Propuestas › Inteligencia artificial y datos
IA-08 Ley que establece la validación clínica y la vigilancia posterior a la implementación de los sistemas de inteligencia artificial utilizados en la atención de salud
Complementa la Ley 29459, que ya incluye el aplicativo informático como dispositivo médico, con reglas para el software clínico basado en IA y con funciones adaptativas: validación con población peruana o vía de confianza regulatoria con vigilancia en el mundo real, documentación de ciberseguridad, plan de cambios predeterminado, régimen para desarrollos propios de establecimientos y vigilancia posterior con infracciones tipificadas.
La ley en un vistazo
Lo que cambia
- ➕ incorporaLey 29459, Ley de los Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitariosart. 4-A
- 🔗 complementaLey 26842, Ley General de Saludart. 15
- 🔗 complementaDecreto Supremo 016-2011-SA, Reglamento de registro de productos farmacéuticos y dispositivos médicosclasificación y vigilancia de software
- 🔗 complementaDecreto Supremo 115-2025-PCM, Reglamento de la Ley 31814arts. 24.1 y 30
Establecer requisitos de validación clínica, ciberseguridad, gestión de cambios y vigilancia posterior a la implementación de los sistemas de IA usados con fines clínicos, complementando el régimen de dispositivos médico
Dictamina: Diputados · SaludRevisión: Senado · En asuntos de Salud, Educación, Cultura, Mujer y Desarrollo Social y DigitalQuién hace qué
MINSA
Ministerio de Salud · Salud
Refrenda la adecuación reglamentaria (DCF Primera) y promueve datos de referencia en entornos seguros (art. 8).
SUSALUD
Superintendencia Nacional de Salud · Salud
Recibe notificaciones de desarrollos propios (art. 2.2) y supervisa a las IPRESS usuarias (art. 5.3) y el derecho de información (art. 6).
CNSD
Centro Nacional de Seguridad Digital · PCM
Recibe notificaciones de vulnerabilidades e incidentes de seguridad (art. 5.1).
DIGEMID
Dirección General de Medicamentos, Insumos y Drogas (Autoridad Nacional de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios) · MINSA
Otorga registro con validación y ciberseguridad (art. 4), recibe reportes (art. 5), publica el registro abierto (art. 7) y sanciona (art. 9).
EsSalud y establecimientos de salud públicos y privados
EsSalud y establecimientos de salud públicos y privados · Salud
Notifican desarrollos propios, reportan incidentes y aseguran supervisión profesional e información al paciente (arts. 2.2, 5 y 6).
ANPD
Autoridad Nacional de Protección de Datos Personales · MINJUSDH
Lineamientos de seudonimización y anonimización de datos clínicos (art. 8).
Pacientes atendidos con apoyo de sistemas de IA clínica en establecimientos públicos y privados. No se dispone de cifra oficial de sistemas en uso.
Titulares de registro sanitario de software clínico con IA, establecimientos de salud usuarios o desarrolladores para uso propio, y profesionales tratantes.
Ruta de implementación
- 📝Se presentaCámara de Diputados
- 🏛️Dictamencomisión, hasta 60 días hábiles
- 🗳️Pleno Diputadosaprobación
- ⚖️Senado revisacomisión, hasta 90 días hábiles
- ✍️PromulgaciónPoder Ejecutivo
- 📜Reglamentoplazo de ley
- 🎯Meta 2031Al 2031, registro público de sistemas de IA de uso clínico operativo, con 100% de los sistemas usados en establecimiento
Lo que cuesta
Quién paga: Presupuesto institucional del MINSA y derechos de tramitación aprobados en el TUPA, sin demandar recursos adicionales al Tesoro Público. Requiere coordinación con el Poder Ejecutivo e informe previo de sostenibilidad fiscal del MEF antes del dictamen (art. 79; STC 00018-2023-PI/TC).
Costo para privados: Fabricantes: estudios o vigilancia de validación local y documentación de ciberseguridad (costo moderado, ya exigido en mercados de referencia). Establecimientos con desarrollos propios: validación y notificación.
Lo que se gana
🏛️ Para el Estado: Menor costo de eventos adversos y litigios por errores diagnósticos sistemáticos en establecimientos públicos. No cuantificable con información pública.
