En esta segunda edición del 2025, me complace anunciar que estaré resumiendo algunos temas relacionados con asuntos normativos y legales que impactan el ámbito de la salud. Abordaré regulaciones que afectan a hospitales, prácticas médicas y diversas organizaciones con el objetivo de proporcionar una visión clara y concisa sobre las normativas y asuntos legales que afectan a este sector vital, facilitando así una mejor comprensión y actualización para todos los profesionales involucrados.
En esta edición discutiré dos temas que estamos monitoreando activamente: el tema de los potenciales cambios sobre la seguridad técnica de la ley HIPAA y riesgos legales sobre la Inteligencia Artificial. En la próxima edición atenderé exclusivamente los Centros Médicos Académicos Regionales de Puerto Rico, creados por la Ley 136 del 2006, sus desafíos legales y sus historias de éxito.
La industria del cuidado de la salud se prepara para cambios sobre la seguridad de datos
La HIPAA se convirtió en ley en 1996 y la Regla de Seguridad se finalizó y publicó inicialmente en 2003. La HIPAA fue modificada en 2009 por la Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica (HITECH, por sus siglas en inglés) para exigir salvaguardas más estrictas para proteger la ePHI en 2009. El Congreso enmendó HITECH mediante el proyecto H.R. 7898, lo que resultó en P.L. 116-321 en 2021.
El 6 de enero de 2025, la Oficina de Derechos Civiles, OCR propuso cambios a la Regla de Seguridad de HIPAA, conocido en inglés como el ‘notice of proposed rulemaking (NPRM)’ publicada en el Registro Federal. Esta sería la primera actualización importante en dos décadas. El período de comentarios cerró el pasado 7 de marzo de 2025, y la revisión de los comentarios ya ha comenzado. Emitida durante la administración del expresidente Biden, no está claro si la OCR implementará o archivará la actualización, pero es importante monitorear esta regla.
El NPRM abarca casi 400 páginas, revisando definiciones, eliminando especificaciones de implementación obligatorias frente a recomendables y actualizando requisitos de ciberseguridad. Ha enfrentado críticas por parte de entidades reguladas y grupos de la industria debido a su carga de cumplimiento y altos costos.
La justificación de la OCR para reabrir la Regla de Seguridad incluye las siguientes razones:
- Transformación significativa experimentada por el sector de la salud en la última década robusteciendo la tecnología;
- El alto valor que obtienen los registros médicos robados por los ciberdelincuentes;
- Mayor riesgo de ePHI planteado por la inteligencia artificial (IA);
- Otras amenazas a la ePHI, como actores internos e interrupciones del sistema, como Crowdstrike;
- El hecho de que las organizaciones de salud no mantengan «un inventario actualizado de datos sensibles y valiosos y dónde residen”;
Además de la evidente necesidad de claridad regulatoria debido al caso judicial, University of Texas M.D. Anderson Cancer Center v. HHS (‘M.D. Anderson’), No. 19-60226 (5th Cir. 2021) donde el Tribunal de Apelaciones del Quinto Circuito de EE. UU. anuló una multa de $4.3 millones al determinar que los mecanismos de seguridad no necesitan ser efectivos o implementados en toda una empresa. El tribunal dictaminó que «la Regla de Seguridad no dice nada sobre cuán efectivo debe ser un mecanismo para el cifrado» y, por lo tanto, «según la interpretación del tribunal, una entidad regulada puede cumplir con sus obligaciones en virtud de la Regla de Seguridad con respecto al cifrado y descifrado de ePHI mediante la implementación de un mecanismo para hacerlo, sin tener en cuenta la efectividad de la implementación».
