Cumplimiento del EU AI Act en Salud: Guía Completa de Desarrollo de Software 2026

Cumplimiento del EU AI Act en Salud: Guía Completa de Desarrollo de Software 2026

Los requisitos de cumplimiento del EU AI Act para el sector sanitario representan el marco regulatorio de IA más completo jamás promulgado, y el software sanitario se encuentra en su epicentro. El EU AI Act (Reglamento (UE) 2024/1689), que entró en vigor el 1 de agosto de 2024, clasifica la mayoría de los sistemas de IA sanitaria como "de alto riesgo", sometiéndolos a requisitos detallados de gobernanza de datos, transparencia, supervisión humana y documentación técnica. Para las empresas de desarrollo de software sanitario que construyen o despliegan IA en mercados europeos, comprender esta regulación ya no es opcional — es un prerrequisito para acceder al mercado.

Esta guía proporciona un recorrido sistemático por las disposiciones específicas del EU AI Act para el sector sanitario, el calendario de implementación y los pasos prácticos que los equipos de desarrollo de software deben seguir para lograr y mantener el cumplimiento.

Clasificación de Alto Riesgo para IA Sanitaria

Anexo III y Sistemas de IA Sanitaria

El EU AI Act clasifica los sistemas de IA en cuatro niveles de riesgo: riesgo inaceptable (prohibido), alto riesgo, riesgo limitado y riesgo mínimo. Los sistemas de IA sanitaria caen abrumadoramente en la categoría de alto riesgo. El Anexo III del reglamento identifica explícitamente varias categorías relevantes para el desarrollo de software sanitario.

Los sistemas de IA destinados a ser utilizados como componentes de seguridad de dispositivos médicos, o los sistemas de IA que son en sí mismos dispositivos médicos en el sentido del Reglamento de Dispositivos Médicos (EU MDR 2017/745) o del Reglamento de Diagnóstico In Vitro (EU IVDR 2017/746), se clasifican como de alto riesgo por defecto. Esto significa que cualquier sistema de IA destinado al soporte de decisiones clínicas, asistencia diagnóstica, modelos pronósticos, recomendaciones de tratamiento o monitorización de pacientes queda dentro de la clasificación de alto riesgo si se califica como dispositivo médico bajo el EU MDR.

La implicación práctica es significativa. Mientras que en Estados Unidos el marco SaMD de la FDA proporciona un enfoque escalonado donde algunas herramientas clínicas con IA pueden quedar por debajo del umbral de escrutinio regulatorio, el EU AI Act crea una clasificación amplia de alto riesgo que captura prácticamente todos los sistemas de IA utilizados en entornos clínicos. Las empresas de software sanitario deben planificar el cumplimiento de alto riesgo como supuesto base para cualquier producto de IA dirigido al mercado europeo.

Más Allá de los Dispositivos Médicos: Categorías Adicionales de Alto Riesgo

La clasificación de alto riesgo del EU AI Act se extiende más allá de los dispositivos médicos. Los sistemas de IA utilizados para determinar el acceso a servicios sanitarios, evaluar la elegibilidad para seguros médicos o priorizar el despacho de emergencias también se clasifican como de alto riesgo según el Anexo III, Punto 5. Este alcance más amplio captura herramientas de IA que pueden no calificar como dispositivos médicos bajo el EU MDR pero que, sin embargo, se utilizan en contextos sanitarios con implicaciones significativas para el bienestar del paciente.

Para las empresas de desarrollo de software sanitario, este alcance ampliado significa que los sistemas de IA utilizados en operaciones hospitalarias — algoritmos de triaje de pacientes, optimización de asignación de recursos, modelos de personal que afectan la prestación de atención — pueden activar requisitos de alto riesgo incluso si no son herramientas de soporte de decisiones clínicas en el sentido tradicional.

Requisitos de Documentación Técnica Según el Artículo 11

Lo que Exige el EU AI Act

El Artículo 11 del EU AI Act requiere que los proveedores de sistemas de IA de alto riesgo mantengan documentación técnica completa que demuestre el cumplimiento de los requisitos del reglamento. La documentación debe prepararse antes de que el sistema de IA se coloque en el mercado o se ponga en servicio, y debe mantenerse actualizada durante todo el ciclo de vida del sistema.