👥 Para la sociedad: Seguridad y equidad en la atención de salud con IA; información al paciente. No cuantificable con información pública.
📈 Inversión privada: No aplica de forma directa; la vía de confianza regulatoria facilita la entrada de tecnologías ya autorizadas.
Exposición de motivos — el problema
El Reglamento de la Ley 31814 califica como de riesgo alto los sistemas de IA que condicionan el acceso a servicios de salud (art. 24.1) y exige evaluación de impacto a las entidades públicas, pero no regula la validez clínica de los algoritmos ni su seguimiento una vez en uso. La Ley 29459 incluye el aplicativo informático en la definición de dispositivo médico, pero no regula los programas que se actualizan o aprenden después de su autorización, ni la validación en población peruana, ni la ciberseguridad del software conectado, ni los algoritmos desarrollados por los propios establecimientos (EsSalud, MINSA, clínicas) para uso interno, que no tienen fabricante ni registro sanitario. La degradación de desempeño cuando un algoritmo se aplica a poblaciones distintas de las de entrenamiento es especialmente relevante en el Perú por su diversidad étnica, geográfica (altura) y epidemiológica: un algoritmo validado en otros países puede tener menor exactitud en pacientes peruanos sin que nadie lo detecte. A la vez, exigir estudios locales a todo producto podría retrasar el acceso a tecnologías ya autorizadas por autoridades de alta vigilancia sanitaria, dada la capacidad limitada de evaluación de software de la autoridad. La OMS, en su guía sobre ética y gobernanza de la IA para la salud (2021), recomienda validación en el contexto de uso, transparencia y vigilancia continua. Esta propuesta aborda solo la gobernanza de los algoritmos clínicos; la telesalud y la historia clínica electrónica corresponden a otro eje.
Objeto
Establecer requisitos de validación clínica, ciberseguridad, gestión de cambios y vigilancia posterior a la implementación de los sistemas de IA usados con fines clínicos, complementando el régimen de dispositivos médicos de la Ley 29459.
Fórmula legal
EL CONGRESO DE LA REPÚBLICA
Ha dado la Ley siguiente:
LEY QUE ESTABLECE LA VALIDACIÓN CLÍNICA Y LA VIGILANCIA POSTERIOR A LA IMPLEMENTACIÓN DE LOS SISTEMAS DE INTELIGENCIA ARTIFICIAL UTILIZADOS EN LA ATENCIÓN DE SALUD
Artículo 1. Objeto
La presente ley tiene por objeto garantizar la seguridad, eficacia y equidad de los sistemas de inteligencia artificial utilizados en la atención de salud, mediante su validación clínica, requisitos de ciberseguridad, gestión de cambios y vigilancia posterior a la implementación, en el marco de la Ley 29459, Ley de los Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios.
Artículo 2. Ámbito
2.1. La presente ley se aplica a los sistemas de inteligencia artificial destinados a fines de diagnóstico, prevención, triaje, seguimiento o monitoreo, pronóstico o tratamiento de pacientes, utilizados por establecimientos de salud públicos, privados o mixtos. No comprende los sistemas de uso exclusivamente administrativo.
2.2. Los sistemas desarrollados por un establecimiento de salud para uso exclusivo en sus propias instalaciones no requieren registro sanitario, siempre que cumplan los requisitos de validación y ciberseguridad del artículo 4, se notifiquen a la Autoridad Nacional de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios y a la Superintendencia Nacional de Salud, y se sujeten a la vigilancia del artículo 5. Para estos efectos, el establecimiento tiene la condición de fabricante.
Artículo 3. Incorporación del artículo 4-A a la Ley 29459
Se incorpora el artículo 4-A a la Ley 29459, Ley de los Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios, en los términos siguientes:
«Artículo 4-A. Aplicativos informáticos como dispositivos médicos basados en inteligencia artificial o con funciones adaptativas
Los aplicativos informáticos que constituyen dispositivos médicos, incluidos los basados en inteligencia artificial y los que se actualizan o aprenden después de su autorización, se sujetan además a: a) un plan de cambios predeterminado aprobado con el registro sanitario; b) la vigilancia de su desempeño en condiciones reales de uso; c) requisitos de ciberseguridad; y d) las reglas de clasificación de riesgo para software que apruebe el reglamento, conforme a los documentos técnicos internacionales sobre software como dispositivo médico.»
