Gobernanza de IA en hospitales públicos: por qué el gerente de E.S.E. es el primer garante

Las Empresas Sociales del Estado (E.S.E.) son, por su misión y por la naturaleza de los datos que manejan, uno de los escenarios más exigentes para la adopción responsable de Inteligencia Artificial. Cada decisión automatizada puede afectar el derecho fundamental a la salud, y cada dato tratado es, casi por definición, un dato sensible. La Sentencia T-067 de 2025 y la T-323 de 2024 han precisado el estándar constitucional aplicable, y lo han hecho recaer sobre una figura clara: el representante legal.

Este artículo explica por qué el gerente de E.S.E. es el primer garante de la gobernanza de IA, cuáles son los riesgos jurídicos de adoptar sistemas automatizados sin Protocolo de Supervisión Humana y cómo construir un marco de gobernanza hospitalaria que proteja al mismo tiempo a los usuarios, al patrimonio de la entidad y a la carrera del directivo.

1. Marco normativo aplicable

2. Análisis: ¿por qué el gerente es el primer garante?

En la estructura jurídica de una E.S.E., el gerente es el representante legal y, en consecuencia, el destinatario natural de los deberes de diligencia que la Constitución y la ley imponen a la entidad. La Sentencia T-067 de 2025 no introdujo una excepción a esta regla general: la confirmó. Cuando una decisión automatizada afecta a un usuario del servicio de salud, la responsabilidad se distribuye, en último término, sobre quien autorizó y supervisó la operación del sistema. Esa persona es, sin atenuantes, el gerente.

Las tres formas de adopción de IA en una E.S.E.

En la práctica hospitalaria, la IA no siempre entra por la puerta principal. Es útil distinguir tres modalidades, cada una con perfil de riesgo distinto:

• Adopción involuntaria — incluida en software ya adquirido (HIS, RIPS electrónico, agendamiento inteligente) sin que la entidad la haya evaluado como componente autónomo. Riesgo: gobernanza invisibilizada.
• Adopción por área — iniciativa de un área específica (urgencias, facturación, archivo) que adopta una herramienta sin coordinación institucional. Riesgo: fragmentación del control y duplicidad de datos.
• Adopción formal — proyecto institucional con Comité de Gobernanza, Protocolo de Supervisión Humana y trazabilidad. Riesgo controlado y responsabilidad distribuida.

El primer paso de la gobernanza consiste en diagnosticar en cuál de las tres modalidades se encuentra la E.S.E. La mayoría opera hoy en la modalidad involuntaria, sin saberlo. Hacer visible lo invisible es la condición previa de toda gobernanza.

El principio de supervisión humana significativa

La Sentencia T-323 de 2024 acuñó una fórmula decisiva: supervisión humana significativa. Esto no equivale a colocar una firma debajo de cada decisión automatizada. Significa que el humano que supervisa debe tener capacidad real de comprender el sistema, acceder a su explicación, identificar sus sesgos potenciales y, cuando sea necesario, vetar o modificar la decisión. En una E.S.E., este estándar se traduce en obligaciones operativas concretas: capacitación clínica del supervisor, documentación del sistema en lenguaje accesible para el personal de salud, y protocolos de escalamiento que impidan la aprobación automática de decisiones sobre pacientes vulnerables.

Una supervisión puramente formal —donde un profesional firma sin comprender— no solo no exonera de responsabilidad: la agrava, porque prueba que la entidad conocía el riesgo y optó por una respuesta simulada. La honestidad institucional, en este punto, es también una estrategia jurídica.

3. Implicaciones prácticas para E.S.E. y gerencias hospitalarias

• Responsabilidad del gerente — el gerente responde personalmente, en vía disciplinaria, fiscal y patrimonial, por las decisiones automatizadas adoptadas bajo su mandato.
• Datos sensibles reforzados — los datos clínicos son sensibles: su tratamiento por sistemas de IA exige autorización expresa, anonimización cuando sea posible y medidas técnicas reforzadas de seguridad.
• Riesgo clínico-jurídico — un sistema automatizado que prioriza citas, clasifica RIPS o recomienda rutas de atención puede vulnerar el derecho a la salud si se equivoca; sin supervisión humana, la falla se atribuye a la entidad.
• Transparencia frente al usuario — los usuarios pueden solicitar, vía Ley 1712 de 2014, información sobre los sistemas automatizados que los afectan; la E.S.E. debe poder responder.
• Control fiscal automatizado — Contraloría y Procuraduría cruzan datos en tiempo real; una contratación defectuosa o un incidente de datos puede convertirse en hallazgo automático.

4. Recomendaciones y buenas prácticas

• Crear el Comité de Gobernanza — instituir formalmente un Comité de Gobernanza de IA, con participación de la secretaría jurídica, la dirección médica, el área TIC y la oficina de control interno.
• Adoptar el Protocolo de Supervisión Humana — definir quién, cuándo y cómo se revisa cada decisión automatizada relevante. El estándar de la Sentencia T-323/24 es de supervisión humana significativa, no meramente formal.
• Mapear lo que ya se tiene — auditar todos los sistemas hospitalarios —HIS, RIPS, agendamiento— para identificar componentes de IA inadvertidos.
• Política ARCO en salud — establecer flujos para que el usuario pueda ejercer sus derechos ARCO sobre los datos clínicos usados por sistemas automatizados.
• Contratar con blindaje jurídico — antes de firmar, revisar cláusulas de auditoría, propiedad intelectual, transferencia de conocimiento y continuidad. El precio bajo no justifica la dependencia tecnológica.
• Capacitación transversal — capacitar al personal clínico y administrativo en los conceptos básicos de gobernanza. Sin comprensión no hay supervisión humana real.