¿Es seguro un doctor IA? Qué cubre realmente la HIPAA y cómo proteger tus datos
Antes de escribir tus síntomas en un doctor IA, es justo preguntarse quién ve esos datos y si la HIPAA los protege. Según el HHS, un doctor IA puede ser seguro para obtener información general, pero la mayoría de las aplicaciones de salud con IA para consumidores no están cubiertas por la HIPAA, así que lo que realmente protege tus datos es la propia política de privacidad de la empresa, no la ley federal.
Un doctor IA no sustituye a un médico con licencia y no ofrece un diagnóstico. En caso de emergencia médica, llama al 911. Esta guía trata sobre privacidad, no sobre medicina: consulta siempre a un médico real para el diagnóstico y el tratamiento.
La respuesta corta: por lo general no está cubierto por la HIPAA, y esto es por qué importa
La HIPAA vincula a las “entidades cubiertas” —médicos, hospitales, planes de salud y cámaras de compensación— junto con sus socios comerciales, los proveedores que gestionan información de salud protegida en su nombre. Una aplicación de salud con IA para consumidores, por sí sola, normalmente no es una de ellas, así que no está legalmente obligada a cumplir la HIPAA en absoluto. Eso no la vuelve insegura de forma automática —una cuestión aparte de un doctor IA frente a un médico real y de dónde difieren ambos en capacidad—, pero sí significa que tu protección depende por completo de la empresa detrás de la app y no de una ley federal, así que comprobarlo es tu responsabilidad, no una formalidad.
La distinción suena técnica, pero cambia todo lo que ocurre con tus datos. Una entidad cubierta por la HIPAA está legalmente obligada por la Regla de Privacidad y la Regla de Seguridad y se enfrenta a sanciones reales por manejar mal la Información de Salud Protegida (PHI). Una app para consumidores sin ese estatus solo responde ante sus propios términos de servicio, y esos términos pueden reescribirse en cualquier momento.
Cuándo SÍ está cubierto un doctor IA por la HIPAA, y cuándo no
Que una herramienta de IA caiga bajo la HIPAA depende menos de lo que hace que de quién la implementó y bajo qué acuerdo. El mismo modelo subyacente puede estar cubierto por la HIPAA en un contexto y completamente descubierto en otro.
Cubierto: IA dentro de la atención con licencia
Una herramienta de IA suele estar cubierta por la HIPAA cuando se cumple cualquiera de estas condiciones:
- Un médico con licencia o un equipo de atención usa la herramienta durante tu visita o tratamiento.
- Una plataforma de telesalud funciona sobre la infraestructura de un proveedor con licencia y gestiona tus registros.
- El proveedor de IA ha firmado un acuerdo de socio comercial (BAA) con una entidad cubierta.
Un BAA es un contrato legalmente vinculante que extiende las obligaciones de la HIPAA al proveedor. Sin él, no existe tal obligación, sin importar lo que diga el marketing. Una vez que se aplica cualquiera de estas condiciones, los datos que compartes se tratan como PHI y quedan bajo las Reglas de Privacidad y Seguridad de la HIPAA.
No cubierto: aplicaciones independientes para consumidores
Una app de bienestar o salud aparte que descargas y usas por tu cuenta —donde escribes tus síntomas directamente en una ventana de chat— suele clasificarse como una herramienta de consumidor fuera del alcance de la HIPAA. La empresa escribe sus propias reglas sobre cómo recopila, almacena y comparte lo que le cuentas, y esas reglas viven en una política de privacidad que puedes leer antes de escribir un solo síntoma.
| Tipo de app | Estatus habitual ante la HIPAA | Qué rige tus datos |
|---|---|---|
| IA usada por tu médico durante una visita | Cubierto | Reglas de Privacidad y Seguridad de la HIPAA |
| Plataforma de telesalud con un proveedor con licencia | Cubierto (vía BAA) | HIPAA + el contrato BAA |
| App de salud con IA independiente para consumidores | Normalmente no cubierto | La propia política de privacidad de la app |
| Chatbot público gratuito (de propósito general) | No cubierto | Términos de servicio de consumidor estándar |
Qué protege realmente la HIPAA, y qué no
La HIPAA se compone de tres reglas que funcionan en conjunto:
- Regla de Privacidad: rige cómo se puede usar y divulgar la Información de Salud Protegida (PHI).
