El hospital inteligente ya está aquí

En los últimos años hemos aprendido a hablar de «hospital inteligente» con una naturalidad que habría sorprendido a cualquier gestor sanitario de hace una década. Bajo esa etiqueta cabe casi todo: historia clínica electrónica avanzada, sensorización de instalaciones, automatización de la logística, monitorización en tiempo real, telemedicina e incluso proyectos de inteligencia artificial aplicada al diagnóstico, al triaje o a la gestión de camas.

Más digitalización no implica menos riesgo, sino un cambio de naturaleza del riesgo hospitalario: aparecen más puntos de fallo, más interdependencias entre sistemas y más escenarios en los que una incidencia técnica se convierte enseguida en un problema de continuidad asistencial. La irrupción de la inteligencia artificial acentúa ese cambio de paradigma, porque no estamos ante una tecnología cerrada, sino ante un campo en expansión en el que surgen nuevas aplicaciones y funcionalidades cuyo impacto sobre la seguridad del paciente y la organización todavía no está plenamente identificado ni regulado.

Durante mucho tiempo, el riesgo del hospital se ha descrito en términos relativamente clásicos: fallos estructurales de las instalaciones, problemas de mantenimiento, errores humanos o saturación asistencial. La digitalización masiva ha desplazado el centro de gravedad hacia otros puntos menos visibles: caída de sistemas de información clínica, indisponibilidad de redes internas, ataques de ransomware, interrupción de la cadena de frío por un fallo de sensorización, errores de configuración en plataformas de telemedicina o dependencia crítica de proveedores tecnológicos externos.

Cada uno de estos incidentes ya no se queda en un «problema informático» o en una «incidencia técnica», sino que tiene capacidad real de paralizar quirófanos, consultas, laboratorios y, en última instancia, de comprometer la continuidad del servicio que el hospital está obligado a prestar. Ese es el punto en el que el discurso del hospital inteligente deja de ser solo un relato de modernización y pasa a ser un problema de Derecho Público.

Un centro sanitario que organiza toda su actividad en torno a sistemas digitales y cadenas de suministro complejas no puede seguir gestionando el riesgo como si estuviera en los años noventa, con planes de autoprotección por un lado, protocolos TIC por otro y contratos de servicios diseñados como si la caída de un proveedor solo generara molestias marginales. El hospital inteligente se parece cada vez menos a un edificio que presta servicios y cada vez más a una infraestructura crítica sanitaria: si la tecnología falla, no se pierde comodidad, se pierde capacidad de asistir.

A partir de ahí, la pregunta deja de ser tecnológica («qué sistema compro») y pasa a ser jurídica y organizativa: quién gobierna ese riesgo, con qué reglas y bajo qué responsabilidades. Este giro no es solo teórico: el Derecho europeo ya ha empezado a escribirlo negro sobre blanco en normas que tratan al hospital como parte de la infraestructura crítica de un país.

CER y NIS2: el hospital como servicio esencial y entidad crítica

La primera pieza es la Directiva (UE) 2022/2557, sobre la resiliencia de las entidades críticas (CER). Esa norma no habla de «hospital inteligente», pero sí identifica sectores y servicios esenciales cuya interrupción compromete funciones sociales básicas y la seguridad de las personas. Entre ellos está la asistencia sanitaria.

El Reglamento Delegado (UE) 2023/2450 concreta esta idea y enumera, dentro del sector salud, servicios como la prestación de asistencia sanitaria, determinados laboratorios, actividades de investigación y desarrollo de medicamentos y producción de ciertos productos sanitarios. La lógica es clara: hay entidades —y los grandes hospitales públicos son un ejemplo paradigmático— que deben seguir funcionando incluso en escenarios de crisis, porque no son un servicio más, sino parte del esqueleto de la sociedad. Son, en términos materiales, entidades que no pueden parar sin poner en riesgo derechos fundamentales y funciones esenciales del Estado.

La segunda pieza es la Directiva NIS2, que eleva la exigencia de ciberseguridad en la Unión Europea y amplía el listado de entidades esenciales e importantes. En el sector salud, NIS2 incluye hospitales, clínicas, proveedores de servicios de asistencia sanitaria electrónica y otros agentes cuya actividad descansa sobre redes y sistemas de información. Para ellos ya no basta con «tener informática»: la directiva exige modelos de gobernanza de la seguridad, análisis sistemático de riesgos, medidas técnicas y organizativas proporcionadas, capacidad de detección y respuesta a incidentes y, muy especialmente, obligaciones de notificación temprana a las autoridades competentes cuando un incidente puede afectar de forma significativa a la prestación del servicio.

