de IA populares (incluidas las versiones de consumo de ChatGPT, Claude y otras) no ofrecen BAA, lo que hace que su uso con PHI constituya una infracción de cumplimiento, independientemente del nivel de sensibilidad de los datos.
Riesgos de integración de dispositivos médicos: a medida que la IA se integra en los dispositivos médicos, sistemas de imagen, equipos de monitorización, robots quirúrgicos, la superficie de ataque se amplía drásticamente. Los ataques adversarios contra los modelos de IA médicos podrían manipular los resultados diagnósticos.
Gobernanza de los datos de investigación: los centros médicos académicos y los hospitales de investigación suelen tener acuerdos complejos de intercambio de datos. Las herramientas de IA que procesan datos de investigación deben cumplir los protocolos de los comités de ética (IRB), los límites del consentimiento informado y los acuerdos de uso de datos que pueden restringir el procesamiento por parte de la IA.
Cumplimiento de HIPAA para las herramientas de IA
El cumplimiento de HIPAA es el requisito normativo fundamental para cualquier implementación de IA en el sector sanitario. A continuación se presenta un marco práctico para garantizar que su uso de la IA siga siendo conforme.
La regla de seguridad de HIPAA y la IA: la regla de seguridad exige salvaguardas administrativas, físicas y técnicas para la PHI electrónica (ePHI). Cuando las herramientas de IA procesan ePHI, pasan a formar parte de su infraestructura de seguridad y deben cumplir todos los requisitos de la regla de seguridad, incluidos los controles de acceso, los controles de auditoría, los controles de integridad y la seguridad de las transmisiones.
Norma del mínimo necesario: la norma del mínimo necesario de HIPAA exige que solo se divulgue la cantidad mínima de PHI necesaria para un fin específico. Para las interacciones con la IA, esto implica aplicar la minimización de datos, eliminar los identificadores innecesarios antes de cualquier procesamiento por IA, utilizar datos sintéticos cuando sea posible y establecer directrices claras sobre qué categorías de datos pueden incluirse en las consultas de IA.
Requisitos de los asociados comerciales: antes de que un proveedor de IA pueda procesar PHI, compruebe que existe un acuerdo de asociación comercial. El BAA debe abordar específicamente el tratamiento de datos relacionado con la IA, incluido si las consultas se almacenan, si los datos se utilizan para el entrenamiento de modelos, las políticas de conservación de datos, los procedimientos de notificación de filtraciones y las cadenas de subcontratistas.
Evaluación de riesgos: HIPAA exige evaluaciones de riesgos periódicas. Su proceso de evaluación de riesgos debe incluir ahora evaluaciones específicas de la IA: inventariar todas las herramientas de IA en uso (incluida la detección de Shadow AI), evaluar los flujos de datos entre los sistemas clínicos y los servicios de IA, evaluar los controles de seguridad de los proveedores de IA, documentar los riesgos relacionados con la IA y las estrategias de mitigación, y revisar los controles de acceso y la autenticación de la IA.
Requisitos de las pistas de auditoría: mantenga registros detallados de las interacciones con la IA que impliquen PHI. Esto incluye quién accedió a qué herramienta de IA, qué categorías de datos estuvieron implicadas, qué fin sirvió la interacción con la IA y qué resultados se generaron y cómo se utilizaron.
Creación de un marco de gobernanza de la IA en sanidad
Un marco sólido de gobernanza de la IA para el sector sanitario debe abordar la intersección única entre la atención clínica, la privacidad de los datos y el cumplimiento normativo.
Establecer un comité de gobernanza de la IA: forme un comité interfuncional que incluya al CISO, al director médico (CMO), al director de información médica (CMIO), al responsable de privacidad, al responsable de cumplimiento y a representantes de los departamentos clínicos. Este comité debe aprobar las herramientas de IA, fijar las políticas de uso, revisar los incidentes y supervisar el cumplimiento continuo.
Sistema de clasificación de herramientas de IA: implemente un sistema de clasificación por niveles para las herramientas de IA. El nivel 1 (IA clínica) incluye las herramientas que influyen en las decisiones de atención al paciente, requieren el máximo escrutinio, incluida la validación clínica, las pruebas de sesgo y la supervisión continua. El nivel 2 (IA con contacto con PHI) incluye las herramientas que pueden encontrarse con PHI, requieren BAA y controles estrictos de tratamiento de datos. El nivel 3 (IA administrativa) incluye las herramientas para tareas no clínicas sin exposición a PHI, requieren una revisión de seguridad estándar.
