IA e LGPD: como avaliar risco antes de contratar ferramenta

Uma demonstração comercial impressionante de inteligência artificial não responde à pergunta técnica e jurídica mais crítica para um serviço de saúde: essa ferramenta está apta a receber, processar e custodiar dados de pacientes com governança e segurança suficientes?

Na rotina médica, a fronteira entre ganho de produtividade e passivo regulatório é estreita. Ao contratar uma solução de IA — seja um escriba médico para transcrição de consultas, um motor de triagem ou um sistema de faturamento —, a clínica não adquire apenas um software. Ela integra um operador externo à sua cadeia de custódia de dados de saúde.

Sob a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 - LGPD) e as diretrizes da Resolução CFM nº 2.454/2026, a responsabilidade pela guarda dos dados e pela higidez do prontuário recai sobre a clínica e seu diretor técnico. A avaliação de risco deve preceder a assinatura do contrato.

---

Resumo Executivo: Governança de IA antes do Contrato

A avaliação técnica e jurídica de qualquer fornecedor de IA na saúde deve ser balizada por três premissas fundamentais:

1. A clínica responde como Controladora: Pelo art. 5º, VI da LGPD, a clínica decide sobre o tratamento. Incidentes ou vazamentos no software parceiro (Operador) acarretam responsabilidade solidária para a instituição perante a ANPD e os tribunais.
2. Vedação estrita a ferramentas públicas de consumo: Softwares abertos acessíveis via navegador (como versões gratuitas de ChatGPT, Claude ou Gemini) preveem em seus termos o uso dos comandos inseridos para treinar modelos. Seu uso na recepção ou no consultório viola o sigilo médico e a LGPD.
3. Auditabilidade contínua: A clínica precisa auditar o ciclo dos dados: entrada (input), processamento algorítmico, retenção temporária e descarte. Sem garantias contratuais de não retenção de áudio e de isolamento de banco de dados, o software não deve ser homologado.

---

1. Mapeie quais dados entram na ferramenta (Inventário de Fluxo)

A avaliação deve começar pelo inventário detalhado de dados. Informações sobre saúde, histórico clínico e biometria são classificadas expressamente como dados pessoais sensíveis pelo art. 5º, II da LGPD, exigindo o rigor do art. 11 da lei.

A gestão deve identificar exatamente o que transitará pelo sistema:

• Dados Administrativos: Nome civil, CPF, telefone e carteira de plano de saúde.
• Dados Clínicos Textuais: Anamnese, queixas principais, diagnósticos provisórios e definitivos (CID), histórico mórbido e prescrições.
• Dados Biométricos e Multimídia: Áudio ambiental de consultas, fotos dermatológicas e laudos em formato DICOM ou PDF.

O Princípio da Minimização na Prática

O art. 6º, III da LGPD consagra o princípio da necessidade (minimização): o tratamento deve restringir-se ao mínimo indispensável para a finalidade pretendida.

Se a ferramenta for contratada para apoiar a síntese da anamnese no padrão SOAP, não há justificativa para enviar à API externa o CPF, o nome ou o endereço do paciente. O sistema contratado deve realizar a pseudonimização ou tokenização na origem, segregando os identificadores civis do conteúdo clínico antes do tráfego externo.

---

2. Defina e delimite a finalidade legítima

Contratar soluções sob descrições contratuais vagas é um convite ao litígio. O art. 6º, I da LGPD impõe a exigência de finalidades legítimas, específicas e informadas ao titular.

A clínica deve aprovar internamente uma Declaração de Escopo:

• Finalidade Primária Autorizada: Apoio à estruturação de notas clínicas ambulatoriais.
• Setores Elegíveis: Médicos assistentes previamente habilitados.
• Usos Proibidos: Geração autônoma de prescrições; campanhas de marketing baseadas em diagnósticos; ou análise automatizada de crédito para precificação de procedimentos.

A formalização do escopo evita o scope creep (desvio progressivo de função), no qual um robô contratado para agendamentos na recepção passa a responder dúvidas clínicas de pacientes no WhatsApp sem validação médica, contrariando as boas práticas de dados de pacientes em formulários e canais de WhatsApp.

