¿Puedo usar ChatGPT para mis notas clínicas? IA y ley

Una psicóloga me escribió la semana pasada con una duda que, en realidad, era una confesión: llevaba meses pegando el contenido de sus sesiones en ChatGPT para que le redactara los informes. «Me ahorra una hora por paciente», me dijo. «¿Estoy haciendo algo mal?».

La entiendo perfectamente. El papeleo se come entre 30 y 40 minutos por sesión, y una IA que te deja la nota lista en diez segundos parece magia. Pasa que eso que acaba de pegar —el nombre, los síntomas, lo que su paciente le contó llorando— no es un texto cualquiera. Es un dato de salud. Y meterlo en el ChatGPT de siempre le puede costar mucho más que la hora que se ahorra.

La respuesta corta, sin rodeos

No, un psicólogo no puede pegar datos de sus pacientes en el ChatGPT de consumo (Free o Plus): son datos de salud de categoría especial (artículo 9 del Reglamento (UE) 2016/679, el RGPD) y en esos planes OpenAI entrena con las conversaciones por defecto, no firma contrato de encargo del tratamiento y transfiere los datos fuera de la Unión Europea. Sí puede usar inteligencia artificial si el tratamiento ocurre dentro de una herramienta que trate esos datos bajo el artículo 9.2.h del RGPD, con cifrado, contrato de encargo, servidores en la Unión Europea y sin entrenar modelos con ellos.

Esa es la frase que te importa. Lo demás de este artículo es por qué es así, con la ley en la mano, y cómo seguir ahorrando ese tiempo sin jugarte la consulta. Porque el problema nunca fue la IA. Fue meterla por la puerta equivocada.

Una nota clínica no es un dato cualquiera

Aquí está lo que casi nadie te explicó cuando te colegiaste. Los datos de salud no son datos normales: el artículo 9.1 del RGPD prohíbe tratarlos con carácter general y solo los permite bajo excepciones tasadas. Uno de esos «datos relativos a la salud» es exactamente lo que escribes en cada sesión.

La excepción que te deja trabajar es el artículo 9.2.h (asistencia sanitaria), pero viene con una condición del artículo 9.3: el tratamiento tiene que hacerlo «un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad». Traducido: puedes tratar esos datos porque estás tú, con tu deber de secreto, respondiendo por ellos. Cuando los sueltas en un chatbot público, ese profesional que responde ya no controla nada.

Y el secreto no es un adorno ético. La Ley 41/2002, de Autonomía del Paciente, reconoce en su artículo 7.1 el derecho del paciente a la confidencialidad de sus datos de salud. El Código Deontológico del Consejo General de la Psicología somete en su artículo 40 toda la información que recoges a secreto profesional, y en el artículo 46 te obliga a custodiar los registros electrónicos «en condiciones de seguridad y secreto que impidan que personas ajenas puedan tener acceso a ellos».

Revelar el secreto de un paciente no es solo una falta deontológica: el artículo 199 del Código Penal español castiga con prisión de uno a tres años al profesional que, incumpliendo su obligación de sigilo, divulgue los secretos de otra persona. Filtrar la sesión de tu paciente a un tercero no es una indiscreción. Es un delito.

Qué pasa de verdad cuando pegas una sesión en ChatGPT

«Pero si es solo para redactar, no lo lee nadie». Ojalá. Esto es lo que ocurre por debajo, punto por punto, cuando usas el ChatGPT de consumo con datos reales:

• Entrena con lo que pegas. En los planes Free, Plus y Pro, OpenAI usa tus conversaciones para mejorar sus modelos por defecto; eres tú quien tiene que ir a los ajustes y desactivarlo. La frase de tu paciente puede acabar como material de entrenamiento en un servidor que no controlas.
• No hay contrato de encargo. El artículo 28 del RGPD exige un contrato de encargo del tratamiento (DPA) con cualquiera que trate datos por ti. OpenAI solo lo firma para Business, Enterprise, Edu y la API, no para las cuentas de consumo. Sin ese contrato, no hay relación válida: el incumplimiento es tuyo.
• Los datos cruzan el charco. Meter la nota en ChatGPT es una transferencia internacional a Estados Unidos, que necesita un mecanismo del Capítulo V del RGPD (artículos 44 a 49). Ese blindaje se articula en los productos de empresa, no en la cuenta con la que entras desde el móvil.
• Rompe la minimización. El artículo 5.1.c del RGPD obliga a tratar solo los datos «limitados a lo necesario». Volcar el nombre, la edad y el contenido literal de la sesión para que te salga una nota es más de lo necesario, casi siempre.

