Gobierno de la IA en el sector farmacéutico: la asignatura pendiente de las compañías que ya la usan

Si preguntamos hoy a cualquier directivo de la industria farmacéutica si su compañía usa inteligencia artificial, la respuesta será que sí. Si le preguntamos quién gobierna esa IA —quién decide qué sistemas se despliegan, cómo se validan, dónde se ejecutan y quién responde cuando fallan—, la respuesta suele ser bastante menos clara.

Y ahí está el problema. La mayoría de organizaciones del sector ya han superado la fase de "probar la IA". Tienen asistentes generativos apoyando la generación de materiales promocionales, modelos priorizando cuentas y ayudando a preparar la visita médica, sistemas cruzando datos de ventas, CRM y actividad digital para orientar los planes de marca. Lo que muchas no tienen todavía es un modelo de gobierno que sostenga todo eso. La IA ha crecido más rápido que las estructuras que deberían ordenarla.
 
Qué es (y qué no es) gobernar la IA
Conviene empezar desmontando un malentendido: gobernar la IA no es frenarla. No es un comité que dice "no" ni una capa de burocracia que alarga cada proyecto. Gobernar la IA es saber, en todo momento, qué sistemas están en uso, para qué, con qué datos, con qué nivel de riesgo, quién puede acceder a cada uno y bajo la responsabilidad de quién.

El acceso, de hecho, es una de las piezas peor resueltas. En una compañía farmacéutica no todos los perfiles pueden ver lo mismo: hay información de Medical Affairs que no debe cruzarse con Comercial Excellence, datos de pacientes con restricciones específicas, contenido pendiente de aprobación médico-legal. Cuando se conecta un asistente de IA a los repositorios internos, esas fronteras no desaparecen: o se replican en el sistema, o el asistente se convierte en la vía más rápida para saltárselas sin que nadie lo note.

Gobernar la IA es garantizar que cada usuario sigue viendo exactamente lo que le corresponde, también cuando pregunta en lenguaje natural.

Y hay una segunda dimensión que casi nunca se contempla al principio: el coste. A diferencia de una aplicación tradicional, en la IA generativa cada consulta tiene un precio. Un asistente desplegado sin control de consumo es una factura que crece sin que nadie sepa exactamente qué la genera ni qué valor devuelve. Saber cuánto cuesta cada acción, por área y por caso de uso, no es un detalle financiero: es lo que permite decidir con criterio qué se escala y qué no.

Nada de esto es ajeno a la industria farmacéutica. Es un sector que lleva décadas trabajando con procesos validados, control de accesos, trazabilidad y auditorías. La paradoja es que esa cultura de rigor, tan asentada en calidad, farmacovigilancia o en la aprobación de materiales promocionales, todavía no se ha trasladado del todo a la IA. En muchas organizaciones se exige menos a un asistente generativo que a una hoja de cálculo validada en entorno GxP.

El riesgo silencioso: la IA que nadie ha aprobado
Hay una realidad incómoda en casi todas las organizaciones: la IA que se usa no siempre coincide con la IA que se ha aprobado. Equipos que recurren a herramientas generativas públicas para redactar un texto o resumir un artículo científico, análisis apoyados en modelos que nadie ha inventariado, información interna pegada en un chat del que no se sabe dónde acaba. No hay mala fe: hay personas intentando trabajar mejor con las herramientas que tienen a mano.

Pero en un sector donde la precisión de la información no es negociable y donde una afirmación fuera de ficha técnica tiene consecuencias reales, esa IA invisible es el mayor agujero del gobierno. No se puede supervisar lo que no se sabe que existe. Por eso el primer paso de cualquier marco serio no es redactar políticas: es inventariar. Saber qué se está usando realmente, en qué áreas y con qué datos. Solo entonces tiene sentido clasificar por riesgo y decidir qué se regulariza, qué se sustituye y qué se retira.

La IA que no has construido: CRM y plataformas del sector
Hay una parte del inventario que casi nadie incluye y que en pharma pesa más que en ningún otro sector. Buena parte del día a día comercial y médico ocurre dentro de plataformas de terceros —Veeva, Salesforce y el ecosistema que las rodea— y todas ellas están incorporando funcionalidades de inteligencia artificial a sus productos. Resúmenes automáticos de la interacción con el profesional sanitario, Next Best Action, asistentes que redactan el correo de seguimiento.

La pregunta es directa: ¿quién gobierna esa IA? No la ha construido tu equipo de datos, no ha pasado por tu comité y a menudo se activa con una casilla en una actualización de producto. Pero opera sobre tus datos de clientes, influye en las decisiones de tu red de ventas y, si se equivoca, la responsabilidad frente al regulador no es del proveedor.

Gobernarla exige tratar al proveedor como parte del alcance, no como una caja negra contratada. En la práctica: saber qué funcionalidades de IA están activadas y cuáles se pueden desactivar; entender qué modelo hay detrás y con qué datos trabaja; exigir la documentación que acredite el reparto de responsabilidades bajo el Reglamento europeo de IA; y revisar los contratos y anexos de tratamiento de datos con la misma exigencia que aplicaríais a cualquier proveedor que toque información sensible. Las notas de versión de vuestras plataformas críticas deberían leerse con la misma atención que un cambio normativo, porque a veces lo son.

Dónde vive la IA: la pregunta que tumba proyectos
Y llegamos al punto que en los últimos meses está bloqueando más iniciativas que ningún otro: dónde se ejecuta realmente el modelo.

