La Unión Europea se caracteriza por adoptar marcos regulatorios que tienen un enfoque garantista, centrados en la protección de los derechos de los ciudadanos y en la dimensión ética de la regulación. Esto se manifiesta en diversas áreas, como los derechos de propiedad intelectual, donde se reconocen los derechos morales de los autores, asegurando que las personas físicas mantengan una conexión personal con sus obras, independientemente de su explotación comercial. En cambio, los países anglosajones, como Estados Unidos y Reino Unido, tienden a enfocarse más en los aspectos comerciales de la propiedad intelectual, priorizando su explotación económica y los derechos patrimoniales, a menudo con menor énfasis en los derechos morales. Esta diferencia refleja una divergencia cultural y jurídica en la protección de los derechos intelectuales entre la UE y los países anglosajones.

Sin embargo, este enfoque implica una hiperregulación que, en cierta medida, puede dificultar el desarrollo de innovaciones como la salud digital, especialmente para las pequeñas empresas, el sector público y el sector de investigación. Estos actores se ven a menudo obligados a adaptarse a nuevas normativas protectoras con recursos limitados, lo que supone un reto adicional. La necesidad de cumplir con un nombre creciente de regulaciones en el contexto de la revolución digital puede frenar su crecimiento y su capacidad de innovar.

Algunas de las reglamentaciones que actualmente deben tenerse en cuenta en el desarrollo de salud digital son las que veremos a continuación.

Reglamento General de Protección de Datos (RGPD)

El Reglamento General de Protección de Datos (RGPD) tiene como principal objetivo garantizar la protección y privacidad de los datos personales de los ciudadanos de la Unión Europea. Este reglamento establece normas estrictas sobre cómo las organizaciones deben recoger, almacenar, gestionar y procesar datos personales, con el fin de dar a los ciudadanos un mayor control sobre su información. Además, el RGPD se aplica tanto a empresas dentro de la UE como a aquellas fuera de ella que traten datos de ciudadanos europeos, asegurando así una protección uniforme y robusta en un entorno cada vez más digitalizado. La RGPD establece tres figuras que son el responsable y el encargado de tratamiento de datos así como el delegado de protección de datos.

Espacio Europeo de Datos Sanitarios

La confianza es esencial para el éxito del Espacio Europeo de Datos Sanitarios (EEDS), que ofrecerá un marco seguro para el acceso y la gestión de datos sanitarios. Basado en normativas como el RGPD, la Ley de Gobernanza de Datos, la Ley de Datos y la Directiva sobre sistemas de redes e información, el EEDS proporcionará normas específicas para el sector sanitario, atendiendo a la sensibilidad de los datos. Incluirá opciones de exclusión voluntaria: en el uso primario, los Estados miembros podrán optar por una exclusión total, mientras que en el uso secundario se encontrará un equilibrio entre los deseos de los pacientes y la disponibilidad de datos para el interés público .

Reglamentación europea de Inteligencia Artificial (AI Act)

La reglamentación europea de Inteligencia Artificial (AI Act) busca establecer un marco seguro y ético para el uso de la IA en la Unión Europea, asegurando la protección de los derechos fundamentales y fomentando la innovación responsable. Este reglamento clasifica los sistemas de IA en función de su riesgo: desde aplicaciones de alto riesgo, que estarán sujetas a requisitos estrictos de transparencia, seguridad y supervisión, hasta aplicaciones prohibidas, como los que impliquen vigilancia masiva o manipulación del comportamiento. El AI Act pretende garantizar que las aplicaciones de IA se desarrollen y utilicen con transparencia y respeto para los ciudadanos europeos, a la vez que impulsa la competitividad y la innovación en el sector tecnológico de la UE.

Accesibilidad

Las normativas y recomendaciones en salud digital establecen estándares clave para garantizar la accesibilidad e inclusión tecnológica. Entre ellas, las WCAG 2.1 (Web Content Accessibility Guidelines), elaboradas por el consorcio W3C, proporcionan pautas internacionales que buscan hacer los contenidos digitales accesibles para personas con discapacidades físicas, sensoriales o cognitivas, siendo especialmente relevantes para los activos del sector público. En España, el Real Decreto 1112/2018 regula la accesibilidad en los sitios web y aplicaciones móviles de las administraciones públicas, exigiendo el cumplimiento de las WCAG 2.1 para asegurar la igualdad de acceso a la información para toda la ciudadanía. Complementando estas normativas, la Norma EN 301 549 V3.2.1, de alcance europeo, especifica requisitos técnicos para evaluar la accesibilidad de productos y servicios TIC, siendo aplicada en Cataluña para garantizar que los activos digitales del sistema sanitario cumplan con los estándares de inclusión y accesibilidad tecnológica.

