Cómo evaluar herramientas de documentación con inteligencia artificial para trabajo social: lista de verificación de privacidad y cumplimiento normativo

La NASW no ha publicado orientaciones específicas sobre IA para documentación desde 2017. Esta guía llena ese vacío. Aprenda qué deben buscar los trabajadores sociales en las herramientas de IA: manejo de datos, disponibilidad de acuerdos de asociado comercial, exposición a citaciones judiciales, 42 CFR Parte 2 y riesgo de auditoría Medicaid, con una lista de verificación imprimible.

A principios de 2026, la Asociación Nacional de Trabajadores Sociales (NASW, por sus siglas en inglés) aún no ha publicado orientaciones específicas sobre herramientas de documentación con inteligencia artificial. La última actualización sustantiva de sus estándares tecnológicos data de 2017, antes de que los modelos de lenguaje de gran escala entraran al espacio clínico. La Asociación Británica de Trabajadores Sociales publicó sus primeras directrices sobre IA en marzo de 2025. En Estados Unidos no existe un equivalente.

Ese vacío tiene consecuencias concretas. Los trabajadores sociales están adoptando herramientas de IA para documentación de forma individual, inconsistente y, con frecuencia, sin un marco para evaluar los riesgos de cumplimiento normativo y privacidad propios de su profesión. Un terapeuta que evalúa una herramienta de IA puede apoyarse en la orientación razonablemente clara de HIPAA y en una creciente comunidad de pares que debate qué significa en la práctica un "acuerdo de asociado comercial firmado". Un trabajador social tiene las mismas obligaciones bajo HIPAA, más la exposición a auditorías de Medicaid, el riesgo de citaciones judiciales y, en contextos de tratamiento de trastornos por uso de sustancias (TUS), la capa adicional de protecciones del 42 CFR Parte 2, todo sin que su organización profesional le haya indicado qué preguntas hacer.

Esta guía existe para llenar ese vacío. No es una reseña de productos. Es un marco de evaluación estructurado que puede utilizar antes de adoptar cualquier herramienta de IA para documentación, o para revisar una herramienta que ya esté usando.

Las implicaciones de la documentación en trabajo social son distintas a las de la mayoría de las disciplinas clínicas, de maneras que importan específicamente cuando un sistema de IA participa en la generación o el formateo de sus notas.

La exposición judicial y legal es rutinaria, no excepcional

Las notas de terapia se convierten en documentos legales en circunstancias inusuales. Los registros de trabajo social se convierten en documentos legales con regularidad. Las audiencias en tribunales de familia, las evaluaciones de custodia, las investigaciones de protección de menores, las revisiones de cumplimiento en libertad condicional y los procedimientos judiciales en materia de vivienda pueden dar lugar a citaciones para presentar notas del caso. En contextos de bienestar infantil, un trabajador social puede tener 30 o más fechas de tribunal por trimestre.

Cuando un sistema de IA contribuyó al lenguaje de una nota y esa nota es ahora una prueba en un procedimiento, la pregunta sobre quién es responsable de su exactitud se vuelve real. Los trabajadores sociales deben poder testificar que la nota refleja su observación directa y su juicio profesional. Si una herramienta de IA introdujo lenguaje que el profesional no redactó y no revisó con atención, eso genera exposición.

El riesgo de auditoría de Medicaid es estructural, no ocasional

Los trabajadores sociales que facturan a Medicaid, o que trabajan en agencias donde Medicaid es el pagador principal, enfrentan auditorías postpago realizadas por contratistas estatales o auditores de recuperación. Estos revisores no evalúan la calidad clínica. Verifican si la documentación sustenta el código facturado. Si una nota de progreso fue generada en gran medida por una IA y contiene lenguaje que no corresponde al servicio efectivamente prestado, eso constituye un motivo de recuperación de fondos, no solo un problema de documentación.

Las notas que redacte hoy pueden ser auditadas 18 meses después. Es posible que la herramienta de IA que utilizó para escribirlas ya no exista como empresa y que sus políticas de retención de datos hayan expirado. Usted necesita saber si su documentación es sostenible por sí sola.

El 42 CFR Parte 2 impone obligaciones de confidencialidad reforzadas en casos de TUS

Los trabajadores sociales que documentan el tratamiento de trastornos por uso de sustancias (TUS) están sujetos al 42 CFR Parte 2, una regulación federal que impone reglas de confidencialidad más estrictas que las del HIPAA estándar. Según el 42 CFR Parte 2, los registros de TUS no pueden divulgarse sin el consentimiento específico del paciente, ni siquiera a otros proveedores de atención médica, salvo excepciones limitadas.

