IA y cumplimiento en odontología: qué te exige hoy la ley, qué cambia y cómo seguirle el paso

Hoy, lo que de verdad te obliga cuando usas inteligencia artificial en la clínica es el RGPD, no el reglamento europeo de IA: las obligaciones de ese reglamento que afectan a los sistemas dentales de diagnóstico no serán exigibles hasta el 2 de agosto de 2028. Eso no quiere decir que puedas esperar. Quiere decir que el trabajo de hoy es otro: saber qué herramientas tratan datos de tus pacientes, con qué contrato y con qué marcado. Y hay un segundo problema, menos comentado que el primero. No es entender la norma. Es seguirle el paso.

Puntos clave

• La obligación que ya te afecta hoy es la protección de datos. Una radiografía es un dato de salud, y cada herramienta que la procesa por ti necesita un contrato de encargado del tratamiento.
• El reglamento europeo de IA ya está en vigor, pero sus obligaciones para los programas dentales de alto riesgo se aplazaron: son exigibles desde el 2 de agosto de 2028.
• Un programa que ayuda a diagnosticar es, casi siempre, un producto sanitario de clase IIa o superior. Por eso es de alto riesgo, y por eso su marcado CE es lo primero que hay que comprobar.
• Ninguna norma te exige hoy, de forma expresa, decirle al paciente que una IA ha revisado su radiografía. El RGPD sí te obliga a informarle de quién trata sus datos.
• Los asistentes generalistas como ChatGPT no son productos sanitarios. Sirven para redactar, no para introducir datos identificables de pacientes.
• Las fechas ya se han movido una vez y se moverán más. Estar al día no puede depender de que cada dentista lea el Diario Oficial de la UE.

¿Qué normas afectan a un dentista que usa IA?

Tres normas europeas y dos españolas. Cada una mira una cosa distinta, y ninguna sustituye a las demás.

Hay una asimetría en esa tabla que conviene ver pronto. La norma con más titulares, la de IA, es la que menos te exige hoy. La que menos ruido hace, la de protección de datos, es la que ya te obliga, la que tiene autoridad de control con años de práctica y la que se aplica a cualquier herramienta, sea o no de alto riesgo.

¿Qué me exige la ley hoy, en octubre de 2026?

Tres cosas del RGPD y una del reglamento de IA.

La radiografía es un dato de salud. El artículo 9 del RGPD coloca los datos de salud en una categoría especial, con más exigencias que un nombre o un teléfono. Cuando subes una radiografía a un programa que la analiza en la nube, estás comunicando un dato de salud a un tercero.

Cada proveedor que trata datos por ti necesita un contrato. El artículo 28 del RGPD lo llama encargado del tratamiento, y exige un contrato por escrito que diga qué hace con los datos, dónde los guarda, con quién los comparte y qué pasa con ellos cuando termina el servicio. Un software de lectura de imagen, un sistema de dictado clínico o un programa de gestión con funciones de IA son, casi siempre, encargados del tratamiento. Si no tienes ese contrato firmado, el problema existe hoy, no en 2028.

Encargado del tratamiento

Persona o empresa que trata datos personales por cuenta de otro, que es el responsable y quien decide para qué se usan. En una clínica, el responsable es la clínica y el encargado es, por ejemplo, el proveedor de un programa que analiza radiografías en sus servidores. La ley exige entre ambos un contrato escrito que fije qué puede y qué no puede hacer el proveedor con esos datos.

El paciente tiene derecho a saber quién trata sus datos. Los artículos 13 y 14 del RGPD obligan a informar de los destinatarios de los datos. Si una empresa externa procesa sus radiografías, esa información tiene que estar en tu cláusula de protección de datos. Revísala: muchas se redactaron antes de que existiera la herramienta.

Y la evaluación de impacto, depende. La Agencia Española de Protección de Datos considera que un tratamiento requiere, en la mayoría de los casos, una evaluación de impacto cuando reúne dos o más criterios de su lista. Tratar datos de salud es uno. Usar tecnologías nuevas es otro. Pero el propio RGPD, en su considerando 91, aclara que el tratamiento de datos de pacientes por un solo médico u otro profesional sanitario no debe considerarse a gran escala, y que en ese caso la evaluación no debe ser obligatoria. Entre la consulta individual y la cadena de clínicas hay mucho terreno, y aquí no tengo una respuesta general que darte: es una pregunta para tu delegado de protección de datos, si lo tienes. Y si tu centro está obligado a llevar historias clínicas y no ejerces a título individual, la Ley Orgánica 3/2018 te obliga a tenerlo.

Del reglamento de IA, hoy te afecta sobre todo la formación. Su artículo 4, en la redacción que le dio el Reglamento 2026/1744, pide a quienes usan sistemas de IA que adopten medidas para apoyar la alfabetización en IA de su personal. La versión original exigía garantizar un nivel suficiente; la actual es más flexible, y no fija un contenido ni un número de horas. En la práctica: que quien use la herramienta en tu clínica sepa qué hace, qué no hace y cuándo desconfiar de ella.

