AI Act 2027: qué cambia para la IA médica en Europa

El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada hasta 2027. Para la sanidad europea, las fechas relevantes son dos:

• 2 de febrero de 2025: aplicación de las prohibiciones (sistemas de IA inaceptables) y obligaciones de alfabetización en IA del personal.
• 2 de agosto de 2026: aplicación general del Reglamento, incluidos los requisitos para sistemas de alto riesgo — categoría donde caen casi todos los dispositivos médicos basados en IA.
• 2 de agosto de 2027: aplicación a los sistemas de alto riesgo que ya están en mercado bajo otros reglamentos (incluidos los dispositivos médicos con marcado CE pre-AI Act).

Para healthtech europea, el calendario relevante es agosto 2026, no 2027. Aquí está lo que cambia.

Categorías de riesgo y dónde cae la IA médica

El AI Act clasifica los sistemas de IA en cuatro niveles:

Nivel	Definición	Ejemplos en sanidad
Inaceptable	Prohibido	Sistemas de scoring social sanitario, manipulación de pacientes vulnerables
Alto riesgo	Permitido con requisitos estrictos (Anexo III + dispositivos médicos según MDR/IVDR)	Diagnóstico por imagen IA, software de triaje clínico, retinografía con IA, predicción de riesgo
Riesgo limitado	Permitido con obligaciones de transparencia	Chatbots de información sanitaria al paciente
Riesgo mínimo	Permitido sin obligaciones específicas	Optimización logística de turnos en hospital, búsqueda terminológica

Casi cualquier dispositivo médico con IA cae en la categoría de alto riesgo por aplicación combinada del Artículo 6 AI Act y el Anexo I (que incluye MDR como legislación armonizada). La regla práctica: si tu sistema necesita marcado CE bajo MDR clase IIa, IIb o III, también cumple criterios de alto riesgo bajo AI Act.

Qué cambia para fabricantes con CE ya certificado

Tener marcado CE pre-AI Act no exime de los requisitos AI Act. Lo que cambia para un fabricante que ya pasó MDR:

1. Gestión de riesgos de IA específica (Art. 9 AI Act) — además de la gestión de riesgos MDR, hay que documentar riesgos derivados de la naturaleza adaptativa y de aprendizaje del sistema.
2. Gobernanza de datos (Art. 10) — requisitos sobre los datasets de entrenamiento, validación y test: representatividad, calidad, sesgos, anotación. Es la sección que más cambia respecto a la práctica MDR habitual.
3. Documentación técnica (Art. 11 + Anexo IV) — un capítulo nuevo en el technical file específico de IA.
4. Transparencia y trazabilidad (Art. 12–13) — logging automático de eventos, instrucciones de uso ampliadas, declaración clara de capacidades y limitaciones.
5. Supervisión humana (Art. 14) — el sistema debe permitir intervención humana significativa. Para sanidad, esto materializa el principio “el médico decide”.
6. Robustez, exactitud y ciberseguridad (Art. 15) — métricas de rendimiento documentadas para los escenarios de uso previstos.
7. Registro UE (Art. 49) — alta en la base de datos de la UE de sistemas IA de alto riesgo.

Estos requisitos se integran con los de MDR, no los sustituyen. El organismo notificado MDR puede evaluar conjuntamente ambos cumplimientos (Art. 43 AI Act).

Qué cambia para hospitales que usan estos sistemas

Los hospitales privados y públicos, como desplegadores (deployers) de sistemas IA de alto riesgo, tienen obligaciones propias:

• Uso conforme a las instrucciones del fabricante.
• Supervisión humana real del sistema — no convertir la IA en herramienta de aprobación automática sin lectura clínica.
• Información a los pacientes cuando un sistema IA participa en una decisión que les afecta significativamente.
• Monitorización de funcionamiento y reporte de incidentes al fabricante y al regulador competente.
• Conservación de logs automáticos generados por el sistema durante al menos 6 meses (Art. 26).
• Evaluación de impacto en derechos fundamentales (FRIA, Art. 27) para ciertos casos de uso público.

