El Anteproyecto de Ley de Salud Digital abre una ventana legislativa inédita en España. La renovación del acuerdo entre la AEMPS y la Plataforma de Organizaciones de Pacientes demuestra que la transformación digital del sistema sanitario puede —y debe— hacerse con quienes más la necesitan.

Hace poco, dos instituciones con objetivos distintos, pero con una misión compartida firmaban la prórroga de un acuerdo que, a primera vista, podría parecer un trámite administrativo más. No lo es. La renovación por dos años de la colaboración estratégica entre la Agencia Española de Medicamentos y Productos Sanitarios (AEMPS) y la Plataforma de Organizaciones de Pacientes (POP) llega en un momento decisivo: España está construyendo su arquitectura legal para la salud digital, y los pacientes quieren —y deben— estar en la mesa donde se diseña.

Un Anteproyecto de Ley para la era de los datos sanitarios

El Anteproyecto de Ley de Salud Digital supone el marco normativo más ambicioso que ha abordado España en materia de tecnología sanitaria. Su objetivo declarado es ordenar el uso de datos clínicos, inteligencia artificial y herramientas digitales en el sistema de salud, garantizando tres principios que suenan sencillos, pero son enormemente complejos de articular: interoperabilidad, transparencia y protección de derechos.

Dicho de otro modo: que un médico en Sevilla pueda consultar el historial de un paciente ingresado en Bilbao; que un algoritmo que ayuda a diagnosticar tumores explique por qué llega a sus conclusiones; y que ningún ciudadano pierda el control de sus datos de salud más sensibles. No es ciencia ficción: es lo que se está debatiendo ahora mismo en los despachos ministeriales.

Por qué importa que los pacientes estén en la sala

La historia de la regulación sanitaria está llena de normas bien intencionadas que, al llegar a la práctica, tropezaron con la realidad cotidiana de los propios pacientes. Formularios incomprensibles, portales de salud diseñados sin tener en cuenta a personas mayores o con discapacidad, consentimientos informados redactados en lenguaje técnico inaccesible. La digitalización puede multiplicar esos errores o corregirlos de raíz, dependiendo de si se cuenta con la voz de quienes usan el sistema.

La alianza entre AEMPS y POP apunta precisamente en esa dirección. A través de sesiones formativas específicas sobre el anteproyecto de ley, las organizaciones de pacientes adquirirán el conocimiento técnico necesario para participar con criterio en el proceso legislativo. No como meros consultados a posteriori, sino como actores con capacidad real de influir en el diseño de las herramientas digitales que, en última instancia, ellos mismos tendrán que utilizar.

Alto valor estratégico, coste cero adicional

Uno de los aspectos más llamativos del acuerdo renovado es su eficiencia: la extensión no implica costes adicionales para ninguna de las partes. Es, en esencia, una apuesta por consolidar un canal institucional que ya ha demostrado su utilidad —evaluación positiva mediante— sin necesidad de nuevos recursos económicos. En tiempos de presión presupuestaria sobre el sistema sanitario público, este modelo de colaboración merece ser replicado.

El valor no es económico; es de legitimidad. Una ley de salud digital que se construye con la participación activa de las asociaciones de pacientes tiene muchas más posibilidades de ser comprendida, aceptada y bien aplicada por la ciudadanía.

El ecosistema normativo: cuando la regulación corre detrás de la tecnología

Comprender el Anteproyecto de Ley de Salud Digital exige asomarse primero al denso ecosistema normativo sobre el que se asienta. No se trata de una ley que surge en el vacío: es la pieza española de un puzle europeo en construcción, cuyas piezas no siempre encajan con la misma precisión con la que fueron diseñadas. Y en ese encaje imperfecto residen algunas de las tensiones jurídicas y éticas más relevantes que la futura norma deberá resolver.

El punto de partida es el Reglamento (UE) 2025/327, relativo al Espacio Europeo de Datos de Salud (EEDS), aprobado en febrero de 2025 con entrada en vigor el 25 de marzo de 2027. Su ambición es mayúscula: que cualquier ciudadano europeo pueda acceder a su historial clínico desde cualquier Estado miembro, que los datos sanitarios anonimizados fluyan hacia la investigación y la innovación de forma segura, y que los sistemas de historia clínica electrónica hablen el mismo idioma técnico en toda la Unión. España tiene menos de dos años para construir la arquitectura institucional, competencial y técnica que haga posible todo eso.