---

3. Retenção de dados, descarte e reutilização para treinamento

A questão contratual mais sensível entre serviços médicos e fornecedores de IA diz respeito ao ciclo de retenção da informação.

Ao contratar soluções de processamento de voz (Automatic Speech Recognition - ASR) e modelos generativos (LLMs), a clínica deve exigir clareza sobre três pontos:

1. Destino do áudio bruto: O áudio captado no consultório deve ser descartado da memória do servidor logo após a transcrição estruturada, operando em modelo efêmero (ephemeral storage).
2. Vedação ao treinamento de modelos: O fornecedor deve firmar compromisso contratual formal declarando que não usará dados, prontuários, áudios ou textos da clínica para calibrar ou treinar seus algoritmos proprietários.
3. Descarte ao término contratual: Ao encerrar a relação, a clínica deve receber os dados em formato aberto e obter um certificado formal de eliminação segura de todos os backups e vetores mantidos pelo fornecedor.

---

4. Conheça a cadeia de subprocessadores e a transferência internacional

A maioria dos sistemas de IA em saúde não roda modelos próprios em servidores locais. Eles utilizam uma arquitetura em camadas:

[ Software da Clínica / PEP ] ──► [ Plataforma SaaS de IA ] ──► [ Nuvem (AWS/Azure) ] ──► [ API de LLM (OpenAI/Anthropic) ]

Cada empresa envolvida na infraestrutura atua como subprocessadora perante o art. 39 da LGPD. A clínica tem o direito e o dever de exigir a relação nominal desses parceiros e o país de hospedagem dos servidores.

Em 2024, a ANPD editou a Resolução CD/ANPD nº 19/2024, regulamentando a transferência internacional de dados por Cláusulas-Padrão Contratuais (CPCs). Se o software processa dados em servidores estrangeiros, o contrato de prestação de serviços deve adotar cláusulas-padrão alinhadas às diretrizes da autoridade nacional.

---

5. Avalie controle de acesso, perfis e rastreabilidade (Logs)

O uso de senhas compartilhadas na recepção ou em salas de exames é uma das vulnerabilidades mais frequentes no ambiente ambulatorial.

Antes de implantar IA na rotina, valide os requisitos de identidade:

• Autenticação Individual e MFA: Cada profissional deve ter credencial nominal exclusiva e intransferível, com autenticação em múltiplos fatores (MFA).
• Controle Baseado em Funções (RBAC): Recepcionistas visualizam apenas dados cadastrais de agendamento; faturistas acessam guias e relatórios de procedimentos; e apenas o médico assistente acessa a transcrição e os dados clínicos detalhados.
• Logs Imutáveis de Auditoria: O sistema precisa registrar com precisão de data e segundo (timestamp) o usuário responsável, o prontuário envolvido, o tipo de requisição enviada à IA e a resposta retornada, garantindo trilha probatória idônea perante o CRM e o Judiciário.

---

6. Verifique segurança da informação e resposta a incidentes

A conformidade com o art. 46 da LGPD impõe a adoção de medidas técnicas e organizacionais compatíveis com o risco do tratamento de dados de saúde.

Exija do fornecedor comprovações técnicas documentadas:

• Padrões de Criptografia: Criptografia robusta de ponta a ponta, exigindo AES-256 para dados em repouso e no mínimo TLS 1.2 ou 1.3 para dados em trânsito.
• Isolamento de Ambientes (Multi-tenancy seguro): As informações da clínica devem contar com segregação lógica estrita para impedir acessos cruzados ou ataques de injeção de prompt (prompt injection).
• SLA de Notificação de Incidentes: Estabeleça contratualmente um prazo máximo de 24 a 48 horas para o fornecedor notificar formalmente a clínica sobre qualquer suspeita ou confirmação de violação de segurança, permitindo o cumprimento tempestivo dos informes à ANPD.

---

7. Supervisão Humana e o Imperativo Ético do CFM

Modelos de linguagem são arquiteturas probabilísticas sujeitas a alucinações (respostas incorretas formuladas com convicção sintática), omissões e desvios de contexto.

A Resolução CFM nº 2.454/2026 determina que o médico mantém a responsabilidade pessoal exclusiva e indelegável sobre os diagnósticos, laudos e prescrições. O art. 18 veda qualquer sistema que restrinja ou substitua o julgamento clínico. Na mesma linha, o art. 20 da LGPD assegura ao paciente o direito à revisão humana de decisões automatizadas.

