IA para clínicas: citas, recordatorios y triaje sin exponer datos

Una clínica o un consultorio en el Perú puede usar IA para agendar citas, enviar recordatorios y hacer un triaje administrativo (orientar al paciente a la especialidad correcta o a emergencia), siempre que el sistema vea solo los datos mínimos y que el paciente sepa qué pasa con su información. La regla práctica: la IA puede manejar nombre, celular, especialidad y horario; los síntomas detallados, diagnósticos y resultados deben quedarse en la historia clínica y en manos del personal de salud.

La razón es legal y de confianza. Para la Ley 29733, la información de salud es un dato sensible: su tratamiento exige consentimiento por escrito, medidas de seguridad reforzadas y, en muchos casos, un Oficial de Datos Personales. Un bot mal configurado que pide «cuéntame tus síntomas» y guarda la respuesta en un servidor fuera del país puede convertir un ahorro de tiempo en una infracción grave.

Esta guía explica cómo diseñar esos tres flujos con la menor exposición posible de datos. Si buscas un panorama general de aplicaciones de IA en salud, revisa antes nuestra guía de usos de IA en clínicas y consultorios.

Actualizado: octubre de 2026

Lo esencial

• Agenda y recordatorios son las tareas de menor riesgo: necesitan pocos datos y ahorran muchas llamadas.
• El triaje con IA debe ser administrativo: derivar a especialidad o a emergencia con reglas fijas. Nunca sugerir un diagnóstico ni un tratamiento.
• Los datos de salud son sensibles: el consentimiento para tratarlos debe ser por escrito, incluida la firma electrónica o una modalidad equivalente.
• Si el bot o el asistente guarda datos en servidores del extranjero, eso es flujo transfronterizo y debes informarlo.
• Diseña el bot para que no pida síntomas abiertos. Lo que no recoges no se puede filtrar.

Qué dice la ley sobre datos de salud

Antes de elegir herramientas conviene tener claro el marco. Estas son las normas que pesan en un consultorio o clínica privada:

• Ley 29733, de Protección de Datos Personales. Considera dato sensible la información relacionada con la salud. Para tratarlos, el numeral 13.6 de la ley exige que el consentimiento se otorgue por escrito, como explica este análisis de LP Derecho.
• Reglamento de la Ley 29733 (D.S. 016-2024-JUS). Vigente desde marzo de 2025, precisa que el consentimiento escrito puede darse con firma manuscrita, digital o electrónica, o una modalidad equivalente (artículo 8); obliga a notificar a la ANPD en 48 horas los incidentes graves que involucren datos sensibles (artículo 34); y exige un Oficial de Datos Personales a quienes tratan datos sensibles como actividad principal (artículo 37). Puedes revisar el texto oficial en gob.pe.
• Ley 26842, Ley General de Salud. Establece el carácter reservado de la información relativa al acto médico.
• Ley 30024, del Registro Nacional de Historias Clínicas Electrónicas (RENHICE). Su información se sujeta a las restricciones y sanciones de la Ley 29733. Su reglamento fue modificado en 2025 por el D.S. 020-2025-SA.

Las multas por infracciones a la Ley 29733 llegan hasta 100 UIT; con la UIT de 2026 en S/ 5,500, eso es hasta S/ 550,000, con un tope del 10 % de los ingresos brutos del ejercicio anterior. Para el detalle de cada obligación, revisa todo lo que cambió con el D.S. 016-2024-JUS.

Más allá de la multa, está la confianza del paciente. Según el AI Monitor 2025 de Ipsos, 8 de cada 10 peruanos quieren que se les avise cuando una empresa usa IA, y solo el 61 % confía en que las empresas protejan sus datos. En salud, donde el paciente comparte lo más íntimo, decir con claridad «estás hablando con un asistente virtual» y explicar qué se guarda no es un trámite: es parte del servicio.

