Auditoría clínica con IA: las cinco capas que tu EMR debería tener

Por qué la auditoría clínica importa más con IA

Antes de que la IA entrara al expediente médico, la auditoría clínica respondía preguntas como: ¿quién hizo este cambio?, ¿cuándo?, ¿qué firmó el médico?. Era trazabilidad de acciones humanas sobre el expediente.

Con IA en el flujo clínico, la auditoría tiene que responder más: ¿qué sugirió la IA?, ¿qué modelo, en qué versión?, ¿el médico aceptó, editó o rechazó la sugerencia?, ¿con qué razón?. Es trazabilidad de decisiones humano + máquina.

Si tu sistema no lo registra, no podés defender el acto médico cuando la auditoría llegue: ni una auditoría tributaria, ni una de aseguradora, ni un litigio civil, ni una revisión deontológica del Colegio Médico.

Las cinco capas de auditoría que un EMR con IA debería tener

1. Audit log de acciones humanas

Cada cambio en el expediente queda con: usuario, timestamp UTC, IP, tipo de cambio (crear, editar, borrar), antes y después. Es la base. Cualquier EMR mediano-decente lo tiene.

2. Audit log de sugerencias IA

Cada vez que la IA propone algo (diagnóstico, dosis, plan, alerta), se registra: modelo que generó la sugerencia (ej: openai/gpt-5.5, anthropic/claude-sonnet-4.6), versión del prompt (hash o ID de plantilla), timestamp, inputs sintéticos (qué partes del expediente se enviaron al modelo) y output crudo en formato estructurado.

3. Decisión del médico sobre cada sugerencia

Cada sugerencia IA tiene uno de tres outcomes registrados: aceptada tal cual (el médico clickó "aceptar" sin cambios), aceptada con edición (el médico modificó el texto/dosis/código antes de firmar), o rechazada (el médico descartó la sugerencia). Si el sistema permite "ignorar pasivamente" (no hacer nada con la sugerencia), eso también queda registrado como rechazo implícito.

4. Firma criptográfica del acto final

Lo que el médico firma — receta, diagnóstico final, plan terapéutico — se firma con SHA-256 + HMAC y queda en el expediente con hash verificable. Si en una auditoría futura alguien dice "el sistema cambió mi receta", el hash demuestra que no.

5. Logs inmutables exportables

Todos los logs anteriores deben poder exportarse a JSON estructurado en cualquier momento, sin que el médico tenga que pedir permiso al proveedor del software. Es propiedad del médico y de la clínica.

Casos donde la auditoría te salva

Caso 1 — Auditoría de aseguradora: Aseguradora pide justificación de una receta. La traza muestra: la IA sugirió X dosis, el médico la editó a Y por antecedente alérgico documentado en consulta previa, y firmó. La aseguradora cierra el caso en minutos.

Caso 2 — Litigio por evento adverso: Familia del paciente alega que el médico recetó algo que produjo el evento. La traza muestra: la IA NO sugirió ese medicamento, el médico lo prescribió manualmente, y aceptó la alerta de bandera roja sobre interacciones. El médico documentó por qué aún así prescribió. El caso se evalúa con datos completos en vez de memoria.

Caso 3 — Investigación interna del Colegio Médico: Un colega cuestiona el manejo. La traza muestra evolución completa: cuándo entró el paciente, qué se documentó, qué dijo la IA, qué decidió el médico, cuánto tiempo tomó cada decisión. Reduce ambigüedad.

Lo que la auditoría NO debería hacer

• Espiar al médico — no es un sistema de vigilancia. Los logs son para defenderse, no para acusar.
• Compartirse fuera de la clínica sin orden judicial. La auditoría es propiedad del médico y del paciente, no del proveedor del software.
• Romper privacidad del paciente — los logs deben poder anonimizarse para revisiones agregadas.
• Usarse para entrenar modelos sin consentimiento explícito.

Estado de la auditoría en Guatemala (2026)

A la fecha, no existe ley específica sobre auditoría de IA clínica en Guatemala. Lo que aplica:

• Código de Ética Médica: el médico es responsable indelegable del acto. Si el sistema no permite documentar "qué decidió el médico vs qué sugirió la IA", el médico carga toda la responsabilidad sin poder defender la cadena.
• Buenas prácticas internacionales (UE AI Act, FDA SaMD): apuntan a trazabilidad de decisiones humano-IA. Aunque no son ley en GT, son referencia para auditorías de calidad y para clínicas con clientes internacionales.

Cómo evaluar la auditoría de un proveedor de EMR

Cinco preguntas concretas en la demo:

1. ¿Puedo ver el log completo de un paciente con todas las sugerencias IA y mis decisiones? Si la respuesta es "no" o "solo bajo solicitud", mala señal.
2. ¿Qué modelo/versión de IA generó esta sugerencia? Pediles que muestren un ejemplo real.
3. ¿Si edito una sugerencia, queda registrado el original y mi cambio? Probarlo en la demo.
4. ¿Puedo exportar el audit log en JSON estructurado? Pediles ver el JSON.
5. ¿La IA puede modificar el expediente sin mi firma? La respuesta debe ser "no, nunca, todas las sugerencias requieren acción humana explícita".

Cierre

La IA en clínica no es solo asistencia — es una fuente nueva de información que se mezcla con el juicio del médico. Sin auditoría adecuada, la responsabilidad legal queda toda en el médico sin protección. Con auditoría adecuada, el médico tiene cómo demostrar exactamente qué hizo y por qué, frente a cualquier revisión futura. La diferencia se nota cuando el caso difícil llega — y siempre llega.