O Princípio do Human-in-the-Loop na Prática Clínica

1. O texto gerado pela ferramenta deve ser apresentado ao profissional como rascunho sugestivo, nunca como preenchimento final automático.
2. O médico deve ler criticamente, ajustar dosagens ou interpretações e assinar o prontuário com certificação digital qualificada (ICP-Brasil).
3. O uso de ferramenta assistiva deve ser documentado no histórico, conforme orientações de nosso guia sobre auditoria de IA no prontuário pelo diretor técnico.
4. A gestão deve combater o "viés de automação", prevenindo os riscos analisados em nosso artigo sobre responsabilidade civil e erro médico em sistemas de IA.

---

8. Transparência, Consentimento e Informação ao Paciente

O art. 6º, VI da LGPD consagra o princípio da transparência ativa. O paciente não pode ter suas consultas gravadas ou seus dados clínicos processados por algoritmos sem prévia ciência e autorização.

A governança do serviço de saúde requer:

• Termo de Consentimento Informado (TCLE): A clínica deve colher autorização documental específica explicando a finalidade da tecnologia e as garantias de privacidade, conforme detalhamos em consentimento para uso de IA em consultas médicas.
• Direito à Recusa: Caso o paciente prefira não autorizar o processamento por IA, o atendimento deve ser documentado pelos métodos convencionais, sem constrangimento ou prejuízo à assistência.

---

9. Gestão de Mudanças e Atualizações de Modelos (Model Drift)

Diferente de sistemas convencionais, ferramentas de IA generativa sofrem variações contínuas:

• Fornecedores atualizam modelos de base sem aviso prévio.
• Alterações sutis na parametrização alteram a assertividade terminológica e o rigor de síntese clínica (model drift).

O contrato deve conter cláusula de Notificação Prévia de Atualizações Relevantes, obrigando a desenvolvedora a avisar a diretoria técnica sobre alterações de modelos e a certificar a manutenção dos padrões de acurácia.

---

10. Matriz Comparativa: Avaliação de Risco para Contratação de IA

A tabela a seguir consolida a matriz de avaliação para que o gestor e o diretor técnico analisem o perfil de risco de cada aplicação antes da assinatura do contrato:

Categoria da Aplicação	Dados Pessoais Coletados	Principais Riscos Regulatórios (LGPD / CFM)	Classificação de Risco	Requisitos Mínimos Contratuais	Governança Operacional Exigida
Chatbot de Agendamento e Recepção	Nome, telefone, CPF, convênio, especialidade médica procurada.	Vazamento cadastral; vinculação indevida de dados a patologias estigmatizantes.	Médio	Criptografia em trânsito/repouso; isolamento de banco; canal de opt-out para humano.	Auditoria de diálogos por amostragem; aviso de privacidade no WhatsApp; proibição de orientações clínicas.
Escriba Médico (Transcrição de Consultas)	Áudio bruto da consulta, anamnese completa, relatos íntimos, hipóteses diagnósticas.	Gravação sem consentimento; reutilização de áudios para treino de modelos; retenção indevida.	Alto	Exclusão do áudio imediatamente após a transcrição; DPA sem retenção; TCLE assinado pelo paciente.	Validação e assinatura médica individual obrigatória no PEP; autenticação de médicos via MFA.
Apoio ao Diagnóstico por Imagem / Laudos	Arquivos DICOM, imagens dermatológicas, tomografias, relatórios prévios.	Alucinações diagnósticas (falsos negativos); ausência de registro sanitário; emissão de laudo autônomo.	Alto / Crítico	Certificação como Software as a Medical Device (SaMD) na Anvisa; pseudonimização de metadados DICOM.	Dupla checagem obrigatória pelo médico especialista; proibição formal de laudo 100% automatizado.
Triagem Clínica Preditiva de Urgência	Sinais vitais, queixas agudas, escala de dor, comorbidades associadas.	Retardo assistencial por erro algorítmico; responsabilidade civil objetiva por desfecho desfavorável.	Crítico	Ensaios de validação clínica publicados; latência mínima garantida; parametrização rígida de alarmes.	Retaguarda médica imediata 24/7; monitoramento contínuo de 100% dos casos divergentes pelo comitê de ética.
IA para Suporte ao Faturamento e Glosas	Guias TISS/TUSS, detalhamento de procedimentos, dados cadastrais e financeiros.	Violação de sigilo financeiro-médico; quebra de confidencialidade com operadoras de saúde.	Médio	Anonimização dos identificadores de pacientes; termos de sigilo (NDA) anexos; exportação restrita.	Perfis de acesso restritos a faturistas sêniores; trilhas de auditoria para cada lote exportado.