Marco normativo de referencia:

• EEDS (UE) 2025/327   Espacio Europeo de Datos de Salud · Uso primario y secundario · Interoperabilidad transfronteriza.
• RGPD (UE) 2016/679   Protección de datos personales · Minimización · Consentimiento explícito · Categorías especiales.
• LOPDGDD 3/2018   Desarrollo nacional del RGPD · Derechos digitales · Régimen sancionador español.
• Reglamento IA (UE) 2024/1689   Sistemas de alto riesgo · Supervisión humana · Transparencia algorítmica · Evaluación de conformidad.
• Data Governance Act (UE) 2022/868   Reutilización de datos públicos · Intermediación de datos · Altruismo de datos.
• Data Act (UE) 2023/2854   Datos generados por dispositivos · Acceso y portabilidad · Titularidad del dato.
• Ley 41/2002 — Autonomía del Paciente   Consentimiento informado · Acceso a HC · Confidencialidad · Autodeterminación.
• Ley 14/2007 — Investigación Biomédica   Investigación con datos y muestras · Comités de ética · Garantías genéticas.
• RD 1090/2015 — Ensayos Clínicos   Uso de IA en ensayos · Selección algorítmica de pacientes · Responsabilidad.
• Ley 14/1986 — General de Sanidad   Universalidad y equidad del SNS · Marco institucional sanitario.
• Ley 16/2003 — Cohesión y calidad del SNS   Cartera de servicios · Financiación de productos digitales · Interoperabilidad nacional.

La Ley de Autonomía del Paciente: la brújula ética que no puede quedar en papel mojado

Si hay una norma que actúa como brújula ética de todo este proceso es la Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica. Aprobada hace más de veinte años, consagró principios que hoy resultan más vigentes que nunca: el consentimiento informado como acto libre y consciente, el derecho de acceso a la propia historia clínica, el derecho a decidir sobre el uso de la información clínica propia. El problema es que fue redactada en un contexto analógico, y su traslación al entorno digital plantea interrogantes sin respuesta clara en el texto actual.

‘La digitalización sanitaria no es solo una cuestión tecnológica, sino de gobernanza, confianza y participación. Incorporar al paciente en el diseño normativo no es opcional: es un factor crítico de éxito’

¿Qué significa consentir el uso de datos clínicos para entrenar algoritmos de inteligencia artificial cuando el paciente no puede anticipar qué modelo se entrenará, con qué otros datos se combinará su información, ni qué decisiones clínicas futuras influirá ese modelo? El anteproyecto deberá actualizar el contenido exigible del consentimiento informado en el entorno digital sin vaciarlo de sustancia: un clic sobre un texto ininteligible de treinta páginas no es consentimiento; es una formalidad que da cobertura jurídica sin dar información real.

La Ley 41/2002 también garantiza el derecho del paciente a acceder a su historia clínica y a conocer a quién se ha facilitado información sobre su salud. En el entorno del EEDS, donde los datos podrán fluir entre sistemas de distintos países y ser accedidos por investigadores de otras jurisdicciones, ese derecho de trazabilidad se vuelve técnicamente complejo, pero éticamente irrenunciable. La futura ley deberá garantizar mecanismos concretos —no meras declaraciones de principio— que permitan al paciente saber, en tiempo real y en lenguaje comprensible, quién accede a sus datos, con qué finalidad y bajo qué garantías.

RGPD y LOPDGDD: la tensión entre minimización de datos y la lógica del Big Data sanitario

Los datos de salud son, por definición, la categoría más sensible de datos personales. El Reglamento General de Protección de Datos (RGPD, UE 2016/679) los clasifica como categoría especial y exige doble habilitación para su tratamiento: base jurídica reforzada y finalidad explícita. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) desarrolló en España esas exigencias, pero lo hizo antes de que el EEDS existiera, antes de que la IA generativa se convirtiera en herramienta clínica cotidiana, y antes de que el concepto de historia clínica digital interoperable nacional fuera algo más que una aspiración ministerial.

