Plantilla de política de IA para clínicas de psicología y salud mental en EE. UU.

Cómo utilizar esta plantilla

Esta política está redactada para que se adopte prácticamente tal cual. El cuerpo (Parte 3) no contiene espacios que haya que rellenar, por lo que no es necesario editarlo cláusula por cláusula. Toda la información específica relativa a su consulta se encuentra en un único lugar —el Anexo (Apéndice A)—, que usted debe completar una sola vez.

Para adoptar esta política:

1. Rellene el anexo (Apéndice A): el nombre de su consulta, las personas que ocupan cada cargo de gobernanza, la frecuencia de las auditorías, el plazo de consentimiento predeterminado, la configuración de conservación de las transcripciones y su registro de herramientas de IA aprobadas.
2. Lea el Apéndice B (Requisitos jurisdiccionales): utilice la edición correspondiente a su jurisdicción y compruebe que las leyes y las directrices profesionales indicadas siguen vigentes (los organismos reguladores las actualizan con frecuencia).
3. Adapte los elementos opcionales: indique las herramientas prohibidas específicas o añada las normas propias de su consulta en el anexo. No es necesario modificar el cuerpo del texto.
4. Apruebe, feche y asigne una versión a la política con el Apéndice D, e informe a su equipo.

Nota sobre las funciones. La política menciona tres funciones: el responsable de gobernanza de la IA (encargado de la política y de aprobar nuevas herramientas), el auditor de documentación y el responsable de incidentes. En una consulta de pequeño tamaño, estas funciones pueden recaer en una misma persona. Asigne cada función a una persona concreta en el anexo.

Parte 1 — Qué exigen las normas

Hay dos conjuntos de normas que regulan el uso de la IA en la práctica clínica en todas las jurisdicciones: la legislación en materia de privacidad y protección de datos, y las normas de su colegio profesional. Las leyes, los organismos reguladores y los documentos de orientación específicos que se aplican a su consulta se detallan en el Apéndice B. Sea cual sea su jurisdicción, se repiten los mismos temas:

• Los datos sanitarios gozan de una protección especial. Por lo general, no pueden recopilarse, utilizarse ni divulgarse sin una base jurídica, que casi siempre es el consentimiento del paciente.
• El envío de datos a un proveedor externo de inteligencia artificial constituye una divulgación. Requiere una base jurídica, medidas de seguridad adecuadas y —cuando el proveedor trate los datos en el extranjero— garantías específicas para las transferencias transfronterizas. Usted sigue siendo responsable de lo que el proveedor haga con los datos.
• Los datos de los pacientes no deben utilizarse para entrenar los modelos de IA del proveedor. Su contrato con el proveedor debe prohibir cualquier uso secundario, incluido el entrenamiento de modelos.
• El profesional sigue siendo el responsable. La IA es una herramienta de apoyo a la toma de decisiones; el criterio clínico nunca se delega en un algoritmo, y el profesional es responsable de la exactitud del registro final.
• El consentimiento es informado y, por lo general, específico para cada herramienta. El paciente debe comprender qué herramienta se utiliza, qué datos se recogen, adónde se envían dichos datos y que puede retirar su consentimiento en cualquier momento sin que ello afecte a su atención médica. En el caso de las herramientas que graban una consulta, el consentimiento se obtiene antes de comenzar a grabar.
• Su uso es transparente. Se informa al paciente cuando interviene la IA, y los documentos elaborados con ayuda de la IA se identifican como tales en el expediente.
• Las filtraciones deben notificarse. La mayoría de las jurisdicciones cuentan con un régimen obligatorio de notificación de filtraciones de datos (véase el Apéndice B).
• Se requiere competencia. El profesional debe comprender las capacidades, las limitaciones y los sesgos de la herramienta antes de utilizarla.

Parte 2 — Lo que preocupa a los profesionales

Más allá de la normativa formal, una buena política debe abordar estas inquietudes de frente:

• Exactitud y alucinaciones. La IA generativa es probabilística y puede producir resultados incorrectos pero convincentes: un medicamento mal transcrito o un síntoma inventado podrían dar lugar a una decisión poco segura si no se detectan.
• Dependencia excesiva y pérdida de habilidades. Los profesionales con una gran carga de trabajo pueden «validar sin revisar» las notas de la IA, lo que, con el tiempo, merma el criterio clínico independiente.
• Pérdida de matices clínicos. Las transcripciones de texto no reflejan el tono, el lenguaje corporal, las microexpresiones ni el contexto cultural, todos ellos elementos esenciales para la evaluación psicológica.
• Prueba médico-legal. Las notas y transcripciones generadas por IA pueden ser objeto de requerimiento judicial. Un dato erróneo o una evaluación de riesgo inexacta pueden dar lugar a responsabilidad civil.
• Repercusión en la relación terapéutica. La grabación o el seguimiento mediante IA pueden alterar la dinámica y hacer que algunos pacientes se muestren menos dispuestos a abrirse.

