Inteligencia artificial en la clínica de estética
Ámbito: Estètica Catalunya (Barcelona y Girona). Clase: MIXTO (marco UE + estatal, con encaje autonómico en protección de datos y consumo). Estado normativo: vigente a julio 2026 · redactado a fuente primaria (DOUE/BOE, AEPD, AEMPS).
Abreviaturas — siglas usadas en este capítulo (clic para desplegar)
AEMPS Agencia Española de Medicamentos y Productos Sanitarios · AEPD Agencia Española de Protección de Datos · AI Act Reglamento (UE) 2024/1689 de inteligencia artificial · APDCAT Autoritat Catalana de Protecció de Dades *(Catalunya)* · BOE Boletín Oficial del Estado · CE marcado CE (conformidad europea de productos y equipos) · COMB Col·legi Oficial de Metges de Barcelona *(Catalunya)* · COMG Col·legi Oficial de Metges de Girona *(Catalunya)* · EEE Espacio Económico Europeo · EIPD evaluación de impacto relativa a la protección de datos · IFU instrucciones de uso / ficha técnica del producto (instructions for use) · LO ley orgánica · LOPD Ley Orgánica de Protección de Datos (derogada; hoy LOPDGDD) · MDR Reglamento (UE) 2017/745 de productos sanitarios (Medical Device Regulation) · RCSES Registre de centres, serveis i establiments sanitaris de Catalunya *(Catalunya)* · RD real decreto · RDL real decreto-ley · RGPD Reglamento General de Protección de Datos · UE Unión Europea
1. Para qué es este capítulo
Cuatro usos de IA están entrando en la consulta estética: análisis de piel/diagnóstico asistido, simuladores de resultado (antes/después generado), chatbots de captación y atención, y contenido generado para redes y web. Cada uno activa un marco distinto que se solapa: el Reglamento de IA (AI Act), el RGPD (foto, biometría, datos de salud), la normativa de producto sanitario (si el software "diagnostica"), la prohibición de publicidad de medicamentos de prescripción (si el chatbot recomienda toxina) y el derecho de consumo catalán (lengua, información veraz).
Regla de partida: la IA no crea una excepción a nada. Todo lo que no puedes hacer sin IA (publicar una foto sin consentimiento, prometer un resultado, nombrar un medicamento de prescripción al público) sigue estando prohibido cuando lo hace un algoritmo, y encima añade obligaciones nuevas.
Dónde vive cada pieza (no se duplica aquí, se enlaza):
- Base de licitud de datos, foto clínica, consentimiento y EIPD: Tier F (Guía práctica de cumplimiento RGPD/LOPDGDD y Análisis de riesgos para la protección de datos).
- Publicidad sanitaria y del centro (código RCSES, claims): Tier E (Publicidad sanitaria y colegiación COMB/COMG: el marco legal de tu marketing).
- Estatus de producto y prohibición de publicitar medicamentos de prescripción: Tier G (Matriz por producto: compra, trazabilidad, cadena de frío y publicidad).
- Redes sociales y marca: Tier H.
2. El AI Act (Reglamento UE 2024/1689): qué te aplica y qué no
El Reglamento (UE) 2024/1689 no regula "la IA" en abstracto: clasifica los sistemas por nivel de riesgo e impone obligaciones según en qué casilla caes. Como clínica que usa herramientas de terceros, tu rol habitual es el de responsable del despliegue (deployer), no el de proveedor, salvo que desarrolles o rebautices tu propia herramienta.
2.1 Las cuatro casillas de riesgo
| Casilla | Qué es | Tu caso en estética |
|---|---|---|
| Prohibido | Manipulación subliminal, puntuación social, categorización biométrica por datos sensibles, reconocimiento de emociones en trabajo | Evita cualquier herramienta que categorice al paciente por rasgos sensibles o infiera emociones. Un simulador estético normal no cae aquí. |
| Alto riesgo | Sistemas del Anexo III y productos sanitarios con IA que sean dispositivo regulado | Un software que diagnostica lesiones cutáneas o decide tratamiento puede ser producto sanitario con IA → alto riesgo. Simulación puramente estética, en principio no. ⚠️ verificar caso a caso con el fabricante y su marcado CE. |
| Riesgo limitado (transparencia) | Chatbots, generadores de imagen/vídeo/texto | Aquí caen tu chatbot y tu contenido generado. Obligación central: avisar de que el usuario habla con una IA y etiquetar el contenido sintético. |
| Riesgo mínimo | El resto | Filtros, recomendadores de producto cosmético sin perfilado sensible. |
2.2 Tus obligaciones reales (el 95% de los casos: transparencia)
- Chatbot de la web/WhatsApp: debe quedar claro que es una IA, no una persona (art. 50 del Reglamento). Un banner o mensaje inicial basta. No lo disfraces de "recepcionista".