El principio de diseño: datos mínimos

La forma más segura de proteger un dato es no recogerlo. Antes de configurar cualquier bot, haz este ejercicio con tu equipo: para cada flujo, escribe qué datos necesitas de verdad y cuáles se piden «por si acaso». Este cuadro resume lo que solemos recomendar:

Un detalle que se pasa por alto en los recordatorios: un mensaje que dice «Recuerda tu cita de control de VIH mañana a las 9» revela una condición de salud a quien vea la pantalla del celular. Mejor: «Recuerda tu cita de mañana a las 9 a. m. en la sede San Isidro con el Dr. Ramírez. Responde 1 para confirmar».

Flujo 1: agenda de citas por WhatsApp o web

La mayoría de pacientes en el Perú prefiere escribir por WhatsApp. Un flujo de agenda bien hecho tiene cinco pasos:

1. Bienvenida con aviso de privacidad. Un mensaje corto que diga quién trata los datos, para qué, y un enlace a la política de privacidad. Ejemplo: «Hola, soy el asistente virtual de [nombre de tu clínica]. Uso tus datos solo para gestionar tu cita. Política de privacidad: [enlace]».
2. Elección de especialidad o médico con botones o lista, no con texto libre.
3. Horarios disponibles leídos de la agenda real (sistema de la clínica, Google Calendar u otro).
4. Datos mínimos: nombre y, si hace falta, DNI para ubicar la historia. Nada de síntomas.
5. Confirmación y paso a persona si el paciente lo pide o si escribe algo que el bot no reconoce.

Si lo implementas con un proveedor de la API de WhatsApp, Meta cobra por mensaje entregado según categoría y país. Las confirmaciones y recordatorios suelen ir como mensajes de utilidad, que tienen tarifa propia. El paso a paso técnico está en cómo crear un chatbot con IA para WhatsApp Business.

Flujo 2: recordatorios que reducen inasistencias

Un paciente que no llega deja un horario vacío que nadie más pudo usar. El recordatorio es el uso de IA con mejor relación entre esfuerzo y resultado, y en realidad casi no necesita IA: necesita automatización y buena redacción.

• Cuándo enviar: uno 24 a 48 horas antes, con opción de confirmar o reprogramar, y otro corto la mañana de la cita.
• Qué incluir: fecha, hora, sede, médico, indicaciones generales (ayuno, documentos, llegar 15 minutos antes) y cómo reprogramar.
• Qué no incluir: el nombre de procedimientos que revelen una condición sensible, resultados o montos de deuda.
• Dónde entra la IA: en redactar los mensajes en un tono cordial, en interpretar respuestas como «no puedo, ¿hay el jueves?» y en ofrecer un nuevo horario.

Mide la inasistencia antes y después durante dos meses.

Flujo 3: triaje sin diagnóstico

Aquí está el mayor riesgo y también el mayor malentendido. En una clínica privada, un bot no debe «evaluar síntomas». Lo que sí puede hacer es un triaje administrativo: ordenar la demanda con reglas que tu equipo médico define y revisa.

Cómo se ve un triaje administrativo

• Pregunta por la especialidad buscada o el motivo general en categorías cerradas: «control», «dolor», «resultado de examen», «receta», «otro».
• Hace 3 a 5 preguntas de señales de alarma definidas por tus médicos, con respuesta sí o no. Por ejemplo: «¿Tienes dolor de pecho o dificultad para respirar en este momento?».
• Si alguna respuesta es «sí», el bot no sigue: responde con un mensaje fijo que indica acudir a emergencia o llamar al SAMU (106) y avisa a una persona del equipo.
• Si todas son «no», ofrece cita con la especialidad correspondiente.

Lo que el bot no debe hacer

• Sugerir un diagnóstico, un medicamento o una dosis.
• Decir que «no es grave» o que «puede esperar».
• Guardar el relato libre del paciente en el historial del bot o del proveedor.
• Reemplazar la evaluación de triaje presencial que haga el personal de salud en la clínica.

