Protecció de dades i IA en consultes de psicologia: guia pràctica

Una consulta de psicologia tracta informació que pot revelar salut, relacions, sexualitat, violència, consum, situació familiar, feina o creences. Quan aquesta informació entra en una eina d’intel·ligència artificial, el risc no depèn només del text final: depèn de tot el recorregut de la dada, des del formulari o l’àudio fins als registres del proveïdor, les còpies, els accessos i l’eliminació.

Per això, la pregunta «aquesta eina compleix el RGPD?» és massa ampla. Una aplicació no compleix en abstracte per a qualsevol ús. Cal analitzar la finalitat concreta, la configuració, les dades introduïdes, els rols de cada organització, les transferències, el contracte i les mesures efectives. Aquesta guia ofereix una estructura de treball, però cada centre ha de validar-la amb assessorament jurídic i de protecció de dades adaptat al seu cas.

Comença pel flux, no pel nom de l’eina

Abans de revisar funcions avançades, dibuixa el recorregut complet. Un mapa simple pot evitar errors que cap política genèrica detecta.

El mapa ha d’incloure eines invisibles: analítica, correu, còpies de seguretat, connectors, extensions del navegador i serveis que processen arxius. També ha de diferenciar dades públiques —com els serveis o horaris del centre— de dades personals, notes clíniques i informació de tercers.

Les dades de salut necessiten una protecció reforçada

El fet que una dada s’hagi escrit en llenguatge quotidià no la fa menys sensible. «No puc dormir des de la separació i prenc aquesta medicació» pot revelar salut i vida personal encara que no aparegui cap diagnòstic. Un enregistrament de veu, una transcripció o un resum també poden identificar una persona per combinació de detalls.

La minimització obliga a preguntar si el sistema necessita realment aquell contingut. Per preparar un correu administratiu, probablement no cal incloure la història clínica. Per analitzar la càrrega de cites, pot ser suficient treballar amb franges i estats anonimitzats. Per provar un model, s’han d’utilitzar casos ficticis abans de plantejar dades reals.

Anonimitzar no és substituir el nom per unes inicials. Una professió poc habitual, una edat, un barri, una data i un esdeveniment poden tornar a identificar algú. Quan la reidentificació continua sent possible, la informació segueix requerint protecció.

Consentiment informat no és una casella màgica

En salut, el consentiment clínic i la base jurídica de protecció de dades són qüestions relacionades però no idèntiques. Afegir «accepto l’ús d’IA» al final d’un document no resol per si sol necessitat, proporcionalitat, transparència, contractes, seguretat o drets.

La informació hauria d’explicar amb llenguatge comprensible:

• quina eina o categoria d’eina s’utilitza;
• per a quina tasca concreta;
• quines dades processa;
• si hi ha enregistrament i durant quant de temps;
• qui rep la informació i on opera;
• si existeix una alternativa sense aquella tecnologia;
• com es pot retirar una autorització quan correspongui;
• quines decisions continuen en mans del professional;
• com es poden exercir drets o comunicar una incidència.

La persona no hauria de descobrir després que una sessió va ser transcrita, que una nota va passar per un model extern o que una resposta automàtica condicionava una priorització. La transparència ha d’arribar abans de l’ús, no després d’una queixa.

Què cal preguntar al proveïdor

Una demostració comercial sol ensenyar velocitat i funcions. La revisió de privacitat necessita documents i respostes més específiques:

1. Qui és el responsable i qui actua com a encarregat del tractament?
2. Quins subencarregats intervenen i com es notifiquen els canvis?
3. En quins països es processen i emmagatzemen les dades?
4. S’utilitzen entrades o sortides per entrenar, avaluar o millorar models?
5. Quin termini de conservació s’aplica a àudios, transcripcions, prompts i registres?
6. Es pot configurar un termini més curt i verificar l’eliminació?
7. Com s’autentiquen els usuaris i es controlen els permisos?
8. Hi ha registres d’accés, exportació i modificació?
9. Quin procediment segueix el proveïdor davant una bretxa?
10. Com es recuperen les dades i es tanca el servei sense dependència?

Les respostes s’han de contrastar amb contractes, documentació tècnica i configuració real. Una frase de màrqueting com «nivell bancari» o «100% segur» no substitueix una descripció de controls, responsabilitats i límits.

Transcripció i assistents de notes: el cas més delicat

Els assistents que escolten una sessió poden reduir càrrega administrativa, però també concentren un volum excepcional d’informació íntima. No és el mateix dictar una nota general després de la visita que enregistrar tota la conversa. El segon cas captura dades de la persona atesa, del professional i sovint de tercers que no han participat.

Abans d’utilitzar un assistent de notes, cal valorar:

• si l’enregistrament és imprescindible o existeix una alternativa menys intrusiva;
• com s’informa i quina opció real té la persona;
• si el sistema conserva l’àudio després de generar el text;
• com tracta negacions, silencis, ironia, noms i terminologia;
• qui revisa cada nota abans que entri a l’expedient;
• com s’identifiquen fragments generats o modificats;
• què passa si la persona demana corregir una dada;
• com es procedeix si la sessió inclou risc, violència o informació d’un menor.

L’APA ha publicat una guia específica per avaluar assistents de documentació amb IA i insisteix que l’estalvi de temps s’ha de ponderar amb confidencialitat, identificació personal, precisió i responsabilitat professional. Per a una consulta a Barcelona, aquesta orientació s’ha de completar amb el marc europeu i espanyol aplicable.

