RGPD e IA en la recepción de una clínica dental: lo que tienes que comprobar
Lo que un paciente cuenta por teléfono suele incluir datos de salud. Si una inteligencia artificial atiende esas llamadas, tu clínica sigue siendo la responsable de esos datos, aunque el sistema sea de otro.
Por qué la recepción es un tema de RGPD
«Llamo porque me duele una muela desde ayer» ya es un dato de salud. Los datos de salud son una categoría especial según el artículo 9 del RGPD y piden más cuidado que un nombre o un teléfono.
Cuando contratas un servicio que atiende esas llamadas, tu clínica es la responsable del tratamiento y el proveedor es el encargado. Eso obliga a firmar un contrato con lo que marca el artículo 28 antes de la primera llamada.
Lo que tienes que comprobar
| Tema | Lo que esperas del proveedor |
|---|---|
| Dónde están los datos | Servidores en la UE, o garantías de transferencia por escrito (arts. 44–46). |
| Contrato de encargado | Firmado antes de empezar, con el contenido del art. 28. |
| Subencargados | Lista con nombres (voz, IA, telefonía) y aviso antes de cambiarla (art. 28.2). |
| Grabaciones | Qué se graba o transcribe, quién accede y cómo se avisa al paciente. |
| Plazo de borrado | Un plazo concreto y borrado automático. |
| Entrenamiento de modelos | Que los datos de tus pacientes no se usan para entrenar, y que lo diga el contrato. |
| Fin del servicio | Devolución o borrado de los datos, a tu elección y certificado (art. 28.3.g). |
| Seguridad y brechas | Cifrado, control de accesos y aviso sin demora para que puedas notificar a la AEPD en 72 horas (arts. 32 y 33). |
El aviso de que habla con una IA
Desde el 2 de agosto de 2026, el artículo 50.1 del Reglamento de IA obliga a que quien habla con un sistema de IA sepa que lo está haciendo. En la práctica: la recepcionista virtual se presenta como tal al empezar la llamada, y el paciente puede pedir hablar con una persona.
Señales de alarma
- «Eso no hace falta, los datos son anónimos.» La voz y el teléfono del paciente no lo son.
- No hay contrato de encargado o te lo mandan «más adelante».
- No sabe decirte dónde están los servidores ni qué empresas intervienen.
- No hay un plazo de borrado de las grabaciones.
¿Necesito una evaluación de impacto?
Depende del volumen y del tipo de tratamiento. El artículo 35 la exige cuando un tratamiento puede suponer un alto riesgo. Pregúntaselo a tu delegado de protección de datos o a tu asesor antes de empezar.
Las 10 preguntas para cualquier proveedor de IA, en una checklist para imprimir y apuntar sus respuestas.
Esto es información general, no asesoramiento legal. Revísalo con tu delegado de protección de datos o tu asesor.