Una política sólida no pretende que estos riesgos no existan: los gestiona mediante el consentimiento, la revisión por parte de personas, la diligencia debida con respecto a los proveedores y la auditoría.

Parte 3 — La política

Esta es la política operativa. Adóptela tal y como está redactada; los detalles específicos de su consulta figuran en el anexo (Apéndice A), y los requisitos legales y profesionales de su jurisdicción se recogen en el Apéndice B. El anexo (Apéndice A) se incluye en la plantilla descargable.

1. Objetivo. Nuestra consulta se compromete a hacer un uso lícito, ético y responsable de la inteligencia artificial (IA) para apoyar —y no sustituir— la atención psicológica prestada por personas. Esta política regula cómo pueden utilizarse las herramientas de IA en nuestro trabajo clínico y administrativo, con el fin de proteger la privacidad del paciente, cumplir con nuestras obligaciones profesionales y preservar la calidad y la seguridad de la atención. Las herramientas de IA se adoptan únicamente cuando facilitan los flujos de trabajo clínicos (como la documentación) y mejoran los resultados de los pacientes, y siempre bajo la responsabilidad de un profesional cualificado.

2. Principios fundamentales.

a) Se requiere el consentimiento del paciente para utilizar herramientas de IA con su información personal o sanitaria, y dicho consentimiento puede retirarse en cualquier momento sin que ello afecte a su atención.
b) Las decisiones clínicas siempre corresponden al profesional. La IA es un asistente, nunca quien decide. Los profesionales comprenden cómo funcionan sus herramientas de IA, así como sus limitaciones y sesgos.
c) Los datos de los pacientes nunca se utilizan para entrenar modelos de IA. Solo utilizamos herramientas cuyos proveedores lo garantizan contractualmente.

3. A quién se aplica. Esta política se aplica a todos los profesionales y al personal clínico de nuestra consulta. El usuario de cualquier herramienta de IA contemplada en esta política es siempre un profesional cualificado (o personal clínico que actúe bajo la responsabilidad directa de un profesional), nunca el paciente. Cualquier restricción al uso por parte del personal administrativo no clínico se recoge en el anexo.

4. Marco normativo y ético. Utilizamos la IA de conformidad con la legislación en materia de privacidad y protección de datos, así como con las normas profesionales aplicables a nuestra consulta. Estas se detallan para nuestra jurisdicción en el Apéndice B y se revisan cada vez que se modifican la ley o las directrices profesionales.

5. Usos autorizados, restringidos y prohibidos.

Usos autorizados (con el consentimiento del paciente y la revisión del profesional): las herramientas específicas autorizadas se enumeran en el anexo:

a) Asistentes de notas con IA / documentación de escucha ambiental para la transcripción de sesiones y la elaboración de resúmenes.
b) Redacción, resumen y corrección gramatical de notas clínicas y correspondencia.

Usos restringidos (permitidos únicamente con medidas de seguridad reforzadas y verificación independiente obligatoria por parte del profesional):

c) Herramientas de apoyo al diagnóstico diferencial o al análisis de patrones, que siempre deben verificarse de forma independiente y nunca utilizarse como única base.

Usos prohibidos:

d) Utilizar la IA como única base para cualquier diagnóstico o para cualquier evaluación del riesgo de suicidio o de violencia.
e) Introducir información identificable del paciente en sistemas de IA gratuitos, públicos o no aprobados (por ejemplo, las versiones para el público general de ChatGPT, Gemini o Copilot).
f) Utilizar cualquier herramienta de IA que no haya sido aprobada mediante el proceso descrito en la cláusula 10.
g) Cualquier otra herramienta o uso prohibido por nuestra consulta, tal y como se indica en el anexo.