Clasificación de datos para las interacciones con la IA: defina reglas claras sobre qué datos pueden y no pueden utilizarse con las herramientas de IA. Como mínimo, establezca los tipos de datos prohibidos (identificadores directos de pacientes, historiales médicos completos, datos genómicos), los tipos de datos restringidos (notas clínicas anonimizadas, estadísticas agregadas) y los tipos de datos permitidos (consultas de conocimientos médicos generales, plantillas administrativas, investigación no relacionada con pacientes).
Protocolo de validación de la IA clínica: para las herramientas de IA que influyen en las decisiones clínicas, establezca requisitos de validación que incluyan la evaluación comparativa de la precisión frente a los estándares clínicos establecidos, las pruebas de sesgo entre grupos demográficos, el análisis de casos límite y la documentación de los modos de fallo, los protocolos de anulación por parte de los médicos y la supervisión continua del rendimiento con detección de desviaciones.
Respuesta a incidentes para filtraciones relacionadas con la IA: amplíe sus procedimientos de notificación de filtraciones de HIPAA para cubrir los escenarios específicos de la IA. Defina qué constituye una filtración relacionada con la IA, establezca procedimientos de investigación para la exposición de datos por parte de la IA, garantice el cumplimiento de los plazos de notificación de filtraciones (60 días en virtud de HIPAA) y documente las medidas correctivas y de prevención.
Implementación práctica: proteger la IA en los flujos de trabajo sanitarios
A continuación se presentan pasos concretos para proteger la IA en los flujos de trabajo sanitarios habituales.
Documentación y codificación clínica: las herramientas de IA para la documentación clínica (escucha ambiental, generación de notas, asistencia a la codificación) se encuentran entre las de adopción más rápida en el sector sanitario. Protéjalas asegurándose de que el proveedor ha firmado un BAA, verificando que las grabaciones de audio y las transcripciones están cifradas en tránsito y en reposo, implementando, cuando sea posible, la detección y redacción automáticas de PHI en las entradas de la IA, estableciendo requisitos de revisión por parte de los médicos para toda la documentación generada por IA y manteniendo pistas de auditoría de la documentación asistida por IA.
IA de diagnóstico por imagen: el análisis de imágenes basado en IA requiere consideraciones de seguridad adicionales. Asegúrese de que los datos DICOM se anonimizan antes del procesamiento por IA cuando sea factible, valide el rendimiento del modelo de IA en su población de pacientes específica, implemente requisitos de supervisión por parte de los radiólogos, mantenga el control de versiones de los modelos de IA con documentación de los cambios y establezca procedimientos para las actualizaciones y la revalidación de los modelos.
IA administrativa y de ciclo de ingresos: las herramientas de IA administrativas para la programación, la facturación, la autorización previa y el procesamiento de reclamaciones a menudo manejan PHI. Implemente controles de acceso basados en roles que limiten el acceso de las herramientas de IA a los datos relevantes para el puesto, utilice el enmascaramiento de datos para limitar la exposición de PHI en los flujos de trabajo de IA administrativos, vigile la expansión del alcance en la que las herramientas administrativas empiezan a procesar datos clínicos y asegúrese de que las reclamaciones y autorizaciones generadas por IA se someten a revisión humana.
IA orientada al paciente: los chatbots, los asistentes de salud virtuales y las funciones de IA de los portales del paciente requieren especial atención. Informe claramente a los pacientes de que se está utilizando IA, implemente límites de conversación que impidan a los pacientes compartir detalles de salud innecesarios, asegúrese de que la IA orientada al paciente no pueda acceder a los historiales médicos completos, establezca vías de derivación al personal humano y cumpla los requisitos de accesibilidad.
Investigación y ensayos clínicos: la IA en entornos de investigación debe cumplir requisitos normativos adicionales. Verifique que el uso de la IA esté cubierto por protocolos aprobados por un IRB, asegúrese de que los acuerdos de uso de datos permiten el procesamiento por IA, implemente el aislamiento de datos para la IA de investigación a fin de evitar la contaminación cruzada con los sistemas clínicos, documente las metodologías de IA en las publicaciones de investigación y mantenga la reproducibilidad mediante el control de versiones y la documentación.