Artículo 4. Validación clínica y ciberseguridad
4.1. El registro sanitario de un sistema de IA de uso clínico requiere evidencia de validación clínica que incluya datos de desempeño desagregados por sexo, grupo etario y, cuando sea pertinente, por ámbito geográfico o condición de altitud.
4.2. Cuando el sistema cuente con autorización de una autoridad de alta vigilancia sanitaria, se otorga el registro por la vía de confianza regulatoria y la validación local se realiza como vigilancia de desempeño en condiciones reales de uso durante los primeros doce meses, salvo que la clase de riesgo o la evidencia de sesgo exijan un estudio previo. El uso supervisado puede realizarse en el entorno controlado de pruebas regulatorias para sistemas de inteligencia artificial, con participación de la Autoridad Nacional de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios.
4.3. El registro sanitario requiere, además, documentación de ciberseguridad que comprenda la lista de componentes de software, la evaluación de amenazas, los controles de autenticación y cifrado, el plan de gestión de vulnerabilidades y el periodo de soporte de actualizaciones de seguridad.
Artículo 5. Vigilancia posterior a la implementación
5.1. El titular del registro sanitario y el establecimiento usuario reportan a la Autoridad Nacional de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios los incidentes adversos, los errores sistemáticos, la degradación significativa del desempeño del sistema y las vulnerabilidades e incidentes de seguridad que lo afecten; estos últimos se notifican también al Centro Nacional de Seguridad Digital.
5.2. Las actualizaciones del algoritmo que modifiquen su finalidad o su desempeño clínico se comunican antes de su despliegue, conforme al plan de cambios predeterminado. Las actualizaciones que corrigen exclusivamente vulnerabilidades de seguridad sin modificar la finalidad ni el desempeño clínico se aplican de inmediato y se comunican dentro de los quince días hábiles siguientes.
5.3. La validación clínica y el reporte de vigilancia sustituyen, para estos sistemas, la evaluación de impacto de riesgo alto prevista en el reglamento de la Ley 31814 en lo que se refiere a riesgos para la salud. La Superintendencia Nacional de Salud supervisa el cumplimiento por las instituciones prestadoras de servicios de salud.
Artículo 6. Supervisión profesional e información al paciente
Las decisiones clínicas apoyadas por sistemas de IA son adoptadas bajo responsabilidad del profesional de la salud tratante, quien puede apartarse de la recomendación del sistema dejando constancia en la historia clínica. El paciente tiene derecho a ser informado del uso de dichos sistemas en su atención y de su finalidad, derecho que se integra a los reconocidos en el artículo 15 de la Ley 26842, Ley General de Salud.
Artículo 7. Registro público de sistemas autorizados
La Autoridad Nacional de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios publica en formato abierto la relación de sistemas de IA de uso clínico con registro sanitario vigente o notificados conforme al numeral 2.2, su clase de riesgo, indicación aprobada y resumen de la evidencia de validación.
Artículo 8. Datos para validación
El Ministerio de Salud promueve conjuntos de datos clínicos de referencia con representatividad nacional, accesibles en entornos seguros de procesamiento con control de acceso, con datos seudonimizados o anonimizados conforme a la Ley 29733, Ley de Protección de Datos Personales, y a los lineamientos de la Autoridad Nacional de Protección de Datos Personales, para la validación independiente de sistemas de IA. Dichos conjuntos no se publican como datos abiertos.
Artículo 9. Infracciones
Constituyen infracciones, sancionables por la Autoridad Nacional de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios conforme al régimen de sanciones de la Ley 29459: a) no reportar los incidentes, errores, degradación o vulnerabilidades a que se refiere el numeral 5.1; b) desplegar actualizaciones que modifiquen la finalidad o el desempeño clínico sin la comunicación previa del numeral 5.2; y c) usar en pacientes un sistema desarrollado internamente sin la notificación del numeral 2.2.