Las reglas del bot se escriben en su configuración, el llamado system prompt. Si nunca lo has hecho, revisa qué es un system prompt y cómo configurarlo, y pide a un médico de tu equipo que valide cada mensaje antes de activarlo.

Dónde viven los datos: proveedores y flujo transfronterizo

Casi todas las herramientas de IA y de WhatsApp guardan la información en servidores fuera del Perú. Eso no está prohibido, pero es flujo transfronterizo según el reglamento: debes informarlo al paciente en tu política de privacidad y comunicarlo a la ANPD. Antes de contratar un proveedor, pídele por escrito:

• En qué país guarda los datos y por cuánto tiempo.
• Si usa las conversaciones para entrenar sus modelos y cómo se desactiva.
• Qué medidas de seguridad aplica (cifrado, control de accesos, registros).
• Cómo te avisa si sufre un incidente, para que puedas cumplir el plazo de 48 horas.
• Un contrato de encargo de tratamiento de datos.

Con los asistentes de IA de uso general aplica una regla simple: el personal no debe pegar datos de pacientes en versiones personales o gratuitas. Si el equipo usa IA para redactar un informe o resumir una consulta, que sea con un plan empresarial que no entrene con tus datos y, de preferencia, con la información anonimizada. Las medidas técnicas que exige la norma se explican en seguridad de datos personales en Perú.

El consentimiento, paso a paso

Para la agenda basta con informar, porque los datos son necesarios para la relación que el paciente pide. Pero en cuanto el flujo recoge información de salud, aunque sea un «sí» a una pregunta de alarma, entras en datos sensibles. Lo práctico:

1. Separa la agenda (sin datos de salud) del triaje (con datos de salud).
2. Antes del triaje, muestra un aviso breve y pide aceptación expresa con un botón: «Para orientarte, te haré 4 preguntas sobre tu estado de salud. Tus respuestas se usan solo para derivarte y se guardan en tu historia. ¿Aceptas? Sí / No».
3. Guarda evidencia de esa aceptación con fecha y hora. Consulta con tu asesor legal si tu modalidad cumple con el requisito de consentimiento escrito o equivalente.
4. Si el paciente dice «no», ofrécele hablar con una persona.
5. Pide aparte, y sin casillas premarcadas, el consentimiento para enviar campañas o promociones.

La base de la ley, explicada para no abogados, está en Ley 29733: qué dice y cómo te afecta.

Cuánto cuesta en soles

Precios públicos consultados el 24 de octubre de 2026, con un tipo de cambio referencial de S/ 3.45 por dólar. Los servicios digitales del extranjero pueden sumar IGV de 18 %; revisa tu comprobante.

• Consultorio de un médico: WhatsApp Business (gratis) con respuestas rápidas y mensaje de bienvenida, más recordatorios manuales o con la agenda que ya uses. Costo en herramientas: S/ 0 a unos S/ 18 al mes si sumas un asistente de pago como Google AI Plus (S/ 17.99) para redactar mensajes.
• Policlínico con varias especialidades: API de WhatsApp vía proveedor (por ejemplo, Wati Growth desde US$ 45 al mes en pago anual, unos S/ 183 con IGV), más mensajes de Meta y la conexión con tu agenda. Desde unos S/ 250 al mes sin contar implementación.
• Clínica con agenda propia y varias sedes: integración del bot con el sistema de citas e historia clínica, Oficial de Datos y revisión legal. Aquí el costo depende del sistema que ya tengas; conviene cotizar con el proveedor del software clínico.

Al presupuesto de herramientas súmale lo que no se ve: la revisión médica de los mensajes, la actualización de la política de privacidad, el registro del banco de datos ante la ANPD y el tiempo de capacitación del equipo de admisión.

