IA y privacidad de datos clínicos: qué preguntar antes de usarla

La inteligencia artificial ya participa en tareas cotidianas de muchas clínicas dentales mexicanas: redacta notas, ayuda a leer radiografías, atiende mensajes de pacientes. Pero cuando estas herramientas tocan expedientes clínicos, entra en juego un tema que va más allá de la eficiencia: la privacidad de datos clínicos de las personas que confían su salud a tu consultorio.

Antes de activar cualquier función de IA que use información de pacientes —nombre, historial, radiografías, conversaciones—, vale la pena detenerse y hacer las preguntas correctas al proveedor. No se trata de rechazar la tecnología, sino de adoptarla con criterio y sin sorpresas después.

Por qué los datos de salud piden más cuidado

Los datos clínicos son una de las categorías de información más sensibles que existen. A diferencia de un correo electrónico o un nombre en una lista de contactos, un expediente dental puede revelar condiciones de salud, tratamientos e incluso hábitos de vida del paciente. Cuando una herramienta de IA entra a ese flujo, suma actores nuevos —el proveedor del software, el proveedor del modelo de IA, en ocasiones un tercero que aloja los servidores— y cada uno representa un punto adicional donde algo puede salir mal.

Esto no significa que la IA sea insegura por definición. Significa que la responsabilidad de verificar cómo se maneja la información recae en ti, como responsable de la clínica, no solo en el proveedor que vendió la herramienta.

Preguntas que debes hacerle a cualquier proveedor de IA

Antes de firmar o de activar cualquier función, pide respuestas claras —de preferencia por escrito— a estas preguntas.

¿Dónde se procesan y almacenan los datos?

Pregunta en qué país están los servidores, si los datos salen de México en algún momento del proceso y bajo qué figura legal se hace esa transferencia, si aplica. No aceptes un «está en la nube» como respuesta completa: pide el detalle técnico.

¿Tus datos se usan para entrenar modelos generales?

Hay una diferencia enorme entre que un modelo procese la información de un paciente para responder una tarea puntual, y que esa misma información se use para entrenar o mejorar un modelo que después sirve a otros clientes. Pregunta explícitamente si el proveedor hace esto último y, si es así, si existe una forma de excluir tus datos. Prefiere proveedores que lo dejen por escrito, no que lo den por entendido.

¿Cuánto tiempo se conservan los datos y cómo se eliminan?

Todo dato debe tener una vida útil definida. Pregunta cuánto tiempo se conserva la información después de procesarla, si existen copias de respaldo adicionales y qué pasa si decides cambiar de proveedor: ¿puedes solicitar el borrado completo? ¿En cuánto tiempo se ejecuta esa solicitud?

Este tipo de preguntas también es un buen filtro al momento de evaluar un software dental con IA: un proveedor serio llega con respuestas preparadas, no con evasivas.

Anonimizar no es un botón mágico

La anonimización o seudonimización de datos —quitar nombres, sustituir identificadores— ayuda, pero no resuelve todo. Una radiografía, un patrón de tratamiento muy particular o la combinación de varios datos aparentemente inofensivos pueden, en ciertos casos, permitir identificar de nuevo a una persona.

Trata la anonimización como una capa de protección adicional, no como una garantía absoluta de que el dato ya «no pertenece a nadie». Combínala siempre con controles de acceso claros y con contratos que respalden ese compromiso.

El consentimiento del paciente no es un trámite más

Si usas IA para analizar información clínica o para comunicarte con tus pacientes, ellos tienen derecho a saberlo, al menos en términos generales. Esto no requiere una explicación técnica de cómo funciona el modelo, pero sí una mención honesta: por ejemplo, que ciertas herramientas de apoyo usan inteligencia artificial como parte del proceso, y que la decisión clínica final siempre la toma el dentista.

Dar este contexto genera confianza y evita la sensación —muy dañina para la relación con el paciente— de que algo se hizo «a sus espaldas». En la práctica, basta una línea clara en tu aviso de privacidad y, si lo consideras necesario, un comentario breve del propio dentista durante la consulta.

Buenas prácticas dentro de tu propio equipo

La privacidad no depende solo del proveedor de IA que elijas: también depende de cómo tu equipo maneja la información puertas adentro. Define quién puede ver los resultados de un análisis asistido por IA —no todo el personal necesita acceso a todo el expediente— y capacita a tu equipo para que entienda que cualquier sugerencia de una herramienta de IA es información de apoyo, no un dato para compartir fuera del contexto clínico.

Un buen hábito es tratar cada herramienta nueva de IA con la misma disciplina que aplicarías a un nuevo empleado con acceso a expedientes: acceso limitado a lo necesario, revisión periódica de ese acceso y claridad sobre qué puede y qué no puede hacer con la información.

Qué debe incluir tu contrato con el proveedor

Más allá de las preguntas iniciales, busca que estos puntos queden por escrito en el contrato o los términos de servicio:

Estas cláusulas se conectan directamente con tu estrategia de ciberseguridad en el consultorio dental: un contrato débil en materia de datos es, en la práctica, una vulnerabilidad más que tu clínica no puede controlar directamente.

La relación con tu aviso de privacidad

El aviso de privacidad de tu consultorio debe reflejar el uso real que le das a los datos, incluyendo cualquier herramienta de IA que participe en el manejo de expedientes, radiografías o comunicación con pacientes. Si el aviso no menciona esto, existe una desconexión entre lo que dices que haces y lo que realmente haces con la información de tus pacientes.

La regulación mexicana sobre datos personales —y en particular sobre datos sensibles como los de salud— puede actualizarse con el tiempo. No te bases en lo que sabías hace un año: confirma el estado vigente de la normativa con un especialista en protección de datos antes de tomar decisiones importantes sobre el manejo de información clínica con IA.

Conclusión

La IA puede aportar mucho a la operación diaria de una clínica dental, pero la confianza del paciente se construye —o se pierde— en los detalles de cómo se maneja su información. Preguntar dónde se procesan los datos, si se entrenan modelos con ellos, cuánto tiempo se conservan y qué dice tu contrato no es burocracia: es la base de una adopción de tecnología responsable.

Plataformas como DaleControl, pensadas para el contexto de clínicas mexicanas, deben poder responder estas preguntas con transparencia total. Si un proveedor no puede hacerlo con claridad, esa falta de respuesta ya es, en sí misma, la información que necesitas para decidir.