El anteproyecto tendrá que resolver una tensión estructural de fondo: el RGPD y la LOPDGDD parten del principio de minimización de datos (recoger solo lo estrictamente necesario para el fin declarado), mientras que la lógica del EEDS y de la investigación basada en datos masivos se orienta exactamente en la dirección contraria. Cuantos más datos, mayor potencia analítica, mejores modelos, mejores diagnósticos. Reconciliar ambas lógicas sin sacrificar la protección real del ciudadano es uno de los desafíos técnico-jurídicos más exigentes que afronta la futura ley.

Un punto especialmente delicado es la figura de la seudonimización como garantía en el uso secundario de datos. La consulta pública del Ministerio la menciona como medida de protección para investigación y desarrollo de algoritmos. Sin embargo, la literatura científica ha demostrado reiteradamente que en conjuntos de datos sanitarios suficientemente ricos, la reidentificación de individuos seudonimizados es técnicamente posible. La ley deberá establecer estándares de anonimización que vayan más allá de la seudonimización básica, con auditorías independientes y mecanismos de responsabilidad efectiva ante brechas.

El Reglamento de Inteligencia Artificial: supervisión humana real o ilusión de control

La incorporación de la IA a la asistencia sanitaria es simultáneamente la mayor promesa y el mayor riesgo de todo el proceso. El Reglamento (UE) 2024/1689 de Inteligencia Artificial clasifica los sistemas de IA utilizados en diagnóstico, pronóstico o apoyo a decisiones clínicas como sistemas de alto riesgo, sujetos a exigencias estrictas de transparencia, trazabilidad, supervisión humana y evaluación de conformidad previa al despliegue. El anteproyecto debe articular cómo se implementan esas exigencias en el contexto específico del SNS, donde los recursos, los tiempos clínicos y las capacidades técnicas son desiguales entre comunidades autónomas y entre niveles asistenciales.

La pregunta más incómoda es la de la supervisión humana efectiva. El Reglamento de IA la exige como condición para el despliegue de sistemas de alto riesgo, pero en un sistema sanitario con consultas de minutos y profesionales bajo presión constante, esa supervisión corre el riesgo de convertirse en una validación rutinaria sin capacidad real de cuestionamiento. El anteproyecto deberá ir más allá de la declaración de principios y establecer condiciones operativas concretas que hagan de la supervisión algo más que un clic de confirmación.

Igualmente crítica es la cuestión de la transparencia algorítmica, expresamente mencionada en la consulta pública del Ministerio. Los algoritmos de aprendizaje profundo toman decisiones por razones que ni sus propios creadores pueden explicar completamente: el llamado problema de la caja negra. Aquí el derecho a la información que consagra la Ley 41/2002 —el paciente tiene derecho a saber en qué se basa un diagnóstico— colisiona frontalmente con las limitaciones técnicas de la IA actual. La ley deberá establecer un umbral mínimo de explicabilidad exigible en los sistemas de apoyo a la decisión clínica, con independencia de la complejidad técnica del modelo subyacente.

Gobernanza de datos y Data Act: ¿a quién pertenecen los datos que genera tu cuerpo?

El Reglamento de Gobernanza de Datos (UE) 2022/868 —Data Governance Act— establece las condiciones para la reutilización de datos del sector público y la figura del altruismo de datos: la cesión voluntaria de información personal para fines de interés general. En el ámbito sanitario, esto abre la posibilidad de que ciudadanos cedan sus datos de salud para investigación, lo que plantea preguntas éticas relevantes sobre la presión social o institucional implícita en ese tipo de cesiones, especialmente en colectivos vulnerables o en situación de dependencia asistencial.