«Le quito el nombre y ya». No, tampoco. Seudonimizar de verdad es más que borrar el nombre: la edad, la profesión, la ciudad y cuatro detalles del caso reidentifican a una persona en una ciudad mediana sin despeinarse. Mientras el dato siga siendo reidentificable, sigue siendo un dato de salud sujeto al artículo 9. Quitar el nombre te tranquiliza a ti, no te saca de la ley.

Tratar datos de salud sin garantías o transferirlos indebidamente fuera de la Unión Europea está en el tramo más alto de sanciones del RGPD: hasta 20 millones de euros o el 4 % de la facturación anual, según el artículo 83.5. No es un aviso teórico: la Agencia Española de Protección de Datos (AEPD) ya abrió de oficio una investigación a OpenAI, propietaria de ChatGPT, el 13 de abril de 2023.

Y desde agosto de 2026, encima, el AI Act

Hay una capa nueva, y esta es de esta misma temporada. El Reglamento (UE) 2024/1689, el AI Act, entró en vigor el 1 de agosto de 2024 con una aplicación escalonada. La fecha que te toca de cerca es el 2 de agosto de 2026: desde ese día es exigible su artículo 50, el de las obligaciones de transparencia.

En cristiano, el artículo 50 dice dos cosas que rozan tu consulta. Una: si un chatbot conversa con tus pacientes (un asistente de reservas, un cribado previo), tienes que avisarles de que hablan con una inteligencia artificial, a más tardar en la primera interacción. Dos: el contenido generado por IA debe poder marcarse como artificial.

Ahora, sé honesto conmigo y déjame serlo yo contigo: un asistente que solo te ayuda a ti a redactar una nota no es un sistema de «alto riesgo». No aparece en el Anexo III del AI Act, que reserva esa etiqueta para cosas como el triaje de urgencias o decidir el acceso a prestaciones. Lo que de verdad te obliga con tus notas no es el AI Act, es el RGPD que acabamos de ver. El AI Act suma transparencia; no sustituye a la protección de datos.

Un apunte para que nadie te venda humo: en España, la autoridad que vigila todo esto es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada por el Real Decreto 729/2023, con sede en A Coruña y la primera de su tipo en la Unión Europea. La ley nacional de IA que la desarrolla sigue en tramitación; el reglamento europeo, en cambio, ya está aquí.

Cómo usar la IA sin incumplir (y sin renunciar a ahorrar tiempo)

La conclusión no es «huye de la IA». Sería absurdo: la IA bien puesta te devuelve dos horas al día. La conclusión es que la IA tiene que trabajar dentro de un sitio que cumpla la ley por diseño, no en un chatbot público donde el que responde eres tú. Estos son los cinco requisitos que le debes exigir a cualquier herramienta antes de meterle un solo dato de un paciente:

• Contrato de encargo del tratamiento (DPA), tal como pide el artículo 28 del RGPD.
• No entrenar sus modelos con tus datos, por defecto y por escrito.
• Servidores en la Unión Europea, o un mecanismo válido de transferencia; lo cómodo es que los datos no salgan del Espacio Económico Europeo.
• Cifrado y medidas de seguridad apropiadas, como exige el artículo 32 del RGPD.
• Que quede dentro de la historia clínica, con trazabilidad y la conservación de cinco años que marca el artículo 17 de la Ley 41/2002, no en un chat suelto que se pierde.

Esto es, exactamente, para lo que construimos el asistente de IA clínica de Psicofactu: la IA redacta la nota o el informe, pero el dato del paciente nunca sale del entorno cifrado ni se usa para entrenar nada, y todo queda guardado dentro de la historia clínica digital. Si quieres el detalle de cómo encaja cada pieza con la norma, lo desglosamos en IA y ley.

