Cómo elegir una historia clínica electrónica: 7 preguntas antes de contratar

Contratar una HCE no es elegir un editor de texto con fecha

Cualquier sistema puede mostrarte una pantalla con campos para "antecedentes" y "diagnóstico". Lo que separa una historia clínica electrónica seria de una planilla con nombre lindo no se ve en la demo — se ve cuando algo falla: se cae el servidor, un paciente pide su historia completa, la empresa se funde, o alguien te pregunta en un juicio si ese registro se pudo haber editado después.

Ya repasamos qué exige la Ley 26.529 a una HCE: integridad, autenticidad, inalterabilidad, perdurabilidad y recuperabilidad. Este artículo es el paso siguiente — las 7 preguntas concretas que tenés que hacerle a cualquier proveedor antes de firmar, con la respuesta que un proveedor serio debería poder dar sin tartamudear.

1. ¿Cómo y cada cuánto hacen backup?

Qué debería responder cualquier proveedor serio: backups automáticos, frecuentes (no "una vez por semana si me acuerdo"), en una infraestructura separada del servidor principal, con un proceso probado de restauración — no solo la promesa de que existen. Si la respuesta es "hacé tu propio backup exportando a Excel", ya sabés todo lo que necesitás saber.

Qué preguntarle a cualquier proveedor, incluido MedicAI: pedile la frecuencia exacta del backup y el plazo real de restauración — no una respuesta genérica como "hacemos backup". Lo que sí podemos confirmar de nuestro lado es que los datos clínicos se cifran en reposo con AES-256-GCM y se retienen 15 años, por encima del mínimo legal — pero eso no reemplaza la pregunta puntual sobre backup y restauración, hacésela igual.

2. ¿Dónde se almacenan las historias y bajo qué ley de protección de datos?

Qué debería responder cualquier proveedor serio: en qué país y bajo qué marco legal se procesan los datos. Los datos de salud son "datos sensibles" bajo la Ley 25.326, la categoría con máxima protección — eso implica medidas de seguridad concretas, control de acceso y secreto profesional (art. 8); el consentimiento expreso es la regla general de la ley. Nada de esto se cubre con una cláusula genérica de privacidad copiada de internet.

Cómo lo resuelve MedicAI: los datos clínicos se cifran en reposo con AES-256-GCM (el mismo estándar que usan sistemas hospitalarios), con aislamiento estricto por organización a nivel de base de datos. No es un checkbox de marketing — es la capa que hace que un incidente en una organización no exponga datos de otra.

3. ¿Puedo exportar TODO si algún día me voy?

Qué debería responder cualquier proveedor serio: sí, sin excusas, en un formato estándar — no un PDF inservible ni un Excel que perdió la estructura clínica. Si el sistema no te deja sacar tus datos completos y usables en otro lado, no es un proveedor: es una jaula. Esto es lock-in, y en datos de salud es además un problema legal, porque el paciente (no el consultorio) es el titular de esa información.

Cómo lo resuelve MedicAI: export en estándar FHIR R4 —datos del paciente, consultas, diagnósticos, signos vitales y recetas— para llevarte la información si te vas, sin quedar atado a un formato propietario que solo tu proveedor sabe leer.

4. ¿Qué trazabilidad hay sobre cada modificación?

Qué debería responder cualquier proveedor serio: cada acceso y cada cambio queda registrado, de forma que ese registro no se pueda alterar después — ni por un empleado del proveedor, ni por un error, ni por un intento deliberado de "arreglar" algo después de un incidente. Sin esto, tu historia clínica no tiene valor probatorio en un juicio por mala praxis.

Cómo lo resuelve MedicAI: cada acceso y modificación genera una entrada de auditoría con hash SHA-256 encadenado a la anterior — cualquier adulteración de ese rastro rompe la cadena y es detectable. Ese audit log es WORM (Write-Once, Read-Many): registra cada acceso de forma inmutable.

5. ¿Cumple los requisitos de la Ley 26.529?

Qué debería responder cualquier proveedor serio: que conoce el artículo 13 (integridad, autenticidad, inalterabilidad, perdurabilidad, recuperabilidad) y el artículo 14 (el paciente es el titular de su historia clínica, no el consultorio ni el sistema). Si un proveedor no puede nombrar estos dos artículos, no diseñó el producto pensando en la ley — lo adaptó después, o nunca.

