Avances en inteligencia artificial: la importancia de un nuevo marco regulatorio europeo para el uso seguro de datos de salud

Verónica Tíscar-González^a,*, Joaquín Cayón-de las Cuevas^b, Pilar Rodríguez-Ledo^c

^aResponsable de Investigación e Innovación de la OSI Bilbao Basurto (Osakidetza). IIS Biobizkaia. Presidenta de la Academia de Ciencias de Enfermería de Bizkaia. ^bDirector del grupo de investigación en derecho sanitario y bioética. IDIVAL-Universidad de Cantabria. ^cPresidenta de la Sociedad Española de Médicos Generales y Familia (SEMG). Área Sanitaria de Lugo, A Mariña e Monforte de Lemos (Lugo).

El término Inteligencia Artificial (IA) fue acuñado por John McCarthy en el año 1956, en una visión reveladora en la que ya preveía que en el futuro se llegaría a emular el pensamiento humano a través de dispositivos electrónicos¹. Se trata de una disciplina dentro de las ciencias de computación, que plantea modelos de aprendizaje basados en las redes neurológicas². Es un campo amplio que puede abarcar diversas áreas, como el reconocimiento de la voz, el procesamiento del lenguaje natural, la visión por computadora, la robótica avanzada y el desarrollo de sistemas expertos que ayudan a la resolución de problemas, entre otras aplicabilidades. Dentro de la IA se encuentran especialidades como el aprendizaje automático (machine learning), que implica el uso de diferentes tipos de redes neuronales codificadas bajo el aprendizaje reforzado, supervisado, no supervisado y semisupervisado. Estos sistemas utilizan técnicas algorítmicas avanzadas para procesar señales diversas, optimizar modelos y manejar grandes volúmenes de información mediante técnicas como big data y clusters, mediante el empleo de algoritmos de regresión, clasificación y clustering. Otra especialidad importante es el aprendizaje profundo (deep learning), que se centra en la evaluación de datos como imágenes, vídeos y audio, mediante el uso de redes neuronales convolucionales y redes neuronales de memoria a corto y largo plazo. También permite la simulación de sistemas dinámicos mediante el aprendizaje por refuerzo.

El aprendizaje automático es un tipo de IA, que identifica patrones en los datos disponibles y aplica posteriormente el conocimiento adquirido a nuevos datos. Disponer de un mayor conjunto de datos facilita descubrir las relaciones existentes y, por tanto, mejorar la precisión de los algoritmos.

La Comisión Europea define la IA como: “Sistemas de software (y posiblemente también de hardware) diseñados por humanos que, ante un objetivo complejo, actúan en la dimensión física o digital: percibiendo su entorno, a través de la adquisición e interpretación de datos estructurados o no estructurados, razonando sobre el conocimiento, procesando la información derivada de estos datos y decidiendo las mejores acciones para lograr el objetivo. Los sistemas de IA pueden usar reglas simbólicas o aprender un modelo numérico, y también pueden adaptar su comportamiento al analizar cómo el medio ambiente se ve afectado por sus acciones previas”³.

La IA ya forma parte de la vida diaria de la sociedad: se manifiesta en actividades tan comunes como el uso de traductores de idiomas, subtítulos en vídeos y motores de búsqueda en Internet, entre otros. Sin duda, esta tecnología será clave en la transformación tanto industrial como social en los próximos años y generará un cambio significativo en el desarrollo económico de los países y en la calidad de vida de las personas, lo que indica que estamos, muy posiblemente, frente a una nueva revolución industrial. Por ello, la Unión Europea (UE) planteó en el año 2018 una estrategia conjunta para la IA, con el objetivo de competir a escala mundial y buscar el beneficio de la sociedad en su conjunto. Los objetivos de esta estrategia son impulsar el uso de la IA en todos los ámbitos de la economía, especialmente en el sector industrial, que la UE se adapte a las transformaciones socioeconómicas que trae consigo, y generar un marco ético-legal que garantice su uso responsable. Dicha propuesta está respaldada por un sólido apoyo político, con una importante apuesta además en el necesario desarrollo del ámbito de la investigación e innovación, con una dotación de partidas económicas acordes a la necesidad y que hagan factible y sustenten dicha propuesta. Es necesario también, apoyar su despliegue centrando la atención en que las pequeñas y medianas empresas (que constituyen la inmensa mayoría del tejido industrial de la UE) incorporen la IA, ya que supone actualmente una clara ventaja competitiva, de forma que permita preservar y optimizar sus activos⁴. En consecuencia, disponer de un espacio europeo de datos sanitarios se ha convertido en una de las prioridades de la Comisión Europea para el periodo 2021-2025. Para ello, es fundamental disponer de un marco regulatorio que contemple las consideraciones éticas y de privacidad al acceder y utilizar los datos para el desarrollo de la IA, que garantice que se salvaguarden los derechos de privacidad de las personas y que no se produzcan sesgos ni discriminaciones.