- Fotos/vídeos generados o alterados por IA (simulaciones de resultado, retoques, avatares): deben ir marcados como contenido generado o manipulado artificialmente. Un "antes/después" simulado que parezca real y no se etiquete es engañoso por partida doble (AI Act + publicidad engañosa).
- Simulador de resultado: además de etiquetarlo, nunca lo presentes como resultado garantizado. Es una recreación, no una promesa clínica. Deja constancia escrita de esa advertencia.
2.3 Calendario de aplicación
| Hito | Fecha | Qué activa |
|---|---|---|
| Entrada en vigor | 01/08/2024 | El Reglamento existe |
| Prácticas prohibidas | 02/02/2025 | Ya exigibles |
| Modelos de propósito general (GPAI) | 02/08/2025 | Afecta a proveedores, no a ti como usuaria |
| Obligaciones de transparencia y grueso del régimen | 02/08/2026 | Tu chatbot y tu contenido generado entran de lleno |
| Ciertos sistemas de alto riesgo integrados en productos | 02/08/2027 | Relevante solo si usas software-dispositivo con IA |
(Fechas del propio Reglamento; contrasta la versión consolidada antes de fijar un plan de cumplimiento con calendario.)
3. Foto, biometría y datos de salud: dónde la IA cambia el juego
La foto de tu paciente es, de partida, dato de salud (categoría especial, art. 9 RGPD). La IA introduce un salto cualitativo que tienes que entender:
- Una fotografía NO es dato biométrico de forma automática. Solo lo es cuando se somete a un tratamiento técnico que permite la identificación unívoca de la persona (art. 4.14 RGPD y considerando 51): plantilla facial, reconocimiento, mapeo de landmarks para identificar.
- Un simulador o analizador que solo transforma la imagen (envejece, rejuvenece, proyecta un relleno) sin construir una plantilla identificativa no convierte la foto en biométrica, pero sí sigue siendo dato de salud.
- Si la herramienta crea una plantilla facial identificativa (comparar, autenticar, buscar a la persona), pasas a dato biométrico del art. 9.1: consentimiento explícito y, con alta probabilidad, EIPD obligatoria.
Consecuencias operativas:
| Norma | Qué te impone | Referencia |
|---|---|---|
| RGPD art. 9 y 4.14 | Foto clínica = dato de salud; si hay identificación técnica unívoca, también biométrico (categoría especial) | DOUE-L-2016-80807 |
| Criterio AEPD sobre biometría | La imagen no es biométrica salvo tratamiento técnico específico de identificación | aepd.es · nota "14 equívocos" |
| Guía AEPD IA + RGPD | Marco del regulador para tratamientos que incorporan IA (roles, licitud, EIPD, exactitud) | aepd.es · adecuación RGPD-IA (PDF) |
Reglas de casa para cualquier IA que toque fotos de pacientes:
- Consentimiento separado por finalidad. El consentimiento para tratarte (asistencia) no habilita a meter tu cara en un simulador de marketing ni en la nube de un tercero. Formulario granular (lo detalla el Tier F).
- Dónde vive el dato. Muchas herramientas de "análisis de piel" o simulación suben la foto a servidores del fabricante, a veces fuera del EEE. Exige contrato de encargado (art. 28 RGPD), ubicación de servidores y garantías de transferencia internacional. Si no lo aclaran, no subas fotos de pacientes.
- EIPD. Simulación/perfilado sistemático de pacientes es uno de los supuestos que disparan la EIPD (Tier F, doc. 55). No lo saltes por ser "una app".
- APDCAT vs AEPD. Tu autoridad de control es la AEPD (estatal): una clínica privada no está bajo la APDCAT, que supervisa el sector público catalán. No te dirijas a la autoridad equivocada ante una brecha.
4. Chatbots de captación y atención: los tres límites
Un chatbot que capta pacientes y responde dudas cruza tres líneas rojas a la vez si no se controla:
- Transparencia (AI Act): avisa de que es IA.
- Publicidad de medicamentos de prescripción: el chatbot NO puede recomendar, nombrar como reclamo ni promocionar al público un medicamento de prescripción (toxina botulínica y sus marcas). La regla no es "no hablar del tratamiento", es que no se publicita al público un medicamento sujeto a prescripción (art. 80 RDL 1/2015). Configura el bot para hablar de "tratamiento de arrugas dinámicas" y derivar a consulta médica, no para vender "bótox a 6€/unidad".
- Datos de salud: si el bot recoge motivo de consulta, patologías, medicación o fotos, está tratando categoría especial. Necesita la cláusula informativa (art. 13), base de licitud correcta y encargado de tratamiento con el proveedor del bot.
| Norma | Qué te impone | Referencia |
|---|---|---|
| RDL 1/2015 art. 80 | Prohibición de publicidad al público de medicamentos de prescripción (regla del bótox aplicada al bot) | BOE · RDL 1/2015 consolidado |
| Reg. UE 2024/1689 art. 50 | Deber de informar de que se interactúa con una IA | BOE (espejo DOUE) · Reg. IA |
| RGPD arts. 9, 13, 28 | Datos de salud del bot: base, información y contrato de encargado | DOUE-L-2016-80807 |
Frontera clínica que no delega el bot: ninguna IA indica, prescribe ni triaja de forma autónoma. La infiltración es acto médico; la enfermería actúa por delegación y bajo protocolo, no un algoritmo (RD 954/2015; ver Tier G, doc. 76).
