¿Puede un BCBA usar IA para redactar informes? Ética, HIPAA y límites

El código de ética vigente entró en vigor el 1 de enero de 2022 y no menciona la IA¹. Lo que sí hace es aplicarse a todo tu trabajo profesional, también el escrito y el digital, y varios de sus ítems deciden cómo puedes usar una herramienta¹:

• Veracidad y responsabilidad. Das información veraz, corriges los errores en cuanto los detectas y respondes por tus servicios (1.01 y 1.03).
• Competencia. Solo usas lo que entiendes lo bastante como para defender el resultado (1.05 y 1.06).
• Confidencialidad. Evitas que la información del cliente se comparta por accidente, también en documentos, datos y comunicación electrónica (2.03), y compartes solo lo esencial y con consentimiento (2.04).
• Documentación. Proteges y conservas los registros físicos y electrónicos (2.05), y tus informes y tu facturación son exactos (2.06).
• Consentimiento informado, también para intercambiar información del cliente (2.11).
• Supervisión. Respondes por el trabajo de tus supervisados y delegas solo cuando confirmaste que son competentes (4.04 y 4.09).

En su boletín de julio de 2024, la BACB advirtió que lo que escribes en una aplicación de IA generativa puede usarse como material de aprendizaje, recordó que su código de ética aplica igual y recomendó buscar asesoría legal y técnica antes de fijar políticas². No prohíbe la IA ni exige declararla².

Las guías de CASP de 2025 van más allá³:

• La IA debe apoyar el trabajo clínico, no reemplazarlo.
• El uso de IA se declara con claridad en el producto de trabajo.
• No hay que suponer que los pagadores aceptan o pagan cualquier uso de IA. Si la póliza no dice nada, conviene describirle el uso al pagador.
• Se puede dar al cliente la opción de rechazar la IA.

Si una herramienta en la nube crea, recibe, guarda o transmite información de salud protegida en tu nombre, el proveedor es un socio comercial y necesitas un acuerdo BAA firmado con él, aunque solo guarde datos cifrados⁴. Aun con BAA, comparte solo lo indispensable para la tarea, en línea con el estándar del mínimo necesario de HIPAA⁵.

La tabla resume las páginas oficiales de cada proveedor^9101213. OpenAI tiene una versión para clínicos, pero hoy solo admite médicos, enfermeros practicantes, asistentes médicos y farmacéuticos con NPI, así que un BCBA no califica¹¹.

Un BAA tampoco basta por sí solo. OpenAI aclara que firmarlo no hace que tu uso cumpla HIPAA, porque la configuración y el uso siguen siendo responsabilidad tuya⁹. Los nombres de los planes y sus condiciones cambian a menudo, así que revisa la página del proveedor el día que decidas.

Quitar el nombre no basta. HIPAA reconoce dos formas de desidentificar: Safe Harbor, que exige quitar 18 tipos de identificadores y no saber que la persona se puede reidentificar, y la determinación de un experto⁶. Entre esos identificadores están las fechas (salvo el año), las ubicaciones más pequeñas que un estado, los números de cuenta y las fotos⁶.

Un informe clínico en texto libre suele incluir datos así, como nombres de hermanos, la escuela o fechas, así que revisa con cuidado antes de pegar cualquier fragmento.

Si hay una brecha de información no cifrada, HIPAA exige avisar a las personas afectadas en un máximo de 60 días desde que la descubres. Si son 500 o más, también hay que avisar a HHS, y a los medios si son más de 500 residentes de un estado. El socio comercial, a su vez, debe avisarte en 60 días como máximo⁷.

En Florida, la ley estatal pide avisar a las personas en 30 días y, si son 500 o más, también al Departamento de Asuntos Legales⁸. Consulta con tu asesor legal cómo se combinan ambas reglas en tu caso.

Si una herramienta sugiere diagnósticos, horas o necesidad médica, trátala como un apoyo a decisiones clínicas. Desde el 1 de mayo de 2025, una regla federal de no discriminación (45 CFR 92.210) obliga a los programas de salud que reciben fondos federales de HHS, por ejemplo a través de Medicaid, a identificar esas herramientas y a reducir su riesgo de discriminación¹⁴. Que un borrador de informe entre en esa definición depende de lo que hace la herramienta: consúltalo con tu asesor legal.

En la sesión de 2026 no se aprobó ninguna ley de Florida sobre IA en salud. El proyecto que exigía revisión humana de las negaciones de reclamos murió en comisión, igual que el que limitaba la IA en psicología, consejería y terapia¹⁵¹⁶.