Illinois lidera la regulación de terapia con IA: multas de $10.000 por bots de salud mental sin licencia

En una decisión histórica sobre gobernanza de IA, Illinois ha implementado las primeras sanciones económicas del país dirigidas a aplicaciones de inteligencia artificial no autorizadas en el ámbito de la salud mental. El código actualizado de Salud Mental y Discapacidades del Desarrollo del estado ahora autoriza multas de hasta $10.000 por infracción para cualquier entidad que ofrezca servicios terapéuticos mediante IA sin la supervisión clínica o licencia adecuadas.

Esta acción regulatoria surge tras múltiples informes de pacientes vulnerables que recibieron consejos perjudiciales de chatbots terapéuticos sin salvaguardas apropiadas. "Cuando los sistemas de IA incursionan en el ámbito clínico sin protecciones adecuadas, se convierten en vendedores ambulantes digitales", declaró la senadora estatal Sara Feigenholtz, impulsora de la legislación.

Las implicaciones para la ciberseguridad son particularmente relevantes dada la sensibilidad de los datos de salud mental. Los bots terapéuticos no regulados frecuentemente incumplen estándares HIPAA, con varios casos documentados de almacenamiento inadecuado de datos de sesiones o su compartición con anunciantes. La nueva ley exige a los proveedores de terapia mediante IA implementar cifrado de extremo a extremo, auditorías de seguridad periódicas y políticas adecuadas de retención de datos.

Expertos en TI para la salud advierten que muchas aplicaciones de salud mental para consumidores operan en áreas regulatorias grises. "Estas plataformas usan descargos de responsabilidad vagos para evitar clasificación como dispositivos médicos mientras hacen afirmaciones terapéuticas", explicó el Dr. Michael Chen, investigador en ciberseguridad médica de la Universidad Northwestern. La ley de Illinois prohíbe específicamente que sistemas de IA diagnostiquen condiciones o recomienden tratamientos sin intervención clínica humana.

El mecanismo de aplicación combina denuncias de usuarios con monitoreo proactivo por parte del Departamento de Regulación Financiera y Profesional de Illinois. Las primeras infracciones generalmente resultan en órdenes de cese, con multas progresivas para reincidentes. Autoridades estatales ya han identificado doce plataformas que podrían estar sujetas a las nuevas restricciones.

Este desarrollo coincide con los preparativos de la FDA para actualizar su guía sobre software como dispositivo médico (SaMD) basado en IA/ML. Los profesionales de ciberseguridad deben notar el énfasis de la ley en:

1) Requisitos de procedencia de datos para entrenar modelos terapéuticos de IA
2) Plazos obligatorios para notificación de brechas
3) Prohibición de usar datos de pacientes para fines secundarios sin consentimiento explícito

Analistas legales predicen medidas similares en California y Nueva York durante la próxima sesión legislativa. El enfoque de Illinois ofrece un posible modelo para equilibrar innovación en IA con protecciones al paciente en áreas sensibles de la salud.