En este sentido, el Reglamento General de Protección de Datos (RGPD) tiene como objetivo establecer normas regulatorias para el tratamiento de datos personales y proteger los derechos de los/as ciudadanos/as de la UE. Surge como respuesta a la creciente preocupación de garantizar la privacidad y protección de los datos de carácter personal⁵.

La UE dispone de un gran potencial en este ámbito, con una sólida base industrial y científica, con universidades y laboratorios de investigación punteros y un claro liderazgo en robótica, además de un marco jurídico que favorece la innovación respetando todos los aspectos éticos y legales y los derechos de los consumidores. Esta estrategia da respuesta a una evidente necesidad de definir la posición de la UE en un panorama internacional cada vez más competitivo, para evitar la fuga de cerebros y utilizar soluciones desarrolladas en países europeos en lugar de importar desarrollos externos.

En el periodo 2014-2017 se invirtieron en la UE alrededor de 1.100 millones de euros en investigación e innovación relacionada con la IA en el marco del programa Horizonte 2020. Específicamente esa inversión se dirigió a sanidad, rehabilitación, macrodatos y transporte e investigación espacial. Además, se desarrolló el proyecto piloto del Consejo de Europa de Innovación, que permitió facilitar el desarrollo de la IA en proyectos en ámbitos de la salud, la agricultura y la industria, mediante el apoyo a empresas, start-ups y organizaciones de investigación. Ofreció además una serie de herramientas que incluyen el asesoramiento estratégico y el acceso a una red en el ecosistema europeo de innovación. Esta iniciativa tiene el propósito de impulsar la innovación y el liderazgo tecnológico europeo⁶.

La optimización de recursos y la coordinación de inversiones son esenciales para el desarrollo de la IA. Los programas Horizonte Europa y Europa Digital han destinado mil millones de euros anuales a la IA. Además, la Comisión Europea busca atraer inversiones adicionales del sector privado y de los estados miembros, con el objetivo de llegar a un total de 20 mil millones de euros anuales en inversiones para la IA a lo largo de la década digital.

Por su parte, el Consejo Europeo de Investigación es el responsable de la investigación fundamental, basada en la excelencia científica. En los últimos años se ha prestado apoyo en la investigación de IA a cargo de financiaciones obtenidas por los investigadores a través de convocatorias como la Marie Curie.

No cabe duda del importante papel que la industria y el tejido empresarial desarrolla en el fomento de la IA. Por este motivo, es preciso fomentar la colaboración público-privada, así como prestar apoyo al ensayo y la experimentación, generar infraestructuras para ello y adecuar los desarrollos para una posterior comercialización con todas las garantías de seguridad, calidad y cumplimiento de la normativa regulatoria vigente. Se plantea también la necesidad de que los poderes públicos fomenten una mayor disponibilidad de datos que se hallan en el sector privado, incluyendo el sector industrial.

Son diferentes las iniciativas lideradas desde la UE en los últimos años para el impulso de la IA. Cabe destacar un paquete de medidas de innovación puesto en marcha en enero de 2024, con el objetivo de apoyar a las start-ups y las pequeñas y medianas empresas (PYME) europeas para el desarrollo de una IA segura⁷.

Dados los aspectos ético-legales que envuelven la necesidad de acceso y uso masivo de datos para el desarrollo de la IA, se requiere definir procesos y mecanismos de control. Por ello, la Estrategia Nacional de IA recoge la creación de mecanismos de observación de la ética de la IA, con el objetivo de dotar de un marco ético legal para su uso y desarrollo⁸. Dicha estrategia se alinea con la política de la UE.

