LGPD e IA na clínica: checklist para usar inteligência artificial

Para aplicar a LGPD e IA na clínica sem riscos, trate cada ferramenta de inteligência artificial como parte do seu programa de proteção de dados: mapeie onde ela trata informações de pacientes, defina a base legal, firme contrato com o fornecedor, nomeie o encarregado, registre as operações, controle os acessos e prepare-se para incidentes e pedidos dos titulares.

Em resumo:

• Quem responde pelo uso da IA perante a LGPD é a clínica, como controladora, e não só o médico que usa a ferramenta.
• Dados de saúde são sensíveis e exigem base legal do art. 11 da LGPD para cada finalidade.
• O fornecedor de IA é operador: o contrato precisa limitar o uso dos dados e proibir treinamento sem autorização.
• Registro das operações, relatório de impacto e perfis de acesso são as evidências de que você fez a lição de casa.
• Tenha um plano escrito para incidentes e um fluxo para atender os direitos do paciente.

Por que a IA na clínica é uma questão institucional

Quando um médico cola um trecho de anamnese num chatbot de uso pessoal, o risco é individual. Esse cenário já foi tratado no artigo sobre dados do paciente no ChatGPT e o sigilo médico. Aqui o foco é outro: o que a clínica precisa ter em ordem quando adota IA de forma oficial, seja um escriba que gera o prontuário, um robô de WhatsApp para agendamento ou uma ferramenta que resume laudos.

Nesses casos, a clínica decide para que os dados são usados e quais ferramentas entram no fluxo. Isso a torna controladora na linguagem da LGPD (Lei 13.709/2018). Dados de saúde são dados pessoais sensíveis (art. 5º, II) e o tratamento deles segue as hipóteses do art. 11. Além disso, o dever de sigilo do Código de Ética Médica (Resolução CFM 2.217/2018) alcança toda a cadeia que lida com a informação do paciente.

Imagine uma clínica hipotética com quatro médicos que, em seis meses, adotou escriba de IA, lembretes automáticos por WhatsApp e resumo de exames. Cada ferramenta foi escolhida por um sócio diferente, e ninguém sabe dizer onde os áudios das consultas ficam guardados. É exatamente esse vazio que o checklist abaixo resolve. Se você ainda não tem a base de proteção de dados estruturada, comece pelo guia de conformidade com a LGPD para médicos e clínicas e volte aqui para a camada específica de IA.

Checklist de LGPD e IA na clínica em 12 itens

Use a tabela como roteiro. A última coluna é a mais importante: é o documento que prova que o item foi cumprido se a ANPD (Autoridade Nacional de Proteção de Dados), um paciente ou um conselho perguntar.

Onde a IA trata dados de pacientes na sua clínica?

O inventário é o ponto de partida. Sem ele, todo o resto vira suposição. Percorra a rotina da clínica e anote cada ponto em que uma IA toca dados de pacientes:

• Escriba de IA: recebe o áudio da consulta, gera a transcrição e o rascunho do prontuário.
• Mensagens automáticas e chatbots: lidam com nome, telefone, motivo da consulta e, às vezes, sintomas relatados pelo paciente.
• Resumo de exames: lê laudos anexados e extrai resultados.
• Sugestão de CID-10: processa o conteúdo clínico para propor códigos.
• Importação de dados antigos: lê planilhas e prontuários legados para migrar para o sistema novo.
• IA paralela: ferramentas que a equipe usa por conta própria, sem aprovação da gestão. É o ponto cego mais comum.

Para cada item, responda: quais dados entram, onde são processados e armazenados, por quanto tempo, quem tem acesso e se o fornecedor usa esses dados para treinar modelos. Uma conversa de 15 minutos com cada sócio e com a recepção costuma revelar ferramentas que ninguém tinha listado.

Qual é a base legal para usar IA com dados de saúde?

A LGPD não tem uma base legal específica para IA. O que importa é a finalidade. Para a assistência ao paciente, o art. 11 prevê a hipótese de tutela da saúde, em procedimento realizado por profissionais de saúde ou serviços de saúde. Um escriba que documenta a consulta ou um resumo de exames que alimenta o prontuário se encaixa, em regra, nessa finalidade assistencial.

