IA y datos de salud

¿Puede la IA analizar los datos de salud de mis colaboradores? ¿Qué permiten el RGPD y la Ley de IA?

La IA solo puede analizar datos de salud de los colaboradores bajo condiciones estrictas: consentimiento expreso (Art. 9 RGPD), para la empresa solo de forma anónima y agregada a partir de 5 personas, sin reconocimiento de emociones (prohibido desde febrero de 2025), datos del BEM tabú, comité de empresa y DPIA antes de empezar.

El marco jurídico para la IA en el BGM, de un vistazo

Norma	Qué exige	Consecuencia para la IA en el BGM
Art. 9 RGPD	Prohibición general de tratamiento de datos de salud, con excepciones limitadas	Sin consentimiento expreso, voluntario y revocable, no hay análisis de IA con datos personales
TJUE C-413/23 P (2025)	Los datos sin posibilidad de reidentificación son anónimos para quien los recibe	Los análisis solo son válidos agregados en grupos de al menos 5 personas — así la perspectiva del empleador queda fuera del RGPD
Art. 5 Ley de IA (vigente desde el 02/02/2025)	Prohibición del reconocimiento de emociones en el lugar de trabajo	No se permite inferir estrés o estado de ánimo a partir de la variabilidad de la frecuencia cardíaca, la voz, la cámara o el comportamiento
Anexo III Ley de IA	La evaluación por IA de colaboradores individuales es un sistema de alto riesgo	Evitar puntuaciones individuales — o cumplir el catálogo completo de obligaciones (gestión de riesgos, registro, supervisión humana)
§ 87 párr. 1 núm. 6 BetrVG (Alemania)	Cogestión obligatoria en dispositivos técnicos con capacidad de vigilancia	Sin la participación del comité de empresa no hay implementación de IA — de lo contrario existe riesgo de una demanda de cesación
§ 167 párr. 2 SGB IX (Alemania)	Confidencialidad especial del procedimiento BEM	Excluir técnicamente los datos del BEM de cualquier análisis de IA — sin excepciones
Art. 35 RGPD	Evaluación de impacto relativa a la protección de datos en caso de alto riesgo	IA + datos de salud + colaboradores cumple varios criterios obligatorios de la lista de la DSK — la DPIA es obligatoria antes del lanzamiento

Por qué cada vez más empresas prohíben internamente los análisis de IA de datos de salud

En muchas empresas ya existen acuerdos internos o políticas que excluyen categóricamente el uso de IA sobre datos de salud — a menudo por iniciativa del comité de empresa, los responsables de protección de datos o los encargados del BEM. No es un caso aislado: según el Cisco Data Privacy Benchmark 2024, el 35 % de las empresas alemanas ha prohibido por completo la IA generativa, y el 76 % restringe qué datos se pueden introducir — principalmente por preocupaciones de protección de datos.

El escepticismo atraviesa todos los niveles. Una encuesta representativa de Bitkom (noviembre de 2025) muestra que el 71 % de las personas en Alemania se preocupa por el uso indebido de datos cuando se emplea IA en el ámbito de la salud. Al mismo tiempo, el 46 % estaría dispuesto a proporcionar sus datos de salud para IA — es decir, existe confianza, pero solo bajo condiciones verificables.

Incluso entre los responsables la opinión está dividida: en el estudio #whatsnext 2025 (IFBG/Techniker Krankenkasse), solo el 50,5 % de los encuestados considera útil la IA en la gestión de la salud — entre los responsables de salud la cifra es del 62,4 %, mientras que entre la dirección general es solo del 34,0 %. La lección es clara: el problema no es la IA, sino la falta de control verificable sobre lo que esta puede ver. Quien pueda demostrar ese control convierte la prohibición interna en un consentimiento informado.