Cómo lo resuelve MedicAI: cada consulta queda bloqueada de forma permanente a las 24 horas de creada —toda edición dentro de esa ventana queda registrada, antes y después, en el audit log inmutable—, retención de 15 años — por encima del mínimo nacional de 10 años del artículo 18, alineado con exigencias provinciales como el Decreto 3280/90 de la Provincia de Buenos Aires — y export en FHIR R4 más copia completa del registro, disponibles para que el paciente ejerza su derecho de acceso. El detalle completo de qué exige cada artículo está en la guía de requisitos legales.

6. ¿Cómo controlan quién accede a qué?

Qué debería responder cualquier proveedor serio: control de acceso por rol, no "todos ven todo porque comparten la misma cuenta". Puntualmente: ¿la secretaria puede leer el contenido clínico de una historia, o solo gestionar turnos y cobros? Con varias personas tocando el sistema, esa pregunta deja de ser teórica y se vuelve un requisito concreto de la Ley 25.326.

Cómo lo resuelve MedicAI: las secretarias gestionan turnos, cobros y agenda sin acceso al contenido clínico de la historia clínica — es un límite de diseño, no una configuración opcional que alguien puede desactivar sin querer. Cada acceso, además, queda en el audit log WORM de la pregunta 4.

7. ¿Qué pasa con recetas e interoperabilidad?

Qué debería responder cualquier proveedor serio: honestidad sobre el estado real de la receta electrónica. La Ley 27.553 la habilita, y su reglamentación (Resolución 1959/2024 del Ministerio de Salud) exige que se emita a través de plataformas inscriptas en el ReNaPDiS (Registro Nacional de Plataformas Digitales Sanitarias) — no alcanza con un botón que genera un PDF con la palabra "receta" arriba. Si un proveedor te dice que "ya emite recetas electrónicas" sin poder mostrarte esa homologación, desconfiá.

Cómo lo resuelve MedicAI: somos honestos con esto porque es lo que corresponde. La receta electrónica de MedicAI está en proceso de homologación ante el ReNaPDiS y llega próximamente, integrada de forma nativa a la historia clínica. Mientras tanto, la HCE (bloqueo automático a las 24 horas, auditoría con hash encadenado, retención de 15 años, export FHIR R4) ya está disponible y en uso.

La lista corta para llevar a la demo

Si solo te queda tiempo para tres preguntas, que sean estas: ¿puedo exportar todo en un formato estándar si me voy?, ¿qué pasa si alguien intenta editar un registro viejo?, y ¿la secretaria ve el contenido clínico o solo la agenda? Las respuestas a esas tres separan rápido a un proveedor serio de uno que todavía no pensó en estos escenarios.

MedicAI cuesta $25.900 + IVA por profesional/mes, con 30 días de prueba gratis sin tarjeta — tiempo suficiente para validar estas respuestas contra tu instalación real, no contra una demo armada. Y si tu consultorio o clínica gestiona historia clínica en varios profesionales a la vez, este artículo sobre software para clínicas y centros médicos cubre lo que cambia a esa escala. Para conocer el marco legal completo, la guía sobre la Ley 26.529 y la ficha de historia clínica de MedicAI tienen el resto del detalle.

Preguntas frecuentes

¿Cuáles son las preguntas más importantes antes de contratar una historia clínica electrónica?

Las que revelan si el sistema fue diseñado para cumplir la ley o para maquillarla después: cómo y cada cuánto hacen backup, dónde se almacenan los datos y bajo qué marco legal, si podés exportar todo en un formato estándar si te vas, qué trazabilidad hay sobre cada modificación (hash, auditoría), si cumple los artículos 13 y 14 de la Ley 26.529, cómo controlan el acceso por rol, y cuál es el estado real de la receta electrónica y el ReNaPDiS.

¿Por qué importa que la exportación sea en un formato estándar como FHIR?

Porque un archivo exportado en un formato propietario (o un PDF sin estructura) no sirve para migrar tus datos a otro sistema — es lock-in disfrazado de "sí, podés exportar". FHIR es el estándar HL7 que usan los sistemas de salud interoperables en el mundo: garantiza que la información clínica exportada sea usable, no solo legible.

¿Es un problema que un sistema todavía no tenga receta electrónica homologada ante el ReNaPDiS?

No, siempre que el proveedor sea honesto al respecto. El régimen de la Ley 27.553 (vía su reglamentación) exige que la plataforma esté registrada en el ReNaPDiS para emitir recetas con validez legal plena, y ese proceso de homologación toma tiempo. La señal de alerta no es "todavía no la tenemos" — es un proveedor que dice tenerla sin poder mostrar esa homologación.