La documentación requerida abarca las siguientes áreas. Una descripción general del sistema de IA, incluyendo su propósito previsto, el perfil del usuario y las versiones específicas de hardware y software de las que depende el sistema. Una descripción detallada de los elementos del sistema de IA y el proceso de desarrollo, incluyendo especificaciones de diseño, arquitectura del sistema, requisitos de datos, metodologías de entrenamiento, recursos computacionales utilizados y decisiones clave de diseño con su justificación.

La sección de gobernanza de datos requiere documentación de los conjuntos de datos de entrenamiento, validación y prueba, incluyendo procesos de recopilación de datos, operaciones de preparación de datos (anotación, etiquetado, limpieza, enriquecimiento), procedencia de los datos, demografía y características relevantes, identificación de brechas o deficiencias en los datos, y medidas tomadas para detectar y abordar sesgos.

La documentación de métricas de rendimiento debe incluir una descripción de las métricas utilizadas para medir el rendimiento del sistema, precisión, robustez y ciberseguridad, junto con los procedimientos de prueba y los resultados de validación. La documentación también debe describir el rendimiento del sistema en diferentes subgrupos de la población, particularmente cuando el propósito previsto del sistema involucra personas físicas.

Estrategia Práctica de Documentación

Las empresas de software sanitario deben establecer un marco de documentación que capture la información requerida como subproducto del proceso de desarrollo, en lugar de intentar reconstruir la documentación retrospectivamente. Esto significa implementar seguimiento estructurado de experimentos (usando herramientas como MLflow, Weights and Biases o plataformas similares) que registre configuraciones de entrenamiento, versiones de conjuntos de datos, arquitecturas de modelos y resultados de evaluación automáticamente. Significa mantener un archivo de historial de diseño vivo que capture las decisiones de diseño y sus justificaciones en tiempo real. Y significa establecer un seguimiento de linaje de datos que siga los conjuntos de datos desde sus fuentes clínicas a través de todos los pasos de transformación y curación hasta su uso en el entrenamiento del modelo.

La carga de documentación es sustancial, pero no es fundamentalmente diferente de los requisitos del archivo de historial de diseño que las empresas de dispositivos médicos han gestionado bajo el EU MDR e ISO 13485 durante años. Las empresas de software sanitario con experiencia existente en desarrollo de dispositivos médicos tienen una ventaja significativa aquí.

Sistemas de Gestión de Calidad

Alineación con ISO 13485

El EU AI Act requiere que los proveedores de sistemas de IA de alto riesgo implementen un sistema de gestión de calidad (SGC) que aborde los riesgos y requisitos específicos de la IA. Para los sistemas de IA sanitaria que también califican como dispositivos médicos, este SGC debe satisfacer tanto los requisitos del EU AI Act como los requisitos de ISO 13485 exigidos por el EU MDR.

Los requisitos del SGC del AI Act añaden varios elementos específicos de IA al marco estándar de ISO 13485. Estos incluyen una estrategia para el cumplimiento regulatorio, incluyendo procedimientos de evaluación de conformidad y procedimientos para gestionar modificaciones al sistema de IA. Técnicas, procedimientos y acciones sistemáticas para el diseño, control de diseño y verificación de diseño del sistema de IA. Técnicas, procedimientos y acciones sistemáticas para el desarrollo, control de calidad y aseguramiento de calidad del sistema de IA, incluyendo gestión de datos y gobernanza de datos. Procedimientos de gestión de riesgos según lo requerido por el Artículo 9, que aborda específicamente riesgos propios de la IA como sesgo, opacidad y dependencia excesiva de las salidas de la IA.

Construir un SGC Específico para IA

Las empresas de desarrollo de software sanitario que construyen sistemas de IA para el mercado europeo deben integrar sus procesos de gestión de calidad de IA con su SGC de dispositivos médicos existente en lugar de mantener sistemas paralelos. Los puntos de integración son naturales: los procesos de control de diseño deben abarcar el diseño de modelos de IA (incluyendo diseño de datos de entrenamiento, selección de arquitectura y optimización de hiperparámetros), la verificación y validación debe incluir pruebas específicas de IA (robustez adversarial, pruebas de sesgo, rendimiento entre subgrupos), y la vigilancia post-comercialización debe incorporar los requisitos de monitorización del rendimiento de IA descritos en otras secciones de esta guía.

