La Ley de Inteligencia Artificial de Colorado: implicaciones para los proveedores de atención médica

La inteligencia artificial (IA) se está integrando cada vez más en las operaciones sanitarias, desde funciones administrativas como la programación y la facturación hasta la toma de decisiones clínicas, incluyendo el diagnóstico y las recomendaciones de tratamiento. Aunque la IA ofrece importantes ventajas, las preocupaciones relativas al sesgo, la transparencia y la responsabilidad han dado lugar a respuestas normativas. La Ley de Inteligencia Artificial de Colorado (la Ley), que entrará en vigor el 1 de febrero de 2026, impone requisitos de gobernanza y divulgación a las entidades que implementan sistemas de IA de alto riesgo, en particular a aquellas que participan en decisiones trascendentales que afectan a los servicios de atención sanitaria y otras áreas críticas.

Dada la amplia aplicabilidad de la ley, incluido su posible alcance extraterritorial para las entidades que operan en Colorado, los proveedores de atención médica deben evaluar de forma proactiva su uso de la IA y prepararse para cumplir con las próximas regulaciones. A continuación, analizamos la intención de la ley, a qué tipos de IA se aplica, la futura regulación, el posible impacto en los proveedores, los requisitos legales de cumplimiento y los mecanismos de aplicación.

1. ¿De qué pretende proteger la ley?

La ley tiene como objetivo principal mitigar la discriminación algorítmica, definida como la toma de decisiones basada en la inteligencia artificial que da lugar a un trato diferencial ilegal o a un impacto desigual en las personas en función de determinadas características, como la raza, la discapacidad, la edad o el dominio del idioma. La ley pretende evitar que la inteligencia artificial refuerce los prejuicios existentes o tome decisiones que perjudiquen injustamente a determinados grupos.

Ejemplos de discriminación algorítmica en la atención sanitaria

• Problemas de acceso a la atención médica: los sistemas de programación telefónica basados en inteligencia artificial pueden no reconocer ciertos acentos o procesar con precisión a las personas que no hablan inglés, lo que dificulta la programación de citas médicas para quienes no son hablantes nativos de inglés.
• Herramientas de diagnóstico y recomendaciones de tratamiento sesgadas: algunas herramientas de diagnóstico basadas en IA pueden recomendar tratamientos diferentes para pacientes de distintas etnias, no por razones médicas, sino debido a sesgos en los datos de entrenamiento. Por ejemplo, un modelo de IA entrenado principalmente con datos de pacientes blancos podría pasar por alto los primeros signos de una enfermedad que se manifiesta de forma diferente en pacientes negros o hispanos, lo que daría lugar a recomendaciones de tratamiento inexactas o menos eficaces para poblaciones históricamente marginadas.
• Al abordar estas y otras desigualdades impulsadas por la IA, la ley tiene como objetivo garantizar que los sistemas automatizados no refuercen ni agraven las disparidades existentes en el acceso a la atención sanitaria y sus resultados.

2. ¿Qué tipos de IA aborda la ley?

La ley se aplica de manera general a las empresas que utilizan IA para interactuar con los residentes de Colorado o tomar decisiones sobre ellos. Aunque ciertos sistemas de IA de alto riesgo —aquellos que desempeñan un papel importante en la toma de decisiones trascendentales— están sujetos a requisitos más estrictos, la ley impone obligaciones a la mayoría de los sistemas de IA utilizados en la atención sanitaria.

Definiciones clave de la ley

• «Sistema de inteligencia artificial»se refiere a cualquier sistema basado en máquinas que genera resultados —como decisiones, predicciones o recomendaciones— que pueden influir en entornos del mundo real.
• «Decisión trascendental» significa una decisión que afecta de manera significativa al acceso o al coste de la asistencia sanitaria, los seguros u otros servicios esenciales para el consumidor.
• «Sistema de IA de alto riesgo» se refiere a cualquier herramienta de IA que tome o influya sustancialmente en una decisión trascendental.
• «Factor sustancial» significa un factor que ayuda a tomar una decisión trascendental o que es capaz de alterar el resultado de una decisión trascendental y que es generado por un sistema de IA.
• «Desarrolladores»se refiere a los creadores de sistemas de IA.
• «Implementadores»se refiere a los usuarios de sistemas de IA de alto riesgo.

3. ¿Cómo pueden los proveedores de atención médica garantizar el cumplimiento?

Aunque la ley establece obligaciones generales, aún no se han publicado las normas específicas. Se ha encomendado al Fiscal General de Colorado la tarea de elaborar normas para aclarar los requisitos de cumplimiento. Estas normas pueden abordar:

• Marcos de gestión de riesgos y cumplimiento normativo para sistemas de IA.
• Requisitos de divulgación para el uso de la IA en aplicaciones dirigidas al consumidor.
• Orientación sobre la evaluación y mitigación de la discriminación algorítmica.