6. Privacidad, seguridad y diligencia debida en relación con los proveedores. Antes de aprobar cualquier herramienta de IA, nos aseguramos de que:

a) Existe un acuerdo de datos vinculante —un Business Associate Agreement (BAA), un acuerdo de tratamiento de datos o equivalente (véase el Apéndice B para conocer los requisitos de su jurisdicción)— antes de compartir cualquier dato del paciente.
b) El proveedor garantiza contractualmente que los datos de los pacientes nunca se conservan ni se utilizan para entrenar sus propios modelos de IA ni los de terceros.
c) Los datos se cifran en tránsito y en reposo, y se almacenan en una ubicación conocida y conforme (registrada en el Anexo).
d) Se contemplan las transferencias transfronterizas. Cuando un proveedor trata datos fuera de nuestra jurisdicción, aplicamos las salvaguardias transfronterizas exigidas por la ley (véase el Apéndice B) y entendemos que seguimos siendo responsables de los datos.
e) Se recurre a la desidentificación o supresiónsiempre que sea viable para minimizar los datos identificables enviados para su tratamiento.
f) La conservación es deliberada. Cuando la herramienta permite conservar transcripciones u otros documentos, establecemos un plazo de conservación acorde con nuestras obligaciones profesionales de conservación de registros y legales (registrado en el Anexo), en lugar de almacenarlos indefinidamente sin motivo.

7. Consentimiento informado y transparencia con el paciente.

a) El consentimiento se obtiene antes de utilizar la IA —y, en el caso de cualquier herramienta que grabe o procese una consulta, antes de comenzar a grabar—. El consentimiento es específico para cada herramienta: explicamos qué herramienta se utiliza, qué datos se recogen, dónde se almacenan y quién puede acceder a ellos, los riesgos para la privacidad y el derecho a revocar dicho consentimiento. Un consentimiento genérico del tipo «utilizamos IA» no es suficiente.
b) El consentimiento se registra: anotamos el consentimiento del paciente (y cualquier revocación) en su historial clínico, durante el período de consentimiento indicado en el anexo.
c) La revocación se respeta de inmediato y sin que ello suponga una merma en la calidad de la atención prestada.
d) La autoría es transparente: los documentos generados con ayuda de la IA se identifican claramente en el expediente (véase la etiqueta de ejemplo en el Apéndice C).

8. Revisión humana y responsabilidad.

a) El resultado de la IA que se convierte en documentación clínica —resúmenes de sesión, notas, cartas e informes— debe ser revisado, editado y aprobado por el profesional responsable antes de archivarse en el expediente.
b) Las transcripciones de sesión son un documento de origen textual, no documentación redactada por el profesional. Cuando nuestra herramienta y su configuración de retención conservan una transcripción (véase el Anexo), esta se almacena como registro de origen —útil para su revisión y análisis posterior— y no requiere una revisión línea por línea; el profesional sigue siendo responsable de todo resumen o nota que derive de ella.
c) El profesional conserva la plena responsabilidad profesional, ética y legal por cada decisión clínica y por la exactitud de la documentación final. La IA nunca asume esa responsabilidad.

9. Gestión de riesgos y garantía de calidad.

a) Reconocemos las limitaciones de la IA —alucinaciones, sesgos y la ausencia de juicio clínico contextual— y formamos al personal para detectarlas.
b) Auditoría. El auditor de documentación revisa una muestra de la documentación generada con ayuda de la IA, con la frecuencia establecida en el anexo, para verificar su exactitud e integridad.
c) Notificación de incidentes. Cualquier sospecha de fuga de datos, inexactitud generada por la IA o uso de una herramienta no aprobada se comunica al responsable de incidentes sin demora y se registra en nuestro registro de incidentes. Las obligaciones de notificación de fugas se detallan en el Apéndice B.

10. Formación y gobernanza.

a) Formación. Todo el personal clínico debe completar una formación sobre las capacidades, las limitaciones y los límites de privacidad de cualquier herramienta de IA aprobada antes de utilizarla.
b) Proceso de aprobación. Ninguna nueva herramienta de IA podrá utilizarse hasta que la apruebe el responsable de gobernanza de la IA, quien confirmará que cumple con las cláusulas 6 a 8 y la registrará en el anexo.
c) Responsabilidad y revisión. Esta política es responsabilidad del responsable de gobernanza de la IA y se revisa al menos una vez al año, o antes si cambian la legislación o las directrices profesionales.