Para que no te quedes solo con mi palabra, aquí lo tienes en una tabla. La columna de la izquierda es lo que deberías exigir; compara tú mismo.

No es lo mismo usar IA que usar el ChatGPT público. La diferencia no es la potencia del modelo. Es quién carga con el marrón si algo sale mal.

Preguntas frecuentes sobre IA, ChatGPT y datos de pacientes

¿Puedo usar ChatGPT para escribir mis notas clínicas o informes?

Con el ChatGPT de consumo (Free, Plus o Pro), no de forma segura. Los datos de tus pacientes son datos de salud de categoría especial (artículo 9 del RGPD) y en esos planes OpenAI entrena con las conversaciones por defecto, no firma contrato de encargo y transfiere los datos a Estados Unidos. Sí puedes usar IA si trabaja dentro de una herramienta que cumpla el RGPD, con servidores en la Unión Europea, cifrado y sin entrenar con tus datos.

¿Basta con quitar el nombre del paciente?

No. Seudonimizar de verdad es más que borrar el nombre: la edad, la profesión, la ciudad y los detalles del caso permiten reidentificar a una persona, sobre todo en poblaciones pequeñas. Mientras el dato siga siendo reidentificable, sigue siendo un dato personal de salud sujeto al artículo 9 del RGPD.

¿Y si uso ChatGPT Enterprise o la API?

Cambia bastante. OpenAI solo ofrece no entrenar con tus datos por defecto, contrato de encargo (DPA) y residencia de datos en Europa en ChatGPT Business, Enterprise, Edu y la API. Aun así, sigues necesitando firmar ese contrato, configurarlo bien y sumar el consentimiento informado del paciente. Es viable, pero no es «abrir la app y pegar».

¿El AI Act prohíbe la inteligencia artificial en la consulta?

No. El Reglamento (UE) 2024/1689 no prohíbe la IA clínica de apoyo. Desde el 2 de agosto de 2026, su artículo 50 obliga a avisar al paciente cuando conversa con una IA. Un asistente que solo te ayuda a redactar notas no es de alto riesgo; lo que te obliga con esas notas sigue siendo el RGPD.

¿Qué multa me puede caer?

Tratar datos de salud sin garantías está en el tramo alto del RGPD: hasta 20 millones de euros o el 4 % de la facturación anual (artículo 83.5). Y no es solo dinero: hay responsabilidad deontológica ante tu Colegio y, en el peor caso, la revelación de secretos profesionales es delito en el artículo 199 del Código Penal.

Que tu consulta sea pequeña no te hace invisible para la ley; te hace más frágil ante una sola queja. La buena noticia es que no tienes que elegir entre ahorrar tiempo y cumplir. Elegir bien la herramienta es, literalmente, elegir las dos cosas.

Si quieres dejar de pegar sesiones en un chatbot público y que la IA te redacte la nota dentro de un sistema que ya cumple el RGPD, crea tu cuenta gratis en Psicofactu y prueba cómo gestionar las notas clínicas con IA sin sacar los datos de tu paciente de un entorno seguro.

No tengo ninguna prueba, pero tampoco ninguna duda: dentro de un año, «¿metías los datos de tus pacientes en ChatGPT?» será una pregunta tan incómoda como «¿guardabas las historias en un cajón sin llave?». ¿De qué lado de esa pregunta quieres estar?

Fuentes y referencias

• Reglamento (UE) 2016/679 (RGPD) — artículos 9, 28, 44-49 y 83 — EUR-Lex
• Reglamento (UE) 2024/1689 (AI Act) — artículo 50 (transparencia) y calendario de aplicación — EUR-Lex
• Ley 41/2002, de Autonomía del Paciente — artículos 7 y 17 — BOE
• Código Deontológico del Consejo General de la Psicología — artículos 40 y 46 (secreto y custodia) — COP
• AEPD — Investigación de oficio a OpenAI (ChatGPT), 13 de abril de 2023
• OpenAI — Privacidad en productos de empresa (entrenamiento, DPA y residencia de datos por plan)
• Real Decreto 729/2023 — Estatuto de la AESIA — BOE