Los proveedores de atención médica deben estar al tanto de los cambios en el marco regulatorio para asegurarse de que sus prácticas relacionadas con la IA cumplan con las leyes estatales.

4. ¿Cómo podría afectar la ley a las operaciones sanitarias?

La ley exigirá a los proveedores de atención sanitaria que evalúen específicamente cómo utilizan la IA en diversas áreas operativas, ya que la ley se aplica de manera general a cualquier sistema de IA que influya en la toma de decisiones. Dado el papel cada vez más importante de la IA en la atención al paciente, las funciones administrativas y las operaciones financieras, las organizaciones sanitarias deben prever obligaciones de cumplimiento en múltiples ámbitos.

Facturación y cobros

• Los sistemas de facturación y tramitación de reclamaciones basados en inteligencia artificial deben revisarse para detectar posibles sesgos que puedan afectar de manera desproporcionada a determinados grupos demográficos de pacientes en las iniciativas de cobro de deudas.
• Los implementadores deben asegurarse de que sus sistemas de IA no creen inadvertidamente barreras financieras para grupos específicos de pacientes.

Programación y acceso de pacientes

• Los asistentes de programación basados en inteligencia artificial deben estar diseñados para adaptarse a los pacientes con discapacidades y con un dominio limitado del inglés, a fin de evitar la discriminación involuntaria y el retraso en el acceso a la atención médica.
• Los proveedores deben evaluar si sus herramientas de IA dan prioridad a determinados pacientes frente a otros de una manera que pueda considerarse discriminatoria.

Toma de decisiones clínicas y diagnóstico

• Las herramientas de diagnóstico basadas en IA deben validarse para garantizar que no produzcan resultados sesgados para los diferentes grupos demográficos.
• Las organizaciones sanitarias que utilicen herramientas de triaje asistidas por IA deben establecer protocolos para revisar las recomendaciones generadas por la IA con el fin de garantizar su imparcialidad y precisión.

5. Si utiliza IA, ¿qué requisitos debe cumplir?

La ley establece diferentes obligaciones para los desarrolladores y los implementadores. En la mayoría de los casos, los proveedores de atención médica serán «implementadores» de sistemas de IA, en lugar de desarrolladores. Los proveedores de atención médica querrán examinar minuciosamente las relaciones contractuales con los desarrolladores para garantizar una distribución adecuada de los riesgos y el intercambio de información a medida que los proveedores implementan herramientas de IA en sus operaciones.

• Obligaciones de los desarrolladores (proveedores de IA)
  • Divulgación de información a los implementadores: los desarrolladores deben proporcionar transparencia sobre los datos de entrenamiento del sistema de IA, los sesgos conocidos y los casos de uso previstos.
  • Mitigación de riesgos: Los desarrolladores deben documentar los esfuerzos realizados para minimizar la discriminación algorítmica.
  • Evaluaciones de impacto: Los desarrolladores deben evaluar si el sistema de IA plantea riesgos de discriminación antes de implementarlo.

• Obligaciones de los implementadores (por ejemplo, proveedores de atención médica)
  • Obligación de evitar la discriminación algorítmica
    • Los implementadores de sistemas de IA de alto riesgo deben actuar con la diligencia debida para proteger a los consumidores de los riesgos conocidos o previsibles de discriminación algorítmica.
  • Política y programa de gestión de riesgos
    • Los implementadores deben aplicar una política y un programa de gestión de riesgos que identifique, documente y mitigue los riesgos de discriminación algorítmica.
    • El programa debe ser iterativo, actualizarse periódicamente y estar alineado con marcos reconocidos de gestión de riesgos de IA.
    • Los requisitos varían en función del tamaño del implementador, la complejidad, el alcance del sistema de IA y la sensibilidad de los datos.
  • Evaluaciones de impacto (revisiones periódicas y revisiones desencadenadas por eventos)
    • Requisitos de tiempo: Los implementadores deben realizar evaluaciones de impacto:
      • Antes de implementar cualquier sistema de IA de alto riesgo.
      • Al menos una vez al año para cada sistema de IA de alto riesgo desplegado.
      • En un plazo de 90 días tras cualquier modificación intencionada y sustancial del sistema de IA.
    • Contenido obligatorio: Cada evaluación de impacto debe incluir el propósito, el uso previsto y los beneficios del sistema de IA, un análisis de los riesgos de discriminación algorítmica y las medidas de mitigación, una descripción de los datos procesados (entradas, salidas y cualquier dato de personalización), métricas de rendimiento y limitaciones del sistema, medidas de transparencia (incluida la divulgación de información al consumidor) y detalles sobre la supervisión y las salvaguardias posteriores a la implementación.
    • Requisitos especiales para las modificaciones: si se lleva a cabo una evaluación de impacto debido a una modificación sustancial, también debe incluirse una explicación de cómo el uso real del sistema de IA se ajustó o se desvió de su propósito original.
  • Notificaciones y transparencia
    • Aviso público: Los implementadores deben publicar en su sitio web una declaración en la que describan los sistemas de IA de alto riesgo que utilizan y cómo gestionan los riesgos de discriminación.
    • Avisos a pacientes/empleados: antes de que un sistema de IA tome una decisión trascendental, se debe notificar a las personas sobre su uso.
    • Explicación posterior a la decisión: si la IA contribuye a una decisión adversa, los responsables de su implementación deben explicar su función y permitir a la persona recurrir o corregir los datos inexactos.
    • Notificaciones al Fiscal General: Si se descubre que la IA ha causado discriminación algorítmica, los implementadores deben notificarlo al Fiscal General en un plazo de 90 días.

