Plantilla de Política de IA para Clínicas de Psicología y Salud Mental en EE. UU.

Cómo usar esta plantilla

Esta política está redactada para adoptarse prácticamente tal cual. El cuerpo (Parte 3) no tiene espacios para completar, de modo que no tenga que editarlo cláusula por cláusula. Todo lo específico de su consulta se encuentra en un solo lugar —el Anexo (Apéndice A)— que usted completa una sola vez.

Para adoptar esta política:

1. Complete el Anexo (Apéndice A) — el nombre de su consulta, las personas que ocupan cada rol de gobernanza, la frecuencia de auditoría, el período de consentimiento predeterminado, la configuración de retención de transcripciones y su registro de herramientas de IA aprobadas.
2. Lea el Apéndice B (Requisitos jurisdiccionales) — use la edición correspondiente a su jurisdicción y confirme que las leyes y las guías profesionales indicadas siguen vigentes (los organismos reguladores las actualizan con frecuencia).
3. Adapte los elementos opcionales — indique herramientas prohibidas específicas o agregue reglas propias de su consulta en el Anexo. No es necesario modificar el cuerpo.
4. Apruebe, feche y versione la política con el Apéndice D, e informe a su equipo.

Nota sobre los roles. La política menciona tres roles: el Responsable de Gobernanza de IA (es responsable de la política y aprueba nuevas herramientas), el Auditor de Documentación y el Contacto de Incidentes. En una consulta pequeña, pueden ser la misma persona. Asigne cada rol a una persona real en el Anexo.

Parte 1 — Qué exigen las normas

Dos conjuntos de normas rigen el uso de IA en la práctica clínica en toda jurisdicción: la legislación de privacidad y protección de datos, y los estándares de su organismo de registro profesional. Las leyes, los reguladores y los documentos de orientación específicos que aplican a su consulta se detallan en el Apéndice B. Cualquiera sea su jurisdicción, se repiten los mismos temas:

• Los datos de salud gozan de protección especial. Por lo general no pueden recopilarse, usarse ni divulgarse sin una base legal, casi siempre el consentimiento del paciente.
• Enviar datos a un proveedor de IA externo es una divulgación. Requiere una base legal, seguridad adecuada y —cuando el proveedor procesa datos en el extranjero— salvaguardas específicas para transferencias transfronterizas. Usted sigue siendo responsable de lo que el proveedor haga con los datos.
• Los datos de los pacientes no deben entrenar los modelos de IA del proveedor. Su acuerdo con el proveedor debe prohibir todo uso secundario, incluido el entrenamiento de modelos.
• El profesional sigue siendo responsable. La IA es una herramienta de apoyo a la decisión; el juicio clínico nunca se delega en un algoritmo, y el profesional es responsable de la exactitud del registro final.
• El consentimiento es informado y, por lo general, específico de la herramienta. El paciente debe entender qué herramienta se usa, qué captura, adónde van los datos y que puede retirar su consentimiento en cualquier momento sin que ello afecte su atención. Para las herramientas que graban una consulta, el consentimiento se obtiene antes de comenzar a grabar.
• El uso es transparente. Se informa al paciente cuando interviene la IA, y los documentos asistidos por IA se identifican como tales en el expediente.
• Las brechas deben notificarse. La mayoría de las jurisdicciones tienen un régimen obligatorio de notificación de brechas de datos (véase el Apéndice B).
• Se exige competencia. El profesional debe comprender las capacidades, las limitaciones y los sesgos de la herramienta antes de usarla.

Parte 2 — Qué preocupa a los profesionales

Más allá de la regulación formal, una buena política debe abordar estas inquietudes de frente:

• Exactitud y alucinaciones. La IA generativa es probabilística y puede producir resultados incorrectos pero convincentes: un medicamento mal transcrito o un síntoma inventado podrían derivar en una decisión insegura si no se detectan.
• Dependencia excesiva y pérdida de habilidades. Los profesionales con mucha carga pueden “validar sin revisar” las notas de la IA, erosionando con el tiempo el juicio clínico independiente.
• Pérdida de matices clínicos. Las transcripciones de texto no captan el tono, el lenguaje corporal, las microexpresiones ni el contexto cultural, todos ellos esenciales para la evaluación psicológica.
• Descubrimiento medicolegal. Las notas y transcripciones generadas por IA pueden ser requeridas judicialmente. Un dato alucinado o una evaluación de riesgo inexacta pueden generar responsabilidad real.
• Efecto en la relación terapéutica. La grabación o el monitoreo por IA pueden alterar la dinámica y hacer que algunos pacientes se muestren menos dispuestos a compartir.