Ambos textos convergen en un mismo punto: el hospital deja de describirse solo como un centro asistencial y pasa a ser tratado como una entidad crítica que presta un servicio esencial. Eso tiene consecuencias directas. CER obliga a pensar en términos de resiliencia física y organizativa: continuidad de la asistencia ante cortes de suministro, catástrofes, daños a instalaciones o fallos graves de proveedores. NIS2 obliga a asumir que la capa digital del hospital —sistemas clínicos, redes, plataformas de telemedicina, integraciones con terceros— forma parte del mismo problema y debe gobernarse con criterios de gestión de riesgos y de responsabilidad.

El hospital inteligente no está fuera de este marco; es, probablemente, uno de los lugares donde se hace más visible que la innovación tecnológica sin una arquitectura jurídica de resiliencia genera un tipo de vulnerabilidad que el Derecho ya no puede tratar como un daño colateral inevitable.

Del fallo técnico al riesgo gobernable

El hospital inteligente rompe la comodidad del «fallo técnico» entendido como algo menor y excepcional. Cuando todo está conectado, lo que antes era una incidencia acotada se convierte con facilidad en un problema de continuidad asistencial. La caída del sistema de historia clínica electrónica en un hospital de referencia no significa solo que haya que escribir en papel: implica no poder acceder a tratamientos previos, alergias, resultados de laboratorio o pruebas de imagen; retrasa cirugías, bloquea urgencias y multiplica el riesgo de error clínico.

Un ataque de ransomware sobre las redes internas no es una anécdota informática: puede dejar inoperativos radiología, laboratorio, quirófanos programados o sistemas de monitorización. Un fallo en la cadena de frío por una mala configuración de sensores afecta directamente a hemoderivados, vacunas y determinados medicamentos. La ruptura de un contrato crítico de laboratorio o de diagnóstico por imagen no es solo un conflicto económico: puede paralizar pruebas sin las cuales la asistencia queda a medias.

Durante años, muchos de estos episodios se han presentado como inevitables o como fruto de una mala suerte que nadie podía prever. El marco CER-NIS2 y la propia evolución de la práctica han ido erosionando esa coartada. Un hospital que depende de forma masiva de sus sistemas digitales y de una red de proveedores críticos no puede alegar fuerza mayor cada vez que un incidente afecta al corazón de su actividad. La pregunta ya no es si el riesgo existe —es evidente que existe—, sino cómo se ha gobernado: qué análisis se hizo, qué medidas de prevención y de redundancia se adoptaron, qué planes de contingencia estaban listos para activarse y quién tenía la responsabilidad de decidir en cada tramo.

Ahí es donde cobra sentido hablar de riesgo gobernable en el entorno hospitalario. No se trata de cualquier contingencia, sino de un riesgo suficientemente reconocido por el marco normativo, identificable en términos organizativos y conectado de forma directa con la continuidad asistencial del centro. Dicho de otro modo: cuando el hospital conoce el riesgo, dispone de margen razonable para actuar sobre él y sabe que su materialización compromete un servicio esencial, deja de estar ante una mera fatalidad técnica y pasa a situarse frente a un riesgo que debe gobernar.

Ese margen de actuación no es infinito, pero tampoco es inexistente. Un hospital inteligente sabe —o debería saber— cuáles son sus sistemas y servicios cuya caída provoca un daño inmediato en la asistencia; conoce qué proveedores son insustituibles a corto plazo; dispone de información suficiente para valorar qué tipo de incidentes son estadísticamente más probables y con qué efectos. A partir de ahí, no puede limitarse a confiar en que «no pase nada» o a descargar la responsabilidad sobre técnicos o empresas externas.

El fallo que no se gobierna ni se regula, pese a estar identificado y ser técnicamente abordable, se convierte en un riesgo huérfano: nadie lo asume como propio, nadie decide sobre él y, cuando se materializa, todos miran hacia otro lado. La lógica del riesgo gobernable exige precisamente lo contrario: que la dirección del centro ordene ese mapa de riesgos, lo priorice, asigne responsabilidades internas y externas y documente de forma razonable por qué se adoptan unas medidas y se descartan otras.

CER y NIS2 no amplían por sí mismos la responsabilidad patrimonial de la Administración, pero sí reordenan el estándar de diligencia organizativa exigible ex ante y hacen mucho más difícil presentar como imprevisible aquello que ya era identificable, gestionable y normativamente relevante.

En territorios insulares como Canarias, además, esa exigencia se vuelve más intensa. La dependencia logística, la concentración de servicios de referencia, la mayor dificultad de sustitución inmediata de suministros o proveedores y la vulnerabilidad añadida de la conectividad refuerzan la condición del hospital como entidad que no puede parar. Eso no altera la categoría jurídica del riesgo gobernable, pero sí agrava sus condiciones de evaluación y obliga a una lectura más exigente de la resiliencia hospitalaria en clave territorial.

Técnico de la Función Administrativa y Letrado habilitado para el asesoramiento jurídico en contratación pública en el ámbito del Servicio Canario de la Salud

Julio Ángel de Santiago Angulo