Para un hospital, una clínica o una prepaga, la historia clínica electrónica es el lugar donde se concentra la memoria médica del paciente, la evidencia de cada decisión profesional y una parte central de la operación diaria. Cuando funciona, evita la duplicación de estudios y mejora la coordinación entre guardias, consultorios, laboratorios, farmacias, imágenes y auditoría médica. Cuando falla, la historia es diferente.
Amazon Web Services (AWS), la división de computación en la nube de Amazon, publicó en mayo de 2026 un análisis global sobre sistemas de historia clínica electrónica en salud en el que sostiene que muchos EMR “no estaban hechos para la era de la IA”. La frase no apunta sólo a la inteligencia artificial. Pretende ilustrar un problema de fondo. Muchas historias clínicas nacieron como repositorios estáticos y hoy se les exige interoperabilidad, analítica, automatización, integración con aplicaciones de terceros y gobierno de datos clínicos. AWS describe ese pasaje como una transición “del registro a la inteligencia”.
El dilema ya no es si conviene digitalizar. Es cómo proteger el activo sanitario más sensible del negocio.
Índice de temas
Interoperabilidad, acceso y responsabilidad
En Argentina, la discusión tiene un marco concreto. La Ley 27.706, que creó el Programa Federal Único de Informatización y Digitalización de Historias Clínicas, establece que el sistema debe contener los datos clínicos de la persona desde el nacimiento hasta su fallecimiento y que las modificaciones no pueden hacerse sin registro.
El Ministerio de Salud de la Nación de Argentina, organismo rector de la política sanitaria nacional, también define a la Historia de Salud Integrada como una herramienta administrativa y clínica digital que forma parte de la Red Nacional de Salud Digital. Un punto central: según la explicación oficial, la historia clínica única y compartida se almacena de forma distribuida en los puntos donde el paciente recibió atención, evitando un repositorio centralizado único.
Ese diseño puede reducir algunos riesgos de concentración, pero obliga a que diversas instituciones, sistemas y jurisdicciones compartan información bajo reglas comunes de seguridad.
El valor del dato clínico
El dato de salud tiene una particularidad: no se puede reemplazar. Una tarjeta de crédito puede darse de baja; un diagnóstico, una cirugía, un antecedente oncológico, un tratamiento psiquiátrico o una condición crónica no desaparecen de la vida de una persona porque una institución haya sufrido una brecha.
La historia clínica contiene datos personales, diagnósticos, medicación, estudios, imágenes, antecedentes familiares, cobertura, autorizaciones, derivaciones y, en algunos casos, información social o laboral. En una filtración, el daño no se limita al fraude financiero. Puede implicar extorsión, robo de identidad, discriminación, estafas dirigidas o exposición de información íntima.
Comparitech, medio británico especializado en investigación de privacidad y ciberseguridad, registró en el primer trimestre de 2026, a escala global y dentro del sector salud, 201 ataques de ransomware: 120 contra hospitales, clínicas y otros prestadores, y 81 contra negocios vinculados al sector, como fabricantes médicos, proveedores de facturación y empresas healthtech.
Quién puede ver qué, cuándo y por qué
La protección de la historia clínica electrónica empieza por una pregunta básica: ¿quién puede ver qué dato, en qué contexto y con qué justificación?
En una organización sanitaria, los usuarios no son homogéneos. Un médico de guardia, un especialista externo, un administrativo de admisión, un auditor de una prepaga, un farmacéutico, un técnico de laboratorio y un proveedor de soporte no deberían tener la misma visibilidad ni los mismos permisos.
Scientific Reports, revista académica de Nature Portfolio, publicó en 2026 un paper sobre control de acceso seguro a historias clínicas electrónicas. La investigación plantea que la privacidad y el control de acceso son necesidades centrales en sistemas de Registro Electrónico de la Salud (EHR, por sus siglas en inglés) , y propone mecanismos más granulares y contextuales para decidir qué información puede consultar cada usuario.
El paper refuerza la idea de que no basta con saber si alguien “trabaja en salud”; hay que conocer qué relación asistencial tiene con el paciente, qué datos necesita, desde dónde accede y para qué.
La Cloud Security Alliance (CSA), organización internacional dedicada a mejores prácticas de seguridad cloud, lo formula desde otro ángulo. Sostiene que las organizaciones necesitan visibilidad continua sobre “dónde se almacenan los datos de salud protegidos y cómo pueden acceder a ellos los usuarios”.
El nuevo checklist del directorio sanitario
El directorio de una clínica, sanatorio, prepaga o laboratorio no necesita discutir cada detalle técnico, pero sí debería poder formular preguntas concretas: ¿tenemos un inventario de sistemas que contienen datos clínicos? ¿Aplicamos autenticación multifactor? ¿Los permisos se revisan por rol y necesidad clínica? ¿Auditamos accesos? ¿Probamos restauración de backups? ¿Sabemos qué proveedores tienen acceso a la HCE? ¿Existe un procedimiento de downtime? ¿Quién decide cómo se opera si el sistema cae?
La agenda de IA vuelve más urgente ese checklist. Microsoft, compañía tecnológica estadounidense, publicó en abril de 2026 un artículo sobre bases seguras para IA responsable en salud. Allí cita su 2026 Data Security Index, una encuesta multinacional encargada por Microsoft a más de 1.700 profesionales de seguridad de datos de múltiples industrias.
Según ese relevamiento, sólo 47% de las organizaciones reportó controles específicos para IA generativa y 29% de los empleados ya había usado agentes de IA no autorizados para tareas laborales. Microsoft recomienda el principio Zero Trust: “Nunca confiar. Siempre verificar”.
La HCE no fracasa por ser digital. Fracasa cuando se la trata como una implementación de sistemas y no como un activo crítico. La mejor síntesis la ofrece HIMSS en una guía de ciberseguridad para organizaciones de salud: “Protect the data, protect the patient”. Proteger la historia clínica, en definitiva, ya no es proteger un archivo. Es proteger la continuidad de la atención, la confianza del paciente y la capacidad de una organización sanitaria para seguir funcionando bajo presión.