Una política sólida no pretende que estos riesgos no existan: los gestiona con consentimiento, revisión humana, diligencia debida sobre proveedores y auditoría.

Parte 3 — La política

Esta es la política operativa. Adóptela tal como está redactada; los detalles específicos de su consulta se registran en el Anexo (Apéndice A), y los requisitos legales y profesionales de su jurisdicción están en el Apéndice B. El Anexo (Apéndice A) se incluye en la plantilla descargable.

1. Propósito. Nuestra consulta se compromete a un uso lícito, ético y responsable de la inteligencia artificial (IA) para apoyar —no reemplazar— la atención psicológica brindada por personas. Esta política rige cómo pueden usarse las herramientas de IA en nuestro trabajo clínico y administrativo, para proteger la privacidad del paciente, cumplir nuestras obligaciones profesionales y preservar la calidad y la seguridad de la atención. Las herramientas de IA se adoptan únicamente cuando apoyan los flujos de trabajo clínicos (como la documentación) y mejoran los resultados de los pacientes, y siempre bajo la responsabilidad de un profesional calificado.

2. Principios fundamentales.

a) Se requiere el consentimiento del paciente para usar herramientas de IA con su información personal o de salud, y puede retirarse en cualquier momento sin que ello afecte su atención.
b) Las decisiones clínicas siempre corresponden al profesional. La IA es un asistente, nunca quien decide. Los profesionales comprenden cómo funcionan sus herramientas de IA, así como sus limitaciones y sesgos.
c) Los datos de los pacientes nunca se usan para entrenar modelos de IA. Solo usamos herramientas cuyos proveedores lo garantizan contractualmente.

3. A quién aplica. Esta política aplica a todos los profesionales y al personal clínico de nuestra consulta. El usuario de cualquier herramienta de IA cubierta por esta política es siempre un profesional calificado (o personal clínico que actúa bajo la responsabilidad directa de un profesional), nunca el paciente. Cualquier límite al uso por parte del personal administrativo no clínico se registra en el Anexo.

4. Marco normativo y ético. Usamos la IA en consonancia con la legislación de privacidad y protección de datos y con los estándares profesionales que aplican a nuestra consulta. Estos se detallan para nuestra jurisdicción en el Apéndice B y se revisan cada vez que cambian la ley o las guías profesionales.

5. Usos aprobados, restringidos y prohibidos.

Usos aprobados (con el consentimiento del paciente y revisión del profesional) — las herramientas aprobadas específicas se enumeran en el Anexo:

a) Asistentes de notas con IA / documentación de escucha ambiental para la transcripción de sesiones y el resumen de notas.
b) Redacción, resumen y corrección gramatical de notas clínicas y correspondencia.

Usos restringidos (permitidos solo con salvaguardas reforzadas y verificación independiente obligatoria por parte del profesional):

c) Herramientas de apoyo al diagnóstico diferencial o de análisis de patrones, que siempre deben verificarse de forma independiente y nunca usarse como única base.

Usos prohibidos:

d) Usar la IA como única base para cualquier diagnóstico o para cualquier evaluación de riesgo de suicidio o de violencia.
e) Ingresar información identificable del paciente en sistemas de IA gratuitos, públicos o no aprobados (por ejemplo, las versiones de consumo de ChatGPT, Gemini o Copilot).
f) Usar cualquier herramienta de IA que no haya sido aprobada mediante el proceso de la cláusula 10.
g) Cualquier otra herramienta o uso prohibido por nuestra consulta, según se indique en el Anexo.

