Buenas prácticas en compra pública de IA para el sector de la salud

La compra pública de IA en salud ha dejado de ser una hipótesis. Ya no hablamos solo de proyectos piloto o demostradores tecnológicos. Las administraciones sanitarias están licitando soluciones basadas en IA para cribado, diagnóstico, soporte a la decisión clínica, análisis de imagen, gestión de datos, automatización de procesos y apoyo a profesionales sanitarios. A modo de ejemplo, la Comunidad de Madrid ha licitado recientemente tanto el desarrollo informático de un sistema de soporte al diagnóstico de enfermedades cardíacas (expediente A/SER-032533/2025), como un servicio de transcripción de voz y estructuración de informes en atención primaria (expediente A/SER-00964/2026).

Comprar mejor

La cuestión, por tanto, ya no se limita a constatar si el sector público está incorporando soluciones de IA en salud, sino a reflexionar sobre cómo se está haciendo. Conviene preguntarse si las compras responden a necesidades asistenciales y organizativas reales y si las licitaciones incorporan criterios técnicos, clínicos, jurídicos y éticos suficientes para seleccionar soluciones útiles, seguras y sostenibles.

Y no es una cuestión menor. La IA sanitaria se incorpora a un sistema público sometido a restricciones presupuestarias, presión asistencial, sensibilidad social y obligaciones normativas exigentes. Además, lo hace en un contexto heterogéneo. Hay hospitales que compran infraestructura para desarrollar modelos propios; otros adquieren licencias de algoritmos ya entrenados; algunos exigen instalación local; otros aceptan servicios en la nube.

La administración pública no debe aspirar a comprar algoritmos. Debe comprar valor sanitario verificable

En paralelo, aparecen licitaciones de equipamiento diagnóstico que incorporan ‘IA’ como una funcionalidad más, sin que siempre quede claro si se valora una capacidad clínica, una prestación tecnológica o un argumento comercial. A esta variabilidad se suma la presión comercial de proveedores en un contexto todavía escaso de formación específica.

Esta diversidad no es necesariamente mala. La IA puede desplegarse de formas distintas según el caso de uso, la madurez digital del centro, la disponibilidad de datos, la capacidad de integración y el modelo operativo. El problema aparece cuando la licitación no diferencia entre comprar infraestructura, un producto sanitario digital, un servicio de procesamiento algorítmico o un proyecto de desarrollo. Cada opción exige un pliego, conlleva unos riesgos y requiere unos criterios de valoración distintos.

Marco estratégico

La Estrategia de Inteligencia Artificial para el Sistema Nacional de Salud (Ministerio de Sanidad), aprobada por el Consejo Interterritorial en 2025, reconoce la necesidad de procedimientos compartidos para identificar, clasificar y evaluar soluciones de IA antes de integrarlas en el sistema sanitario. El documento identifica barreras concretas: calidad y disponibilidad de datos, interoperabilidad, fiabilidad del rendimiento, desconfianza en sistemas automatizados, falta de formación y dificultad para certificar determinados algoritmos como dispositivos médicos.

En IA sanitaria, la métrica correcta depende del daño que produce equivocarse

Por su parte, la contratación pública española no parte de cero. La Ley 9/2017 de Contratos del Sector Público persigue mayor transparencia y mejor relación calidad-precio (BOE). Es un marco sólido, pero concebido para ordenar una realidad más amplia que la IA sanitaria. Comprar algoritmos clínicos exige aterrizar ese principio en preguntas concretas: qué problema se quiere resolver, qué población se verá afectada, qué riesgo clínico implica el error, qué datos se procesan, dónde se ejecuta el sistema, qué profesional supervisa la decisión, cómo se mide el rendimiento y qué ocurre si el algoritmo se degrada.

Valor medible

El primer requisito de una buena compra debería ser no comprar “IA”, sino una función sanitaria medible apoyada en IA. No es lo mismo priorizar radiografías urgentes que adquirir un algoritmo de ayuda diagnóstica en mamografía, una herramienta de cribado de retinopatía diabética, un asistente conversacional para pacientes crónicos o un motor predictivo de reingreso. También debe distinguirse entre IA discriminativa y generativa, de encaje más complejo. Cada uso tiene consecuencias clínicas, legales y organizativas diferentes.

Normativa aplicable

La segunda buena práctica es exigir cumplimiento normativo desde el pliego, esclareciendo su grado. En Europa, el Reglamento de Inteligencia Artificial entró en vigor el 1 de agosto de 2024, con implantación progresiva, y considera de alto riesgo determinados sistemas, entre ellos el software destinado a finalidades médicas, que debe cumplir requisitos de gestión de riesgos, calidad de datos, información al usuario y supervisión humana (Public Health).

Además, si el software tiene finalidad médica entra en el ámbito del Reglamento (UE) 2017/745 de productos sanitarios o del Reglamento (UE) 2017/746 de productos sanitarios para diagnóstico in vitro. La guía MDCG 2019-11, actualizada en 2025, es una referencia práctica para calificar y clasificar software bajo MDR e IVDR.

A esto se suma la protección de datos. Los datos de salud son categorías especiales en el RGPD y su tratamiento exige garantías reforzadas (GDPR). En España, la Ley Orgánica 3/2018 complementa ese marco (BOE). En el ámbito público, el Esquema Nacional de Seguridad, actualizado por el Real Decreto 311/2022, regula la seguridad de los sistemas de información que sustentan la administración digital (BOE). Y el Espacio Europeo de Datos Sanitarios, en vigor desde marzo de 2025 con aplicación progresiva, añadirá nuevas exigencias de interoperabilidad, acceso y uso primario y secundario de datos de salud (Public Health).