Prevención de la Shadow AI en el sector sanitario
La Shadow AI resulta especialmente peligrosa en el sector sanitario debido a las consecuencias normativas de la exposición de PHI. Una estrategia integral de prevención de la Shadow AI debe incluir varios elementos clave.
Detección y supervisión: implemente herramientas de supervisión de red capaces de identificar el uso de servicios de IA en toda su organización. Supervise las consultas DNS, el tráfico web y las comunicaciones a nivel de aplicación en busca de puntos de conexión de servicios de IA conocidos. Preste especial atención a las estaciones de trabajo clínicas y a los dispositivos móviles utilizados en las zonas de atención al paciente.
Catálogo de IA aprobada: mantenga un catálogo claramente comunicado de herramientas de IA aprobadas para diferentes casos de uso. Facilite al personal la búsqueda y solicitud de alternativas aprobadas. Si los médicos recurren a la Shadow AI, a menudo significa que las herramientas aprobadas son inadecuadas o demasiado difíciles de utilizar.
Formación y concienciación: imparta formación periódica sobre la seguridad de la IA y las implicaciones de HIPAA. Utilice ejemplos reales (anonimizados) de cómo el uso indebido de la IA puede dar lugar a la exposición de PHI. Adapte la formación a los distintos roles: los médicos, los investigadores, el personal administrativo y el personal de TI se enfrentan cada uno a diferentes desafíos de seguridad de la IA.
Controles técnicos: implemente una protección de puntos finales capaz de bloquear o alertar sobre el uso no autorizado de herramientas de IA. Utilice herramientas de prevención de pérdida de datos (DLP) configuradas para detectar patrones de PHI en las comunicaciones salientes hacia la IA. Considere la segmentación de la red para limitar el acceso a los servicios de IA desde las redes clínicas.
Alternativas seguras: para cada caso de uso de IA que desee evitar, ofrezca una alternativa segura. Si los médicos quieren utilizar la IA para resumir notas, proporcione una herramienta aprobada con la cobertura BAA adecuada. La prohibición sin alternativas empuja a la Shadow AI a la clandestinidad.
Consideraciones futuras: regulación de la FDA y normas emergentes
El panorama normativo de la IA en sanidad evoluciona con rapidez. Las organizaciones sanitarias deben prepararse para un mayor escrutinio normativo en varios ámbitos.
Software como dispositivo médico (SaMD) de la FDA: la FDA está desarrollando activamente marcos para regular el software basado en IA como dispositivo médico. Las organizaciones que implementan IA clínica deben comprender el marco SaMD actual, hacer un seguimiento del marco regulatorio propuesto por la FDA para los SaMD basados en IA/ML, implementar de forma proactiva las buenas prácticas de aprendizaje automático (GMLP) y prepararse para planes de control de cambios predeterminados para las actualizaciones de los modelos de IA.
Implicaciones del EU AI Act: el EU AI Act clasifica la mayoría de la IA sanitaria como de alto riesgo, lo que exige evaluaciones de conformidad, supervisión humana, transparencia, pruebas de precisión y robustez, así como sistemas de gestión de riesgos. Incluso las organizaciones con sede en EE. UU. pueden verse afectadas si atienden a pacientes de la UE o procesan datos de ciudadanos de la UE.
Regulaciones de IA a nivel estatal: varios estados de EE. UU. están promulgando regulaciones específicas de IA que pueden afectar a la sanidad. El AI Act de Colorado, las regulaciones de IA propuestas en California y otras pueden imponer requisitos adicionales al uso de la IA en sanidad.
Interoperabilidad y normas de datos: a medida que la IA sanitaria madura, las normas de interoperabilidad (FHIR, HL7) se están ampliando para dar cabida a los flujos de trabajo de IA. Las organizaciones deben planificar tarjetas de modelos de IA y documentación estandarizadas, pistas de auditoría de IA interoperables, pruebas e informes de sesgo estandarizados, así como marcos de gobernanza de la IA entre organizaciones.