En el 2024, los ataques de ‘ransomware’ aumentaron en un 268 %, por eso las nuevas iniciativas de análisis de riesgos que fiscaliza el OCR exigirá análisis periódicos de riesgos de seguridad o conocido por sus siglas en inglés, security risk assestment, (SRA). Los proveedores de salud cubiertos por HIPAA, (Hospitales, laboratorios, oficinas medicas grandes o pequeñas, centros ambulatorios entre otros tiene que tomar medidas proactivas para cumplir con los estándares legales de seguridad de datos y privacidad. Estas incluyen evaluaciones de riesgos (SRA), revisión de controles técnicos, capacitación del personal y actualizaciones de políticas. HIPAA no exige un formato específico para las evaluaciones de riesgos de seguridad (SRA), pero la OCR está alertando que habrá imposición de multas, entre otras para aquellas entidades que realizan evaluaciones superficiales o que no las llevan a cabo.
La OCR ha dicho que las entidades reguladas no están realizando análisis de riesgo que cumplan con las normas “y que se necesitan cambios en las políticas ya que solo el 14 % de las entidades cubiertas y el 17 % de los socios comerciales están actualmente en cumplimiento. El mantenimiento de un inventario de activos no es un requisito explícito según la regla de seguridad actual, pero el OCR lo llama un «componente fundamental de la realización de un análisis de riesgos» y dice que muchas organizaciones de atención médica (HCO) no mantienen estos inventarios.
En lugar del estándar existente para el proceso de gestión de la seguridad, la OCR propone exigir a una entidad regulada que realice y mantenga un inventario de activos tecnológicos preciso y exhaustivo y un mapa de red de sus sistemas de información electrónica y todos los activos tecnológicos que puedan afectar la confidencialidad, integridad o disponibilidad de la ePHI.
Mi recomendación sobre este tema es que independientemente cambie o no la regla de seguridad las organizaciones deben actualizar continuamente sus políticas y procedimientos de seguridad, esto incluye capacitar al personal sobre nuevas amenazas de seguridad y realizar evaluaciones de riesgos exhaustivas, ya que las evaluaciones superficiales de riesgos van a aumentar los riesgos de cumplimiento.
Consideraciones legales en la era de la Inteligencia Artificial
La inteligencia artificial (IA) ha revolucionado numerosos sectores, y el de la salud es uno de los que tiene mayor potencial de beneficiarse con esta tecnología. Desde diagnósticos asistidos hasta tratamientos personalizados, desarrollo de fármacos, el diagnóstico de enfermedades, el tratamiento, la supervisión de pacientes y las tareas administrativas la IA promete transformar la atención médica. Sin embargo, su adopción más rápida de lo que la podemos entender, demanda un marco regulatorio que asegure su uso ético y seguro.
Algunos ejemplos notables son Med-PaLM de Google, CheXNet de Stanford y la asociación de NVIDIA con Hippocratic AI. Además de los avances del sector privado, la Organización Mundial de la Salud (OMS) lanzó S.A.R.A.H. (Smart AI Resource Assistant for Health) en abril de 2024. Este prototipo de promotor de salud digital, impulsado por IA generativa, presenta respuestas empáticas mejoradas en ocho idiomas.
El desafío fundamental, en lo que concierne a los desarrollos regulatorios referidos a la IA, radica en “cómo garantizar que sistemas de inteligencia avanzada y potencialmente ilimitada permanezcan bajo estricta supervisión humana”. S. Russell, Artificial Intelligence and the Problem of Control”, en Perspectives on Digital Humanism, unknown, 2022, pp. 19–24.
Muchas fuentes que discuten el uso de la Inteligencia Artificial (IA) en la atención médica plantean preocupaciones incluso sobre si el uso de la IA cumple con las Reglas de Privacidad y Seguridad de HIPAA relacionadas con los datos de atención médica.