Hay una obligación más, poco conocida, que ya se aplica desde el 2 de agosto de 2026. El artículo 50 exige que se advierta cuando un contenido es una ultrasuplantación: una imagen, un audio o un vídeo generado por IA que parece real. Si tu clínica publica en redes una sonrisa «después del tratamiento» fabricada con IA, tiene que decirlo. Y si un asistente conversacional atiende a tus pacientes en la web, el fabricante debe haberlo diseñado para que se sepa que se habla con una máquina.

¿Qué cambia con el reglamento europeo de IA, y cuándo?

El reglamento clasifica los sistemas de IA por niveles de riesgo, y los de alto riesgo acumulan casi todas las obligaciones. Un sistema dental entra en esa categoría por una vía indirecta: la del producto sanitario.

El reglamento de productos sanitarios, en su regla 11, clasifica como clase IIa, como mínimo, el software que proporciona información que se usa para tomar decisiones diagnósticas o terapéuticas. La clase IIa exige que un organismo notificado evalúe el producto antes de venderlo. Y el reglamento de IA considera de alto riesgo a todo sistema que sea un producto de ese tipo y necesite esa evaluación por un tercero. El grupo de coordinación europeo de productos sanitarios lo confirmó en su guía MDCG 2025-6. Conclusión: un programa que marca caries o lesiones periapicales es, casi siempre, un sistema de IA de alto riesgo.

Anexo I y anexo III del reglamento de IA

Son las dos puertas por las que un sistema entra en la categoría de alto riesgo. El anexo I recoge la legislación de productos ya regulados, como los productos sanitarios, y un sistema de IA que forma parte de ellos es de alto riesgo si ese producto necesita evaluación por un organismo notificado. El anexo III enumera usos concretos, como la selección de personal o el acceso a servicios esenciales. Los programas dentales de diagnóstico entran por el anexo I.

Lo que el reglamento te pedirá como usuario de un sistema de alto riesgo está en su artículo 26:

• Usarlo conforme a las instrucciones del fabricante.
• Encargar su supervisión a personas con la competencia, la formación y la autoridad necesarias.
• Vigilar su funcionamiento e informar al fabricante si detectas un riesgo o un incidente grave.
• Conservar los registros que el sistema genere automáticamente, al menos seis meses.
• Si tienes empleados, informarles antes de ponerlo en marcha.

Para los sistemas que entran por el anexo I, como los dentales, esas obligaciones son exigibles desde el 2 de agosto de 2028. Para los del anexo III, desde el 2 de diciembre de 2027. Las dos fechas son las del Reglamento (UE) 2026/1744, que aplazó las originales. Un detalle práctico: si algún día usas un programa para filtrar currículos, ese uso entra por el anexo III, y la fecha que te afecta es la de 2027.

Ninguna de las dos cosas cambia lo esencial. El marcado CE es del fabricante; la supervisión es tuya.

¿Tengo que decirle al paciente que uso IA?

Hoy, ninguna norma te lo exige de forma expresa para un programa de diagnóstico dental. El reglamento de IA solo obliga a informar a la persona afectada en los sistemas del anexo III (artículo 26.11), y los dentales entran por el anexo I. El RGPD te obliga a informar de quién trata sus datos, que no es lo mismo que informar de que un algoritmo ha revisado la imagen.

Dicho esto, hay buenas razones para contarlo, y ninguna es legal. La primera es que el paciente acabará preguntando, y es mejor que la respuesta la tengas pensada. La segunda es que decir «un programa me ayuda a revisar la radiografía, y la decisión es mía» describe exactamente lo que pasa, y deja claro dónde está la responsabilidad. La tercera es que el proyecto de ley orgánica que el Gobierno remitió a las Cortes en 2026 insiste, para el ámbito sanitario, en preservar la autonomía del paciente y la del profesional. La dirección del legislador es clara aunque la obligación concreta todavía no exista.

El consentimiento informado de la Ley 41/2002 no cambia: el paciente consiente el tratamiento que tú indicas, no la herramienta con la que lo has decidido.

¿Y si uso ChatGPT u otro asistente generalista?

Los asistentes de uso general no son productos sanitarios, no tienen marcado CE para uso clínico y no están diseñados para tratar datos de salud. Son útiles para redactar una carta, preparar una explicación para un paciente o resumir un artículo. El límite es sencillo de enunciar y fácil de saltarse: no introduzcas nada que permita identificar a un paciente.

Una radiografía con nombre, una historia con fecha de nacimiento o un caso tan singular que se reconoce solo son datos de salud identificables. Si los introduces en una cuenta personal de un asistente generalista, lo más probable es que no tengas contrato de encargado del tratamiento, que no sepas dónde se guardan y que no puedas garantizar que no se usen para otra cosa. Algunas versiones profesionales de estos servicios ofrecen contrato y garantías de uso de datos. Aun así, antes de usarlas con información clínica, conviene que alguien que entienda de protección de datos revise ese contrato.