Las pequeñas empresas (aquellas con menos de 50 empleados) que no entrenan modelos de IA con sus propios datos están exentas de muchas de estas obligaciones de cumplimiento.

6. ¿Cómo se aplica la ley?

• Solo el Fiscal General de Colorado tiene autoridad para hacer cumplir la ley.
• Existe una presunción refutable de cumplimiento si los implementadores siguen marcos reconocidos de gestión de riesgos de IA.
• No existe derecho de acción privada, lo que significa que los consumidores no pueden demandar directamente en virtud de la Ley.

Los proveedores de atención médica deben tomar medidas tempranas para evaluar su uso de la IA e implementar medidas de cumplimiento.

Reflexiones finales: lo que deben hacer ahora los proveedores de atención médica

• La ley representa un cambio significativo en la regulación de la IA, especialmente para los proveedores de atención sanitaria, que cada vez dependen más de herramientas basadas en la IA para la atención al paciente, las funciones administrativas y las operaciones financieras.
• Aunque la ley tiene por objeto mejorar la transparencia y mitigar la discriminación algorítmica, también impone importantes obligaciones de cumplimiento. Las organizaciones sanitarias tendrán que evaluar su uso de la IA, aplicar protocolos de gestión de riesgos y mantener una documentación detallada.
• Dada la evolución del panorama normativo, los proveedores de atención médica deben adoptar un enfoque proactivo mediante la auditoría de los sistemas de IA existentes, la formación del personal sobre los requisitos de cumplimiento y el establecimiento de marcos de gobernanza que se ajusten a las mejores prácticas. A medida que avanza la elaboración de normas por parte del Fiscal General de Colorado, mantenerse informado sobre los requisitos normativos adicionales será fundamental para garantizar el cumplimiento y evitar riesgos de aplicación.
• En última instancia, la ley refleja una tendencia más amplia hacia la regulación de la IA que probablemente se extenderá más allá de las fronteras estatales. Las organizaciones sanitarias que inviertan ahora en la gobernanza de la IA no solo mitigarán los riesgos legales, sino que también mantendrán la confianza de los pacientes en un sector cada vez más impulsado por la IA.
• Si los proveedores de atención médica planean integrar sistemas de IA en sus operaciones, es esencial realizar un análisis jurídico exhaustivo para determinar si la Ley se aplica a sus casos de uso específicos. Esto también debe incluir una revisión minuciosa y la negociación de los acuerdos de servicio con los desarrolladores de IA para garantizar que el proveedor disponga de información suficiente y de la cooperación del desarrollador para cumplir con la Ley y distribuir adecuadamente el riesgo entre las partes.

El cumplimiento normativo no es un proceso único para todos. Requiere una evaluación cuidadosa de las herramientas de IA, sus funciones y su potencial para influir en decisiones importantes. Las organizaciones deben trabajar en estrecha colaboración con asesores legales para navegar por las complejidades de la ley, implementar marcos de gestión de riesgos y establecer protocolos para el cumplimiento continuo. A medida que evolucionen las regulaciones sobre IA, la evaluación legal proactiva será crucial para garantizar que los proveedores de atención médica no solo cumplan con los requisitos normativos, sino que también mantengan prácticas de IA éticas y equitativas que se ajusten a los estándares más amplios de la industria.

Foley está aquí para ayudarle a abordar las repercusiones a corto y largo plazo de los cambios normativos. Disponemos de los recursos necesarios para ayudarle a navegar por estas y otras importantes consideraciones legales relacionadas con las operaciones empresariales y cuestiones específicas del sector. Póngase en contacto con los autores, con su socio de Foley, con nuestro equipo del Sector de Sanidad y Ciencias de la Vidao a nuestro Sector de Tecnología Innovadora si tiene alguna pregunta.