5. Contenido generado para redes y web
- Etiqueta lo sintético. Imágenes, vídeos o textos generados por IA deben poder identificarse como tales (AI Act). Un "resultado" que es en realidad un render de IA sin avisar es publicidad engañosa (Ley 34/1988) además de infracción del Reglamento.
- No inventes evidencia. La IA "alucina" estudios, cifras y porcentajes de eficacia. Todo claim de resultado ha de estar respaldado (RD 1907/1996, art. 4: prohibido atribuir efectos no probados). Verifica cada dato que el modelo te dé antes de publicarlo.
- Testimonios y avales sintéticos = prohibidos. Generar un "testimonio de paciente" o un aval con IA vulnera la prohibición de testimonios como reclamo (RD 1907/1996) y es fraude.
- Derechos de imagen. Si el contenido usa la cara de un paciente (aunque la "mejore" la IA), sigue necesitando consentimiento explícito y cesión de imagen (LO 1/1982). Ver Tier F.
- Lengua. En Catalunya la persona consumidora tiene derecho a la información y atención en catalán; la rotulación e información fija al público es exigible en català (Codi de consum, Llei 22/2010). Tu chatbot y tu web deben poder atender en catalán.
| Norma | Qué te impone | Referencia |
|---|---|---|
| Reg. UE 2024/1689 | Marcado de contenido sintético y transparencia | BOE (espejo DOUE) |
| Codi de consum de Catalunya (Llei 22/2010) | Derechos lingüísticos: atención e información fija en catalán | BOE · Llei 22/2010 |
6. Software de análisis/diagnóstico: ¿es producto sanitario?
Si la herramienta afirma diagnosticar (detectar lesiones, clasificar melanoma, "leer" la piel con finalidad médica), puede ser software como producto sanitario bajo el MDR (Reglamento UE 2017/745) y su desarrollo estatal (RD 192/2023), y entonces también alto riesgo en el AI Act. Un simple recomendador cosmético o un simulador estético sin pretensión diagnóstica, no.
Qué exigir al fabricante antes de comprar:
- Marcado CE como producto sanitario e IFU (instrucciones de uso) que declaren su finalidad prevista.
- Que la finalidad prevista coincida con el uso que le vas a dar (no uses off-label un software).
- Documentación de conformidad con el AI Act si es de alto riesgo.
| Norma | Qué te impone | Referencia |
|---|---|---|
| RD 192/2023 (MDR estatal) | Software con finalidad médica = producto sanitario; marcado CE, vigilancia AEMPS | BOE · RD 192/2023 |
| AEMPS · cualificación/clasificación | La AEMPS resuelve caso a caso si un software es producto sanitario | aemps.gob.es · consultas |
⚠️ verificar: la clasificación de una herramienta concreta (analizador de piel, simulador) como producto sanitario con IA de alto riesgo no es genérica; depende de la finalidad prevista declarada por el fabricante y de su IFU. Confírmalo producto a producto con el fabricante y, si hay duda, con la AEMPS.
7. Checklist de cumplimiento IA (antes de encender la herramienta)
- [ ] Identificado el rol (usas herramienta de tercero = deployer; si la desarrollas o rebautizas, proveedor con obligaciones mayores).
- [ ] Chatbot avisa de que es una IA y está configurado para no publicitar medicamentos de prescripción.
- [ ] Todo contenido generado (imagen/vídeo/texto) va etiquetado como IA y ningún simulador se presenta como resultado garantizado.
- [ ] Fotos de pacientes en herramientas de IA: consentimiento granular separado, contrato de encargado (art. 28), ubicación de servidores verificada (EEE / transferencias), y EIPD hecha si hay perfilado/biometría (Tier F).
- [ ] Comprobado si la herramienta de análisis es producto sanitario con marcado CE (Tier G) y si es alto riesgo en el AI Act.
- [ ] Web y chatbot pueden atender en catalán.
- [ ] Ningún claim de eficacia sin respaldo; nada de testimonios/avales sintéticos.
- [ ] Documentado el calendario AI Act aplicable (transparencia plena desde 08/2026).
Campos a completar por la doctora: [NOMBRE HERRAMIENTA IA], [PROVEEDOR / UBICACIÓN SERVIDORES], [FECHA CONTRATO ENCARGADO], [Nº COLEGIADA responsable de validar contenido].
Estètica Catalunya · Vigencia normativa: julio 2026. Contrasta con tu gestoría, el COMB/COMG y la Administración antes de cualquier trámite.