El Minsa prohíbe por norma cargar historias clínicas en herramientas de IA no autorizadas

Cada vez que vas a una posta o a un hospital del Estado en el Perú, lo que el personal escribe sobre ti queda guardado en un sistema informático: diagnóstico, medicamentos, resultados de laboratorio. La Ley 29733, de protección de datos personales, coloca esa información en la categoría de datos sensibles. Desde el martes 6 de octubre hay una norma que fija qué se puede y qué no hacer con esos datos cuando aparece de por medio un programa de inteligencia artificial, y una de sus reglas es tan doméstica como decisiva: está prohibido copiar y pegar una historia clínica en un chatbot que el ministerio no haya autorizado.

Qué hicieron

El Ministerio de Salud aprobó la Resolución Ministerial n.° 903-2026/MINSA, firmada en Lima el 2 de octubre de 2026 por el ministro Luis Williams Dyer Fernández y publicada el 6 de octubre en las Normas Legales de El Peruano. La resolución tiene tres artículos cortos; lo que importa va en el anexo, un documento técnico de 18 páginas titulado Lineamientos de Política Institucional para el uso seguro, responsable y ético de los sistemas basados en inteligencia artificial en el Ministerio de Salud. Lo redactó la Oficina General de Tecnologías de la Información (OGTI), a la que el artículo 2 le encarga además difundirlo, implementarlo y supervisarlo.

No salió de la nada: el Reglamento de la Ley 31814, la ley peruana de inteligencia artificial, aprobado por Decreto Supremo 115-2025-PCM, obliga en su artículo 28 a que cada entidad pública apruebe una política institucional de uso de IA, y esto es el Minsa cumpliendo ese encargo. El documento es de aplicación obligatoria para los órganos y organismos desconcentrados del ministerio que diseñen, adquieran, implementen, utilicen, supervisen o retiren sistemas con IA, y es exigible también a quienes le presten servicios, es decir, a los proveedores. A las IPRESS (los establecimientos que atienden pacientes) y a las IAFAS (las que administran el seguro) las alcanza solo respecto de los sistemas que el propio Minsa pone a su disposición.

Qué dice el documento

El corazón del texto es una clasificación por riesgo: todo sistema con IA debe quedar catalogado como uso indebido, riesgo alto o riesgo aceptable. En salud, el documento considera de riesgo alto los sistemas que gestionan activos críticos que soportan servicios de salud, los que determinan el acceso a servicios o prestaciones, los que orientan el tamizaje, diagnóstico, pronóstico o priorización en emergencias, y los que evalúan datos personales sensibles contenidos en las historias clínicas. A esos, en palabras del propio documento, se les exige evaluación de impacto previa, supervisión humana efectiva, transparencia algorítmica y controles reforzados de seguridad, privacidad, calidad y trazabilidad.

El recorrido tiene siete puertas de control, numeradas de G1 a G7 en el último anexo. Antes de cualquier compra, desarrollo o prueba piloto, el área que lo pide debe inscribirlo en un inventario institucional, y el texto ordena impedir la adquisición, contratación, desarrollo, prueba o puesta en producción de sistemas que no hayan sido previamente registrados, evaluados y autorizados por la OGTI. Nada con IA debería entrar al Minsa por la puerta de atrás.

Prohibir el ingreso de historias clínicas, datos de pacientes, credenciales, información reservada, datos personales sensibles, código fuente no público o documentos confidenciales en servicios públicos o no autorizados.

Documento Técnico aprobado por la Resolución Ministerial n.° 903-2026/MINSA, sección sobre uso de inteligencia artificial generativa, Ministerio de Salud del Perú

Otros candados apuntan a la contratación de software de terceros. El texto prohíbe usar sistemas de proveedores que autoricen o permitan asumir la titularidad sobre los bancos de datos personales tratados en la tercerización, o sea, que la empresa quede dueña de la base de pacientes. Ordena publicar en la Plataforma Nacional de Software Público Peruano, con licencia libre o abierta, el código fuente de los sistemas con IA financiados con fondos públicos. Y define como uso indebido, prohibido de plano, la inteligencia artificial destinada a manipular decisiones, realizar vigilancia ilegal, discriminar mediante datos sensibles o biométricos, generar capacidad letal autónoma o predecir delitos a partir de perfiles personales.

Lo que la norma no dice

Esto es una política institucional, no un estudio. No hay muestra, no hay medición y ningún dato que demuestre que la atención en el sistema público vaya a mejorar. Tampoco hay una cifra sobre cuántos sistemas con IA usa hoy el ministerio: el inventario que permitiría saberlo es, justamente, algo que el documento manda construir.

Leído entero, el texto no trae plazo de adecuación ni fecha de entrada en vigencia distinta de su publicación, no asigna presupuesto y no crea un régimen de sanciones propio. Las únicas consecuencias que contempla son internas: suspender o retirar el sistema cuando genere daño, discriminación o riesgos no aceptables, y terminar el contrato con el proveedor que incumpla. Y quien evalúa es el propio ministerio: revisa estos lineamientos al menos una vez al año y la OGTI reporta cada seis meses al Comité de Gobierno y Transformación Digital.

El alcance tiene un borde que conviene no exagerar: a hospitales, clínicas y aseguradoras la norma solo los obliga en los sistemas que el Minsa les entrega. La IA que EsSalud, las sanidades de las Fuerzas Armadas y de la Policía o una clínica privada compren o desarrollen por su cuenta queda fuera de este documento, interno del ministerio. Y no hay todavía evidencia pública de que se esté aplicando.

Para quien lee, lo concreto son dos cosas que antes no estaban escritas. La primera: si una IA interviene en una decisión que puede afectarte, el documento obliga a informártelo de manera clara y accesible y a habilitar mecanismos para solicitar revisión humana y presentar reclamos. La segunda: manda evitar que una acción automatizada sustituya la toma de decisiones del profesional de la salud, y aclara que usar IA no lo exime de su responsabilidad. Del papel a la ventanilla de un hospital suele haber distancia, pero ahora hay un texto al que agarrarse. Si tienes dudas sobre tu diagnóstico o tu tratamiento, quien debe responderlas sigue siendo tu profesional de la salud.