Qué permite el RGPD — y dónde está la línea roja

Los datos de salud son, según el Art. 9 RGPD, una categoría especial de datos personales sujeta a una prohibición general de tratamiento. En el BGM voluntario, prácticamente solo existe una excepción viable: el consentimiento expreso, informado y voluntario de los colaboradores (Art. 9 párr. 2 lit. a). Debe poder revocarse en cualquier momento, y la no participación no puede acarrear ninguna desventaja. La exposición de motivos de la ley alemana de protección de datos (BDSG) menciona expresamente el BGM como un caso en el que el beneficio evidente para los colaboradores respalda la voluntariedad.

El Tribunal de Justicia de la Unión Europea (TJUE) ha despejado dos malentendidos frecuentes: primero, el § 26 BDSG como única base jurídica se ha vuelto inseguro desde que el TJUE (C-34/21, 2023) declaró contraria al derecho de la Unión una norma de estructura equivalente. Segundo, un acuerdo de empresa no puede sustituir el consentimiento: según el TJUE C-65/23 (2024), los acuerdos colectivos deben cumplir plenamente con el RGPD por sí mismos y no pueden reducir el nivel de protección. El acuerdo de empresa regula el procedimiento — no proporciona la base jurídica para el tratamiento de datos.

La palanca decisiva para la práctica es la anonimización mediante agregación: el TJUE confirmó en 2025 (C-413/23 P) el criterio de personalidad relativa de los datos. Los datos que quien los recibe no puede, con medios razonables, atribuir a una persona ya no son datos personales para él. En concreto: si la empresa solo accede a análisis agregados a partir de un tamaño mínimo de grupo de 5 personas — sin acceso a los datos en bruto ni a las claves de asignación —, esa perspectiva queda fuera del ámbito de aplicación del RGPD. La agregación a partir de un grupo de 5 personas no es, por tanto, un simple detalle cosmético, sino una categoría jurídica distinta.

En cualquier caso, antes de comenzar es obligatoria la evaluación de impacto relativa a la protección de datos según el Art. 35 RGPD. La lista de obligatoriedad de la Conferencia alemana de protección de datos (DSK) incluye el uso de IA para evaluar personas, el tratamiento extenso de datos de salud y el análisis de datos de colaboradores — un escenario de IA en el BGM cumple varios de estos criterios a la vez.

Qué regula además la Ley de IA de la UE — incluida una prohibición real

Desde el 2 de febrero de 2025, el Art. 5 de la Ley de IA prohíbe los sistemas de IA que infieren emociones en el lugar de trabajo — con excepciones limitadas solo para fines médicos o de seguridad. Esto afecta justamente a las funciones con las que hoy en día promocionan algunos proveedores de BGM: los sistemas que a partir de la variabilidad de la frecuencia cardíaca, la medición de constantes vitales por cámara, la voz o el comportamiento «detectan factores de estrés» y luego intervienen se mueven peligrosamente cerca de esta zona prohibida — o directamente dentro de ella. Las infracciones al Art. 5 pueden costar hasta 35 millones de euros o el 7 % de la facturación mundial anual.

Además, el Anexo III de la Ley de IA clasifica como de alto riesgo a los sistemas de IA que evalúan el rendimiento o el comportamiento de colaboradores individuales o que influyen en decisiones sobre las condiciones laborales. Es muy probable que una IA que genere pronósticos individuales de salud o de ausentismo para decisiones del empleador quede comprendida en esta categoría — con el catálogo completo de obligaciones: gestión de riesgos, documentación técnica, registro, supervisión humana e información a la representación de los trabajadores antes de la puesta en marcha.

Un dato importante para la planificación: las obligaciones de alto riesgo debían entrar en vigor originalmente en agosto de 2026; en mayo de 2026, el Consejo y el Parlamento acordaron, dentro del Digital Omnibus, posponer hasta diciembre de 2027 la entrada en vigor para los sistemas independientes del Anexo III — los requisitos de fondo no cambian. La prohibición del reconocimiento de emociones no se ve afectada por este aplazamiento: ya está vigente. La decisión de arquitectura está entonces sobre la mesa: quien limite la IA a análisis organizacionales agregados sin evaluar a personas individuales puede evitar desde el inicio la clasificación de alto riesgo.

