Análisis del marco de IA en la atención sanitaria del Reino Unido: obligaciones del producto

El fallo más aburrido de la IA hospitalaria también es el más caro: una herramienta funciona lo suficientemente bien en un piloto, y luego nadie puede decir quién la está vigilando después del lanzamiento. MobiHealthNews informa que una propuesta de una comisión del Reino Unido para regular la IA en la atención sanitaria pide supervisión durante todo el ciclo de vida, notificación de incidentes de seguridad de la IA, requisitos de ciberseguridad más sólidos y formación para los usuarios. Eso no es una instrucción para comprar una carpeta de políticas más gruesa. Es una advertencia de que la superficie operativa de la IA en la atención sanitaria se está convirtiendo en parte del producto.

Una propuesta con dos relojes regulatorios

MobiHealthNews describe el marco del Reino Unido para la IA en la atención sanitaria como una propuesta, y su cobertura no indica una fecha de entrada en vigor. Eso importa, porque propuesto no es lo mismo que aplicable, una distinción que suele desaparecer en los paneles de conferencias.

Legal Nodes dice que el Reino Unido está trabajando en un marco específico para el sector que depende de los reguladores existentes para crear reglas adaptadas a la IA en la atención sanitaria. En paralelo, Tandem Health dice que la Ley de IA de la UE, Reglamento UE 2024/1689, fue adoptada por el Parlamento Europeo en marzo de 2024 y publicada en el Diario Oficial de la Unión Europea en julio de 2024, mientras que Legal Nodes dice que la mayoría de las herramientas de IA sanitaria están en la categoría de alto riesgo, con normas que empiezan a ser aplicables desde febrero de 2025 y plazos clave que se extienden hasta julio de 2025.

La consecuencia práctica es conocida: los proveedores y hospitales del Reino Unido pueden estar preparándose para un marco sectorial nacional mientras también venden a, compran de o se comparan con el régimen de la UE. La respuesta sensata no es fingir que los dos sistemas son idénticos. Es diseñar la evidencia una vez y luego asignarla cuidadosamente a cada exigencia: documentación de dispositivos médicos, gobernanza de IA, revisión de seguridad clínica, documentación de privacidad y garantía de contratación.

La supervisión pertenece al expediente del producto

ASCO AI in Oncology informa que Health AI Partnership ha propuesto un Marco de Divulgación de Proveedores de IA para sistemas de salud, que cubre qué hace una herramienta, cómo se probó, qué sucede con los datos de la organización, qué requiere la integración, cuánto cuesta y quién la supervisa después del lanzamiento. Esa última pregunta es donde muchos pilotos se convierten en problemas de contratación.

Si la supervisión no está presupuestada, dotada de personal y respaldada técnicamente, el hospital ha comprado una promesa sin un panel de control detrás. Por lo tanto, para los proveedores, la supervisión del ciclo de vida debe diseñarse antes de que el equipo de ventas prometa la implementación.

Un contrato debería poder identificar el uso previsto, los usuarios previstos, las poblaciones afectadas, la evidencia de las pruebas, los compromisos de gestión de datos y la responsabilidad de supervisión posterior al lanzamiento, porque esas son las preguntas que ASCO dice que se está animando a hacer a los equipos de contratación. Para los hospitales, el mismo punto funciona a la inversa: no acepten una demostración como prueba de que la herramienta puede operarse de forma segura en su entorno. Pregunten quién recibe las señales de rendimiento, quién puede pausar el uso y qué debe proporcionar el proveedor cuando el sistema cambia.

Los incidentes, los controles cibernéticos y la formación no son misiones secundarias

MobiHealthNews informa que la propuesta del Reino Unido pide notificación de incidentes de seguridad de la IA, requisitos de ciberseguridad más sólidos y formación de usuarios. Leído de forma sencilla, eso significa que la respuesta a incidentes no puede comenzar cuando un clínico plantea una preocupación en una reunión. Los productos deben respaldar la investigación, la revisión de seguridad y el escalamiento de formas que los equipos clínicos, de gobernanza de la información y de proveedores puedan usar realmente. La ley quizá aún no detalle cada punto, pero el expediente de contratación no tolerará espacios en blanco.

Layer3 Labs señala que, según el RGPD del Reino Unido y de la UE, los datos de salud son datos de categoría especial, el tratamiento está prohibido por defecto, y las organizaciones necesitan tanto una condición del Artículo 9 como una base jurídica del Artículo 6 antes de ejecutar IA sobre datos de pacientes o de salud. Su guía también apunta a deberes específicos de IA en torno a evaluaciones de impacto, contratos con proveedores, transferencias internacionales y decisiones automatizadas.

En la práctica, la notificación de incidentes y la ciberseguridad están vinculadas al cumplimiento de la privacidad, no son algo paralelo. Si un proveedor no puede explicar adónde van los datos de salud, qué dicen las condiciones del encargado del tratamiento y cómo se controla el acceso desde el extranjero, la conversación sobre seguridad de la IA ya ha adquirido un problema de protección de datos.

Los argumentos sobre el alcance se harán más estrechos

Digital Colliers dice que la primera pregunta regulatoria para los proveedores de IA sanitaria en Europa es si el sistema es un dispositivo médico, y señala que la IA destinada al diagnóstico, tratamiento o seguimiento de enfermedades o lesiones, o a la toma de decisiones clínicas, suele clasificarse así en la UE. Legal Nodes dice por separado que la Ley de IA de la UE coloca a la mayoría de las herramientas de IA sanitaria en la categoría de alto riesgo. Estas no son pruebas idénticas, y esa es precisamente la molestia.

Un producto puede enfrentarse al análisis como dispositivo médico, a las obligaciones de la Ley de IA, a las obligaciones del RGPD y al escrutinio de contratación hospitalaria al mismo tiempo. Por lo tanto, la preparación útil es prosaica. Mantengan una declaración de uso previsto que los equipos de producto, regulación y ventas no puedan reescribir discretamente. Mantengan evidencia de pruebas que nombre la población y el entorno, no solo la métrica. Integren la formación de usuarios en la implementación, especialmente cuando la herramienta afecta decisiones clínicas u operativas. Sigan el próximo paso de la propuesta del Reino Unido, pero no esperen al primer aviso de ejecución para descubrir que la supervisión, la notificación, la seguridad y la formación deberían haberse diseñado dentro del plan de lanzamiento.