Avaluació d’impacte i gestió del risc

Quan un tractament pot comportar un risc elevat per als drets i llibertats, pot ser necessària una avaluació d’impacte relativa a la protecció de dades. No s’ha d’entendre com un document per arxivar després de comprar l’eina. Serveix per descriure el procés, justificar-lo, identificar danys, reduir-los i decidir si el risc residual és acceptable.

Una matriu útil diferencia almenys:

L’AEPD manté un mapa de referència per a tractaments que incorporen IA amb recursos sobre gestió de riscos, privacitat des del disseny, decisions automatitzades, seguretat i auditoria. És un bon punt de partida per identificar documentació, no un certificat automàtic de compliment.

Seguretat operativa dins la consulta

Moltes incidències no neixen del model, sinó dels hàbits de treball. Comptes compartits, contrasenyes reutilitzades, sessions obertes, documents descarregats sense control o connectors instal·lats sense revisió poden anul·lar una bona configuració contractual.

Un mínim operatiu inclou:

• comptes individuals i autenticació multifactor;
• permisos segons funció, no segons comoditat;
• dispositius actualitzats i bloqueig automàtic;
• prohibició de copiar casos a comptes personals;
• espais separats per a proves i producció;
• registre d’eines autoritzades i no autoritzades;
• formació per detectar dades sensibles abans d’enviar-les;
• revisió periòdica d’accessos i persones que ja no hi treballen;
• procediment clar per comunicar errors o filtracions sense retard.

La formació ha d’utilitzar exemples reals del flux, però casos ficticis. Una norma que ningú sap aplicar durant una jornada amb pressa no protegeix les dades.

Formularis web: demanar menys també converteix millor

El primer formulari de contacte no necessita una història clínica completa. Nom, correu, motiu general, modalitat i disponibilitat acostumen a ser suficients per orientar el següent pas. Camps oberts amb instruccions com «explica’ns tot el que et passa» augmenten el risc i poden reduir la confiança.

Una web responsable explica què passarà després d’enviar, evita prometre una resposta immediata si no és real i recorda que el formulari no és un canal d’emergència. El contacte del Directori de Psicologia Barcelona segueix un principi de dades mínimes per a consultes generals. Les fitxes del directori de Barcelona permeten revisar informació pública abans de compartir cap detall personal.

Quan una clínica redissenya web, formularis i automatitzacions, Karmina, agència de màrqueting digital, pot treballar l’experiència i la integració tècnica; Karmina AI Studio pot abordar els fluxos d’IA i governança. La decisió sobre base jurídica, obligacions sanitàries i protecció de dades ha de ser validada pels responsables jurídics i professionals corresponents.

Política interna d’IA en una pàgina

Una política inicial, visible per a l’equip, pot resumir:

1. Eines autoritzades: només les que han superat revisió.
2. Dades prohibides: què no es pot introduir en serveis generals.
3. Finalitats permeses: tasques concretes i delimitades.
4. Revisió humana: cap sortida clínica entra a l’expedient sense validació.
5. Transparència: quan i com s’informa les persones ateses.
6. Incidències: canal i termini intern per comunicar-les.
7. Responsable: persona que manté inventari, permisos i revisions.
8. Caducitat: data en què la política i les eines es tornaran a avaluar.

Després, cada ús sensible necessita una fitxa més detallada. La política curta ajuda a evitar adopcions improvisades mentre es completa la governança.

Pla de revisió trimestral

La configuració, el proveïdor i la normativa poden canviar. Cada trimestre convé revisar subencarregats, funcions noves, permisos, incidències, terminis de conservació, exportacions i eines que l’equip utilitza fora del catàleg. També cal comprovar si el sistema continua sent necessari.

Una dada ben protegida que ja no cal conservar segueix sent una dada innecessària. Eliminar processos i informació pot ser una mesura de seguretat més efectiva que afegir controls a una acumulació indefinida.

Preguntes freqüents

Puc utilitzar una IA si no hi poso el nom del pacient?

Eliminar el nom no garanteix anonimat. La combinació de detalls pot identificar la persona, i el contingut continua sent sensible. Cal analitzar necessitat, reidentificació, proveïdor, contracte, seguretat i finalitat.

El consentiment permet qualsevol tractament?

No. Ha de ser informat, específic i aplicable al context, i no elimina altres obligacions. Tampoc converteix en necessari o segur un tractament desproporcionat.

Una transcripció automàtica es pot guardar directament?

No és prudent. Pot contenir errors, atribucions incorrectes o fragments irrellevants. Necessita revisió professional, criteris de conservació i un procediment de correcció abans de formar part de la documentació.

Quina és la primera acció per a un centre?

Fer l’inventari real d’eines i dibuixar un únic flux de dades de principi a fi. Aquesta fotografia sol revelar usos no documentats, permisos excessius i informació que no caldria recollir.

Fonts i recursos

• AEPD: tractaments que inclouen intel·ligència artificial
• Comissió Europea: Llei d’IA i calendari d’aplicació
• OMS: ètica i governança de la IA en salut
• APA: guia d’avaluació d’assistents de notes amb IA
• Metodologia del Directori de Psicologia Barcelona

Contingut informatiu. No constitueix assessorament jurídic, de protecció de dades ni clínic.