Es una conversación que se repite en muchos comités. El caso de uso está claro, el valor es evidente, el equipo está alineado... y el proyecto se detiene cuando alguien pregunta dónde se procesan los datos y nadie puede responder con total certeza. Si no hay garantía documentada de que el procesamiento se mantiene dentro de la Unión Europea, la decisión suele ser la misma: no se aprueba.

En un entorno donde se manejan datos de profesionales sanitarios, información de pacientes y datos comerciales sensibles, la ubicación del procesamiento es un requisito, no una preferencia. Y es un asunto más enredado de lo que parece: una plataforma puede estar contratada con región europea y, aun así, apoyarse en un servicio de inferencia que enruta las peticiones fuera; puede haber subencargados no evidentes en la cadena; puede haber diferencias entre dónde se almacena el dato y dónde se procesa la consulta, que no son lo mismo.

Por eso la residencia debe entrar en el marco de gobierno desde el primer día, no cuando el proyecto ya está construido. Conviene fijarlo como criterio de arquitectura antes de elegir tecnología, pedir por escrito la región de procesamiento y la lista de subencargados, verificar que se mantiene tras cada actualización del proveedor y dejarlo documentado. Resolver esto al principio cuesta unas semanas; resolverlo al final cuesta el proyecto entero.
 
La otra cara: la IA aprobada que nunca llega a producción
Porque el déficit de gobierno tiene una consecuencia menos comentada e igual de costosa. Es un patrón que se repite: un piloto prometedor —pensemos en un motor de recomendación de próxima mejor acción para la red de ventas— que funciona bien en pruebas, convence a negocio... y se queda ahí. No muere por falta de precisión, sino porque nadie definió de antemano cómo se valida, qué documentación necesita, dónde se ejecuta ni quién lo aprueba para producción. Cada despliegue se convierte en una negociación desde cero entre negocio, IT, Legal y Compliance, y el proyecto envejece en la bandeja de pendientes.

Es la gran ironía del asunto: la falta de gobierno no solo deja pasar la IA que no debería usarse; también bloquea la que sí debería. Un marco claro corta ambos problemas por la misma raíz.

Un marco que funciona empieza siendo ligero
El error más habitual al abordar el gobierno de la IA es querer construir la catedral entera antes de celebrar la primera misa: comités múltiples, políticas de cincuenta páginas, procesos que nadie sigue. El resultado es conocido: el marco existe en un documento y la realidad va por otro lado.

Nuestra experiencia apunta en la dirección contraria. Un marco útil empieza siendo ligero: un responsable claro que decide, una lista corta de comprobaciones antes de pasar a producción —riesgo, datos, accesos, residencia, coste—, un registro de lo aprobado y una supervisión proporcional al riesgo de cada sistema. No es lo mismo un asistente interno de documentación que un sistema que apoya decisiones con impacto en pacientes o en profesionales sanitarios; exigirles lo mismo a ambos es la mejor manera de que nadie cumpla nada.

A partir de esa base, el marco crece con la organización: flujos de validación más formales, monitorización continua de los modelos desplegados, métricas de uso, adopción y consumo, y la documentación técnica que un regulador, un auditor o el departamento de calidad de un socio pueden pedir mañana. Porque cumplir no es solo no equivocarse: es poder demostrar que existe un proceso de control activo y documentado.

Quién se sienta en la mesa
Queda la pregunta de la estructura. No hace falta necesariamente un cargo nuevo ni un gran departamento; hace falta un punto donde converjan las decisiones. En la práctica, los modelos que funcionan suelen combinar cuatro perfiles: negocio —Comercial, Medical Affairs, Market Access— que conoce el valor y el contexto de cada caso de uso; tecnología, que entiende cómo se construyen, se despliegan y se monitorizan los sistemas; calidad y compliance, que traduce los requisitos regulatorios en criterios operativos; y legal o privacidad, que se ocupa de contratos, encargados de tratamiento y residencia del dato. Con respaldo directo de la dirección, porque sin él cualquier comité se convierte en decorativo.

Lo importante no es el organigrama, sino que las preguntas básicas tengan siempre respuesta: qué se aprueba, con qué criterios, quién accede, dónde se ejecuta y quién rinde cuentas.

Gobernar es lo que permite acelerar
La lectura más útil del gobierno de la IA no es defensiva, sino estratégica. Con el Reglamento europeo de IA en plena aplicación, un marco claro es precisamente lo que permite invertir con confianza: los equipos saben qué pueden usar y cómo, los proyectos pasan a producción sin quedarse atascados en aprobaciones caso a caso, y la organización puede escalar de tres casos de uso a treinta sin multiplicar el riesgo ni la factura.

En BertIA acompañamos a organizaciones del sector salud en este camino: desde el diagnóstico de madurez hasta el diseño y la operación de marcos de gobierno de IA compatibles con el EU AI Act y los entornos GxP, incluyendo arquitecturas que garantizan el procesamiento en Europa y el control de accesos y consumo. Pensados para que la innovación no se detenga, sino para que se pueda defender. Porque la mejor IA no es la que más promete, sino la que puedes explicar cuando alguien pregunta cómo funciona.

La pregunta ya no es si tu compañía usa IA. Es si sabe exactamente cuál, para qué, dónde se ejecuta y bajo la responsabilidad de quién.