¿Por qué es tan difícil estar al día?

Un dentista general ya tiene que seguir la evidencia de la endodoncia, la periodoncia, la implantología, la ortodoncia y la odontopediatría, además de la normativa sanitaria de siempre. Ahora se le añade un reglamento europeo de 113 artículos y 13 anexos, otro de productos sanitarios, las guías de la autoridad de protección de datos y una ley española en tramitación. Nadie puede seguir todo eso por su cuenta, y no es razonable pedírselo.

El ejemplo más claro de lo difícil que es lo dio la propia administración europea. La guía oficial sobre la relación entre el reglamento de IA y los productos sanitarios, la MDCG 2025-6, fijaba la fecha de aplicación para los sistemas de alto riesgo sanitarios el 2 de agosto de 2027. El Reglamento 2026/1744 la trasladó a 2028. Quien lea hoy la guía oficial, sin saber lo que pasó después, trabajará con una fecha equivocada.

Y hay piezas que todavía faltan. El proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial, que designa a la Agencia Española de Supervisión de la Inteligencia Artificial como autoridad principal y fija el régimen de sanciones, sigue en tramitación parlamentaria. Las normas técnicas armonizadas que los fabricantes necesitan para certificar sus sistemas tampoco están completas: fue una de las razones del aplazamiento.

Por eso hace falta un repositorio: un lugar escrito para clínicos, no para juristas, donde consultar qué está vigente y qué ha cambiado. Ese es el propósito de esta sección de la web. Mientras tanto, una regla práctica: ante cualquier fecha que leas sobre el reglamento de IA, mira si el texto es anterior o posterior a julio de 2026. Si es anterior, probablemente esté desactualizado.

¿Por dónde empiezo a cumplir?

Por lo que ya es exigible. Seis pasos, en este orden:

1. Haz inventario. Anota qué herramientas con IA se usan en tu clínica, incluidas las funciones de IA de tu programa de gestión, y quién las usa.
2. Pide los contratos. Para cada una que trate datos de pacientes, el contrato de encargado del tratamiento. Si el proveedor no lo tiene, eso ya es una respuesta.
3. Comprueba el marcado CE. Si la herramienta ayuda a diagnosticar, pide la declaración de conformidad y el certificado del organismo notificado, y mira para qué uso concreto se certificó.
4. Actualiza la información al paciente. Que la cláusula de protección de datos mencione a los proveedores que tratan sus datos.
5. Forma al equipo. No hace falta un curso: basta con que quien use la herramienta conozca sus límites y sepa cuándo no fiarse.
6. Deja constancia. Anota en la historia clínica cuándo un hallazgo del programa ha influido en tu decisión, y cuándo lo has descartado. Es la mejor prueba de supervisión que existe, y lo será también en 2028.

Nada de esto requiere prisa. Requiere orden.

Preguntas frecuentes

¿Me pueden sancionar ya por el reglamento de IA?

Por las obligaciones de un usuario de sistemas dentales de alto riesgo, no: no son exigibles hasta el 2 de agosto de 2028. Por el RGPD, sí, y desde hace años. Hoy, el riesgo real de una clínica está en la protección de datos, no en el reglamento de IA.

¿Necesito un delegado de protección de datos?

Si tu centro está obligado a llevar historias clínicas, sí, salvo que ejerzas a título individual. Es lo que establece el artículo 34 de la Ley Orgánica 3/2018. Una clínica con varios profesionales, por lo general, lo necesita.

¿El marcado CE de la herramienta me protege?

Te protege de usar un producto que no cumple los requisitos para venderse. No te protege de usarlo mal. El marcado certifica un uso concreto, en unas condiciones concretas: si lo usas fuera de ellas, o si aceptas sus hallazgos sin revisarlos, la responsabilidad es tuya.

¿Las funciones de IA de mi programa de gestión cuentan?

Cuentan para el RGPD siempre que traten datos de pacientes. Para el reglamento de IA, depende de lo que hagan: agendar citas o redactar recordatorios no es alto riesgo; ayudar a diagnosticar o filtrar candidatos a un puesto, sí.

¿Quién responde si la IA se equivoca?

Tú, de la decisión clínica. Si aceptas o descartas un hallazgo del programa, respondes de esa decisión igual que respondes de cómo interpretas cualquier prueba complementaria. El fabricante responde de que su producto cumpla lo que certificó.

¿Esto es asesoramiento jurídico?

No. Es información profesional para orientarte, escrita por una odontóloga y no por una abogada. Para decisiones concretas sobre tu clínica, consulta a tu delegado de protección de datos o a un asesor jurídico especializado.

Última actualización: 1 de octubre de 2026

Enlaces relacionados

• IA en odontología: qué hay, qué funciona y por dónde empezar
• IA en el diagnóstico dental: qué detecta, qué se le escapa y qué sigue decidiendo el clínico
• La IA no va a sustituirte. ¿Y el odontólogo que la usa?