Usar IA en tu consulta es legal.
Aquí está el porqué.
El 67 % de los psicólogos cita la incertidumbre legal como su mayor barrera para adoptar IA. Esta página responde a cada pregunta con las normas exactas que aplican en España y cómo las aborda Psicofactu.
Cinco normas que regulan la IA en tu consulta
No existe una ley específica que prohíba usar IA en psicología. Lo que existe es un marco de protección de datos y un nuevo reglamento europeo de IA que definen exactamente cómo hacerlo bien. Psicofactu ha sido diseñado para cumplir con todo ello desde el primer día.
Reglamento (UE) 2016/679
La norma europea de referencia en protección de datos. Los datos de salud son «categoría especial» (art. 9) y requieren medidas adicionales.
Define qué puedes hacer con los datos de tus pacientes, quién es el responsable del tratamiento y qué obligaciones tiene el proveedor de software.
Ley Orgánica 3/2018
La transposición española del RGPD. Concreta obligaciones específicas para profesionales de la salud y establece el régimen sancionador.
Establece que los datos de salud solo pueden tratarse con consentimiento explícito del paciente o cuando sea necesario para la asistencia sanitaria.
Ley de Autonomía del Paciente
Regula los derechos del paciente en materia de información clínica, consentimiento informado y acceso a la historia clínica.
Cualquier herramienta que procese información clínica —incluida la IA— debe respetar el consentimiento informado y la confidencialidad.
Reglamento (UE) 2024/1689 sobre IA
El primer marco legal mundial específico para la inteligencia artificial. Clasifica los sistemas de IA por nivel de riesgo y establece obligaciones para cada nivel.
Las herramientas de IA de apoyo al profesional (no autónomas) son de riesgo limitado. Las IA que diagnostican de forma autónoma son de riesgo alto y tienen obligaciones más exigentes.
Esquema Nacional de Seguridad
Marco de referencia de ciberseguridad del Gobierno de España. INCIBE es el organismo que guía las buenas prácticas en seguridad de datos sanitarios.
Define los estándares técnicos mínimos: cifrado AES-256, TLS, control de accesos y registro de auditoría.
Las 6 preguntas que más nos hacen
Hemos hablado con cientos de psicólogos. Estas son las dudas que aparecen siempre. Las respondemos con la referencia legal exacta, no con marketing.
«Si subo las notas de un paciente a la IA, ¿estoy cediendo sus datos a una empresa de EEUU?»
No. La IA de Psicofactu se procesa en la Unión Europea: usamos Azure OpenAI (Microsoft) con despliegues en la UE, bajo acuerdo DPA conforme al art. 28 RGPD. Tus datos no se usan para entrenar modelos ni se almacenan las conversaciones. Además, antes de cada consulta, seudonimizamos automáticamente los identificadores directos.
«¿Necesito el consentimiento del paciente para usar IA?»
No, si eres psicólogo/a sanitario/a: la IA es un medio de tu historia clínica y la base es la asistencia sanitaria (art. 9.2.h RGPD), como para el resto de la historia. Lo que sí hace falta es informar al paciente y respetar a quien no quiera, y Psicofactu lo hace por ti: su consentimiento de tratamiento incluye la información y una casilla por si prefiere que no se use. Si prefieres pedir autorización expresa (o no eres psicólogo/a sanitario/a), lo eliges en Ajustes.
«¿Puede la IA cometer un error que me haga responsable?»
La IA de Psicofactu nunca toma decisiones clínicas. Genera borradores, estructuras y sugerencias que tú revisas, editas y apruebas antes de que pasen a la historia clínica. La responsabilidad clínica siempre es tuya —como lo ha sido siempre—, y el sistema está diseñado para que quede claro: ningún documento se guarda sin tu aprobación explícita.
«¿Qué pasa si la AEPD me inspecciona?»
Psicofactu te proporciona la documentación que exige la AEPD: registro de actividades de tratamiento (art. 30 RGPD), contrato de encargo de tratamiento firmado (art. 28), EIPD para tratamientos de alto riesgo (art. 35) y registro de auditoría completo. En caso de inspección, puedes acreditar que cumples con cada requisito legal.
«¿El colegio de psicólogos lo permite?»
Los colegios profesionales de psicología en España no prohíben el uso de IA de apoyo al profesional. El Consejo General de Psicología ha publicado orientaciones para el uso ético de tecnología en la práctica clínica. El criterio clave es que la IA asiste pero no sustituye el juicio clínico del profesional —exactamente el modelo de Psicofactu.
«¿Puedo usar IA con pacientes menores de edad?»
Sí. En un menor, la información sobre la IA y la casilla para decir que no van a sus padres o tutores, que son quienes firman sus documentos; con dos titulares, basta con que uno diga que no para que no se use. Si pides autorización expresa, la firman ellos.
Cada medida técnica, con su artículo legal
No basta con decir «cumplimos el RGPD». Aquí está exactamente qué hacemos y qué norma cubre cada acción.
Seudonimización antes de la IA
Art. 25 RGPD — Privacidad desde el diseñoAntes de enviar cualquier texto al modelo de IA, el sistema detecta y elimina automáticamente nombres, DNI, teléfonos y otros identificadores directos. La IA trabaja con datos seudonimizados; no son datos anónimos, porque en un texto libre puede quedar un nombre escrito a mano.