Comité de empresa y BEM: las dos zonas especiales

Según jurisprudencia reiterada en Alemania, la analítica de IA sobre datos de colaboradores es prácticamente siempre un dispositivo técnico objetivamente apto para la vigilancia del comportamiento o del rendimiento — por lo que se activa la cogestión obligatoria conforme al § 87 párr. 1 núm. 6 BetrVG, independientemente de si existe o no una intención real de vigilancia. Sin un acuerdo de empresa existe riesgo de una demanda de cesación. El camino constructivo es involucrar al comité de empresa desde el principio y usar el acuerdo como un sello de calidad. La guía de Bitkom «KI und Mitbestimmung» (2026) ofrece los pilares para lograrlo.

Una zona permanece completamente vedada: la gestión de reintegración laboral (BEM). Los datos del BEM, conforme al § 167 párr. 2 SGB IX, gozan de una confidencialidad reforzada — expediente estrictamente separado, finalidad limitada y consentimiento escalonado en cada paso del procedimiento. Cualquier análisis de IA sobre contenidos del BEM constituiría un tratamiento de datos altamente sensibles que cambia de finalidad sin base jurídica, y destruiría la relación de confianza de la que depende el BEM. Lo único permitido es la lógica de plazos sin diagnóstico: detectar el umbral de 42 días de incapacidad laboral que activa la oferta de BEM es un monitoreo previsto por la ley — pero el contenido del procedimiento en sí debe quedar técnicamente detrás de un bloqueo que ni siquiera la IA pueda abrir.

Los propios colaboradores están, de hecho, más avanzados de lo que muchos creen: según el informe de ausentismo WIdO/AOK 2025, el 42 % de los colaboradores ya vive la IA en su propio puesto de trabajo — pero menos del 40 % de los colaboradores en empresas que usan IA ha recibido capacitación. La capacitación y la transparencia no son, por tanto, un lujo, sino la palanca para lograr aceptación.

Buenas prácticas: el modelo de 4 niveles para el acceso de la IA a los datos

De la normativa y de la práctica surge un patrón de arquitectura claro que se está consolidando como buena práctica: en lugar de activar o desactivar la IA en bloque, se define individualmente para cada categoría de datos en qué forma puede verla la IA — y estas reglas se aplican técnicamente antes de que los datos lleguen siquiera al modelo de IA.

El punto decisivo es el último: una instrucción a la IA («respeta la protección de datos») no es una medida técnica ni organizativa en el sentido del RGPD. La aplicación debe ocurrir en la capa de datos — lo que la IA no debe ver se filtra o se agrega antes de que llegue a la consulta. Los acuerdos internos sobre IA y los acuerdos de empresa pueden quedar así registrados como reglas legibles por máquina: la prohibición no queda solo en el papel, sino activa dentro del sistema.

Precisamente con este patrón trabaja EasyBGM: los datos de salud en bruto, como días de enfermedad, diagnósticos o el estado del BEM, están técnicamente bloqueados para la IA; los resultados de las encuestas solo se analizan agregados a partir de grupos de 5 personas, y el acceso de la IA a los datos es controlable y está documentado por categoría — incluida una vista de transparencia que muestra qué ve la IA y qué no. Esto hace que la DPIA sea sólida y le da al comité de empresa una base verificable en lugar de una simple promesa.

Nivel 1 — Total: solo para datos no críticos (p. ej., catálogo de medidas, presupuestos, plazos), nunca para datos de salud
Nivel 2 — Pseudonimizado: los nombres e identificadores se sustituyen antes del procesamiento por IA; la clave de reidentificación permanece fuera de la IA
Nivel 3 — Agregado (k ≥ 5): la IA solo ve valores de grupo a partir de 5 personas — según el TJUE C-413/23 P, esta vista queda fuera del RGPD
Nivel 4 — Bloqueado: la categoría de datos nunca llega a la IA; para los datos del BEM es la única configuración permitida
Aplicación en la capa de datos, no mediante instrucciones (prompt) — más registro de cada acceso de la IA a los datos