El Reglamento (UE) 2023/2854, Data Act, añade una dimensión práctica urgente: regula el acceso a datos generados por dispositivos conectados, lo que incluye cada vez más dispositivos médicos portátiles —wearables, monitores de glucosa continuos, marcapasos inteligentes, sensores de presión arterial—. La pregunta que la futura ley debe responder con claridad es: ¿a quién pertenecen los datos que genera el cuerpo de un paciente a través de un dispositivo financiado o prescrito por el SNS? ¿Al paciente, al fabricante, al sistema de salud? La ambigüedad actual no es solo un problema jurídico; es un riesgo real de explotación comercial de información médica sensible.

Investigación biomédica y ensayos clínicos: cuando el dato clínico se convierte en materia prima

La Ley 14/2007, de Investigación Biomédica estableció un marco garantista para la investigación con datos y muestras biológicas humanas, articulado en torno al consentimiento informado, los comités de ética y la prohibición de discriminación genética. Ese marco, sin embargo, fue diseñado para la investigación convencional: datos recogidos específicamente para un proyecto concreto, con protocolo definido y comité ético que lo supervisa. La investigación basada en datos masivos del EEDS opera bajo una lógica radicalmente diferente: datos clínicos recogidos con fines asistenciales se reutilizan retrospectivamente para investigación, muchas veces sin que el paciente haya podido anticipar para qué se usarán ni quién accederá a ellos.

La futura Ley de Salud Digital deberá establecer con precisión la jerarquía normativa entre sus disposiciones y las de la Ley de Investigación Biomédica. En particular, deberá aclarar si la habilitación general para el uso secundario de datos del SNS puede operar como excepción al consentimiento específico que exige aquella ley, y bajo qué condiciones y garantías. Una habilitación demasiado amplia podría convertirse, en la práctica, en una derogación implícita de garantías que la sociedad española tardó décadas en conquistar.

El Real Decreto 1090/2015, sobre ensayos clínicos con medicamentos añade otra capa de complejidad creciente: la incorporación de IA en el diseño, monitorización y análisis de ensayos clínicos plantea interrogantes sobre la validez de los modelos predictivos utilizados para la selección de pacientes o la evaluación de resultados intermedios. Si un algoritmo predice que debe interrumpirse un ensayo porque sus proyecciones anticipan daño, ¿quién valida esa predicción? ¿Bajo qué responsabilidad jurídica? ¿Qué papel juegan los comités de ética de la investigación ante un protocolo parcialmente definido por un modelo de IA?

El reto transversal: la brecha digital como fractura del principio de equidad

Más allá de las tensiones entre normas, existe un desafío que ningún reglamento resuelve por sí solo: el riesgo de que la digitalización del sistema sanitario genere o amplíe desigualdades de acceso. La Ley 14/1986, General de Sanidad proclama la universalidad y la equidad como principios fundamentales del SNS. La Ley 16/2003, de cohesión y calidad del SNS los desarrolla y refuerza. Ambas quedarán en entredicho si la historia clínica digital interoperable o las herramientas de telemedicina no son accesibles para personas mayores sin competencias digitales, para ciudadanos en zonas rurales con conectividad deficiente, o para colectivos con discapacidad que no puedan interactuar con interfaces diseñadas sin criterios de accesibilidad universal.

El anteproyecto tiene la obligación —también legal, no solo ética— de incorporar desde el origen el principio de diseño universal. La consulta pública del Ministerio menciona expresamente la equidad y la accesibilidad entre los principios que debe respetar la incorporación de tecnologías digitales a la asistencia sanitaria. Convertir esa mención en obligaciones exigibles, con plazos, responsables y mecanismos de verificación, es la diferencia entre una declaración de intenciones y una ley que protege a todos los ciudadanos por igual.

El camino que queda por delante no admite atajos. La futura Ley de Salud Digital se está construyendo sobre un terreno normativo extraordinariamente complejo, en el que cada decisión legislativa tiene consecuencias para derechos fundamentales reales de ciudadanos reales. El acuerdo entre AEMPS y la Plataforma de Organizaciones de Pacientes no resuelve esos dilemas, pero sí construye la arquitectura de diálogo que puede hacerlo posible. En un proceso donde la velocidad tecnológica amenaza constantemente con adelantar a la reflexión ética y jurídica, esa arquitectura de diálogo no es un lujo: es una necesidad.