La pregunta decisiva no es dónde está el servidor. Es quién tiene la llave.

Imagine la escena: está en la demostración de una herramienta de IA que redacta informes médicos para su clínica en Suiza. El vendedor dice dos frases. «Con nosotros, todo se queda en Suiza.» Y: «De todos modos, los datos de pacientes solo pueden salir del país con consentimiento expreso.»

La primera frase puede ser un buen argumento. La segunda no es exacta. Pero el error es menos peligroso que lo que oculta: la pregunta de quién puede leer sus datos en claro.

Lo que dice de verdad la ley de protección de datos.

Según el artículo 5 de la ley federal suiza de protección de datos, los datos de salud son datos personales sensibles. Aun así, pueden comunicarse al extranjero si el Consejo Federal ha constatado que el país de destino ofrece una protección adecuada. La lista está en el anexo 1 de la ordenanza de protección de datos. Además de los Estados de la Unión Europea, el cantón de Zúrich indica que también se consideran seguras las empresas estadounidenses certificadas en el Data Privacy Framework. Sin esa decisión, hacen falta garantías adecuadas, por ejemplo cláusulas tipo de protección de datos. El consentimiento expreso aparece en el artículo 17 como una de las excepciones, no como la regla.

Hay que hacer una distinción. Las clínicas y consultas privadas sin mandato público se rigen por la ley federal. Los hospitales con mandato público se rigen por el derecho cantonal, que presenta diferencias importantes. El cantón de Zúrich precisa además que una clínica privada no necesita, en principio, el consentimiento de los pacientes para usar la nube, siempre que les informe de ese uso.

La regla más estricta no está en la ley de protección de datos.

Está en el Código Penal suizo. El artículo 321 protege el secreto profesional, y el cantón de Zúrich explica en su entorno de pruebas para la innovación en IA lo que eso supone para la nube. Si un proveedor puede leer sus datos en claro, el secreto profesional puede impedir que lo use, salvo que esté integrado por contrato y por organización hasta el punto de considerarse un auxiliar. Según el cantón, con los grandes proveedores eso suele ser difícil. La otra solución es técnica: un cifrado cuya llave no tenga el proveedor.

Para los datos amparados por el secreto profesional que van a Estados Unidos, el cantón es concreto. El proveedor no debe tener ningún acceso, y la llave debe quedarse en Suiza, en manos del centro sanitario. Además, algunos ámbitos tienen reglas propias. Para el historial clínico electrónico, por ejemplo, el cantón cita una disposición que prohíbe almacenarlo en el extranjero.

De ahí se deduce algo que rara vez se oye en una reunión comercial: un servidor suizo no resuelve el problema por sí solo. Si el personal del proveedor suizo puede leer sus informes en claro, la cuestión del secreto profesional se plantea exactamente igual.

Un servidor suizo es un buen comienzo. No es una respuesta al secreto profesional.

Qué tiene que ver con su web.

Más de lo que creen muchas clínicas. Según el análisis del cantón de Zúrich, el simple nombre de una persona en relación con un médico, por ejemplo al ponerse en contacto, ya es un dato de salud. El formulario de contacto, la herramienta de reservas, el chat de la web y el número de WhatsApp tratan, por tanto, datos sensibles. ¿Adónde van esos datos? ¿A un servicio de formularios en Estados Unidos, a un buzón privado, a un CRM en Irlanda?

La ley exige transparencia. Si los datos se comunican al extranjero, la política de privacidad debe indicar el país y, en su caso, las garantías. Cuando un paciente interactúa directamente con una IA, por ejemplo un chatbot, según el cantón puede surgir un deber de información del principio de transparencia. Y para muchas aplicaciones médicas de IA que van más allá de lo administrativo, probablemente hará falta una evaluación de impacto en la protección de datos.

Mi posición.

Alojo mi propia web en Suiza y se lo recomiendo también a las clínicas, porque simplifica mucho. Pero nunca lo vendería como la respuesta al secreto profesional. Un proveedor se elige por su contrato y por quién tiene la llave. La bandera del centro de datos no sustituye a un contrato.

Lo que yo revisaría.

• El recorrido de los datos de la web. Formulario, reservas, chat, boletín: adónde va cada dato, quién lo trata y en qué país.
• El contrato con cada proveedor. Finalidad, seguridad, lugar del tratamiento, subcontratistas, derechos de auditoría y confidencialidad, tal como los enumera el cantón de Zúrich.
• La llave. Quién puede ver los datos en claro, en el proveedor y en sus subcontratistas.
• La política de privacidad. Los países, las garantías y el aviso cuando los pacientes hablan con una IA.
• Una evaluación de impacto para cada herramienta de IA que haga algo más que mover citas.

Antes de introducir la próxima herramienta.

1. Esta semana

   Hacer una lista de herramientas

   Cada sistema que recibe datos de la web o de la consulta, con su proveedor y el lugar del tratamiento.

2. Este mes

   Pedir los documentos

   El contrato de encargo de tratamiento, la lista de subcontratistas y quién tiene acceso a los datos en claro.

3. Antes de cada proyecto de IA

   Evaluación de impacto y la pregunta de la llave

   Documentar los riesgos y decidir dónde está la llave.

4. Cada año

   Revisar

   Las decisiones de adecuación y la situación política pueden cambiar deprisa, como recuerda también el cantón.

Piense en la herramienta que más usa su clínica: la agenda, el correo o el programa de historias. Ahora conteste una sola pregunta, sin mirar el contrato. Si mañana un empleado de ese proveedor quisiera leer una ficha concreta, ¿podría hacerlo?

Si su respuesta es «no lo sé», no es un descuido suyo. Es la pregunta que casi nadie hace al firmar. Pero conviene saberla antes de que la haga un paciente.

Si quiere que revise su web y sus herramientas desde este ángulo, empiece por el Diagnóstico Estratégico. La valoración jurídica de un caso concreto corresponde a su asesor jurídico o, en los hospitales con mandato público, a la autoridad cantonal de protección de datos.