Medidas y temas relacionados

Preguntas frecuentes

¿Podemos simplemente analizar los datos de ausentismo con ChatGPT?+

No. Introducir datos de salud personales en un chatbot de IA público constituye una transferencia a un tercero sin base jurídica ni contrato de encargo del tratamiento — una infracción clara del Art. 9. El análisis solo es admisible en un entorno controlado, con contrato de encargo del tratamiento y procesamiento en la UE, y aun así únicamente de forma anonimizada y agregada (grupos de al menos 5 personas) o con el consentimiento expreso de las personas afectadas.

¿Está permitida la detección de estrés mediante IA con wearables o cámara?+

En el lugar de trabajo, por lo general no. El Art. 5 de la Ley de IA prohíbe desde febrero de 2025 los sistemas de IA que infieren emociones en el trabajo; las excepciones para fines médicos o de seguridad son limitadas y no cubren un monitoreo general de bienestar por parte del empleador. Quien infiera niveles de estrés a partir de la variabilidad de la frecuencia cardíaca, la medición de constantes vitales por cámara o el comportamiento de la voz se arriesga a multas de hasta 35 millones de euros o el 7 % de la facturación anual.

¿Basta un acuerdo de empresa como base jurídica para el análisis con IA?+

No. Según el TJUE C-65/23, los acuerdos de empresa deben cumplir plenamente con el RGPD por sí mismos y no pueden reducir el nivel de protección. El acuerdo de empresa regula el procedimiento, los límites y los derechos de control — la base jurídica para los datos de salud personales sigue siendo el consentimiento expreso y voluntario de los colaboradores. Para análisis anónimos y agregados sin relación con una persona, en cambio, no se necesita consentimiento.

¿Debe el comité de empresa dar su aprobación antes de usar IA en el BGM?+

Sí. Los sistemas de IA que procesan datos de colaboradores son prácticamente siempre objetivamente aptos para la vigilancia del comportamiento o del rendimiento y, por tanto, están sujetos a la cogestión obligatoria conforme al § 87 párr. 1 núm. 6 BetrVG — la intención real de vigilar no es relevante. Además, existen derechos de información ya en la fase de planificación (§ 90 BetrVG). Sin esta participación, la empresa se expone a una demanda de cesación por parte del comité de empresa.

¿Puede la IA apoyar de alguna forma el proceso de BEM?+

Solo fuera de los contenidos confidenciales: la detección sin diagnóstico del umbral de 42 días de incapacidad laboral (§ 167 párr. 2 SGB IX), el seguimiento de plazos y la generación de plantillas son admisibles. El contenido del procedimiento BEM en sí — notas de conversación, diagnósticos, planes de medidas del expediente BEM — está vedado para cualquier análisis de IA y debe estar bloqueado técnicamente, no solo de forma organizativa.

IA en el BGM — pero con control demostrable

EasyBGM bloquea técnicamente los datos de salud en bruto frente a la IA, solo los analiza de forma agregada a partir de 5 personas y permite controlar el acceso de la IA a los datos por categoría — la base verificable para el comité de empresa y la DPIA.

Ver EasyBGM Datos de salud y RGPD en detalle

Fuentes

Actualizado: 2026-07-06. No constituye asesoramiento legal ni fiscal — consulta cada caso con un profesional.

Seguir leyendo

Datos de salud y DSGVO¿Qué datos de salud puede analizar RR. HH. y qué prohíbe el DSGVO?Agentic Health Management¿Qué es el Agentic Health Management y cómo transforma la IA proactiva el sistema de gestión de salud empresarial?Encuesta de empleados de BGM conforme a la DSGVO¿Cómo realizo una encuesta de empleados de BGM conforme a la DSGVO — y qué hago con los resultados?El proceso BEM explicado¿Cómo se desarrolla la Gestión de Reintegración Laboral (BEM) — paso a paso?