Procedimientos de Evaluación de Conformidad

Autoevaluación vs. Participación de un Organismo Notificado

La vía de evaluación de conformidad para los sistemas de IA sanitaria depende de la doble clasificación bajo el EU AI Act y el EU MDR. Para los sistemas de IA que son dispositivos médicos de Clase I bajo el EU MDR (y no están sujetos a revisión por un Organismo Notificado bajo el MDR), el EU AI Act permite la autoevaluación a través de una evaluación interna de conformidad basada en el Anexo VI. El proveedor realiza la evaluación de forma independiente, documenta el cumplimiento, emite una declaración de conformidad y coloca el marcado CE.

Para los sistemas de IA que son dispositivos médicos de Clase IIa, IIb o III bajo el EU MDR (que cubre la mayoría de los sistemas clínicos de IA), la evaluación de conformidad debe involucrar a un Organismo Notificado. En la práctica, esto significa que el Organismo Notificado que revisa el dispositivo médico también evaluará el cumplimiento de los requisitos de alto riesgo del EU AI Act. Las empresas de software sanitario deben contactar con su Organismo Notificado con antelación para entender cómo integrará las evaluaciones del AI Act en el proceso existente de evaluación de conformidad del EU MDR.

Consideraciones Prácticas

La capacidad de los Organismos Notificados es una preocupación práctica significativa. El número de Organismos Notificados designados bajo el EU MDR sigue siendo limitado, y la adición de responsabilidades de evaluación del EU AI Act aumentará aún más su carga de trabajo. Las empresas de software sanitario deben iniciar la relación con el Organismo Notificado con suficiente antelación respecto al lanzamiento planificado al mercado y presupuestar plazos de revisión más largos que los requeridos históricamente en evaluaciones solo bajo el MDR.

Sandboxes Regulatorios

Qué Son

El EU AI Act exige que los Estados miembros establezcan sandboxes regulatorios de IA — entornos controlados donde los sistemas de IA pueden desarrollarse, probarse y validarse bajo supervisión regulatoria antes de colocarse en el mercado. Los sandboxes proporcionan un canal estructurado para que las empresas de software sanitario interactúen con los reguladores durante el proceso de desarrollo, prueben enfoques de cumplimiento y reciban retroalimentación sobre aplicaciones novedosas de IA que pueden no encajar fácilmente en las categorías regulatorias existentes.

Cómo Solicitar

Las solicitudes de participación en el sandbox regulatorio se presentan ante la autoridad nacional competente designada por cada Estado miembro. Los criterios de selección típicamente priorizan los sistemas de IA que abordan objetivos significativos de interés público (siendo la sanidad un ejemplo primordial), involucran enfoques tecnológicos novedosos y demuestran un compromiso genuino con el cumplimiento regulatorio. Las empresas de software sanitario que solicitan participación en el sandbox deben preparar un plan de innovación detallado que describa el propósito previsto del sistema de IA, las preguntas regulatorias específicas que la participación en el sandbox ayudaría a resolver y la metodología de prueba propuesta.

A principios de 2026, varios Estados miembros — incluyendo España, Países Bajos, Francia y Alemania — han establecido o anunciado sandboxes regulatorios de IA. Las experiencias prácticas que emergen de los primeros participantes del sandbox sugieren que el valor principal no es la indulgencia regulatoria sino el diálogo estructurado: la oportunidad de probar interpretaciones de cumplimiento con los reguladores antes de tomar decisiones arquitectónicas o empresariales irreversibles.

Interacción con el EU MDR

Requisitos de Doble Cumplimiento

Los sistemas de IA sanitaria que califican como dispositivos médicos deben cumplir tanto con el EU AI Act como con el Reglamento de Dispositivos Médicos (EU MDR 2017/745). El EU AI Act aborda explícitamente esta superposición en el Artículo 6(1), que establece que los sistemas de IA que son componentes de seguridad de dispositivos médicos o que son en sí mismos dispositivos médicos serán clasificados como de alto riesgo y deben cumplir los requisitos del AI Act además de los requisitos del EU MDR.

El desafío práctico es la alineación. Los requisitos del EU AI Act para gobernanza de datos, transparencia y supervisión humana son ampliamente consistentes con los requisitos esenciales del EU MDR, pero se especifican con un nivel de detalle diferente y utilizan terminología diferente. Las empresas de software sanitario deben desarrollar matrices de cumplimiento que mapeen los requisitos del EU AI Act contra los requisitos esenciales del EU MDR, identifiquen brechas y aseguren que su documentación técnica y sistemas de gestión de calidad aborden ambos conjuntos de requisitos sin duplicación ni contradicción.