---

11. O Piloto Técnico Controlado: Validação em Duas Etapas

Antes de expandir o uso para todo o corpo clínico, a gestão deve conduzir um piloto estruturado em etapas:

Etapa 1: Validação com Dados Sintéticos

• Teste a ferramenta utilizando prontuários fictícios ou cenários hipotéticos sem dados reais.
• Analise a taxa de erro na apreensão de terminologias médicas e farmacológicas específicas da clínica.
• Avalie se a precisão do sistema se sustenta ao longo de múltiplos casos simulados.

Etapa 2: Amostragem Reduzida com Médicos Homologadores

• Autorize a operação assistida para 2 a 3 médicos que compreendam as regras de governança.
• Colete o consentimento formal de cada paciente participante da amostragem.
• Mantenha registro das divergências entre o rascunho sugerido pela IA e o texto final aprovado pelo médico.

Para uma visão detalhada sobre como integrar esses fluxos à prática médica diária, consulte nossa análise sobre IA na medicina: ferramentas, fornecedores e fluxos operacionais.

---

12. Checklist Operacional de Due Diligence Pré-Contratual

Utilize este checklist prático na condução das reuniões técnicas com a equipe de TI, o departamento jurídico e o fornecedor da tecnologia:

Bloco A: Mapeamento de Dados e Base Legal

• O inventário identificou todos os dados que circularão pela ferramenta (cadastrais, clínicos, multimídia)?
• O princípio da minimização foi aplicado (identificadores civis como CPF e endereço foram suprimidos)?
• A finalidade do tratamento está expressamente descrita no contrato de prestação de serviços?
• Foi estruturado um protocolo claro para a coleta e registro do consentimento do paciente?
• Há procedimento padrão para atendimento manual imediato quando o paciente recusar o uso da IA?

Bloco B: Jurídico, Contrato e DPA (Data Processing Agreement)

• O contrato contém Termo de Processamento de Dados (DPA) definindo a clínica como Controladora e a empresa como Operadora?
• O fornecedor assume expressamente a obrigação de não utilizar dados de pacientes para treinamento de modelos?
• Há cláusula estipulando prazo máximo de 24 a 48 horas para comunicação formal de incidentes de segurança?
• Está assegurada a eliminação integral de dados e backups ao término do contrato, mediante certificado?
• A cadeia de subprocessadores e a transferência internacional respeitam a Resolução CD/ANPD nº 19/2024?

Bloco C: Infraestrutura e Segurança da Informação

• Os dados trafegam e permanecem criptografados (TLS 1.2/1.3 e AES-256)?
• Em ferramentas de voz, o arquivo de áudio é eliminado da memória logo após o processamento da transcrição?
• O acesso exige autenticação individual nominal e Autenticação em Múltiplos Fatores (MFA)?
• Há segregação lógica de dados (multi-tenancy seguro) isolando a clínica de outros clientes da plataforma?
• O sistema produz logs imutáveis de requisições, usuários e carimbos de tempo (timestamps)?

Bloco D: Prática Clínica e Governança Ética

• O fluxo do prontuário eletrônico impede que textos gerados por IA sejam homologados sem leitura e aprovação médica?
• A ferramenta não gera receitas de controle especial ou laudos diagnósticos de forma autônoma?
• O corpo clínico e a recepção foram orientados sobre a proibição de uso de IAs públicas pessoais (Shadow AI)?
• O Diretor Técnico emitiu parecer favorável formal à implantação do sistema?
• Há um Plano de Continuidade Operacional para falhas ou indisponibilidade temporária da ferramenta?

---

O que isso significa na prática?