Todo ello en un marco aún cambiante, pendiente de la Ley de Salud Digital, el Ómnibus Digital y la transposición de la directiva 2024/2853 sobre responsabilidad por productos defectuosos.

Métricas clínicas

La tercera buena práctica es incorporar criterios técnicos propios de la IA. En algoritmos de clasificación diagnóstica no basta con pedir ‘alta precisión’. Hay que exigir sensibilidad, especificidad, valor predictivo positivo y negativo, F1-score, AUC, calibración, tasa de falsos positivos y negativos e intervalos de confianza. Pero tampoco basta con enumerarlos.

El pliego debe indicar qué métrica es prioritaria según el caso clínico. En un cribado poblacional puede interesar maximizar sensibilidad para reducir falsos negativos. En otros contextos, un exceso de falsos positivos puede saturar el servicio y generar pruebas innecesarias. En IA sanitaria, la métrica correcta depende del daño que produce equivocarse.

Para algoritmos de regresión o medición automática, como estimación de volúmenes, diámetros, progresión de lesiones o medidas anatómicas, pueden ser más relevantes el error absoluto medio, el error cuadrático medio, la concordancia inter observador o la variabilidad frente al estándar de referencia. En soluciones generativas o conversacionales, las métricas deben centrarse en seguridad clínica, trazabilidad, respuestas no fundamentadas, alucinaciones, escalado a profesional y evaluación humana.

Uso real

La cuarta buena práctica es exigir validación externa y representatividad. Un algoritmo puede funcionar bien con la base de datos con la que fue entrenado y mal en otro hospital, con distinta población, equipos, protocolos o prevalencia. Por eso, el pliego debería pedir evidencia de validación externa, descripción de los datos de entrenamiento y prueba, control de sesgos, rendimiento por subgrupos y monitorización posterior. La IA no termina el día de la adjudicación. Empieza ahí su fase más delicada: el uso real.

La IA no termina el día de la adjudicación. Empieza ahí su fase más delicada: el uso real

Integración efectiva

La quinta buena práctica es convertir la interoperabilidad en criterio central. En salud, una solución que no se integra en la historia clínica, el PACS/RIS, los circuitos de citación, los sistemas departamentales o los mecanismos de autenticación acaba siendo una herramienta aislada. Puede ser brillante técnicamente y fracasar operativamente. Por eso deben pedirse estándares como DICOM, HL7, FHIR, perfiles IHE cuando proceda, APIs documentadas, trazabilidad de eventos, auditoría y mecanismos claros de integración.

Nube segura

La sexta es valorar el modelo de despliegue. No es igual una solución on premise que una solución cloud. La nube puede facilitar escalabilidad, actualización y pago por uso, pero exige analizar localización de datos, encargado y subencargados de tratamiento, transferencias internacionales, continuidad de servicio, cifrado, segregación de entornos, salida contractual y reversibilidad. En la IA sanitaria pública, el modelo cloud no debe rechazarse por principio, pero tampoco aceptarse por inercia.

Adjudicar valor

La séptima buena práctica es trasladar todo esto a criterios objetivos de adjudicación. Si el 80% de la puntuación se decide por precio y el resto por una memoria técnica genérica, la administración no está comprando valor: está comprando riesgo. La valoración debería ponderar rendimiento clínico, evidencia, cumplimiento regulatorio, integración, ciberseguridad, usabilidad, trazabilidad, soporte, mantenimiento, formación, monitorización de deriva algorítmica y coste total de propiedad. La Comisión Europea ha publicado cláusulas contractuales modelo para la compra pública de IA, alineadas con el AI Act y adaptadas al nivel de riesgo (Public Buyers Community).

También debe incorporarse la sostenibilidad. La IA consume recursos computacionales, especialmente en entrenamiento y operación intensiva. No todas las licitaciones tendrán que convertir la huella de carbono en criterio decisivo, pero sí conviene exigir información proporcionada sobre eficiencia energética, ciclo de vida, infraestructura utilizada, reutilización de componentes y certificaciones ambientales.

Madurez necesaria

En definitiva, la compra pública de IA en salud necesita madurar. No se trata de frenar la innovación, sino de evitar que la fascinación tecnológica sustituya al juicio técnico, clínico y jurídico. Comprar bien IA sanitaria implica definir el problema, clasificar el riesgo, exigir cumplimiento normativo, medir rendimiento con criterios adecuados, asegurar integración, pactar responsabilidades y monitorizar resultados en vida real. La administración pública no debe aspirar a comprar algoritmos. Debe comprar valor sanitario verificable. Ahí está la diferencia entre digitalizar por moda y transformar de verdad la asistencia sanitaria.

7 preguntas antes de licitar IA sanitaria

Antes de iniciar una licitación pública de IA en salud, conviene responder con precisión a siete preguntas básicas:

1. ¿Qué problema asistencial u organizativo se quiere resolver?

2. ¿La solución es infraestructura, software sanitario, servicio cloud, algoritmo entrenado o proyecto de desarrollo?

3. ¿Qué riesgo clínico implica un error del sistema?

4. ¿Qué normativa aplica y en qué grado en cada caso: AI Act, MDR/IVDR, RGPD, ENS, EHDS u otra?

5. ¿Qué métricas permiten medir realmente el rendimiento del algoritmo?

6. ¿Cómo se integrará en la historia clínica, PACS/RIS u otros sistemas corporativos?

7. ¿Cómo se monitorizará su funcionamiento una vez adjudicado y desplegado?