Lo que los inversores deberían preguntarse antes de invertir en una empresa de tecnología médica basada en la inteligencia artificial
La FDA está aportando mayor claridad normativa a las empresas de salud digital que utilizan inteligencia artificial, pero una mayor claridad no implica un menor riesgo. La guía de la agencia sobre «Software de apoyo a la toma de decisiones clínicas», de enero de 2026, describe en qué casos determinadas funciones de apoyo a la toma de decisiones clínicas pueden quedar fuera de la definición legal de «producto sanitario» y cuándo la FDA puede ejercer su discrecionalidad en la aplicación de la normativa. Otra guía, titulada «Bienestar general», aborda los productos de bajo riesgo destinados a fomentar un estilo de vida saludable.
Para los fundadores, estas políticas pueden suponer una vía más predecible hacia la comercialización. Para los inversores, son un motivo para examinar con mayor detenimiento cómo se diseña, define y comercializa un producto basado en la inteligencia artificial, ya que la situación normativa puede depender de detalles concretos. Una nueva característica o una simple afirmación publicitaria pueden alterar el análisis normativo, incluso cuando la tecnología subyacente no haya cambiado.
Según el análisis de financiación de Rock Health correspondiente al primer semestre de 2026, las startups estadounidenses del sector de la salud digital recaudaron 7.400 millones de dólares en 244 operaciones durante los primeros seis meses del año. Dado que la inteligencia artificial ocupa ahora un lugar central en las presentaciones de muchas empresas, estas cinco preguntas deben figurar en la lista de verificación de diligencia debida de todo inversor en tecnología médica basada en la inteligencia artificial.
¿Quién es el propietario de la IA, los datos y la propiedad intelectual?
La protección mediante patente de las invenciones asistidas por IA depende de la participación humana. En el caso Thaler contra Vidal, el Tribunal Federal de Apelación dictaminó que un sistema de IA no puede figurar como inventor. Si ningún ser humano ha realizado una contribución significativa, es posible que la tecnología fundamental de una startup no sea patentable en absoluto.
Incluso cuando existen patentes, la cadena de titularidad de los datos de entrenamiento, los pesos de los modelos, el código fuente, los algoritmos y los resultados derivados suele ser más confusa de lo que los fundadores creen. Es posible que los activos clave se hayan creado con datos o tecnología procedentes de colaboradores, instituciones de investigación, consultores u hospitales.
Los inversores deben asegurarse de que los acuerdos, las licencias, los acuerdos de uso de datos y los contratos de desarrollo otorguen a la empresa los derechos necesarios no solo para explotar la tecnología, sino también para modificarla, conceder sublicencias y venderla.
¿Puede la empresa utilizar legalmente sus datos de formación y validación?
Los derechos sobre los datos suelen ser el escollo en las operaciones relacionadas con la IA. La diligencia debida debe abarcar el alcance de los consentimientos de los pacientes, las autorizaciones de la HIPAA, las limitaciones contractuales y los requisitos para la transferencia transfronteriza de datos.
El Departamento de Salud y Servicios Humanos de EE. UU. reconoce dos métodos para cumplir con la norma de desidentificación de la Norma de Privacidad de la HIPAA: la «determinación de expertos» y el «puerto seguro». Sus directrices sobre desidentificación constituyen un punto de partida útil, pero el mero cumplimiento de la HIPAA no implica que una empresa disponga de todos los derechos contractuales o legales necesarios para utilizar los datos con fines de desarrollo y comercialización de la inteligencia artificial.
Los inversores también deberían comprobar que el uso actual que hace la empresa de los datos se ajusta a la finalidad para la que se recopilaron originalmente.
¿Depende el producto de un modelo base de terceros?
Cada vez son más los productos de tecnología sanitaria que se basan en modelos con licencia, servicios de inteligencia artificial en la nube u otras tecnologías que la empresa no controla. Esa dependencia puede modificar el riesgo de inversión.
La diligencia debida debe analizar si el proveedor puede subir los precios, imponer límites de uso, dejar de ofrecer un modelo, restringir las aplicaciones sanitarias, conservar los datos enviados, entrenar sus propios sistemas con los datos de los clientes o cortar el acceso tras un cambio en la legislación o en la política. Los inversores también deben preguntar si la empresa cuenta con un plan alternativo viable en caso de que el proveedor modifique su tecnología o sus condiciones comerciales.
¿Qué ocurre cuando cambia el modelo?
Los modelos evolucionan y se vuelven a entrenar, se actualizan o se sustituyen. Cada cambio puede afectar al rendimiento, introducir sesgos o vulnerabilidades de ciberseguridad, o hacer que el producto quede fuera del ámbito de su autorización reglamentaria vigente.
La guía de la FDA sobre el «Plan de control de cambios predeterminados» describe cómo los fabricantes pueden identificar con antelación las modificaciones previstas y explicar cómo se desarrollarán, validarán y aplicarán dichos cambios.
Los inversores deberían preguntarse si la empresa cuenta con controles internos comparables y deberían revisar el historial de versiones de sus modelos, los umbrales de validación, el proceso de aprobación y la documentación de los cambios posteriores a la implementación.
¿Quién es responsable de una recomendación clínica generada por inteligencia artificial?
La responsabilidad rara vez es clara y definida. Las directrices de la FDA sobre el apoyo a la toma de decisiones clínicas hacen hincapié en si un profesional sanitario puede revisar de forma independiente los fundamentos de una recomendación, en lugar de basarse principalmente en el software. Los inversores deben comprobar si el producto realmente permite esa revisión independiente y si los contratos, el etiquetado, las instrucciones y los materiales de comercialización describen de manera coherente las funciones del software, el desarrollador, el profesional sanitario y el paciente. Las incoherencias pueden generar riesgos tanto normativos como de litigios.
¿Qué medidas de diligencia debida específicas en materia de IA deberían llevarse a cabo antes de una inversión o adquisición?
Una revisión exhaustiva específica sobre la IA debería abarcar cuatro ámbitos:
- Aspectos técnicos: Diseño del modelo, historial de versiones, validación, pruebas de sesgo y mecanismos de supervisión humana.
- Asuntos jurídicos: derechos de propiedad intelectual y de datos, cumplimiento de la normativa de privacidad, todos los acuerdos con proveedores, software de código abierto y licencias.
- Aspectos normativos: Si la clasificación normativa de la empresa se ajusta a las directrices actuales de la FDA y, en el caso de los productos comercializados en Europa, si el producto cumple los requisitos de la Ley de Inteligencia Artificial de la UE para los sistemas de IA de alto riesgo.
- Ciberseguridad: gestión de riesgos cibernéticos y transparencia de los componentes de software, incluida una lista de materiales de software, evaluadas con arreglo a las directrices de ciberseguridad de la FDA para dispositivos médicos.
En resumen
- La claridad de la FDA supone un impulso para la tecnología médica basada en la inteligencia artificial, pero no sustituye a la diligencia. Las empresas más valiosas serán aquellas que puedan demostrar que cuentan con derechos sobre los datos bien definidos, propiedad intelectual defendible, relaciones duraderas con los proveedores, un control disciplinado de los cambios y una posición regulatoria que se mantenga a medida que el producto evoluciona. Los inversores que planteen estas cuestiones desde el principio estarán en mejores condiciones para valorar el riesgo, negociar cláusulas contractuales protectoras y evitar sorpresas tras el cierre de la operación.
