IA en farmacia: privacidad, RGPD y responsabilidad profesional

Usar inteligencia artificial en la farmacia no es solo una decisión tecnológica: también es una decisión legal. La farmacia trata datos de salud, que la normativa europea protege de forma especial, y desde 2024 la Unión Europea tiene un reglamento específico sobre IA. Este artículo resume lo que un titular necesita saber sobre el RGPD, el Reglamento de Inteligencia Artificial y la responsabilidad profesional, con una lista de comprobación práctica antes de usar cualquier herramienta.

Parte de la guía IA en farmacia

Los datos de la farmacia son datos de salud

El historial de dispensaciones de un paciente revela sus enfermedades y tratamientos. El Reglamento General de Protección de Datos (RGPD) incluye los datos relativos a la salud entre las categorías especiales de datos (artículo 9): su tratamiento está prohibido salvo en los supuestos que el propio reglamento prevé. En España, el RGPD se completa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.

Esto significa que cualquier herramienta de IA que procese datos de pacientes (un chatbot, un sistema de segmentación, un asistente de dispensación) entra de lleno en esta normativa.

Lo que exige el RGPD al usar IA

• Base jurídica y finalidad. Cada tratamiento necesita una base legal y una finalidad concreta. Usar datos de dispensación para campañas comerciales no es lo mismo que usarlos para la dispensación.
• Minimización. Usa solo los datos necesarios. Para analizar ventas, normalmente no hace falta identificar a ningún paciente.
• Encargado del tratamiento. Si el proveedor de la herramienta accede a los datos, necesitas un contrato de encargado del tratamiento (artículo 28).
• Transferencias internacionales. Muchas herramientas de IA procesan datos fuera de la UE. Comprueba que existen las garantías que exige el RGPD.
• Evaluación de impacto. Cuando un tratamiento puede suponer un alto riesgo para los derechos de las personas, por ejemplo por usar nuevas tecnologías con datos de salud a gran escala, el RGPD exige una evaluación de impacto previa (artículo 35).
• Registro de actividades. Incluye el nuevo tratamiento en tu registro de actividades de tratamiento (artículo 30).

El Reglamento europeo de Inteligencia Artificial

El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada. Para una farmacia que usa herramientas de terceros (lo que el reglamento llama "responsable del despliegue"), lo más relevante es:

• Prácticas prohibidas (artículo 5), aplicables desde el 2 de febrero de 2025: por ejemplo, sistemas que manipulan el comportamiento de las personas de forma que puedan causarles perjuicio.
• Alfabetización en IA (artículo 4), también desde el 2 de febrero de 2025: quien usa sistemas de IA en su actividad debe adoptar medidas para que su personal tenga un conocimiento suficiente de estos sistemas. En la práctica, formación y normas de uso para el equipo.
• Transparencia (artículo 50): las personas deben saber que interactúan con un sistema de IA, por ejemplo con un chatbot, salvo que sea evidente.
• Sistemas de alto riesgo: el reglamento impone obligaciones más exigentes a determinados sistemas, entre ellos algunos ligados a productos sanitarios. Su calendario de aplicación es posterior y se ha revisado en 2026; si una herramienta se presenta como de alto riesgo, pide al proveedor la documentación de conformidad y consulta el calendario vigente.

Además, el software destinado a apoyar decisiones clínicas puede tener la consideración de producto sanitario según el Reglamento (UE) 2017/745, con sus propios requisitos de marcado CE.

La IA puede proponer. El farmacéutico decide y responde.

Quién responde si la IA se equivoca

La dispensación y el consejo farmacéutico son actos profesionales. Aunque una herramienta sugiera algo, la decisión y la responsabilidad profesional siguen siendo del farmacéutico. Por eso la supervisión humana no es una recomendación ética, sino una necesidad práctica: toda sugerencia que afecte a un paciente debe revisarla un farmacéutico antes de aplicarse.

El proveedor responde del funcionamiento de su producto según la normativa aplicable y su contrato. Revisa qué garantías ofrece y qué pasa en caso de incidente o brecha de seguridad.

Lista de comprobación antes de usar una herramienta de IA

1. ¿Para qué la vamos a usar y con qué datos? ¿Necesitamos datos identificables de pacientes?
2. ¿Dónde se almacenan y procesan los datos? ¿Hay transferencias fuera de la UE y con qué garantías?
3. ¿Tenemos contrato de encargado del tratamiento con el proveedor?
4. ¿Hace falta una evaluación de impacto? Consúltalo con tu delegado o asesoría de protección de datos.
5. ¿Informamos a los pacientes, incluido el aviso de que interactúan con una IA cuando corresponda?
6. ¿Quién revisa los resultados antes de que lleguen al paciente?
7. ¿Ha recibido el equipo formación y unas normas de uso por escrito?

Normas de uso para el equipo

Una página basta. Por ejemplo:

• Nunca introducir nombres, DNI, tarjetas sanitarias ni datos de tratamiento en herramientas de IA públicas.
• Usar solo las herramientas aprobadas por la farmacia.
• Revisar siempre lo que genera la IA antes de usarlo, sobre todo cifras y referencias.
• Comunicar cualquier incidente o duda al responsable.

Preguntas frecuentes

¿Puedo usar ChatGPT con datos de mis pacientes?

No con herramientas públicas. Para tareas de gestión, usa datos anonimizados o agregados. Si necesitas tratar datos de pacientes, hazlo con herramientas que ofrezcan las garantías del RGPD y un contrato de encargado del tratamiento.

¿Qué es el AI Act?

El Reglamento (UE) 2024/1689 de Inteligencia Artificial. Regula los sistemas de IA según su nivel de riesgo y se aplica de forma escalonada desde 2025.

¿Tengo que formar a mi equipo en IA?

El reglamento exige adoptar medidas para que el personal que usa sistemas de IA tenga un nivel suficiente de alfabetización en IA. Una formación básica y unas normas de uso escritas son un buen punto de partida.

Siguiente paso

Para implantar la IA de forma ordenada, sigue la hoja de ruta para implementar IA. Si vas a atender consultas con un asistente, lee también chatbots para farmacias.

Fuentes y referencias

• Reglamento (UE) 2016/679, General de Protección de Datos, artículos 9, 28, 30 y 35.
• Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
• Reglamento (UE) 2024/1689 de Inteligencia Artificial, artículos 4, 5, 50 y 113.
• Reglamento (UE) 2017/745 sobre los productos sanitarios.
• Este artículo es informativo y no sustituye el asesoramiento jurídico.

Última revisión: 4 de octubre de 2026.