Primera Disposición Complementaria Final
Reglamentación. El Poder Ejecutivo, mediante decreto supremo refrendado por el ministro de Salud, adecúa el Reglamento para el Registro, Control y Vigilancia Sanitaria de Productos Farmacéuticos, Dispositivos Médicos y Productos Sanitarios, aprobado por Decreto Supremo 016-2011-SA, en un plazo de ciento ochenta días hábiles contados a partir del día siguiente de la publicación de la presente ley, tomando como referencia los documentos del International Medical Device Regulators Forum sobre software como dispositivo médico y su ciberseguridad.
Segunda Disposición Complementaria Final
Financiamiento. La implementación se financia con cargo al presupuesto institucional del Ministerio de Salud y con los derechos de tramitación que se aprueben en el Texto Único de Procedimientos Administrativos de la autoridad conforme al Texto Único Ordenado de la Ley 27444, aprobado por Decreto Supremo 006-2026-JUS, sin demandar recursos adicionales al Tesoro Público.
Tercera Disposición Complementaria Final
Vigencia. La presente ley entra en vigencia al día siguiente de su publicación en el diario oficial El Peruano. Las obligaciones de los artículos 4, 5, 7 y 9 son exigibles desde la entrada en vigencia de la adecuación reglamentaria prevista en la Primera Disposición Complementaria Final.
Única Disposición Complementaria Transitoria
Adecuación de sistemas en uso. Los sistemas en uso a la entrada en vigencia de la adecuación reglamentaria se adecúan a la presente ley en un plazo de dos años contados desde dicha fecha.
Análisis costo-beneficio
Genera costos para la autoridad sanitaria (capacidades de evaluación de software y de ciberseguridad) y para los fabricantes (estudios de validación y documentación de ciberseguridad ya exigida en mercados de referencia), parcialmente cubiertos por derechos de tramitación aprobados en el TUPA, que por sí solos no cubren la vigilancia posterior. La vía de confianza regulatoria para productos autorizados por autoridades de alta vigilancia y el régimen de notificación para desarrollos propios reducen costos y demoras sin renunciar a la validación local. El beneficio es la prevención de errores diagnósticos sistemáticos que afectan a muchos pacientes a la vez, la detección de sesgos contra grupos subrepresentados, la reducción del riesgo de ataques a software clínico y la confianza de profesionales y pacientes. Conforme al art. 79 de la Constitución, la ley no impone gasto adicional; por su costo no nulo, requiere coordinación con el Poder Ejecutivo e informe previo del MEF antes del dictamen. Vinculación con la Política de Estado 13 (Acceso universal a los servicios de salud y a la seguridad social) del Acuerdo Nacional.
Impacto económico: detalle y supuestos
Estimación referencial con supuestos explícitos · confianza: baja. No es un dato oficial ni reemplaza el informe del MEF.
gasto
S/ 0.6–1.2 millones/año (estimación referencial)
anual
Presupuesto institucional del MINSA y derechos de tramitación aprobados en el TUPA, sin demandar recursos adicionales al Tesoro Público. Requiere coordinación con el Poder Ejecutivo e informe previo de sostenibilidad fiscal del MEF antes del dictamen (art. 79; STC 00018-2023-PI/TC).
Menor costo de eventos adversos y litigios por errores diagnósticos sistemáticos en establecimientos públicos. No cuantificable con información pública.
Seguridad y equidad en la atención de salud con IA; información al paciente. No cuantificable con información pública.
No aplica de forma directa; la vía de confianza regulatoria facilita la entrada de tecnologías ya autorizadas.
Fabricantes: estudios o vigilancia de validación local y documentación de ciberseguridad (costo moderado, ya exigido en mercados de referencia). Establecimientos con desarrollos propios: validación y notificación.
Retraso en el acceso a tecnologías por baja capacidad de evaluación; subnotificación de incidentes; actualizaciones no comunicadas; reidentificación de datos clínicos.
