La respuesta corta
Construyo IA para salud y farma reguladas que corre en producción y deja un registro que un auditor puede rastrear. Mi regla: la IA prepara y sugiere, una persona decide y cada paso queda registrado. Lo he llevado a producción en telemedicina (la admisión con IA y un humano en el circuito elevó la conversión 40% en más de 100K atenciones a pacientes en ~18 meses) y en farma (un agente de ventas con IA, 13 días de la idea a producción, con una pista de auditoría detrás de cada paso).
Para quién es
Empresas de telemedicina, diagnóstico y farmacia en Estados Unidos que escalan de $5M a $150M, además de compañías farmacéuticas y de dispositivos médicos que operan en América Latina. Usted ya tiene IA en un flujo de trabajo regulado, o está por tenerla, y esa IA tiene que sobrevivir a su primera auditoría. Si su equipo de cumplimiento se entera del modelo cuando ya salió a producción, esta página es para usted.
Qué abarca el cumplimiento de IA en una operación regulada
Casi todo lo que se escribe sobre "cumplimiento de IA" apunta a los bancos. En salud y farma, el trabajo cae en cuatro frentes, y los cuatro dependen de un mismo registro operativo.
- Datos de pacientes. HIPAA en Estados Unidos (mis operaciones de pacientes en HelixVM corrían dentro del perímetro HIPAA, con la información de salud protegida, PHI, manejada bajo acuerdos BAA). En América Latina son las leyes nacionales de protección de datos, como la LOPDP de Ecuador y la LGPD de Brasil.
- Sistemas de calidad. SOP, desviaciones, CAPA. En Iris Global Ecuador, esa disciplina obtuvo una certificación GDP en el 5% superior (GWDP bajo ARCSA). Un paso con IA es un paso más del proceso. Necesita un SOP, un responsable y una ruta de desviación como cualquier otro.
- Farmacovigilancia. Recepción de eventos adversos, plazos de los casos, causalidad, notificación al regulador. La nueva norma de ARCSA entra en vigor el 4 de noviembre de 2026, ANVISA opera VigiMed y COFEPRIS tiene un centro nacional. Los equipos que absorben todo esto ya estaban cortos de personal desde antes.
- Reglas específicas de IA. En 2025, Estados Unidos sumó una nueva ley estatal de IA cada ~2.5 días (1,208 proyectos de ley de IA presentados, 145 aprobados, según MultiState). La SB 26-189 de Colorado entra en vigor en enero de 2027. La UE aplazó sus obligaciones de alto riesgo (Anexo III) a diciembre de 2027 y la IA en dispositivos médicos (Anexo I) a agosto de 2028, mediante el Reglamento (UE) 2026/1744.
El registro que un regulador puede leer
Caja negra por dentro, caja de cristal en el registro. El modelo puede ser probabilístico. La pista de auditoría, no. Cada llamada al modelo queda con un hash de la entrada, la versión del modelo, un puntaje de confianza y una persona en la capa de supervisión. Cuando un regulador pregunta cómo se clasificó un caso, usted le muestra el registro y se ahorra explicar el modelo.
El registro solo admite nuevas entradas (append-only) y cumple dos funciones: es la memoria del agente y es la pista de auditoría. El cumplimiento deja de ser un informe que alguien arma al cierre del trimestre. (El diseño de la memoria está en Cómo darle memoria a un agente de IA sin romper la pista de auditoría. El lado operativo está en El sistema operativo regulado, construido desde cero.)
Por qué validar una sola vez falla con la IA
La validación farmacéutica funciona porque lo que se valida se queda quieto: la molécula, el proceso, el perfil de estabilidad. La IA se mueve. Los modelos de frontera cambian cada pocos meses y los sistemas en producción sufren deriva.
Los datos de la FDA muestran dónde validar una sola vez todavía funciona. En 2025 autorizó la cifra récord de 295 dispositivos con IA/ML (Innolitics), cerca del 75% en radiología y en su mayoría modelos acotados y bloqueados, y solo alrededor del 10% incluía un PCCP (el plan que permite que un modelo autorizado cambie). Los modelos bloqueados se pueden validar una sola vez. Todo lo demás necesita un arnés de control: monitorear cada llamada, rastrear cada salida y pasar las fallas de la IA por el mismo ciclo CAPA que cualquier otra desviación.
Una desviación sin CAPA es un hallazgo. Una tasa de fallas sin causa raíz también debería serlo.
La validación y el arnés de control trabajan juntos, y el arnés es la parte que yo construyo.
Lo que he puesto en producción
- Telemedicina (HelixVM, VP Head of Operations). El motor de operaciones de pacientes detrás de más de 100K atenciones a pacientes en ~18 meses, dentro del perímetro HIPAA. La admisión con IA y un humano en el circuito (human-in-the-loop) elevó la conversión 40% y redujo el tiempo de cita 50%, con un humano todavía en el circuito. (Caso de estudio)
- Canal de ventas farmacéutico (Fenix Pharma). Un agente de ventas con IA en producción sobre un canal en vivo, 13 días de la idea a producción, ~45% de los leads interesados recuperados y cada paso registrado. (Caso de estudio)
- Farmacovigilancia (Iris). Una plataforma regional de farmacovigilancia construida dentro de nuestro ERP por Iris LLC, que arranca con Iris Global Ecuador antes de la norma de ARCSA del 4 de noviembre de 2026, y después Iris Mexico. Está construida y probada. Todavía no ha pasado por ella ningún caso real de evento adverso, y lo seguiré diciendo hasta que pase. (Caso de estudio)
- Calidad (Iris Global Ecuador). Certificación GDP en el 5% superior (GWDP bajo ARCSA), una organización de 23 personas y el paso de pérdidas operativas a rentabilidad sostenida.
Presenté esta arquitectura a líderes de asuntos regulatorios y cumplimiento en el Latin America Healthcare Compliance Certificate Program de Seton Hall Law, en Bogotá, en septiembre de 2026. (Notas desde Bogotá)
Lo que no hago
No soy abogado y no doy opiniones legales. No preparo presentaciones ante la FDA. Cuando una decisión requiere asesoría legal, los abogados reciben un sistema que pueden leer.
Cómo empieza
- Elija un flujo de trabajo. Un punto de entrada, un canal, un tipo de caso. Mapeamos quién decide qué hoy y dónde se rompe el registro.
- Construya el registro antes que el modelo. Diseño del registro, puntos de control humanos, ruta de desviación, SOP. El modelo entra al final.
- Salga a producción con una persona en cada decisión que importa. Después amplíe la participación de la IA a medida que el registro se lo gane.
¿Está llevando IA a un flujo de trabajo regulado y quiere una segunda lectura antes de la del auditor? Hablemos.
Específicamente sobre los reguladores de América Latina: IA en farmacovigilancia en América Latina.