Cuando las herramientas de IA manejan datos médicos: por qué las entidades cubiertas por HIPAA no son la única preocupación

La función de ChatGPT Salud, recientemente anunciada por OpenAI, ha generado serias preguntas sobre cómo se protege la información personal sensible cuando los usuarios confían sus registros médicos a plataformas de inteligencia artificial. Aunque la empresa afirma haber implementado salvaguardas, los defensores de la privacidad argumentan que las regulaciones existentes crean brechas peligrosas en la protección del consumidor.

La brecha en la protección de la privacidad más allá de las entidades cubiertas por HIPAA

Aquí está la distinción crítica que la mayoría de los usuarios pasa por alto: los datos de salud reciben un tratamiento legal diferente dependiendo de quién los posea. Cuando las entidades cubiertas por HIPAA—como hospitales, aseguradoras u consultorios médicos—almacenan tu información médica, se aplican reglas estrictas de privacidad. Sin embargo, las empresas tecnológicas, plataformas de IA y desarrolladores de aplicaciones de salud operan en un espacio en gran medida no regulado.

Andrew Crawford, asesor principal de políticas en el Center for Democracy and Technology, destaca esta disparidad: “Las reglas de privacidad de HIPAA se aplican cuando tus datos de salud son retenidos por tu médico o compañía de seguros. Lo mismo no es válido para entidades no cubiertas por HIPAA, como desarrolladores de aplicaciones de salud, rastreadores portátiles o empresas de IA.” Esto significa que ChatGPT Salud, a pesar del cifrado y el almacenamiento separado, no está sujeto a los mismos estándares de cumplimiento que los proveedores tradicionales de atención médica.

Enfoque de OpenAI hacia la nueva función

ChatGPT Salud permite a los usuarios subir registros médicos e información de bienestar directamente a la plataforma. OpenAI afirma que la herramienta está diseñada para ayudar a los usuarios a entender su salud en lugar de proporcionar servicios de diagnóstico o tratamiento. La empresa enfatiza que compartirá solo información de salud general y factual, y marcará escenarios de alto riesgo para su consulta con profesionales de la salud reales.

El despliegue comienza esta semana para usuarios seleccionados fuera de la UE y el Reino Unido, con acceso en iOS y web que se ampliará en las próximas semanas.

La preocupación más profunda: ¿Quién controla tus datos?

J.B. Branch, defensor de la responsabilidad de las grandes tecnológicas en Public Citizen, señala que la autorregulación no es suficiente. “Incluso cuando las empresas afirman tener salvaguardas de privacidad, los consumidores a menudo carecen de un consentimiento significativo, transparencia o control sobre cómo se usan, retienen o reutilizan sus datos,” afirmó Branch. “Los datos de salud son particularmente sensibles, y sin límites legales claros y supervisión aplicable, las salvaguardas autoadministradas simplemente no pueden proteger a las personas del uso indebido, la re-identificación o daños posteriores.”

El problema va más allá del uso actual. OpenAI dice que las conversaciones sobre salud no entrenarán sus modelos base, pero la ausencia de una legislación federal integral de privacidad significa que hay poco que impida la reutilización futura de estos datos.

La dimensión creciente de la salud mental

El momento del lanzamiento de ChatGPT Salud es notable. OpenAI reveló previamente que más de 1 millón de usuarios discuten semanalmente con ChatGPT sobre suicidio y crisis de salud mental—lo que representa aproximadamente el 0,15% de su base de usuarios. Este volumen subraya cómo la plataforma se ha convertido en un recurso de salud mental de facto, pero sin el marco regulatorio que normalmente rige los datos psicológicos sensibles.

El verdadero problema: la carga para el consumidor en un panorama no regulado

Crawford enfatiza que la política federal ha desplazado esencialmente la carga hacia los usuarios individuales. “Nuestras leyes actuales colocan la responsabilidad en los consumidores para analizar si están cómodos con cómo la tecnología que usan a diario maneja sus datos,” explicó. “La ausencia de una ley federal integral de privacidad que regule los datos de salud en manos de empresas tecnológicas significa que las personas deben realizar sus propias evaluaciones de riesgo.”

A diferencia de las entidades cubiertas por HIPAA, que están sujetas a obligaciones legales, empresas como OpenAI definen sus propios estándares de privacidad. Sin intervención federal o regulaciones actualizadas que tengan en cuenta los datos de salud en IA, probablemente esta desigualdad persistirá.