- Regla de Seguridad: exige salvaguardas administrativas, físicas y técnicas para la PHI electrónica.
- Regla de Notificación de Brechas: exige que las entidades cubiertas notifiquen a las personas afectadas tras una filtración de datos.
Cada regla importa, pero todas ellas se aplican únicamente a las entidades cubiertas y a sus socios comerciales.
Los datos que ofreces voluntariamente a una app para consumidores quedan fuera de todo ese marco por defecto. Los escribiste libremente, la empresa no es una entidad cubierta y ninguna de las tres reglas anteriores llega a activarse. Ese vacío es precisamente la razón por la que la FTC ha empezado a tratar algunas prácticas de datos de las apps de salud como un asunto de prácticas comerciales engañosas, cubriendo el terreno al que la HIPAA no llega.
Entre los datos de salud que comúnmente quedan fuera de la protección de la HIPAA se incluyen:
- Conversaciones con verificadores de síntomas y asistentes generales de salud con IA
- Datos de rastreadores de actividad física y dispositivos wearables
- Resultados de pruebas genéticas directas al consumidor
- Registros de estado de ánimo, sueño o nutrición de apps de bienestar
Los riesgos reales de privacidad que deberías conocer
Fuera del límite de la HIPAA se aplica un conjunto de protecciones más reducido y menos familiar, y los vacíos son lo bastante reales como para importar antes de compartir algo sensible. Presta atención en particular a estas señales de alerta:
- Una política de privacidad que se reserva el derecho de “compartir datos con socios” sin nombrarlos
- Ninguna opción visible para eliminar tu cuenta o el historial de chat
- Ninguna mención a estándares de cifrado en toda la documentación de la app
- Lenguaje de marketing que dice “cumple con la HIPAA” sin mencionar nunca un BAA firmado
Tus datos pueden venderse o compartirse. A nivel federal no existe una ley general que prohíba la venta de datos de salud no cubiertos por la HIPAA a terceros o a intermediarios de datos. La filtración de 2023 y la posterior quiebra de la empresa de pruebas genéticas 23andMe hicieron este riesgo concreto: los datos genéticos y de salud de millones de usuarios se convirtieron en un activo dentro de un procedimiento corporativo, no en un registro protegido y resguardado por la HIPAA.
“Anónimo” no siempre es anónimo. Las empresas suelen describir los datos que comparten o venden como “desidentificados”, pero la desidentificación es reversible más a menudo de lo que la gente supone. Un estudio de 2019 publicado en Nature Communications descubrió que bastaban 15 atributos demográficos —cosas como la edad, el género y el código postal— para reidentificar correctamente al 99,98 % de los estadounidenses dentro de un conjunto de datos “anonimizado”, un umbral que la mayoría de los acuerdos de intercambio de datos de las apps superan sin mucho esfuerzo.
Nuestros resultados sugieren que incluso los conjuntos de datos anonimizados con muestreo intensivo difícilmente satisfagan los estándares modernos de anonimización establecidos por el RGPD y cuestionan seriamente la adecuación técnica y legal del modelo de desidentificación de “publicar y olvidar”. — Rocher, Hendrickx & de Montjoye, Nature Communications
Los chatbots gratuitos y públicos pueden entrenarse con lo que escribes. Las herramientas de salud con IA orientadas al consumidor construidas sobre modelos de propósito general con frecuencia carecen de un acuerdo de socio comercial, lo que significa que cualquier cosa que escribas en una sesión de chatbot gratuito —incluidos muchos servicios comercializados como un doctor IA gratis en línea— puede usarse para mejorar el modelo subyacente. La FTC ha advertido a los fabricantes de apps de salud que las prácticas de intercambio de datos que contradigan las propias promesas de una política de privacidad pueden tratarse como una práctica comercial engañosa: una empresa que se anuncia como “cumple con la HIPAA” sin un BAA firmado está haciendo una afirmación de marketing voluntaria, no declarando un hecho legal.