Apéndice B — Requisitos jurisdiccionales: Estados Unidos

Vigencia: Verificado en junio de 2026. La actualización de la Norma de Seguridad de la HIPAA (propuesta NPRM de enero de 2025) sigue siendo una propuesta, no es definitiva. Las normas de colegiación de los psicólogos de cada estado pueden imponer requisitos adicionales.

Legislación sobre privacidad y protección de datos

• HIPAA: un proveedor que crea, recibe, conserva o transmite información sanitaria protegida (PHI) en su nombre es un «socio comercial». Debe existir un acuerdo de socio comercial (BAA) firmado antes de compartir información sanitaria protegida.
• Prohibición de utilizar la PHI para el entrenamiento de modelos de IA: la BAA debe limitar el uso que haga el proveedor a los fines permitidos; no puede utilizar la PHI para entrenar ni mejorar sus propios modelos de IA sin autorización expresa.
• Artículo 1557 de la ACA / 45 CFR §92.210: las entidades afectadas deben realizar esfuerzos razonables para identificar y mitigar la discriminación derivada de las herramientas de apoyo a la toma de decisiones sobre la atención al paciente, incluida la IA (en vigor a partir del 1 de mayo de 2025; la postura respecto a su aplicación es incierta).
• Norma de seguridad de la HIPAA: una actualización propuesta (enero de 2025) reforzaría los requisitos de ciberseguridad; manténgase al tanto de su evolución.

Normas profesionales

• APA — «Directrices éticas para el uso de la IA en la práctica profesional de la psicología de los servicios sanitarios» (junio de 2025): la IA debe complementar, y no sustituir, la toma de decisiones humana; el psicólogo es responsable de las decisiones finales, de comprender los datos de entrenamiento de la herramienta y de mitigar los sesgos. Véase también la lista de verificación complementaria de la APA para herramientas basadas en IA.
• Juntas estatales de concesión de licencias: consulte a la junta de su estado para conocer los requisitos adicionales en materia de IA, telesalud o conservación de registros.

Transferencia transfronteriza de datos. Cuando los datos se traten fuera de EE. UU. o mediante subencargados del tratamiento, asegúrese de que el BAA obligue a todos los subencargados del tratamiento a cumplir condiciones equivalentes a las de la HIPAA y de que se aplique el principio de «mínimo necesario».

Notificación de filtraciones de datos. Norma de notificación de filtraciones de la HIPAA: notifique a las personas afectadas y al HHS (y, en el caso de filtraciones graves, a los medios de comunicación) sin demora injustificada y, a más tardar, 60 días después de descubrirla.

Apéndice C — Plantilla de consentimiento y etiqueta de autoría

El siguiente ejemplo está redactado para NovoNote, un asistente de notas con IA cuyo audio nunca se guarda, cuya retención de transcripciones depende de la consulta (puede eliminarse tras su uso o conservarse durante un período determinado —por ejemplo, siete años o de forma indefinida— para facilitar la continuidad de la atención) y cuyos datos no se utilizan para entrenar modelos de IA. Adapte el texto a la herramienta aprobada y a su configuración de retención (registrada en el anexo). Puede entregar a los pacientes los recursos listos para usar de NovoPsych: el formulario de consentimiento del paciente de NovoNote y la hoja informativa para pacientes de NovoNote (ambos disponibles en la página de seguridad de NovoNote).

Modelo de texto de consentimiento (adapte la frase de retención a su configuración):

«En nuestras sesiones utilizo una herramienta de toma de notas con IA llamada NovoNote para documentar nuestro trabajo con precisión y poder centrarme en usted en lugar de en escribir. La herramienta escucha la sesión y genera un resumen escrito, que reviso y edito antes de que pase a formar parte de su expediente. El audio nunca se guarda. La transcripción de la sesión [se elimina una vez redactado el resumen / se conserva de forma segura como parte de su expediente durante [período] para respaldar su atención]. Su información se almacena de forma segura en Australia y nunca se utiliza para entrenar modelos de IA. Puede negarse o cambiar de opinión en cualquier momento, y ello no afectará a su atención de ninguna manera. ¿Está de acuerdo con que la utilice hoy?»

Ejemplo de etiqueta de autoría para el historial clínico:

«Nota de caso elaborada con la ayuda de la IA (NovoNote), revisada y aprobada por [nombre y cargo del profesional] el [fecha].»

Elaborado por NovoPsych como recurso gratuito para la comunidad de salud mental. Válido hasta junio de 2026; se trata únicamente de información general y no constituye asesoramiento jurídico. Más información en novopsych.com.