Para hospitales que actúan como integradores de varios sistemas IA, las obligaciones se acumulan. La pregunta de gobernanza ya no es “¿tenemos CE?” sino “¿quién es el responsable interno del cumplimiento AI Act por cada sistema desplegado?”.

Qué cambia para los pacientes

Tres derechos nuevos relevantes:

• Derecho a saber que un sistema IA ha participado en una decisión clínica que les afecta de forma significativa.
• Derecho a explicación de la decisión cuando ha sido tomada con apoyo de un sistema de alto riesgo (Art. 86 AI Act).
• Derecho a presentar reclamación ante la autoridad nacional de vigilancia del mercado.

En la práctica, esto se materializa en consentimientos informados ampliados, documentación accesible sobre qué sistemas IA usa cada centro y vías de reclamación visibles. Para healthtech consumer-facing (como un chequeo preventivo D2C), implica que las pantallas de resultado deben aclarar qué motor ha contribuido a qué hallazgo.

Incertidumbres pendientes

A mayo de 2026, varias cuestiones técnicas siguen sin guía operativa cerrada:

• Sistemas adaptativos post-mercado: el AI Act diferencia “cambios sustanciales” (re-evaluación) de “evolución prevista” (sin re-evaluación). El criterio operativo todavía depende de notas MDCG aún en redacción.
• Modelos fundacionales (GPAI) integrados en dispositivos médicos: el AI Act introdujo obligaciones específicas para modelos fundacionales (Art. 51–55), aplicables desde agosto 2025. La interacción con un dispositivo médico que use uno de estos modelos como componente sigue siendo zona gris.
• Estándares armonizados: CEN-CENELEC JTC 21 trabaja en los estándares que darán presunción de conformidad. Los primeros se esperan para finales de 2026; hasta entonces, cumplir es más caro por la falta de mapping operativo.
• Autoridades nacionales: España aún no ha designado de forma definitiva la autoridad competente única (Agencia Española de Supervisión de Inteligencia Artificial, AESIA, en Coruña — operativa desde 2024 pero todavía afinando competencias).

Una crítica honesta

El AI Act es la primera regulación horizontal del mundo sobre IA. Eso significa también que es la primera que se aplica con la incertidumbre operativa de cualquier régimen nuevo. Para healthtech europea hay dos efectos esperables:

1. Coste de cumplimiento más alto que MDR aislado — un fabricante de dispositivo médico con IA va a soportar 12–24 meses de carga regulatoria adicional respecto a un equivalente sin IA. Esto puede ralentizar la llegada al mercado de productos europeos frente a productos estadounidenses (donde FDA SaMD/SaPP guidance es operativamente más madura aunque conceptualmente menos exigente).
2. Ventaja para vendors con cumplimiento ya integrado: las empresas que pasen el primer ciclo completo MDR + AI Act tendrán una barrera de entrada defensible frente a competidores nuevos. Para healthtech española que se internacionalice a UE en bloque, este es punto de palanca real.

Lo que no va a pasar es que los hospitales privados europeos puedan seguir usando sistemas IA sin gobernanza formal. La era de pilotos opacos termina en agosto de 2026.

Para profundizar

• Texto oficial: Reglamento (UE) 2024/1689 — eur-lex.europa.eu
• EU AI Office (Comisión Europea): autoridad que coordina la aplicación.
• AESIA (España): autoridad nacional de supervisión.
• En el contexto de marcado CE médico, ver nuestra próxima guía sobre certificación SaMD bajo MDR + AI Act (publicación prevista junio 2026).

---

Nota editorial. Este artículo describe el estado del Reglamento UE 2024/1689 a mayo de 2026 y no constituye asesoramiento legal. Cualquier decisión de cumplimiento requiere evaluación específica por asesores legales y técnicos.