Cuando una herramienta de IA procesa notas de sesiones de tratamiento de TUS, la pregunta no es únicamente si la herramienta cumple con HIPAA. Es si el manejo de datos de la herramienta satisface los requisitos del 42 CFR Parte 2. La mayoría de las herramientas de documentación con IA no abordan esta distinción. Tampoco lo hace la mayoría de su lenguaje de mercadotecnia.

La responsabilidad profesional no se transfiere

Los trabajadores sociales son responsables de su documentación de una manera que no disminuye al revelar que una herramienta asistió en su elaboración. Si una nota contiene un error factual que influye en una decisión judicial, en una investigación de la junta de licencias o en el resultado de una auditoría de Medicaid, la licencia del trabajador social es lo que está en riesgo. La "licencia del proveedor" no es algo que exista.

Esto no es un argumento en contra del uso de herramientas de IA. Es un argumento para comprender exactamente qué hace la herramienta con su información y qué produce antes de adoptarla en su flujo de trabajo.

Qué buscar en una herramienta de documentación con IA

Manejo de datos: ¿adónde van sus notas?

La pregunta fundamental sobre cualquier herramienta de documentación con IA es qué ocurre con el contenido que usted proporciona. Existen diferencias significativas entre herramientas, y el lenguaje de mercadotecnia no siempre refleja la realidad técnica.

Preguntas que debe hacer:

¿La herramienta envía sus resúmenes escritos de sesión a un proveedor externo de IA (como OpenAI, Anthropic o Google)? Si es así, ¿bajo qué acuerdo de procesamiento de datos?
¿La herramienta almacena sus notas después de generarlas? ¿Por cuánto tiempo? ¿Puede solicitar su eliminación?
¿Sus datos se utilizan para entrenar los modelos de IA del proveedor? Muchos términos de servicio incluyen disposiciones de exclusión, pero el valor predeterminado suele ser la inclusión.
¿Dónde están ubicados los servidores? Esto importa para las regulaciones de privacidad específicas de cada estado y para contextos de trabajo social internacional.

Una herramienta puede describirse como "compatible con HIPAA" sin especificar si ese cumplimiento se extiende a los proveedores externos de IA de los que depende. Pregunte si el proveedor tiene un acuerdo de procesamiento de datos o un acuerdo de asociado comercial no solo con usted, sino con cada subprocesador que maneje sus datos.

Cómo se ve una respuesta clara: "Enviamos sus notas escritas a [proveedor de IA] para su procesamiento. Ese proveedor opera bajo un acuerdo de procesamiento de datos que le prohíbe usar sus datos para el entrenamiento de modelos. Las notas se eliminan de nuestros servidores dentro de las [X] horas posteriores a su generación. No conservamos el contenido de las sesiones."

Cómo se ve una respuesta poco clara: "Nos tomamos la privacidad en serio y cumplimos todas las regulaciones aplicables." Punto final.

Acuerdos de asociado comercial: qué son y por qué importan

Un acuerdo de asociado comercial (BAA, por sus siglas en inglés) es un contrato legal requerido bajo HIPAA antes de que un proveedor pueda manejar información de salud protegida (PHI, por sus siglas en inglés) en su nombre. Sin un BAA firmado, el uso de una herramienta de IA para procesar notas clínicas puede constituir una violación de HIPAA, incluso si la herramienta afirma cumplir con esa normativa.

Puntos clave sobre los BAA en el contexto de las herramientas de documentación con IA:

Algunas herramientas ofrecen un BAA a solicitud o como parte de un nivel de pago. Otras lo incluyen automáticamente. Algunas no ofrecen ninguno.
Un BAA no garantiza la seguridad. Asigna responsabilidad legal y establece estándares mínimos. Un BAA firmado combinado con prácticas débiles de datos sigue siendo un riesgo.
Si trabaja en una agencia, el equipo de TI y cumplimiento normativo de su organización debe revisar cualquier BAA antes de que usted utilice una herramienta con información de clientes. Probablemente no pueda firmar un BAA de forma independiente para un sistema administrado por la agencia.
Para los LCSWs en práctica privada, obtener y conservar un BAA generalmente es su propia responsabilidad.

Antes de adoptar cualquier herramienta, pregunte directamente: "¿Ofrecen un BAA firmado para el cumplimiento de HIPAA?" Si la respuesta es no, evalúe cuidadosamente si el uso de la herramienta con información identificable de clientes es justificable.