Cómo es un doctor IA de confianza
No todas las apps de salud con IA para consumidores tratan tus datos de la misma manera, y un puñado de señales concretas separa a las de confianza del resto.
Una app respetuosa con la privacidad debería cifrar los datos con AES-256 mientras están almacenados y con TLS (el sucesor moderno de SSL) mientras están en tránsito, usar autenticación multifactor y controles de acceso basados en roles para limitar quién puede ver tu información internamente, y mantener registros de auditoría de quién accedió a qué y cuándo. Debería redactar su política de privacidad en lenguaje sencillo en lugar de en una jerga legal densa, ofrecerte una forma clara de ver, descargar y eliminar tus datos y —incluso sin una obligación legal de la HIPAA— alinear voluntariamente sus prácticas con estándares al estilo de la HIPAA y someterse a auditorías de seguridad independientes de terceros. Algunas plataformas más avanzadas también usan técnicas como el aprendizaje federado o la privacidad diferencial, diseñadas para extraer conocimiento de los datos sin centralizar nunca tus registros identificables en bruto.
| Señal a comprobar | Por qué importa |
|---|---|
| Cifrado AES-256 en reposo, TLS en tránsito | Los datos son ilegibles si se interceptan o roban |
| Autenticación multifactor (MFA) | Limita el secuestro de la cuenta aunque se filtre una contraseña |
| Auditorías de seguridad independientes de terceros | Verifica las afirmaciones en lugar de aceptarlas por fe |
| Controles claros de eliminación/exportación | Te da una salida real, no solo una promesa |
| Política de privacidad en lenguaje sencillo | Indica que la empresa no oculta condiciones de intercambio de datos |
Un doctor IA gratis digno de confianza debería poder indicar, en términos sencillos y en su propio sitio, exactamente qué recopila y cómo puedes eliminarlo.
Cómo protegerte cuando consultas a un doctor IA
No necesitas evitar las herramientas de salud con IA para mantenerte protegido: necesitas un hábito corto y repetible antes de escribir cualquier cosa sensible en una de ellas.
- Lee la política de privacidad antes de compartir nada, en concreto la sección sobre si los datos se venden o se comparten con terceros.
- Comparte la mínima información necesaria para obtener una respuesta útil: síntomas y contexto, no tu historial médico completo.
- Evita subir registros médicos completos, archivos de imágenes o informes de laboratorio a menos que la app indique claramente cómo se protegen esos datos.
- Activa cualquier control disponible de eliminación de chats o de datos, y úsalo con regularidad.
- Habilita la autenticación multifactor en la cuenta si la app la ofrece.
- Usa un seudónimo u omite datos identificativos cuando la herramienta siga funcionando sin tu nombre real.
- Pregunta directamente, en el canal de soporte o en las preguntas frecuentes de la app, si tus datos se venden alguna vez: una respuesta vaga o ausente es en sí misma información útil.
Cuando consultas a un doctor IA una pregunta, trátalo como una conversación que vale la pena proteger, con la misma precaución que aplicarías a cualquier cuenta que guarde información sensible sobre ti.
Preguntas frecuentes
Un doctor IA no sustituye a un médico con licencia y no ofrece un diagnóstico. En caso de emergencia médica, llama al 911. Consulta siempre a un médico real y con licencia para el diagnóstico y el tratamiento, y protege tus datos leyendo la política de privacidad antes de compartir nada con una app de salud con IA.