IA procesada en la Unión Europea
Art. 28 RGPD — Encargados del tratamientoOperamos con Azure OpenAI (Microsoft) en región UE, bajo acuerdo de procesamiento de datos (DPA): los datos no se usan para entrenar modelos y el proveedor no almacena las conversaciones (store:false), salvo la conservación temporal que Microsoft puede aplicar para detectar abusos.
Cifrado AES-256-GCM
Art. 32 RGPD — Seguridad del tratamientoEl contenido de las notas y de la ficha clínica se cifra en reposo con AES-256-GCM, campo a campo. Las comunicaciones se cifran con TLS 1.2 o superior.
Datos clínicos e IA en la UE
Capítulo V RGPD (arts. 44-50) — Transferencias internacionalesLos datos clínicos, la base de datos y la IA se alojan en la Unión Europea. Los proveedores auxiliares que pueden tratar datos fuera del Espacio Económico Europeo (por ejemplo, envío de correo, pagos o calendario) lo hacen con las garantías del Capítulo V del RGPD (cláusulas contractuales tipo o Marco de Privacidad UE-EE. UU.) y constan en la lista pública de subencargados.
Información al paciente, integrada
Arts. 9.2.h y 13 RGPD — Asistencia sanitaria e informaciónEl consentimiento de tratamiento que firma el paciente le informa del uso de IA, con una casilla por si prefiere que no se use; si lo prefieres, puedes pedir en su lugar una autorización expresa. Todo queda vinculado a su expediente.
Documentación legal completa
Arts. 28, 30 y 35 RGPDContrato de encargo de tratamiento (art. 28), registro de actividades de tratamiento (art. 30) y EIPD documentada (art. 35) disponibles desde el primer día.
El nuevo reglamento europeo de IA y tu consulta
El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial —el AI Act— entró en vigor en 2024 y clasifica los sistemas de IA en cuatro categorías de riesgo. Entender en cuál cae Psicofactu es clave para saber si tienes obligaciones adicionales.
Riesgo inaceptable
ProhibidoManipulación subliminal, puntuación social, reconocimiento de emociones en el trabajo.
Riesgo alto
Obligaciones exigentesIA que diagnostica enfermedades de forma autónoma, IA en decisiones médicas vinculantes.
Riesgo limitado
Transparencia← PsicofactuChatbots y sistemas que generan texto. Deben avisar de que son IA y marcar lo que generan (art. 50).
Riesgo mínimo
Sin obligaciones adicionalesFiltros de spam, correctores ortográficos, IA en videojuegos.
¿Por qué Psicofactu no es de alto riesgo, y qué le toca?
El AI Act considera de riesgo alto solo los sistemas de sus listas (anexos I y III): por ejemplo, el software que es en sí un producto sanitario para diagnosticar o decidir tratamientos. Psicofactu no es eso: genera borradores de documentación que tú revisas, editas y apruebas, y nunca decide nada sobre el paciente. Es un asistente administrativo y documental, no un sistema de diagnóstico.
Como genera texto, sí tiene obligaciones de transparencia (art. 50), que son del proveedor —Psicofactu—, no tuyas: avisar de que estás usando IA y marcar lo que genera. Por eso los borradores de IA van señalados, y desde octubre de 2026 las notas en las que usas dictado, foto, «Estructurar», autocompletado o el resumen de la IA, y los informes generados con IA, lo dicen en pantalla y lo dejan anotado en sus exportaciones y en su PDF. A ti te toca lo de siempre: cumplir el RGPD, revisar lo que la IA propone antes de darlo por bueno y conocer la herramienta lo suficiente para usarla con criterio.
Lo que recibes desde el primer día
Empezar con Psicofactu no requiere que vayas a un abogado a preparar documentación RGPD. El sistema te proporciona todo lo que la ley exige, listo para usar.
Contrato de Encargo de Tratamiento
Art. 28 RGPDDefine los derechos y obligaciones entre tú (responsable) y Psicofactu (encargado). Firmado y disponible desde el registro.
Registro de Actividades de Tratamiento
Art. 30 RGPDDocumento que acredita que has analizado qué datos tratas, con qué fin y bajo qué base jurídica. Generado automáticamente.
Evaluación de Impacto (EIPD)
Art. 35 RGPDAnálisis de riesgos para el tratamiento de datos de salud con herramientas de IA. Disponible en tu panel de ajustes.
Información al paciente sobre la IA
Arts. 9.2.h y 13 RGPDVa dentro del consentimiento de tratamiento que envías desde Psicofactu, con una casilla por si el paciente prefiere que no se use IA. Si prefieres pedir autorización expresa, también la tienes.
Política de Privacidad del paciente
Arts. 13-14 RGPDDocumento de información al paciente sobre el tratamiento de sus datos, incluido el uso de IA y las transferencias al procesador.
Ya tienes la información. Ahora pruébalo.
14 días gratis, sin tarjeta, con acceso completo a todas las herramientas de IA. La documentación legal lista desde el minuto uno.