6. Privacidad, seguridad y diligencia debida sobre proveedores. Antes de aprobar cualquier herramienta de IA, confirmamos que:

a) Existe un acuerdo de datos vinculante —un Business Associate Agreement (BAA), un acuerdo de tratamiento de datos o equivalente (véase el Apéndice B para saber qué exige su jurisdicción)— antes de compartir cualquier dato del paciente.
b) El proveedor garantiza contractualmente que los datos de los pacientes nunca se conservan ni se usan para entrenar sus propios modelos de IA ni los de terceros.
c) Los datos se cifran en tránsito y en reposo, y se almacenan en una ubicación conocida y conforme (registrada en el Anexo).
d) Las transferencias transfronterizas están contempladas. Cuando un proveedor procesa datos fuera de nuestra jurisdicción, aplicamos las salvaguardas transfronterizas exigidas por la ley (véase el Apéndice B) y entendemos que seguimos siendo responsables de los datos.
e) La desidentificación o supresión se usa siempre que sea práctico para minimizar los datos identificables enviados para su procesamiento.
f) La retención es deliberada. Cuando la herramienta permite conservar transcripciones u otros artefactos, fijamos un período de retención acorde con nuestras obligaciones profesionales de conservación de registros y legales (registrado en el Anexo), en lugar de almacenar de forma indefinida sin motivo.

7. Consentimiento informado y transparencia con el paciente.

a) El consentimiento se obtiene antes de usar la IA —y, para cualquier herramienta que grabe o procese una consulta, antes de comenzar a grabar. El consentimiento es específico de la herramienta: explicamos qué herramienta se usa, qué captura, dónde se almacenan los datos y quién puede acceder a ellos, los riesgos de privacidad y el derecho a retirarlo. Un consentimiento genérico de “usamos IA” no es suficiente.
b) El consentimiento se registra — anotamos el consentimiento del paciente (y cualquier retiro) en su expediente clínico, por el período de consentimiento indicado en el Anexo.
c) El retiro se respeta de inmediato y sin ninguna reducción en la calidad de la atención brindada.
d) La autoría es transparente — los documentos asistidos por IA se identifican claramente en el expediente (véase la etiqueta de ejemplo en el Apéndice C).

8. Revisión humana y responsabilidad.

a) El resultado de la IA que se convierte en documentación clínica —resúmenes de sesión, notas, cartas e informes— debe ser revisado, editado y aprobado por el profesional responsable antes de guardarse en el expediente.
b) Las transcripciones de sesión son un artefacto de origen textual, no documentación redactada por el profesional. Cuando nuestra herramienta y su configuración de retención conservan una transcripción (véase el Anexo), esta se almacena como registro de origen — útil para su revisión y análisis posterior — y no requiere una revisión línea por línea; el profesional sigue siendo responsable de todo resumen o nota que derive de ella.
c) El profesional conserva la plena responsabilidad profesional, ética y legal por cada decisión clínica y por la exactitud de la documentación final. La IA nunca asume esa responsabilidad.

9. Gestión de riesgos y aseguramiento de la calidad.

a) Reconocemos las limitaciones de la IA —alucinaciones, sesgos y la ausencia de juicio clínico contextual— y capacitamos al personal para detectarlas.
b) Auditoría. El Auditor de Documentación revisa una muestra de la documentación asistida por IA, con la frecuencia fijada en el Anexo, para verificar su exactitud e integridad.
c) Notificación de incidentes. Toda sospecha de brecha de datos, inexactitud generada por IA o uso de una herramienta no aprobada se informa al Contacto de Incidentes sin demora y se registra en nuestro registro de incidentes. Las obligaciones de notificación de brechas se detallan en el Apéndice B.

10. Capacitación y gobernanza.

a) Capacitación. Todo el personal clínico completa una capacitación sobre las capacidades, las limitaciones y los límites de privacidad de cualquier herramienta de IA aprobada antes de usarla.
b) Proceso de aprobación. Ninguna herramienta de IA nueva puede usarse hasta que la apruebe el Responsable de Gobernanza de IA, quien confirma que cumple las cláusulas 6 a 8 y la registra en el Anexo.
c) Titularidad y revisión. Esta política es responsabilidad del Responsable de Gobernanza de IA y se revisa al menos una vez al año, o antes si cambian la ley o las guías profesionales.