Nota: Algunas herramientas de documentación con IA, incluyendo algunas opciones de menor costo, son transparentes sobre no ser compatibles con HIPAA. Esto no las descalifica automáticamente, según cómo las use. Una herramienta utilizada para estructurar plantillas sin ingresar PHI real tiene un perfil de riesgo diferente al de una herramienta que procesa notas de casos identificadas. Conozca la diferencia y tome una decisión documentada.

Políticas de retención de datos: ¿cuánto tiempo se conserva su información?

La retención de datos es un aspecto poco examinado en las evaluaciones de proveedores. Los trabajadores sociales deben preguntar:

¿Cuánto tiempo conserva el proveedor las notas, los resúmenes de sesión o cualquier dato que usted proporcione?
¿Cuál es la política de eliminación cuando usted cancela su cuenta?
¿Qué sucede con sus datos si la empresa es adquirida o cierra?
¿Se respetan las solicitudes de eliminación, y en cuánto tiempo?

El lenguaje vago como "los datos se conservan mientras sea necesario" es una señal de riesgo. "Mientras sea necesario" no tiene un punto final fijo y en la práctica puede significar indefinidamente. Para trabajadores sociales con exposición a citaciones judiciales, un lenguaje de retención poco claro significa que usted no tiene idea de qué documentación sobre los casos de sus clientes existe en los servidores de un proveedor meses o años después.

Compare esto con herramientas que se comprometen a un plazo específico de retención ("las notas se eliminan dentro de las 24 horas posteriores a su generación") o a cero retención ("no almacenamos sus notas después de su entrega"). Esta última arquitectura elimina toda una categoría de exposición.

Registros de auditoría: ¿puede reconstruir lo que ocurrió?

Para la facturación de Medicaid y los procedimientos judiciales, es posible que deba demostrar que una nota fue creada en una fecha específica, por un proveedor específico, y que no fue editada retroactivamente. Una herramienta de documentación con IA debe proporcionar:

Marcas de tiempo en la creación de notas y en cualquier edición posterior
Historial de versiones o, como mínimo, un registro de cuándo se generaron las notas
Capacidad de exportar el registro de auditoría para su uso en revisiones de cumplimiento o procedimientos legales

Si una herramienta no mantiene ni exporta un registro de auditoría, usted depende de su propio sistema de historias clínicas electrónicas o de registros en papel para reconstruir el historial de documentación. Esa brecha genera riesgo en contextos de auditoría y legales.

Control del resultado: ¿quién controla la nota final?

Esta es la dimensión que aborda más directamente el problema de la responsabilidad profesional.

Algunas herramientas de documentación con IA operan de forma generativa: usted proporciona un resumen de la sesión o una grabación de audio, y la herramienta produce una nota completa. El profesional revisa y firma. En este modelo, la IA es la autora principal y el profesional es el revisor. Si la IA introdujo un error factual o un detalle clínico fabricado, ese error estaba presente antes de que el profesional leyera la nota. Si el profesional lo detectó es una pregunta abierta.

Otras herramientas operan dentro de una estructura de plantillas: el profesional proporciona los datos, la IA los formatea de acuerdo con la plantilla seleccionada, y el resultado refleja únicamente lo que el profesional proporcionó. En este modelo, la IA es una formateadora, no una autora. Los datos del profesional son la única fuente de información.

La distinción importa para la responsabilidad. Una nota formateada por IA a partir de sus propios datos es más defendible que una nota redactada por IA y revisada por usted. En un tribunal, la pregunta no es si la IA estuvo involucrada. La pregunta es si usted puede testificar sobre la exactitud de cada afirmación en la nota.

Pregúntele a cualquier herramienta que evalúe: "¿El sistema genera contenido que no estaba en mi aporte original, o solo formatea y estructura lo que yo proporciono?"

Flexibilidad de formatos: ¿se adapta a sus requisitos de documentación?

Los trabajadores sociales utilizan una gama más amplia de formatos de documentación que la mayoría de las disciplinas clínicas. Una herramienta que funciona bien para notas de progreso en formato SOAP puede no manejar:

Notas de gestión de casos con documentación de contactos colaterales
Evaluaciones de seguridad con campos estructurados de calificación de riesgo
Informes judiciales y resúmenes para tribunal con requisitos de formato legal
Documentación de autorización de servicios vinculada a los códigos de facturación de Medicaid
Resúmenes de reuniones de equipos multidisciplinarios con aportes de múltiples proveedores
Notas de casos de TUS conformes al 42 CFR Parte 2 con anotación de divulgación restringida

Evalúe si una herramienta puede adaptarse a estos formatos, o si está diseñada para un tipo de formato y requerirá ajustes manuales significativos para todo lo demás.

La distinción entre generativo y orientado a plantillas

Esto merece más atención de la que suele recibir en las comparaciones de herramientas.