Seguridad

Las recomendaciones de seguridad en el ámbito de la salud digital integran estándares internacionales que garantizan la protección de datos, la calidad de los productos y la gestión de riesgos. La ISO/IEC 27001 establece un marco robusto para implementar sistemas de gestión de seguridad de la información (SGSI), asegurando la confidencialidad, integridad y disponibilidad de los datos. Complementariamente, la CEN ISO/TS 82304-2 se centra en la calidad y seguridad de las aplicaciones de salud, proporcionando directrices para evaluar aspectos críticos como la protección de la privacidad y la usabilidad de los productos digitales. Por último, la ISO 14971:2019 guía la gestión de riesgos en dispositivos médicos, incluyendo software sanitario, para identificar, evaluar y mitigar posibles peligros que puedan comprometer la seguridad del paciente o del usuario final. Estas normativas trabajan de manera conjunta para garantizar un entorno digital seguro y confiable en el sector sanitario.

Cibersecurity Act

La Reglamentación de Ciberseguridad de la Unión Europea (Cybersecurity Act) tiene como objetivo reforzar la seguridad digital en toda la UE, estableciendo un marco normativo claro para proteger las infraestructuras críticas, los servicios digitales y los dispositivos conectados frente a las amenazas cibernéticas. Este reglamento proporciona a la UE una agencia de ciberseguridad (ENISA) con más competencias para
apoyar a los Estados miembros en la prevención y respuesta a incidentes cibernéticos. Además, crea un sistema de certificación europeo para garantizar que los productos y servicios digitales cumplan con altos estándares de seguridad, protegiendo tanto a las organizaciones como a los ciudadanos en un mundo cada vez más interconectado.

Aplicaciones de salud y bienestar: calidad y fiabilidad

La CEN-ISO/TS 82304-2 establece directrices para garantizar la calidad y seguridad de las aplicaciones de salud digital, centrándose en aspectos como la funcionalidad, protección de la privacidad, seguridad de los datos, usabilidad y confiabilidad del software. Promueve un enfoque basado en la evaluación integral de los riesgos y beneficios para el usuario, asegurando que las aplicaciones cumplan con los estándares técnicos y éticos necesarios para ofrecer un servicio seguro, efectivo y confiable en el ámbito de la salud.

Con la rápida innovación en modelos de lenguaje (LLM), las empresas están explorando activamente casos de uso y desplegando sus primeras aplicaciones de IA generativas en producción. Destacar cuatro tipos de aproximaciones de aplicación de la IA generativa empleando LLM, dependiendo de las capacidades (perfiles), las herramientas y la capacidad de inversión de las empresas. 

En la gráfica siguiente se reproduce la clasificación de implementaciones de Fiddler:

Fuente: Fiddler

Cinco enfoques para emplear LLMs en producción

• Ingeniería de Prompt con contexto: Muchas empresas comienzan su viaje con este enfoque, ya que es el más rentable y eficiente en tiempo. Implica llamar directamente a proveedores de IA externos como OpenAI, Cohere o Anthropic con un prompt. Este método es común para casos generales de lenguaje natural, pero puede volverse costoso con un alto tráfico.

• Generación Aumentada por Recuperación (RAG): Para respuestas específicas del dominio, las empresas pueden usar RAG para mejorar los prompts con datos externos, reduciendo el riesgo de alucinaciones y mejorando la calidad de las respuestas.

• Modelos de código abierto ejecutados localmente se implementan plataformas que permiten crear grandes modelos gráficos personalizados o modelos de inteligencia artificial diseñados para trabajar con datos estructurados. Pero para que la interfaz sea más fácil se utiliza una versión de miles millones de parámetros del LLM de código abierto, como Falcon y lo ejecuta en su propio entorno.

• Modelo con ajuste fino: A medida que aumenta la cantidad de datos empresariales y la criticidad del caso de uso, ajustar finamente un LLM ofrece un mejor retorno de la inversión al absorber el conocimiento del conjunto de datos ajustado en el modelo mismo.

• Entrenar un modelo: Para casos específicos del dominio con abundante información, entrenar un LLM desde cero ofrece la mejor calidad, pero es el método más costoso y complejo.

Estos enfoques de despliegue seguirán evolucionando a medida que se lancen nuevas optimizaciones y herramientas para LLM. A medida que esto suceda, veremos más empresas adoptando opciones de implementación de LLM con productos de mayor calidad a un costo más económico y con un tiempo de llegada al mercado más rápido.

• Four Ways that Enterprises Deploy LLMs
• Información general: Implementación de modelos, flujos y aplicaciones web con Inteligencia artificial de Azure Studio
• Modelos de lenguaje grande (LLM): guía completa en 2023
• Cinco formas de implementar su propio modelo LLM

• Gen AI
• LLM

El nuevo marco metodológico presentado a finales del 2023, tiene como objetivo la Evaluación de Tecnologías Sanitarias digitales (ETSd) dentro del ámbito del Sistema Nacional de Salud (SNS). Su alcance se ha definido en consonancia con el Evidence Standard Framework del NICE, abarcando aplicaciones para móviles, software autónomo (Software as a Medical Device, SaMD), herramientas en línea para tratamiento o diagnóstico, y programas para analizar datos de dispositivos médicos. Sin embargo, excluye la evaluación de software integrado en productos sanitarios, TSD destinadas a la formación de profesionales de la salud, y aquellas orientadas a la recopilación de datos para estudios de investigación. 

