La Ley de IA en salud: qué será exigible desde agosto de 2026

El Reglamento europeo de IA (AI Act) se aplica por fases desde 2024, y agosto de 2026 marca uno de los hitos más relevantes para el sector salud: entran en vigor las obligaciones específicas para los sistemas de IA clasificados como de alto riesgo, una categoría en la que caen la mayoría de herramientas de IA usadas en diagnóstico, priorización de pacientes o gestión clínica asistida.

Qué cambia realmente en agosto

No se trata de una obligación nueva y aislada, sino de la entrada en vigor del bloque de requisitos que el Reglamento reserva a los sistemas de alto riesgo: gestión de riesgos documentada, calidad de los datos de entrenamiento y de uso, trazabilidad de las decisiones del sistema, y supervisión humana efectiva. El artículo que más va a poner a prueba a los equipos técnicos es el Art. 10, sobre gobernanza de datos: exige poder acreditar qué datos entran al sistema, de dónde vienen y qué controles se aplicaron sobre ellos.

Declarar una política no es lo mismo que demostrarla

Aquí está el matiz que muchos equipos pasan por alto: tener una política de protección de datos redactada no es lo mismo que poder mostrarle a un auditor, en el momento en que lo pida, el registro técnico de qué ocurrió con cada dato sensible que pasó por el sistema. El Art. 10 no pregunta qué dices que haces — pregunta qué puedes probar que hiciste.

• Qué conjuntos de datos alimentaron el sistema y bajo qué criterios de calidad.
• Qué medidas técnicas se aplicaron para mitigar sesgos y proteger datos personales.
• Qué trazabilidad existe entre una decisión del sistema y los datos que la originaron.
• Qué evidencia puede exportarse ante una autoridad de vigilancia del mercado.

Dónde encaja una capa de tokenización

Una capa que tokeniza los identificadores del paciente en el origen —antes de que el dato salga del navegador o de la infraestructura de la organización— no resuelve por sí sola la gobernanza de datos que exige el AI Act. Pero sí aporta una pieza concreta y verificable: el dato sensible no llega al modelo, y cada sustitución queda registrada con su tipo, su destino y su momento exacto. Eso es evidencia técnica que tu equipo de cumplimiento puede incorporar directamente a la documentación de gobernanza de datos, en lugar de partir de cero.

En Endura no prometemos que una herramienta te haga cumplir un reglamento entero — eso depende del sistema de gestión completo de tu organización. Lo que sí hacemos es generar la evidencia técnica sobre la que se construye esa conformidad. Si tu equipo está evaluando qué le va a exigir el AI Act a partir de agosto, hablemos: te contamos qué parte del problema resolvemos y qué parte sigue siendo trabajo de tu DPO.