Entre los objetivos de esta estrategia destacan la necesidad de aumentar las competencias digitales de la ciudadanía, en especial la de las personas en situación o riesgo de exclusión social, así como impulsar la digitalización de las PYME. Por otro lado, se considera necesario fomentar la formación de depósitos de datos y simplificar su disponibilidad, así como incrementar la eficacia y rendimiento de los servicios gubernamentales.

La IA no se considera únicamente como un área de investigación científica o un campo propicio para la innovación empresarial o el desarrollo industrial en esta estrategia. Se vislumbra una significativa oportunidad para emplear la IA como un factor de cambio en la economía y la sociedad, que abarque aspectos como el funcionamiento de los servicios públicos, la transparencia administrativa y la resolución de importantes desafíos sociales, como la brecha de género, la brecha digital y la transición ecológica. La Estrategia Nacional de IA propone el establecimiento de mecanismos para monitorizar su ética; estas medidas buscan acordar un marco adecuado para el desarrollo tecnológico.

En la figura 1 se representan los sectores que se espera presenten un mayor impacto de la IA a corto y medio plazo. En dicha figura se puede observar cómo el ámbito de la sanidad se encuentra en cuarto lugar, después de telecomunicaciones, servicios financieros (seguros) y retail y distribución; y sorprendentemente por delante de sectores como la industria, la fabricación y la automoción.

Entre los ejes de la Estrategia Nacional de IA destacan el impulso de la investigación científica, la innovación y el desarrollo de infraestructuras y plataformas de datos de apoyo.

La relevancia del desarrollo de la IA como estrategia de país viene recogida también en el Plan de Recuperación, Transformación y Resiliencia, cuyo objetivo es respaldar la recuperación tras la crisis sanitaria vivida a partir de la pandemia de COVID-19 a corto plazo, impulsar una transformación estructural a medio plazo y fomentar un desarrollo más sostenible y resiliente a largo plazo desde las perspectivas económica-financiera, social, territorial y medioambiental⁹.

La situación en España en relación con el tratamiento de datos de salud está regulada por la Disposición Adicional Decimoséptima de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales (LOPDGDD 2018). Esta ley traspone el RGPD de la UE al ordenamiento jurídico español¹⁰.

Figura 1 – Sectores con un mayor impacto esperado de la IA8.

Es preciso definir qué se considera dato personal. Según el artículo 4.1 del RGPD, se considera dato personal toda la información sobre una persona física identificada o identificable. Como identificable se considerará a toda persona cuya identidad pueda directa o indirectamente determinarse mediante un identificador (un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica o, incluso, económica, cultural o social)¹¹.

Como norma general queda prohibido el tratamiento de datos de salud, genéticos y biométricos, con algunas excepciones, entre las que se encuentran consentimiento informado explícito, proteger intereses vitales de terceros, interés en salud pública, archivos en interés público, de investigación científica o histórica, estadísticos (RGPD, art. 89).

Según el procedimiento descrito por el GT29, es necesario hacer una EIPD cuando el tratamiento presenta dos o más de las siguientes características, aunque puede ser conveniente su realización en algunos casos en que presente una sola:

• Realización de una evaluación o puntuación, incluida la elaboración de perfiles y predicciones; por ejemplo, del rendimiento laboral, de salud, de situación económica, de preferencias personales…
• Toma de decisiones automatizada con efectos jurídicos o de afectación a la persona. Se considera que un tratamiento automatizado puede llegar a generar discriminación y exclusión social.
• Observación sistemática de un área de acceso público. Cuando los datos pueden ser recogidos sin que las personas interesadas tengan la información de qué datos se están recogiendo y cuál será su uso.
• Datos sensibles, que incluyen origen racial o étnico, opiniones políticas o filosóficas, pertenencia a un sindicato, datos genéticos, datos biométricos tratados con la finalidad de identificar una persona de forma exclusiva, datos relativos a la salud, datos relativos a la vida sexual o a la orientación sexual, datos relativos a condenas o delitos penales, datos de comunicaciones electrónicas, datos de localización y datos financieros, y resto de datos personales, como correo electrónico, diarios, notas de lectores de libros electrónicos e información personal incluida en aplicaciones de registro de actividades vitales.
• Tratamiento de datos a gran escala. Se considera a gran escala los referidos al número de personas, al volumen o la variedad de datos, a la duración o permanencia de la operación de tratamiento, a la extensión geográfica, al conjunto de datos y a los datos relacionados con personas vulnerables (en relación con la gestión de recursos humanos, de menores, de personas mayores, de personas con enfermedades mentales, de solicitantes de asilo…).

