Conformidad del sector sanitario: RGPD, AI Act y NIS2

Por qué el sector «Salud» está implicado

Los datos de salud gozan de una protección reforzada: su tratamiento está en principio prohibido, salvo excepciones estrictas (atención sanitaria, interés público, consentimiento explícito). En Francia, se añade la obligación de recurrir a un alojador certificado HDS y, muy frecuentemente, de realizar una evaluación de impacto (EIPD).

Los programas informáticos de ayuda al diagnóstico o al triaje se encuadran frecuentemente en la categoría de alto riesgo en el sentido del AI Act, de forma acumulativa con la normativa sobre productos sanitarios. Los requisitos de calidad de los datos, supervisión humana y documentación son máximos.

Por último, hospitales, clínicas y proveedores críticos, designados entidades esenciales por NIS2, soportan las obligaciones de ciberseguridad más exigentes —en un sector que figura entre los más atacados por ransomware, con consecuencias que pueden llegar a poner en peligro a los pacientes.

RGPD — los datos de salud, categoría sensible

El tratamiento de datos de salud está prohibido por principio, salvo excepción legal (asistencia sanitaria, interés público en materia de salud, consentimiento explícito). Los actores deben identificar con precisión la excepción aplicada, realizar una EIPD para los tratamientos a gran escala y recurrir a un proveedor con certificación HDS.

El nivel de seguridad exigido es superior al de un tratamiento ordinario: compartimentación, trazabilidad de los accesos a los expedientes y cifrado.

Obligaciones clave

• Identificar una excepción legal al tratamiento de datos sensibles.
• Realizar una EIPD para los tratamientos a gran escala.
• Recurrir a un alojamiento certificado HDS.
• Rastrear y compartimentar los accesos a los expedientes.

AI Act — la IA médica, a menudo de alto riesgo

Los sistemas de IA utilizados como productos sanitarios o para el triaje entran generalmente en la categoría de alto riesgo: sistema de gestión de riesgos, calidad y representatividad de los datos de entrenamiento, supervisión humana, documentación técnica y evaluación de conformidad.

Este régimen se acumula con la normativa sobre productos sanitarios; ambos marcos deben articularse en lugar de tratarse por separado.

Obligaciones clave

• Clasificar los sistemas de IA clínicos (alto riesgo en la mayoría de los casos).
• Garantizar la calidad de los datos de entrenamiento.
• Garantizar la supervisión humana y la transparencia.
• Articular el AI Act y la normativa sobre productos sanitarios.

NIS2 — la salud, sector esencial

Los establecimientos y proveedores de salud que superan los umbrales son entidades esenciales en el sentido de NIS2: medidas de gestión de riesgos, notificación de incidentes, continuidad de actividad y supervisión reforzada por las autoridades.

La elevada exposición del sector al ransomware hace que estas obligaciones sean aún más críticas: un incidente cibernético puede paralizar la atención sanitaria.

Obligaciones clave

• Medidas de gestión de riesgos (artículo 21).
• Notificación de incidentes significativos.
• Plan de continuidad y recuperación.
• Segurización de la cadena de suministro (editores, proveedores).

Vista comparada de las regulaciones

Cómo se articulan estas normativas

Los tres textos convergen en seguridad y trazabilidad. Una IA de diagnóstico entrenada con datos de pacientes acumula el RGPD (base jurídica, EIPD, alojamiento HDS), el AI Act (alto riesgo: calidad de los datos, supervisión) y NIS2 (seguridad de la infraestructura que la aloja).

Un incidente de ciberseguridad en este tipo de sistemas constituye simultáneamente una posible violación del RGPD (a notificar en 72 h), un incidente NIS2 (a notificar según su propio calendario) y un eventual fallo del AI Act que debe documentarse. La gestión debe ser, por tanto, transversal, con procedimientos de incidentes coordinados en lugar de compartimentados por normativa.

Calendario de aplicación

• 1RGPD. En vigor; controles de la AEPD regulares, mayor vigilancia sobre los datos de salud.
• 2AI Act. alto riesgo: Obligaciones principales a partir del 2 de agosto de 2026 para los sistemas de alto riesgo.
• 3NIS2. Transposición francesa en proceso de finalización; anticiparse desde ahora.
• 4HDS. Obligación en vigor: todo alojamiento de datos de salud debe realizarse a través de un proveedor certificado.

Sanciones aplicables

El RGPD expone a multas de hasta 20 M€ o el 4 % del volumen de negocio mundial, con una vigilancia especial de las autoridades sobre los datos de salud. El AI Act añade tramos más elevados (hasta 35 M€ o el 7 %) y NIS2 multas de hasta 10 M€ o el 2 % para las entidades esenciales, acompañadas de la responsabilidad personal de los directivos.

Más allá de los importes, el riesgo específico del sector es humano: una indisponibilidad prolongada de los sistemas o una fuga de datos de salud puede afectar directamente a la atención y la seguridad de los pacientes.

Hoja de ruta de puesta en conformidad

• 1Cartografiar. Identificar los tratamientos de datos de salud, los sistemas de IA clínicos y las infraestructuras críticas.
• 2Asegurar la base. Desplegar alojamiento HDS, segmentación, trazabilidad de accesos y plan de continuidad, que sirven al RGPD y a NIS2.
• 3Realizar las EIPD. Llevar a cabo los análisis de impacto para los tratamientos a gran escala y las IA clínicas.
• 4Articular el AI Act y los productos sanitarios. Alinear la documentación de ambos marcos para los sistemas de IA médicos.
• 5Coordinar los incidentes. Establecer procedimientos de notificación coordinados (RGPD, NIS2) e implicar a la dirección.

Cómo Data Comply One acompaña al sector

Data Comply One reúne RGPD, AI Act y NIS2 en una plataforma única, con DPO y CISO externalizados. La sanidad forma parte de los verticales principales de DCO, con modelos adaptados a la sensibilidad de los datos (EIPD salud, registro, procedimientos de incidente) y a los requisitos de alojamiento.

Este enfoque integrado evita multiplicar los proveedores en textos que comparten una base común de seguridad y trazabilidad, y facilita la coordinación de las notificaciones en caso de incidente.

Preguntas frecuentes