LGPD e inteligência artificial na saúde: o que clínicas precisam avaliar

O uso de inteligência artificial em uma clínica médica envolve dados pessoais comuns, informações financeiras e cadastrais e, fundamentalmente, dados pessoais sensíveis sobre a saúde dos pacientes.

A decisão de adotar uma ferramenta tecnológica requer muito mais do que a análise de suas funcionalidades de automação. É imprescindível identificar a finalidade do tratamento, os níveis de privilégio de acesso, a segurança do armazenamento em nuvem e a repartição de responsabilidades entre clínica e desenvolvedor de software.

A Lei Geral de Proteção de Dados Pessoais (LGPD - Lei nº 13.709/2018) define diretrizes rígidas para o ecossistema assistencial. Este guia aborda os fatores críticos que diretores técnicos e administradores devem avaliar antes de integrar IA aos seus sistemas.

Leitura recomendada: Aprofunde-se no nosso guia prático de como usar IA em clínicas médicas e confira os cuidados essenciais com dados de pacientes em formulários e WhatsApp.

---

1. Por que a LGPD importa quando uma clínica utiliza IA?

Sistemas de inteligência artificial coletam inputs textuais, áudios, imagens e arquivos de exames para processar respostas ou automatizar tarefas. No momento em que essas entradas contêm elementos relativos a pacientes, a clínica realiza uma operação de tratamento de dados sob a vigência da LGPD.

No setor da saúde, o rigor regulatório é potencializado porque informações relativas a histórico clínico, sintomas, exames e diagnósticos são classificadas como dados pessoais sensíveis (Artigo 5º, inciso II da LGPD).

Isso não impede a modernização tecnológica dos estabelecimentos, mas impõe que cada aplicação seja suportada por:

1. Base legal legítima e adequada à finalidade assistencial ou administrativa.
2. Minimização estrita de dados (coletar e processar apenas o estritamente necessário).
3. Transparência perante o titular dos dados.
4. Medidas técnicas e administrativas de segurança para coibir acessos não autorizados.

---

2. As 10 perguntas essenciais antes de contratar qualquer IA

Antes de permitir que médicos, recepcionistas ou faturistas utilizem qualquer plataforma de inteligência artificial, responda às seguintes perguntas:

1. Qual atividade específica será apoiada pela ferramenta?
2. Quais campos de dados serão enviados aos servidores do fornecedor?
3. É viável executar a tarefa sem enviar nomes, CPFs ou datas de nascimento?
4. Há risco de reidentificação do paciente por meio de combinação de dados clínicos?
5. Os termos de uso garantem que os dados não serão utilizados para treinar modelos do fornecedor?
6. Onde os servidores estão hospedados e há transferência internacional de dados?
7. Quais colaboradores da clínica possuem credenciais de acesso?
8. Qual é o tempo de retenção das informações e como é feito o descarte seguro?
9. Como a equipe revisará tecnicamente os resultados gerados pela IA?
10. Existe um plano de ação pronto caso ocorra um vazamento ou falha de segurança?

Se a resposta a qualquer um desses pontos for incerta, o software não deve ser colocado em produção com dados reais.

---

3. Remover o nome do paciente resolve o problema de privacidade?

Não. A retirada do nome, telefone e CPF é uma medida preliminar de pseudonimização, mas não garante a efetiva anonimização perante a LGPD.

Segundo a legislação brasileira, dado anonimizado é aquele relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

Quando um texto clínico mantém menções a datas específicas de procedimentos, localidade geográfica restrita, especialidade médica rara, faixa etária e histórico cirúrgico combinado, é frequentemente possível deduzir a identidade do paciente. Se a reidentificação for viável por esforços razoáveis, a informação continua sendo juridicamente um dado pessoal e segue protegida pela LGPD.

---

4. Como homologar fornecedores de tecnologia em saúde

A clínica médica, na qualidade de Controladora de dados, responde perante os titulares e a Autoridade Nacional de Proteção de Dados (ANPD) pela escolha de seus Operadores (fornecedores de software).

Ao avaliar contratos de soluções de IA, exija:

• Cláusula de Não Reutilização: Declaração explícita de que os inputs não serão retidos para aprimoramento de algoritmos públicos.
• Acordo de Processamento de Dados (DPA): Definição formal das responsabilidades de segurança do fornecedor.
• Padrões de Criptografia: Uso de criptografia robusta em trânsito (TLS 1.3) e em repouso (AES-256).
• Rastreabilidade: Geração de logs de auditoria detalhados sobre quem acessou cada informação e quando.
• Portabilidade e Exclusão: Garantia contratual de exportação integral e eliminação definitiva dos dados ao término do contrato.

---

5. Documentação e governança interna recomendada

A conformidade contínua exige que a organização mantenha registros documentais atualizados. A tabela abaixo lista os instrumentos fundamentais de governança:

Instrumento Documental	Finalidade Operacional
Inventário de Ferramentas de IA	Catálogo oficial de todas as plataformas homologadas na clínica
Relatório de Impacto (RIPD)	Avaliação prévia de riscos em tratamentos de dados sensíveis
Política Interna de Uso de IA	Normas de conduta e restrições para colaboradores e corpo clínico
Procedimento Operacional Padrão (POP)	Roteiro passo a passo de como revisar e validar outputs automatizados
Termo de Consentimento Informado	Ciência do paciente quando IA apoiar decisões relevantes em saúde
Plano de Resposta a Incidentes	Fluxo imediato de contenção e comunicação em caso de vazamento

---

6. Onde consultar a legislação oficial

Para assegurar conformidade com as fontes primárias do direito brasileiro, consulte diretamente os portais governamentais:

• Legislação Federal: Lei nº 13.709/2018 (LGPD) no Portal da Legislação.
• Regulamentação Administrativa: Resoluções, Guias Orientativos e Canais de Comunicação da Autoridade Nacional de Proteção de Dados (ANPD).

---

Conclusão e Recursos

A governança da privacidade no uso de IA não deve ser vista como uma barreira à inovação, mas como o alicerce que protege a reputação do estabelecimento de saúde e a confiança dos pacientes.

Para estruturar a conformidade regulatória e a modernização de processos:

• Kits e Modelos de Governança: Conheça os kits documentais da AKZ MED para clínicas médicas e consultórios.
• Consultoria em Tecnologia: A AKZ Digital desenvolve soluções seguras de integração e presença digital para serviços de saúde.

---

Fontes e referências oficiais

1. Brasil. Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
2. Autoridade Nacional de Proteção de Dados (ANPD). Guia Orientativo de Segurança da Informação para Agentes de Tratamento: https://www.gov.br/anpd/pt-br
3. Conselho Federal de Medicina. Resolução CFM nº 2.454/2026: https://portal.cfm.org.br/noticias/cfm-normatiza-uso-da-ia-na-medicina/

---

Este conteúdo tem finalidade editorial e informativa. Não substitui orientação jurídica, regulatória, médica ou técnica individualizada. Conteúdo organizado pelo Conselho Editorial Clariora, com curadoria de fontes oficiais e apoio de inteligência artificial.