Las herramientas de documentación generativas con IA absorben el contenido de su sesión y producen una nota estructurada. La sofisticación del resultado depende del modelo, el diseño de los prompts y la calidad de lo que usted proporciona. El riesgo es la fabricación: los modelos de lenguaje pueden generar contenido clínico con apariencia de verosimilitud que no estaba presente en el aporte original. Esto ha ocurrido en casos documentados en múltiples herramientas.

Para los trabajadores sociales, el riesgo de despersonalización es específico: las notas generadas por IA pueden aplanar el detalle contextual que la documentación en trabajo social está diseñada para capturar. Una nota de caso que debe reflejar la inestabilidad habitacional específica de un cliente, su dinámica familiar o su contexto cultural puede producirse con lenguaje clínico genérico que encajaría con cualquier cliente. Esa pérdida de especificidad no es solo un problema de calidad. En un contexto judicial o de auditoría de Medicaid, el lenguaje genérico genera preguntas sobre si la nota refleja un encuentro de servicio real.

Las herramientas orientadas a plantillas funcionan de manera diferente. Usted define la estructura. Usted proporciona el contenido. La IA formatea y completa a partir de lo que usted le dio, sin generar contenido que no estaba en su aporte. Esta arquitectura limita el riesgo de fabricación y preserva la voz y la especificidad del profesional.

Ningún modelo elimina la necesidad de revisión por parte del profesional. Pero tienen perfiles de error diferentes e implicaciones de responsabilidad distintas.

Algunas herramientas en el mercado, incluyendo NotuDocs, utilizan el enfoque orientado a plantillas: usted proporciona las notas de la sesión, la herramienta las formatea dentro de la estructura de su plantilla elegida. Esto no hace que la herramienta sea automáticamente apropiada para su contexto de práctica, pero sí significa que el resultado refleja sus aportes en lugar de las inferencias del modelo.

Cómo evaluar las afirmaciones de cumplimiento con HIPAA

La investigación del perfil de cliente ideal en trabajo social puso de manifiesto un problema recurrente: proveedores que afirman cumplir con HIPAA sin el respaldo sustantivo para ello. Profesionales experimentados en comunidades de terapeutas describen esto como "teatro HIPAA".

Cuando un proveedor dice "somos compatibles con HIPAA", esa afirmación tiene varias interpretaciones posibles:

Seguimos prácticas de seguridad acordes con los requisitos de HIPAA (un compromiso con las prácticas, no una certificación)
Hemos realizado una evaluación formal de riesgos HIPAA y podemos documentar nuestro programa de cumplimiento
Firmaremos un BAA (un compromiso legal específico)
Contamos con certificación bajo un marco alineado con HIPAA, como SOC 2 Tipo II

Estas posibilidades no son equivalentes. Pregunte específicamente: "¿Pueden proporcionar su BAA para revisión? ¿Han completado una evaluación de riesgos HIPAA? ¿Tienen un programa formal de cumplimiento?"

Un proveedor que se pone a la defensiva o habla con vaguedad cuando se le hacen estas preguntas le ha dicho algo útil.

Errores comunes en la evaluación

Suponer que "cifrado" significa "en cumplimiento"

El cifrado en tránsito y en reposo es un mínimo base, no un logro de cumplimiento normativo. La mayoría de las herramientas en la nube modernas están cifradas. El cifrado no aborda cuánto tiempo se retienen los datos, qué subprocesadores tienen acceso o si sus datos se utilizan para entrenar modelos.

Evaluar basándose únicamente en el lenguaje de mercadotecnia

Los sitios web de las herramientas las describen de la manera más favorable posible. La política de privacidad, los términos de servicio y el adendo de procesamiento de datos contienen los compromisos reales. Lea esos documentos o pida a un colega con conocimientos que los revise.

No involucrar al equipo de TI y cumplimiento de su agencia

Los LCSWs en práctica privada toman decisiones de compra individuales. Los trabajadores sociales que trabajan en agencias generalmente no pueden hacerlo. Si trabaja en una agencia, usar una herramienta de IA para documentación de clientes sin revisión de TI y cumplimiento puede violar las políticas de su organización, su cobertura de responsabilidad civil y potencialmente HIPAA. Plantee la pregunta antes de adoptar una herramienta, no después.

Usar herramientas gratuitas con PHI

Los niveles gratuitos de las herramientas de IA suelen tener compromisos de manejo de datos diferentes (y más débiles) que los niveles de pago. Los proveedores pueden monetizar los datos del nivel gratuito a través del entrenamiento de modelos. Una herramienta que no cuesta nada a menudo tiene un costo en datos.