Fortalecimiento de la DIGEMID con 4 a 6 evaluadores especializados en software, IA y ciberseguridad a una remuneración referencial de S/ 10 000–14 000 mensuales (supuesto propio por perfiles CAS especializados), más capacitación. Parte se cubre con derechos de tramitación del TUPA. La vía de confianza regulatoria reduce la carga de evaluación. Sin base oficial: confianza baja.
Revisión especializada
Revisión asistida por IA desde cinco especialidades, sobre la versión anterior del texto. No reemplaza la revisión de un abogado ni el dictamen de comisión.
Observaciones atendidas en esta versión: 20 corregidas, 2 parciales, 0 no aplicadas (con justificación).
| Especialidad | Veredicto | Opinión |
|---|---|---|
| Constitucional | Conforme | Propuesta compatible con el derecho a la salud (art. 7) y con la competencia del Estado para determinar la política nacional de salud (art. 9); la exigencia de validación es una restricción proporcional a la libertad de empresa. Solo se observa la técnica de vigencia. Hallazgos: 0 altos · 0 medios · 3 bajos |
| Técnica legislativa | Con observaciones | La técnica de calificar el software clínico como dispositivo médico mediante modificación de la Ley 29459 es correcta, pero hay incoherencias entre el ámbito y la definición incorporada, las obligaciones de reporte carecen de consecuencia jurídica y la vigencia depende de un reglamento cuyo plazo no tiene inicio. Hallazgos: 0 altos · 3 medios · 3 bajos |
| Concordancia normativa | Con observaciones | La Ley 29459 ya define dispositivo médico incluyendo el 'aplicativo informático' (art. 4, numeral 3): el art. 4-A propuesto duplica parcialmente esa definición. Lo nuevo y valioso es la validación con población peruana y la vigilancia poscomercialización; conviene modificar la definición vigente y el reglamento de dispositivos médicos. Hallazgos: 0 altos · 2 medios · 3 bajos |
| Seguridad | Con observaciones | La validación clínica es necesaria, pero el software médico conectado es un vector de ataque reconocido; la ley no exige requisitos de ciberseguridad previos al registro ni gestión de vulnerabilidades posterior, y el 'plan de cambios' podría retrasar parches de seguridad urgentes. Hallazgos: 1 altos · 1 medios · 1 bajos |
| Derecho tecnológico | Con observaciones | Objetivo correcto (validación clínica local y vigilancia poscomercialización), pero parte de una premisa inexacta: la definición legal de dispositivo médico de la Ley 29459 ya incluye el 'aplicativo informático'. El valor agregado está en regular el software adaptativo, los desarrollos propios de hospitales y el uso de la vía de confianza regulatoria (reliance) para no bloquear el acceso; debe articularse con SUSALUD y el INS. Hallazgos: 0 altos · 3 medios · 2 bajos |
Efecto de la vigencia sobre la legislación nacional
Incorpora el art. 4-A a la Ley 29459 (numeración por verificar contra el texto consolidado al dictaminar), sin duplicar la definición de dispositivo médico que ya incluye el aplicativo informático. Complementa la Ley 26842 (art. 15, derechos del usuario), la Ley 31814 y su Reglamento (arts. 24.1 y 30), y la Ley 29733. Dispone la adecuación del D.S. 016-2011-SA. No deroga normas.
Indicador de éxito al 2031
Al 2031, registro público de sistemas de IA de uso clínico operativo, con 100% de los sistemas usados en establecimientos públicos registrados y con reporte anual de vigilancia de desempeño.
Normas relacionadas
Antecedentes
Proyecto del periodo 2021-2026 identificado en SPLEY por la revisión de concordancia normativa: PL 13044/2025-CR, que modifica el art. 3 de la Ley 30421, Ley Marco de Telesalud, incorporando la IA. No se identificó proyecto sobre validación clínica de software con IA. Estado procesal por confirmar al dictaminar.
Referencias internacionales
Fuentes
¿Qué opinas de esta propuesta?
Apoya o rechaza esta propuesta y deja tu comentario. No necesitas cuenta; todo queda registrado y se consolida en la página Ciudadanía.
Privacidad · Propuesta ciudadana de libre uso para cualquier congresista, bancada o colectivo que quiera presentarla. No es un proyecto de ley presentado ni tiene número en el Congreso. Cítala y mejórala.