O cuidado está nos usos que fogem do atendimento. Enviar campanhas, compartilhar dados para o fornecedor desenvolver produto ou criar bases para pesquisa são finalidades diferentes e exigem análise própria, muitas vezes com consentimento específico. O consentimento também tem um efeito colateral: pode ser revogado, o que complica quando a base escolhida para a assistência foi essa.

Independentemente da base, seja transparente. Informe no aviso de privacidade e na recepção que a clínica usa IA para transcrever consultas, e combine com os médicos como agir se o paciente preferir não ser gravado. A definição final da base legal para cada fluxo depende de análise jurídica do caso concreto.

O que precisa estar no contrato com o fornecedor de IA?

O fornecedor que processa dados em nome da clínica é operador. Ele só pode tratar os dados conforme as suas instruções, e o contrato é onde essas instruções ficam escritas. Antes de assinar, confira se há cláusulas sobre:

• Finalidade limitada: os dados servem apenas para prestar o serviço contratado.
• Proibição de usar dados de pacientes para treinar modelos sem autorização expressa.
• Lista de suboperadores (por exemplo, o provedor de nuvem ou o motor de IA) e aviso prévio em caso de troca.
• Local de processamento e armazenamento, com regras para eventual transferência internacional.
• Medidas de segurança, como criptografia em trânsito e em repouso e controle de acesso.
• Notificação de incidentes à clínica em prazo curto e definido.
• Devolução e eliminação dos dados ao fim do contrato, respeitando a guarda do prontuário.
• Direito da clínica de solicitar informações e evidências de conformidade.

Se a ferramenta vai além da documentação e sugere diagnóstico ou conduta, verifique também se ela precisa de regularização na Anvisa como software dispositivo médico, conforme a RDC 657/2022. Para uma avaliação mais completa antes da compra, use o checklist com 15 perguntas para avaliar ferramenta de IA na saúde. Na Pronova, por exemplo, os dados ficam em servidores em território nacional, com criptografia AES-256 e TLS 1.3, e o prontuário gerado pela IA só vale depois que o médico revisa e assina com certificado ICP-Brasil.

A clínica precisa de encarregado de dados?

A LGPD prevê que o controlador indique um encarregado (também chamado de DPO), a pessoa que atende os titulares, conversa com a ANPD e orienta a equipe. Ele pode ser alguém da casa ou um serviço externo. O que não pode faltar é o canal de contato divulgado, por exemplo no site e no aviso de privacidade.

A ANPD tem regras simplificadas para agentes de pequeno porte, mas o tratamento de dados de saúde com tecnologias como IA pode ser enquadrado como de alto risco, o que afasta parte dessas flexibilizações. Para uma clínica, nomear um encarregado é o caminho mais seguro e barato no longo prazo. No contexto de IA, é ele quem conduz o inventário, mantém o registro e coordena o relatório de impacto.

Como registrar as operações e quando fazer o relatório de impacto?

O registro das operações é um documento vivo que descreve, para cada fluxo, quais dados são tratados, para qual finalidade, com qual base legal, com quem são compartilhados e por quanto tempo ficam guardados. Na prática, o inventário do primeiro passo vira a base desse registro.

O relatório de impacto à proteção de dados pessoais (RIPD) aprofunda a análise das operações de maior risco. A ANPD pode solicitá-lo, e ferramentas de IA que tratam dados sensíveis são candidatas naturais. Um RIPD enxuto para cada ferramenta deve conter:

• Descrição do tratamento e do fluxo de dados.
• Justificativa de necessidade: por que a IA precisa daqueles dados e não de menos.
• Riscos ao paciente, como vazamento, erro de transcrição não revisado ou acesso indevido.
• Medidas adotadas para reduzir cada risco.
• Risco residual aceito e quem aprovou.

Lembre que o prontuário gerado com IA continua sendo prontuário. A guarda em meio eletrônico segue a Lei 13.787/2018 e os requisitos técnicos da Resolução CFM 1.821/2007, e a assinatura digital com validade jurídica se apoia na ICP-Brasil (MP 2.200-2/2001).

Quem da equipe pode usar a IA e ver o resultado?

A IA não muda o princípio básico: cada pessoa acessa só o que precisa para a sua função. O médico vê e assina o prontuário. A recepção gerencia agenda e cadastro, sem conteúdo clínico. Os detalhes de como desenhar esses perfis estão no artigo sobre o que a recepcionista pode acessar no sistema.