A governança na contratação de IA não é uma exigência burocrática abstrata; ela previne prejuízos reais no cotidiano do serviço médico. Analise o impacto em três situações reais da operação ambulatorial:

1. Na Recepção e Canais de Mensagens

Uma atendente sobrecarregada utiliza um chatbot genérico público para responder a mensagens de pacientes no WhatsApp corporativo, colando laudos de biópsias para pedir que a IA explique o texto em termos simples. Ao inserir nomes e diagnósticos em uma ferramenta aberta de consumo, a funcionária provoca uma exposição de dados sensíveis na internet. Em caso de fiscalização da ANPD, a clínica responde por negligência decorrente da falta de diretrizes institucionais e canais corporativos seguros.

2. No Consultório Médico

Um médico assistente baixa um aplicativo de transcrição no próprio smartphone pessoal e grava atendimentos sem coletar autorização documentada. Ao notar a gravação não informada, um paciente aciona o Conselho Regional de Medicina (CRM) e a Justiça comum. Sob a Resolução CFM nº 2.454/2026, a ausência de consentimento e a falta de rastreabilidade geram processo ético-profissional contra o médico e corresponsabilizam a clínica pela ausência de supervisão do ambiente de atendimento.

3. No Faturamento e Glosas Hospitalares

A equipe administrativa encaminha centenas de faturas com guias TISS para uma startup analisar irregularidades de codificação TUSS, sem mascarar nomes e históricos clínicos. A startup sofre um incidente de segurança e os registros médicos vazam. A clínica torna-se alvo de procedimento investigatório perante o Ministério Público e a ANPD, enfrentando multas que podem atingir 2% do faturamento, além do abalo irreversível à credibilidade de sua marca médica no mercado.

A contratação responsável de inteligência artificial protege o paciente, assegura a tranquilidade jurídica do corpo clínico e transforma a inovação tecnológica em um diferencial competitivo sustentável.

---

Fontes Oficiais

• Autoridade Nacional de Proteção de Dados (ANPD):
  • Metodologia de testagem do Sandbox Regulatório em Inteligência Artificial e Proteção de Dados: gov.br/anpd - Sandbox Regulatório em IA
  • Por que Inteligência Artificial?: gov.br/anpd - Por que Inteligência Artificial?
  • Resolução CD/ANPD nº 19/2024 — Regulamento de Transferência Internacional de Dados Pessoais.
• Legislação Federal:
  • Lei nº 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD).
  • Lei nº 12.965/2014 — Marco Civil da Internet.
• Conselho Federal de Medicina (CFM):
  • Resolução CFM nº 2.454/2026 — Regulamenta o uso de sistemas de Inteligência Artificial no exercício da medicina.
  • Código de Ética Médica (Resolução CFM nº 2.217/2018).

---

Interlinks Recomendados

Para aprofundar as boas práticas de governança digital e conformidade no seu serviço de saúde, consulte também os seguintes materiais produzidos pelo Clariora:

• Escriba Médico com IA: o que é e como funciona no consultório — Como adotar transcrição automática no formato SOAP preservando a acurácia documental.
• Consentimento para uso de IA em consultas: o que médicos devem documentar — Modelo estruturado de TCLE e orientações de conformidade com a LGPD e CFM.
• Auditoria de IA no Prontuário: Guia do Diretor Técnico — O roteiro prático para o diretor técnico auditar ferramentas inteligentes segundo a Resolução CFM 2.454/2026.
• IA na Medicina: Ferramentas, Fornecedores e Fluxos — Critérios essenciais para seleção de fornecedores, integração de APIs e segurança da informação.
• Responsabilidade e Erro Médico em Sistemas de IA — Diretrizes jurídicas sobre culpabilidade, dever de vigilância e jurisprudência médica.
• Dados de Pacientes em Formulários e WhatsApp: Cuidados Regulatórios — Medidas de proteção na coleta remota de dados e atendimento digital.

---

Este conteúdo tem finalidade editorial e informativa. Não substitui orientação jurídica, regulatória, médica ou técnica individualizada. Conteúdo organizado pelo Conselho Editorial Clariora, com curadoria de fontes oficiais e apoio de inteligência artificial.

Aviso Legal: Este conteúdo é informativo e não substitui orientação médica, jurídica, regulatória ou técnica individualizada.