Confiar en recomendaciones de colegas sin verificación independiente

Si un colega dice "llevo meses usándola y no ha pasado nada malo", eso es una señal de supervivencia, no una señal de seguridad. Evalúe las herramientas en función de sus políticas documentadas, no de la ausencia de incidentes conocidos.

Lista de verificación para trabajadores sociales

Use esta lista antes de adoptar cualquier herramienta de documentación con IA para el trabajo social clínico.

Privacidad y manejo de datos

El proveedor explica claramente qué sucede con los datos de entrada (notas escritas, resúmenes de sesión) después del procesamiento
El proveedor especifica qué proveedores externos de IA procesan sus datos y bajo qué acuerdos
El proveedor no utiliza sus datos para entrenar modelos (o ofrece una exclusión clara con confirmación)
La retención de datos después de la generación está especificada (eliminación en 24 horas o similar) en lugar de ser vaga
La ubicación del servidor está revelada y es consistente con las regulaciones aplicables
La eliminación de la cuenta resulta en la eliminación de datos dentro de un plazo especificado

BAA e HIPAA

El proveedor ofrece un BAA firmado para el cumplimiento de HIPAA
El BAA cubre a los subprocesadores (no solo al propio proveedor)
El proveedor puede describir su programa de cumplimiento con HIPAA, no solo afirmar que cumple
Si el BAA no está disponible, usted ha documentado una decisión de que no se ingresará PHI en la herramienta

42 CFR Parte 2 (contextos de TUS)

Si documenta tratamiento de TUS, ha confirmado si el proveedor aborda los requisitos del 42 CFR Parte 2
Ha verificado si el proveedor trata la documentación de TUS igual o diferente que otras notas clínicas
El oficial de cumplimiento o el asesor legal de su agencia ha revisado la herramienta si usted documenta casos de TUS

Registro de auditoría e integridad de la documentación

Las notas tienen marca de tiempo al crearse y al editarse
El historial de versiones o los registros de edición están disponibles
Los registros de auditoría pueden exportarse para revisiones de cumplimiento o procedimientos legales
La herramienta produce documentación en la que usted puede respaldarse independientemente de la existencia de la herramienta (es decir, si el proveedor cierra, sus registros están completos)

Control del resultado y riesgo de fabricación

Usted entiende si la herramienta genera contenido que no estaba en sus aportes (generativo) o solo formatea sus aportes (orientado a plantillas)
Si es generativo, tiene un protocolo de revisión para verificar cada afirmación clínica antes de firmar
La herramienta no introduce lenguaje clínico, diagnósticos o datos que no estaban en su aporte original
Puede testificar sobre la exactitud de cada afirmación en una nota generada con asistencia de IA

Flexibilidad de formatos

La herramienta admite los formatos de notas que su trabajo requiere (SOAP, DAP, notas de gestión de casos, evaluaciones de seguridad, resúmenes para tribunal, notas de reuniones de equipos multidisciplinarios)
Los campos de documentación de autorización de servicios están disponibles o pueden personalizarse
Puede agregar o modificar plantillas para que coincidan con los requisitos de formato específicos de su agencia

Organizacional y profesional

Ha documentado qué herramienta está usando y bajo qué términos de privacidad
Si trabaja en una agencia, su equipo de TI y cumplimiento ha aprobado la herramienta
Ha consultado o notificado a su aseguradora de responsabilidad civil (algunos proveedores de seguros de malpráctica tienen orientaciones específicas sobre herramientas de documentación con IA)
Tiene un proceso para revisar las notas asistidas por IA antes de firmarlas, no solo firmar lo que produce la herramienta

La ausencia de orientaciones específicas de la NASW sobre IA es una brecha real, no un descuido burocrático. Hasta que existan esas orientaciones, los trabajadores sociales están tomando decisiones importantes sobre la adopción de IA sin el andamiaje profesional que otras disciplinas tienen. Esta lista de verificación es un punto de partida para la toma de decisiones estructurada. No es un sustituto de consultar con su junta de licencias, su aseguradora de responsabilidad civil o el equipo de cumplimiento de su agencia cuando las apuestas son altas.

Los trabajadores sociales con mayor riesgo ante herramientas de IA evaluadas deficientemente no son quienes ignoran completamente la IA. Son quienes adoptan una herramienta basándose en la recomendación de un colega y una prueba gratuita, sin leer los términos de servicio ni preguntar si la herramienta ofrece un BAA.

Dedique treinta minutos adicionales antes de adoptar su próxima herramienta. Es menos tiempo que el que toma responder a una auditoría de Medicaid.

Guías relacionadas: