IA i RGPD: pots fer servir IA amb dades de pacients?
És la pregunta que ens fan totes les clíniques: "puc tenir una IA que toqui dades de pacients?". La resposta curta és sí, però amb condicions. Aquí tens les que importen, sense lletra petita.
Minimitza i justifica
L'RGPD demana tractar només les dades estrictament necessàries per a la finalitat. Una recepcionista IA no necessita l'historial clínic complet per agendar una cita: només el mínim per identificar el pacient i trobar-li hora.
On es desen les dades
Que les dades es processin i es desin a la Unió Europea és clau. A Noema el processament sensible és self-hosted a Europa, i les dades de salut no surten cap a serveis de tercers fora de la UE.
| Pregunta | Què has de poder ensenyar |
|---|---|
| Quina base legal tens? | Per a dades de salut cal un supòsit de l'article 9; no n'hi ha prou amb el consentiment genèric de sempre |
| On es processen les dades? | El país de cada proveïdor, i les garanties si en surten de la UE |
| Amb qui has signat contracte de tractament? | Un ATD amb cada proveïdor que hi toqui: allotjament, model d'IA, missatgeria, calendari |
| Quant temps es conserven? | Un termini escrit i una purga que s'executa sola, no de paraula |
| Com atens un dret de supressió? | Un procediment i un termini; el RGPD en dona un mes |
| Ho tens al registre d'activitats? | El ROPA actualitzat amb el tractament nou, i una avaluació d'impacte si el risc ho demana |
Contracte de tractament i drets
Qualsevol proveïdor que toqui dades per tu ha de signar un contracte de tractament (DPA) i respectar els drets del pacient que fixa l'autoritat de protecció de dades: accés, rectificació i supressió. Si un proveïdor no te'l vol signar, és un senyal d'alarma.
Preguntes freqüents
Puc fer servir ChatGPT amb dades de pacients?
No amb el compte personal de sempre: no tens contracte de tractament, no controles on van les dades i pots estar alimentant l'entrenament d'un model. Amb un contracte empresarial i les condicions adequades és una conversa diferent, però és una decisió que s'ha de documentar abans, no després.
Cal fer una avaluació d'impacte (DPIA)?
Sovint sí. El tractament sistemàtic de dades de salut és un dels supòsits que l'apunten, i les autoritats de control publiquen llistes de casos on és obligatòria. Fer-la costa menys del que sembla i és el document que et demanaran primer si algun dia hi ha una inspecció.
Els pacients han de saber que parlen amb una IA?
Sí, i des del 2 d'agost de 2026 és una obligació expressa de l'article 50 del Reglament (UE) 2024/1689. A la pràctica, l'agent ho ha de dir al primer missatge, sense esperar que li preguntin.
Si el proveïdor és nord-americà, ja està tot perdut?
No, però ho has de saber i tenir-ho cobert: mecanisme de transferència, contracte i transparència cap al pacient. El problema mai és que el proveïdor sigui de fora; és no poder explicar on van les dades quan t'ho pregunten.
Tens dubtes amb el teu cas concret?
T'expliquem com tractem les dades i et passem la documentació de compliment.
Demo gratuïta