La evaluación de impacto permite valorar los riesgos que presentan los diferentes tratamientos que se hagan con los datos. El artículo 35 del RGPD recoge los supuestos en los que es necesario realizar evaluaciones de impacto. Deben ser objetivas, repetibles, comparables y documentadas, y deben llevarse a cabo de manera sistemática. Los riesgos asociados al tratamiento de datos se dividen en dos tipos:

• Inherentes al tratamiento (o al diseño). Si el riesgo es demasiado alto, el tratamiento debe ajustarse, por ejemplo, evitando procesar datos especialmente sensibles o restringiendo el alcance de ciertos datos.
• Relativos a la seguridad de los datos. En este caso, es necesario analizar el riesgo vinculado a la pérdida de confidencialidad, integridad y disponibilidad de los datos¹².

Las historias clínicas electrónicas almacenan una ingente cantidad de datos clínicos en forma de textos no estructurados o semiestructurados. A pesar de contener información relevante, su procesamiento y su uso secundario presentan una gran dificultad. En este contexto, la IA y el desarrollo de modelos preentrenados abre nuevas oportunidades¹³. Para tal procesamiento, es necesario, en primer lugar, poder extraer y recopilar un importante conjunto de datos no estructurado. Para ello es imprescindible hacer uso de la minería de datos, que permite detectar patrones para después desarrollar el preprocesamiento que asegure la integridad, precisión y coherencia de los datos. Tras el análisis de las palabras preprocesadas y la atribución de su significado, se emplean diversos algoritmos de Procesamiento del Lenguaje Natural (PLN), que se vinculan a algoritmos de aprendizaje automático¹⁴.

Por último, entre los retos actuales cabe destacar la necesidad de incluir a los/as pacientes para facilitar el desarrollo de un papel activo en lo relativo a la gestión de los datos de salud. Existen algunas iniciativas, como la desarrollada por la Plataforma de Organizaciones de Pacientes (POP) denominada Datos POP Salud. Dicha Plataforma desarrolló a comienzos de 2023 un data lake con el objetivo de generar conocimiento a través del análisis de datos clínicos y también sociales y laborales, que permitan mejorar el abordaje de la cronicidad. Este proyecto obtuvo una financiación del Ministerio de Derechos Sociales y Agenda 2030¹⁵. Pero, sin duda, uno de los principales retos a abordar puede ser aún la falta de información por parte de los/as pacientes en la gestión del análisis de sus datos de salud.

La creación de un marco regulatorio que facilite el uso secundario de datos de salud para fines de investigación es crucial en la actualidad, ya que el análisis de toda la información de salud disponible puede conducir a avances significativos tanto en la atención como en la gestión sanitarias. El nuevo Reglamento Europeo sobre el Espacio Europeo de Datos Sanitarios¹⁶ aprobado recientemente en el año 2024 y pendiente de publicación a la fecha de redacción de este manuscrito, establece una oportunidad única al ofrecer el equilibrio necesario entre la protección rigurosa de la información personal y la necesidad imperiosa de aprovechar los datos existentes para mejorar la investigación en salud. Lo mismo cabe predicar del Reglamento Europeo de Inteligencia Artificial de este mismo año¹⁷. Es evidente que la implementación efectiva de este marco regulatorio no solo puede acelerar el progreso científico, sino también fomentar la innovación en salud, permitiendo que investigadores/as y profesionales accedan de manera ética y segura a conjuntos de datos más amplios y diversificados.

Conflicto de intereses

El autor declara no tener ningún conflicto de intereses.

Bibliografía

1. Tegmark M. Friendly artificial intelligence: the physics challenge. In: Walsh T, editor. Artificial intelligence and ethics. Palo Alto (CA): AAAI Press; 2015. p. 87-9.
2. Márquez Díaz J. Inteligencia artificial y Big Data como soluciones frente a la COVID-19. Rev Bioetica Derecho. 2020;(50): 315-31.
3. Comisión Europea. Libro Blanco sobre la inteligencia artificial  – un enfoque europeo orientado a la excelencia y la confianza. 2020. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/PDF/?uri=CELEX:52020DC0065
4. Comisión Europea. Artificial Intelligence for Europe. 2018, Disponible en: https://ec.europa.eu/digital-single-market/en/news/communication-artificial-intelligence-europe
5. Sousa M, Ferreira D, Santos-Pereira C, Bacelar G, Frade S Pestana O, et al. OpenEHR based systems and the General Data Protection Regulation (GDPR). Stud Health Technol Inform. 2018; 247: 91-5.
6. European Commission JRC Technical Report. AI Watch Defining Artificial Intelligence. Publications Office of the European Union; 2020. Disponible en: https://publications.jrc.ec.europa.eu/repository/bitstream/JRC118163/jrc118163_ai_watch._defining_artificial_intelligence_1. pdf
7. European Commission. Shaping Europe’s digital future. Commission launches AI innovation package to support Artificial Intelligence startups and SMEs. Publications Office of the European Union; 2024. Disponible en: https://digital-strategy.ec.europa.eu/en/news/commission-launches-ai-innovation-package-support-artificial-intelligence-startups-and-smes
8. Gobierno de España. Ministerio de Asuntos Económico y Transformación Digital. Estrategia nacional de inteligencia artificial. 2020. Disponible en: https://portal.mineco.gob.es/RecursosArticulo/mineco/ministerio/ficheros/201202_ENIA_V1_0. pdf
9. Gobierno de España. Ministerio de Hacienda. Plan de recuperación, transformación y Resiliencia. 2021. Disponible en: https://www.fondoseuropeos.hacienda.gob.es/sitios/dgpmrr/es-es/paginas/plan.aspx.
10. Gobierno de España. Ministerio de la presidencia, justicia y relaciones con las cortes. Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales. Disponible en: https://www.boe.es/buscar/doc.php?id=BOE-A-2018-16673.
11. Parlamento Europeo y del Consejo. Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE. Artículo 4.1. 2016. Disponible en: de https://www.boe.es/doue/2016/119/L00001-00088. pdf
12. Generalitat de Cataluña. Evaluación de impacto relativa a la protección de datos. 2022. Disponible en: https://apdcat.gencat.cat/es/documentacio/guies_basiques/Guies-apdcat/Guia-sobre-la-evaluacion-de-impacto-relativa-a-la-proteccion-de-datos-en-el-RGPD/index.html
13. Assale M, Dui LG, Cina A, Seveso A, Cabitza F. The revival of the notes field: Leveraging the unstructured content in electronic health records. Front Med (Lausanne). 2019; 6: 66.
14. López-García P, Kreuzthaler M, Schulz S, Scherr D, Daumke P, Markó K, et al. SEMCARE: Multilingual Semantic Search in Semi-Structured Clinical Data. Stud Health Technol Inform. 2016; 223: 93-9.
15. Plataforma de Organizaciones de Pacientes (POP). La POP participa en elaboración del informe sobre la situación de España ante el espacio Europeo de Datos Sanitarios. 2024. Disponible en: https://plataformadepacientes.org/la-pop-participa-en-la-elaboracion-del-informe-sobre-la-situacion-de-espana-ante-el-espacio-europeo-de-datos-sanitarios/
16. Parlamento Europeo y del Consejo (2024). Reglamento del Parlamento Europeo y del Consejo sobre el Espacio Europeo de Datos Sanitarios (texto de compromiso de 18 de marzo de 2024). Disponible en: www.consilium.europa.eu/media/70909/st07553-en24. pdf
17. Parlamento Europeo y del Consejo (2024). Reglamento (UE) 2024/1689 de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. Disponible en: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=OJ%3AL_202401689Plataforma de Organizaciones de Pacientes. (2023). Datos POP Salud. Disponible en: https://www.datospopsalud.org/