Sobre este tema la HHS público una guía especifica sobre el seguimiento en linea, llamada en Uso de tecnologías de seguimiento en línea por parte de entidades cubiertas por HIPAA y socios comerciales | HHS.gov pero el 20 de junio de 2024, el Tribunal de Distrito de EE. UU. para el Distrito Norte de Texas emitió una orden declarando ilegal y anulando una parte de este documento de orientación. Véase Am. Hosp. Ass’n v. Becerra, — F. Supp. 3d —-, No. 4:23-cv-1110, 2024 WL 3075865 (N.D. Tex. 20 de junio de 2024). Específicamente, el Tribunal anuló la guía en la medida en que establece que las obligaciones de HIPAA se activan en «circunstancias en las que una tecnología en línea conecta (1) la dirección IP de un individuo con (2) una visita a una [n] [página web pública no autenticada] que aborda condiciones de salud específicas o proveedores de atención médica». Al día de hoy abril 2025, HHS está evaluando sus próximos pasos a la luz de esa orden.
Principales riesgos legales de la IA en la atención medica:
1. Responsabilidad civil extracontractual: Las herramientas de IA utilizadas en el diagnóstico o tratamiento pueden conducir a un diagnóstico erróneo, un diagnóstico tardío o un tratamiento inadecuado, lo que podría dar lugar a reclamaciones por negligencia médica. Las líneas de responsabilidad pueden ser complejas, especialmente cuando la IA está involucrada en el proceso de toma de decisiones.
2. Responsabilidad por productos defectuosos: Si un dispositivo o software médico defectuoso impulsado por IA causa daños a un paciente, el fabricante o distribuidor podría enfrentarse a demandas por responsabilidad del producto. Esto incluye problemas con el diseño, el desarrollo o el rendimiento de la IA.
3. Violaciones de la privacidad: Los sistemas de IA a menudo dependen de grandes cantidades de datos de pacientes. Proteger estos datos y cumplir con las regulaciones de privacidad como HIPAA es crucial. Las violaciones de datos o el acceso no autorizado pueden tener importantes consecuencias legales y de reputación.
4. Falta de transparencia: Si las decisiones impulsadas por la IA son opacas y no se pueden explicar, puede ser difícil establecer la responsabilidad en caso de eventos adversos. Esta falta de transparencia también puede erosionar la confianza de los pacientes.
5. Supervisión y monitoreo inadecuados: La falta de supervisión y monitoreo adecuados de los sistemas de IA puede aumentar el riesgo de errores y eventos adversos. Las auditorías periódicas y las medidas de control de calidad son esenciales.
6. Cuestiones de consentimiento informado: ¿Los pacientes deben estar debidamente informados sobre el uso de la IA en su atención? A medida que la inteligencia artificial (IA) avanza en la atención médica con aplicaciones como el aprendizaje automático, el aprendizaje profundo, las redes neuronales y el procesamiento del lenguaje natural, están surgiendo nuevos problemas éticos y prácticos relacionados con el consentimiento informado. ¿Cuándo deben los proveedores informar a los pacientes de que están utilizando tecnologías de IA con fines de diagnóstico y tratamiento? ¿Cuánta información sobre la tecnología deberían divulgar? ¿Cuáles son las mejores formas de explicar las complejidades de la IA de forma comprensible? El impulso de la IA ha avanzado tan rápidamente, que en muchos casos ha superando la capacidad de los reguladores, líderes y expertos para implementar leyes, estándares, directrices y mejores prácticas que aborden algunos de estos desafíos.
7. Riesgos de ciberseguridad: Los sistemas de IA pueden ser vulnerables a los ciberataques, que pueden comprometer los datos de los pacientes e interrumpir las operaciones sanitarias. Unas medidas de ciberseguridad sólidas son esenciales para mitigar estos riesgos.
8. Discriminación: Los algoritmos de IA pueden perpetuar o amplificar inadvertidamente los sesgos existentes, lo que conduce a resultados discriminatorios en la atención al paciente. Esto puede dar lugar a impugnaciones legales en virtud de las leyes contra la discriminación.
El sesgo (‘bias’) en los sistemas de IA puede dar lugar a un trato discriminatorio injustificado de determinados grupos protegidos. Hay dos tipos principales de sesgos que pueden surgir en la atención médica:
Riesgo de impacto ‘bias’: ocurre cuando las personas son tratadas de manera diferente cuando deberían ser tratadas de la misma manera. Por ejemplo, un estudio encontró que a los pacientes afroamericanos en el sistema de atención médica de EE. UU. se les asignaron «puntuaciones de riesgo» significativamente más bajas que a los pacientes blancos con afecciones médicas similares. Esta discrepancia surgió porque el algoritmo utilizó el costo anual de la atención de cada paciente como indicador para determinar la complejidad de su(s) condición(es) médica(s). Sin embargo, se gasta menos dinero en los pacientes afroamericanos debido a varios factores, como el racismo sistémico, las tarifas más bajas de los seguros y el peor acceso a la atención en consecuencia, el uso de los costos de la atención creó discrepancias injustificadas para los pacientes negros.
Riesgo de tratamiento inadecuado: el sesgo en los sistemas de IA puede surgir cuando los datos de entrenamiento no tienen en cuenta la diversidad de las poblaciones de pacientes, lo que conduce a resultados subóptimos o perjudiciales. Por ejemplo, un estudio demostró que los algoritmos de reconocimiento facial a menudo exhiben tasas de error más altas al identificar a personas con tonos de piel más oscuros.
Si bien este estudio se centró en el reconocimiento facial, el mismo principio se aplica en la atención médica, donde se ha descubierto que los sistemas de IA utilizados para diagnósticos dermatológicos funcionan con menos precisión en pacientes con piel más oscura. Esto ocurre porque los conjuntos de datos utilizados para entrenar estos sistemas a menudo contienen un número desproporcionado de imágenes de individuos de piel más clara. Estos sesgos pueden dar lugar a diagnósticos erróneos o retrasos en el tratamiento, lo que ilustra la necesidad crítica de contar con datos de entrenamiento diversos y representativos en las aplicaciones de IA para ser usada por los proveedores de salud.
Para facilitar resultados justos y de alta calidad, es importante que los usuarios y más a menudo los médicos y profesionales de la salud, comprendan el papel previsto del sistema de IA en su flujo de trabajo clínico.
Por ejemplo, si un sistema de IA ha sido entrenado para detectar células potencialmente cancerosas en muestras de células de la piel, y el sistema de IA marca la muestra como potencialmente cancerosa pero el médico no está de acuerdo, puede ser más apropiado escalar la prueba a una revisión de segundo nivel que permitir que el medico simplemente anule la decisión del sistema de IA. Es indiscutible que un falso positivo es menos riesgoso que un falso negativo. Por lo tanto, es importante adoptar un enfoque considerado y matizado a la hora de determinar cómo debe funcionar cualquier flujo de proceso humano.
Lo que deberían hacer los hospitales
- Los hospitales y los sistemas de salud deben comprender el nuevo panorama legal relacionado con la IA. Deben desarrollar políticas y procedimientos para cumplir con las regulaciones aplicables y atender las mejores prácticas. Los hospitales deben hacer un inventario de las herramientas de IA que utilizan y asegurarse de que los miembros del personal conozcan las normas aplicables a esas herramientas. Los sistemas de salud también deben supervisar el cumplimiento de estas herramientas.
- Los hospitales deben considerar dónde y cómo se utiliza la IA en sus organizaciones. Es esencial reunir un equipo para examinar las cuestiones legales y operativas y hacerlo con regularidad, siendo conscientes de los posibles impactos de la IA. Los sistemas de salud deben establecer políticas sólidas de gobernanza y contar con equipos para abordar los problemas de la IA. Es recomendable formar equipos multidisciplinarios con miembros de diferentes partes de la organización.
- Los directores ejecutivos de los hospitales deben identificar quién supervisará estos asuntos. Hay muchos aspectos involucrados, y es crucial identificar estos problemas y designar a las personas responsables de monitorearlos. Recomiendo que se incorpore al abogado interno, al director médico, a la académica medica si es un centro de enseñanza y al personal de tecnología como mínimo.
Lcda. Marie Carmen Muntaner
Asesora Legal AHPR