Este marco metodológico puede aplicarse a todas las TSD en servicio en el SNS con propósitos médicos, de salud o de eficiencia del sistema, abarcando tecnologías terapéuticas y de diagnóstico, dispositivos médicos, diagnósticos in vitro, y tecnologías de cribado, ya sea con beneficios para la población en general o para usuarios individuales del servicio. Es crucial destacar que este enfoque metodológico no reemplaza ningún proceso regulador, sino que se concibe para ser utilizado en conjunto con los requisitos de regulación.  

Clasificación de las Tecnologías Sanitarias Digitales (TSD) según finalidad de uso

La clasificación de las TSD se realiza según su finalidad de uso y permite estratificarlas en 3 niveles (A, B y C) en función del riesgo potencial para los usuarios de los servicios y para el sistema. De ese modo, el nivel de evidencia necesario para cada nivel es proporcional al riesgo potencial para los usuarios de las TSD de ese nivel. Según esta clasificación, la mayoría de los dispositivos médicos y de diagnósticos in vitro (IVD) regulados se encuentran en el nivel C (mayor riesgo). Para facilitar su comprensión, la guía de usuario describe cada grupo de clasificación con más detalle y ofrece algunos ejemplos.

 Dominios, dimensiones y subdimensiones a considerar en la ETSd 

Hay en total 13 dominios, 41 dimensiones y 9 subdimensiones. Cabe señalar que cualquiera de los ítems de evaluación, ya sea un dominio, dimensión o subdimensión, pueden ser evaluados en cualquier TSD, indistintamente de los niveles de clasificación. En la siguiente figura se representa la totalidad de dominios, dimensiones y subdimensiones a considerar en la ETSd mediante un esquema, resaltando
en color azul claro aquellas dimensiones de especial relevancia para la evaluación de soluciones con IA. En la sección Definición de los dominios, dimensiones y subdimensiones se profundiza con la descripción de cada uno de los elementos, detallando su definición, algunas preguntas orientativas que pueden ayudar en el proceso de evaluación o las fuentes de información que pueden utilizarse para abordar la evaluación de cada dominio

En el documento se describe una definición de los dominios, dimensiones y subdimensiones y cómo evaluarlas,así como la relación de cada elemento con el reglamento de dispositivo médico.

Niveles de evidencia a considerar en la ETSd 

Aunque el presente marco metodológico de evaluación está pensado para tecnologías maduras que se encuentran en el mercado (TRL 8-9), los estándares de evidencia de esta sección se presentan en grupos relacionados
con las fases del ciclo de vida de la TSD, para facilitar la generación de evidencia de cara a la evaluación desde fases más tempranas de desarrollo de la tecnología.
Hay 21 estándares organizados en 5 grupos (figura 15):

Factores de diseño: los 9 estándares identifican aspectos clave del proceso de diseño que repercuten en el valor de la TSD para el sistema sanitario y asistencial, entre ellos garantizar que la tecnología cumple con los estándares técnicos adecuados de seguridad y fiabilidad. Los estándares del 1 al 6 se aplican a las TSD de nivel A, B y C. Los estándares del 7 al 9 no se aplican a las TSD de nivel A.

Descripción del valor: los 4 estándares se aplican a todos los niveles y proporcionan información para desarrollar la propuesta de valor
de la TSD. Los estándares del 10 al 13 se aplican a las TSD de nivel A, B y C.

Demostración del rendimiento: los estándares del 14 al 16 están diseñados para ayudar a garantizar que la TSD cumpla con las expectativas de rendimiento. El estándar 14 solo se aplica a las TSD
de nivel C. Los estándares 15 y 16 se aplican a las TSD de nivel A, B y C.

Aporte de valor: los 2 estándares se aplican a las TSD de todos los niveles y sirven para explicar cómo las TSD deben demostrar su rentabilidad.

Consideraciones sobre la implantación: los 3 estándares contribuyen a garantizar que las ventajas que se atribuyen a la TSD puedan materializarse en la práctica, y se aplican a todos los 3 niveles.

El Consejo y el Parlamento Europeo llegaron a un acuerdo provisional sobre el "Reglamento de Inteligencia Artificial"considerado el primer conjunto de normas a nivel mundial en este ámbito, el pasado 8 de diciembre, . El objetivo es asegurar la seguridad y el respeto a los derechos fundamentales en los sistemas de inteligencia artificial (IA) introducidos en el mercado europeo. Se busca estimular la inversión e innovación en este campo.