Errores frecuentes al poner IA en una clínica

• Pedir síntomas en texto libre «para atender mejor» y dejarlos guardados en el proveedor del bot.
• Enviar resultados por WhatsApp sin verificar la identidad de quien recibe.
• Copiar una política de privacidad de otra web, sin mencionar el bot, los proveedores ni el flujo transfronterizo.
• No tener una salida humana. Un paciente angustiado que solo encuentra un bot termina en una reseña negativa o en el Libro de Reclamaciones virtual de la clínica.
• Dejar que el bot hable de precios de procedimientos que dependen de la evaluación médica.
• No revisar las conversaciones durante las primeras semanas. Ahí aparecen los casos que nadie previó.

Por dónde empezar

Un orden razonable para una clínica o consultorio que recién empieza:

1. Mes 1: preguntas frecuentes y agenda en WhatsApp, sin datos de salud. Política de privacidad actualizada y aviso en el primer mensaje.
2. Mes 2: recordatorios automáticos con confirmación y reprogramación. Mide la inasistencia.
3. Mes 3: si el volumen lo justifica, triaje administrativo con reglas validadas por tus médicos, consentimiento separado y revisión semanal de casos.

En paralelo, recuerda que los pacientes también preguntan a ChatGPT o a Google por «el mejor dermatólogo de mi distrito». Para que la IA conozca tu clínica, revisa el GEO para clínicas y doctores.

Si quieres implementarlo con ayuda

En KOM trabajamos la parte digital de clínicas y consultorios: web, formularios y WhatsApp conectados a la agenda, recordatorios, política de privacidad y Libro de Reclamaciones, con el diseño de datos mínimos que explicamos aquí. Coordinamos con tu asesor legal para lo que es estrictamente jurídico. Si quieres revisar tu caso, escríbenos y conversemos.

Preguntas frecuentes

¿Es legal usar un chatbot con IA en una clínica en el Perú?

Sí, siempre que cumplas la Ley 29733 y su reglamento: informar al paciente qué datos recoges y para qué, pedir consentimiento escrito o equivalente si tratas datos de salud, aplicar medidas de seguridad, informar el flujo transfronterizo si el proveedor guarda datos fuera del país e inscribir tus bancos de datos ante la ANPD. El bot no debe dar diagnósticos ni indicar tratamientos.

¿Puedo enviar resultados de laboratorio por WhatsApp?

Es una práctica de riesgo. Un resultado es información de salud y el celular puede estar en manos de otra persona. Si lo haces, verifica antes la identidad del paciente, pide su autorización expresa para ese canal y envía un enlace a una plataforma segura con contraseña o código, no el archivo directo. Lo más prudente es que el resultado lo entregue un sistema diseñado para eso.

¿Qué pasa si el bot no detecta una emergencia?

Por eso el triaje debe ser administrativo y con mensajes fijos. Toda conversación debe mostrar desde el inicio que, ante una emergencia, el paciente debe acudir a emergencia o llamar al SAMU (106). Las preguntas de alarma las define y revisa tu equipo médico, y cualquier respuesta dudosa debe pasar a una persona. La responsabilidad frente al paciente sigue siendo de la clínica.

¿Necesito un Oficial de Datos Personales si tengo un consultorio pequeño?

El reglamento lo exige, entre otros casos, a quienes tratan datos sensibles como actividad principal, y una clínica lo hace. Para un consultorio pequeño, la obligación y sus plazos dependen del tamaño y del volumen de datos. Revisa el artículo 37 del D.S. 016-2024-JUS con tu asesor legal; aunque no te alcance todavía, conviene tener a una persona responsable del tema.

¿Puede la IA redactar la historia clínica?

Puede ayudar a transcribir o resumir, pero el contenido de la historia clínica es responsabilidad del profesional que atiende, que debe revisarlo y firmarlo. Si usas una herramienta de transcripción, elige una con contrato de tratamiento de datos, que no entrene con tus consultas y que guarde la información con medidas de seguridad. Y pide el consentimiento del paciente antes de grabar la consulta.

Este contenido es informativo y no reemplaza la asesoría legal o tributaria.