Donde los Requisitos se Refuerzan Mutuamente

En varias áreas importantes, los requisitos del EU AI Act y del EU MDR se refuerzan mutuamente. Ambos requieren gestión de riesgos durante todo el ciclo de vida del producto. Ambos exigen vigilancia post-comercialización con monitorización activa. Ambos requieren documentación técnica completa. Y ambos enfatizan la importancia de la evaluación clínica y los datos de rendimiento del mundo real. Las empresas de software sanitario que ya han construido procesos robustos de cumplimiento del EU MDR encontrarán que el esfuerzo incremental requerido para el cumplimiento del EU AI Act es manejable, aunque no trivial.

Calendario de Implementación

Fechas Clave

La implementación del EU AI Act sigue un calendario escalonado que las empresas de software sanitario deben seguir cuidadosamente.

El 2 de febrero de 2025 marcó la fecha efectiva de las prohibiciones sobre prácticas de IA de riesgo inaceptable (Artículo 5). Aunque la mayoría de los sistemas de IA sanitaria no se ven afectados por estas prohibiciones, las empresas de software sanitario deben verificar que ninguna de sus aplicaciones de IA involucre prácticas prohibidas como la manipulación subliminal o la identificación biométrica en tiempo real en espacios públicos.

El 2 de agosto de 2025 marcó la fecha efectiva de las obligaciones de modelos de IA de Propósito General (GPAI). Las empresas de software sanitario que utilizan modelos fundacionales (incluidos los modelos de lenguaje grandes) como componentes de sus sistemas de IA sanitaria deben asegurarse de que los proveedores del modelo GPAI cumplan con los requisitos de transparencia y documentación del Capítulo V.

El 2 de agosto de 2026 es la fecha crítica para el cumplimiento de los sistemas de IA de alto riesgo. A partir de esta fecha, todos los sistemas de IA de alto riesgo — incluidos prácticamente todos los sistemas de IA sanitaria — deben cumplir con los requisitos completos del EU AI Act, incluyendo documentación técnica, SGC, evaluación de conformidad y monitorización post-comercialización. Las empresas de software sanitario que coloquen nuevos productos de IA en el mercado europeo después de esta fecha deben demostrar cumplimiento total.

El 2 de agosto de 2027 marca el plazo de cumplimiento extendido para los sistemas de IA de alto riesgo que son componentes de sistemas informáticos a gran escala establecidos por ciertos actos jurídicos de la UE. La mayoría de los sistemas de IA sanitaria no se beneficiarán de esta extensión.

Planificación para Agosto de 2026

Los equipos de desarrollo de software sanitario que apuntan al plazo de agosto de 2026 deberían estar bien avanzados en su preparación de cumplimiento a principios de 2026. Las actividades clave incluyen completar el análisis de brechas entre las prácticas actuales y los requisitos del EU AI Act, implementar o actualizar los procesos del SGC para los requisitos específicos de IA, preparar los paquetes de documentación técnica, contactar con los Organismos Notificados para la planificación de la evaluación de conformidad, y realizar evaluaciones de sesgo y equidad en los subgrupos de población relevantes.

Por Qué el EU AI Act Genera Demanda de Desarrollo de Software Sanitario Especializado

Los requisitos de cumplimiento del EU AI Act son sofisticados, específicos del sector sanitario y técnicamente exigentes. Las empresas de desarrollo de IA de propósito general típicamente carecen de la experiencia en regulación de dispositivos médicos, la experiencia en gobernanza de datos clínicos y la familiaridad con el EU MDR necesarias para navegar el panorama combinado de cumplimiento del EU AI Act y el EU MDR de manera eficiente.

Esto crea una demanda significativa de empresas de desarrollo de software sanitario que combinen capacidades de ingeniería de IA con experiencia en regulación de dispositivos médicos y experiencia en el mercado europeo. Las mejores empresas de desarrollo de software sanitario ya están incorporando el cumplimiento del EU AI Act en sus metodologías de desarrollo, posicionándose como socios esenciales para las organizaciones sanitarias que entran o se expanden en los mercados europeos.

Para los equipos que también gestionan requisitos regulatorios en EE.UU., la guía de desarrollo de IA compatible con HIPAA proporciona el marco complementario de privacidad necesario para los despliegues transatlánticos de IA sanitaria. Las organizaciones que tendrán éxito en el entorno posterior a agosto de 2026 son aquellas que tratan el cumplimiento regulatorio no como una carga sino como una ventaja competitiva — una que las empresas especializadas de software sanitario están mejor equipadas para construir.

Publicado el 27 de febrero de 2026 · SectorPunk Research