Intel·ligència artificial i salut: els reptes del nou marc regulador europeu

Laura Busquet Raich
Consorci de Salut i Social de Catalunya

La intel·ligència artificial (IA) està transformant profundament el sector sanitari. Les seves aplicacions en el diagnòstic, la medicina predictiva, la recerca biomèdica o la gestió dels recursos assistencials ofereixen oportunitats extraordinàries per millorar la qualitat de l’atenció i avançar cap a una medicina més personalitzada. Tanmateix, aquest potencial també comporta importants desafiaments jurídics i ètics, especialment perquè aquests sistemes tracten habitualment dades de salut, una de les categories de dades personals que gaudeixen d’una protecció més reforçada.

En aquest context, el marc regulador europeu es fonamenta principalment en dos instruments que han d’aplicar-se de manera complementària: el Reglament general de protecció de dades (RGPD) i el Reglament europeu d’intel·ligència artificial (RIA).

El RGPD estableix les condicions perquè el tractament de dades personals sigui lícit i respecti els drets de les persones, mentre que el RIA introdueix un model específic de regulació de la IA basat en la gestió dels riscos. Lluny de substituir-se, ambdues normes es complementen i exigeixen una interpretació coordinada, especialment en l’àmbit sanitari.

Dos reglaments amb enfocaments diferents

La principal diferència entre ambdós marcs normatius és el seu enfocament. El RGPD se centra en la protecció de les dades personals i dels drets fonamentals, mentre que el RIA regula el desenvolupament i l’ús dels sistemes d’IA i estableix obligacions tècniques i organitzatives en funció del nivell de risc que representen.

Això implica que un sistema d’IA pot complir tots els requisits tècnics exigits pel RIA i, tanmateix, vulnerar la normativa de protecció de dades si tracta informació sense una base jurídica adequada o incompleix principis essencials com la minimització de dades o la limitació de la finalitat.

Per tant, qualsevol projecte d’IA en l’àmbit sanitari ha de ser analitzat simultàniament des de totes dues perspectives.

Sistemes sanitaris d’alt risc

El RIA considera d’alt risc una part significativa dels sistemes d’IA utilitzats en l’àmbit sanitari, especialment aquells destinats al diagnòstic, al suport a la decisió clínica o integrats en productes sanitaris.

Aquesta classificació comporta obligacions reforçades per als proveïdors i desplegadors. Entre d’altres, cal implantar sistemes de gestió del risc durant tot el cicle de vida de l’algoritme, garantir una governança adequada de les dades, assegurar mecanismes de supervisió humana i proporcionar informació suficient perquè els professionals sanitaris comprenguin el funcionament i les limitacions del sistema.

La seguretat i el respecte als drets fonamentals, per tant, no poden confiar-se únicament a mesures correctives adoptades quan el sistema ja està en funcionament, sinó que s’han d’incorporar des del mateix disseny de la tecnologia.

Les principals tensions entre el RGPD i el RIA

Un dels reptes més evidents és la relació entre la qualitat de les dades i el principi de minimització. Els sistemes d’IA necessiten dades diverses i representatives per entrenar-se adequadament i evitar resultats esbiaixats. En canvi, el RGPD obliga a tractar únicament les dades necessàries per a cada finalitat.

No es tracta d’una contradicció, sinó d’una tensió que obliga les organitzacions a justificar que cadascuna de les dades utilitzades és realment necessària per desenvolupar i validar el sistema.

Una altra qüestió rellevant és la transparència. Tant el RGPD com el RIA exigeixen informar sobre el paper de la IA i les conseqüències que poden derivar-se del seu ús. Aquesta exigència, però, s’ha de compatibilitzar amb la protecció dels secrets empresarials i de la propietat intel·lectual.

La transparència no implica revelar el codi font o el funcionament intern complet de l’algoritme. Implica proporcionar informació clara perquè els professionals sanitaris puguin entendre la finalitat del sistema, les seves limitacions, el marge d’error i les situacions en què és necessària una supervisió humana reforçada.

També existeixen dificultats en la distribució de responsabilitats. En el disseny i ús d’un sistema d’IA poden intervenir desenvolupadors, fabricants, proveïdors tecnològics, centres sanitaris i professionals. Quan es produeix un error o una vulneració de drets, no sempre és senzill determinar si la responsabilitat deriva del mateix sistema o de la manera com ha estat desplegat i utilitzat.

Els reptes específics del sector sanitari

La reutilització de dades històriques és un dels principals desafiaments jurídics de la IA sanitària. Molts algoritmes necessiten entrenar-se amb informació clínica recollida durant anys, però aquestes dades sovint van ser obtingudes amb finalitats assistencials i no per desenvolupar sistemes d’IA.

Això obliga a analitzar si la nova finalitat és compatible amb la finalitat inicial i si existeix una base jurídica que legitimi el tractament.

L’entrenament dels algoritmes tampoc és una activitat merament tècnica, sinó un tractament intensiu de dades personals sotmès als principis del RGPD. A més, la qualitat dels conjunts de dades condiciona els resultats del sistema i pot generar biaixos discriminatoris si determinats grups de població no hi estan adequadament representats.

Finalment, continua sent difícil aconseguir una anonimització efectiva de les dades de salut. Fins i tot després d’eliminar els identificadors directes, la combinació de diferents variables pot permetre reidentificar una persona. Per aquest motiu, la pseudonimització és una mesura habitual de seguretat, però no exclou l’aplicació del RGPD.

Una governança integrada

L’èxit de la IA en el sector sanitari dependrà de la capacitat de les organitzacions per integrar les exigències del RGPD i del RIA en els seus models de governança. Això implica incorporar la protecció de dades, la gestió del risc i el compliment normatiu des de les primeres fases del projecte, reforçar la supervisió humana i adoptar una cultura de responsabilitat proactiva.

Només així serà possible aprofitar el potencial de la IA per millorar l’assistència sanitària sense comprometre la confiança dels pacients ni la protecció efectiva dels seus drets fonamentals.