Para as ferramentas de IA, acrescente estas regras:

• Login individual, nunca compartilhado entre médicos ou entre recepcionistas.
• Segundo fator de autenticação para quem acessa prontuário.
• Remoção imediata do acesso quando alguém sai da clínica.
• Política escrita que proíbe colar dados de pacientes em ferramentas não aprovadas.
• Revisão periódica dos logs de acesso, sobretudo de prontuários consultados fora do horário habitual.

O que fazer se houver um incidente com a ferramenta de IA?

Incidente é qualquer evento que comprometa a confidencialidade, a integridade ou a disponibilidade dos dados. Exemplos realistas: o fornecedor avisa de um acesso indevido aos servidores, uma mensagem automática com dados clínicos vai para o telefone errado, ou um colaborador desligado ainda consegue entrar no sistema. Tenha este roteiro escrito antes de precisar dele:

1. Conter: bloquear acessos, suspender a automação afetada e preservar evidências.
2. Avaliar: quais dados, quantos pacientes, por quanto tempo e se há risco ou dano relevante.
3. Acionar o fornecedor: exigir as informações previstas no contrato.
4. Comunicar: quando houver risco ou dano relevante, comunicar a ANPD e os pacientes afetados no prazo definido em regulamento da autoridade.
5. Registrar: documentar o incidente, as decisões e as medidas, mesmo quando não houver comunicação obrigatória.
6. Corrigir: ajustar o processo para evitar repetição e atualizar o RIPD.

Para reforçar a parte técnica, como backup, criptografia e logs, consulte o checklist técnico de segurança de dados médicos.

Como atender os direitos do paciente quando há IA no processo?

O paciente pode pedir confirmação de que a clínica trata seus dados, acesso a eles, correção, informação sobre com quem são compartilhados e, em certos casos, eliminação. A eliminação tem limite: o prontuário precisa ser guardado pelos prazos da Lei 13.787/2018, então a resposta deve explicar isso com clareza.

A LGPD também garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado. Na clínica, a proteção natural é manter a IA como apoio: ela sugere, o médico decide e assina. Documente essa revisão humana no fluxo. Defina quem recebe os pedidos (em geral a recepção), quem responde (o encarregado) e use modelos de resposta para ganhar agilidade.

Em que ordem implantar o programa

Para uma clínica pequena ou média, um plano hipotético de quatro semanas funciona bem:

1. Semana 1: nomeie o encarregado e faça o inventário de todas as ferramentas de IA, incluindo as não oficiais.
2. Semana 2: defina a base legal por finalidade, revise os contratos e peça adendos aos fornecedores que não atendem.
3. Semana 3: monte o registro das operações, o RIPD das ferramentas que tratam dados clínicos e a matriz de perfis de acesso.
4. Semana 4: publique a política de uso de IA, treine a equipe, atualize o aviso de privacidade e aprove o plano de incidentes.

Depois, revise o programa a cada seis meses ou sempre que entrar uma ferramenta nova. Acompanhe também o marco legal da IA e o que o PL 2.338/2023 pode mudar, que ainda está em discussão no Congresso.

Erros comuns ao adotar IA na clínica

• Assinar o termo de uso padrão do fornecedor sem verificar se ele pode usar os dados para treinar modelos.
• Tratar a IA como projeto de um sócio, sem envolver o encarregado nem registrar a decisão.
• Escolher consentimento como base para a assistência e não ter plano para quando o paciente revogar.
• Ignorar a IA paralela usada pela equipe por conta própria.
• Deixar o médico assinar o prontuário gerado pela IA sem revisar o conteúdo.
• Compartilhar logins na recepção, o que impede rastrear quem acessou o quê.
• Não ter plano de incidentes até o dia em que um acontece.

Próximo passo

Comece hoje pelo inventário: liste as ferramentas de IA em uso e pergunte a cada fornecedor onde os dados ficam e se são usados para treinamento. Com essas respostas, o restante do checklist ganha forma rápido. Se você está avaliando um escriba de IA que mantém os dados no Brasil e deixa a revisão e a assinatura com o médico, veja a Pronova em funcionamento no Teste Express de 30 segundos, sem cadastro, ou faça o teste grátis de 7 dias com a sua equipe.