Apéndice B — Requisitos jurisdiccionales: Estados Unidos

Vigencia: Verificado en junio de 2026. La actualización de la Regla de Seguridad de HIPAA (propuesta NPRM de enero de 2025) sigue siendo una propuesta, no es definitiva. Las normas de licenciamiento psicológico de cada estado pueden imponer requisitos adicionales.

Legislación de privacidad y protección de datos

• HIPAA — un proveedor que crea, recibe, mantiene o transmite PHI (información de salud protegida) en su nombre es un “business associate”. Debe existir un Business Associate Agreement (BAA) firmado antes de compartir PHI.
• Prohibición de entrenar con PHI — el BAA debe limitar al proveedor a los fines permitidos; no puede usar PHI para entrenar ni mejorar sus propios modelos de IA sin autorización expresa.
• Sección 1557 de la ACA / 45 CFR §92.210 — las entidades cubiertas deben hacer esfuerzos razonables para identificar y mitigar la discriminación derivada de las herramientas de apoyo a la decisión sobre la atención del paciente, incluida la IA (vigente desde el 1 de mayo de 2025; la postura de aplicación es incierta).
• Regla de Seguridad de HIPAA — una actualización propuesta (enero de 2025) reforzaría los requisitos de ciberseguridad; siga su avance.

Estándares profesionales

• APA — “Ethical Guidance for AI in the Professional Practice of Health Service Psychology” (junio de 2025): la IA debe complementar, no reemplazar, la toma de decisiones humana; el psicólogo es responsable de las decisiones finales, de comprender los datos de entrenamiento de la herramienta y de mitigar los sesgos. Véase también la lista de verificación complementaria de la APA para herramientas habilitadas con IA.
• Juntas estatales de licenciamiento — consulte la junta de su estado por requisitos adicionales sobre IA, telesalud o conservación de registros.

Transferencia transfronteriza de datos. Cuando los datos se procesen fuera de EE. UU. o mediante subprocesadores, asegúrese de que el BAA obligue a todos los subprocesadores a condiciones equivalentes a HIPAA y de que se aplique el estándar de mínimo necesario.

Notificación de brechas de datos. Regla de Notificación de Brechas de HIPAA: notifique a las personas afectadas y al HHS (y, en el caso de brechas grandes, a los medios) sin demora injustificada y a más tardar 60 días después de descubrirla.

Apéndice C — Guion de consentimiento y etiqueta de autoría

El ejemplo siguiente está redactado para NovoNote, un asistente de notas con IA cuyo audio nunca se guarda, cuya retención de transcripciones controla la consulta (puede eliminarse tras el uso o conservarse por un período determinado —por ejemplo, siete años o de forma indefinida— para apoyar la continuidad de la atención) y cuyos datos no se usan para entrenar modelos de IA. Adapte la redacción a la herramienta aprobada y a su configuración de retención (registrada en el Anexo). Puede entregar a los pacientes los recursos listos para usar de NovoPsych: el formulario de consentimiento del paciente de NovoNote y la hoja informativa para pacientes de NovoNote (ambos en la página de seguridad de NovoNote).

Guion verbal de consentimiento de ejemplo (ajuste la frase de retención a su configuración):

«En nuestras sesiones uso una herramienta de toma de notas con IA llamada NovoNote para documentar nuestro trabajo con precisión y poder concentrarme en usted en lugar de en escribir. Escucha la sesión y genera un resumen escrito, que reviso y edito antes de que forme parte de su expediente. El audio nunca se guarda. La transcripción de la sesión [se elimina una vez redactado el resumen / se conserva de forma segura como parte de su expediente durante [período] para apoyar su atención]. Su información se almacena de forma segura en Australia y nunca se usa para entrenar modelos de IA. Puede negarse, o cambiar de opinión en cualquier momento, y ello no afectará su atención de ninguna manera. ¿Está de acuerdo con que la use hoy?»

Etiqueta de autoría de ejemplo para el expediente clínico:

«Nota de caso creada con la asistencia de IA (NovoNote), revisada y adoptada por [nombre y título del profesional] el [fecha].»

Preparado por NovoPsych como recurso gratuito para la comunidad de salud mental. Vigente a junio de 2026; información general únicamente, no constituye asesoramiento legal. Más información en novopsych.com.