Política de uso de IA na clínica: modelo pronto para adaptar

Uma política de uso de IA na clínica é um documento que define quais ferramentas de inteligência artificial a equipe pode usar, com quais dados, sob que revisão humana e quem responde por cada etapa. Abaixo você encontra um modelo pronto, em dez seções, para copiar, adaptar à sua rotina e validar com o jurídico e o encarregado de dados.

Em resumo:

• A política tira o uso de IA da informalidade: só entram ferramentas aprovadas, com finalidade e dados definidos.
• Dado de paciente é dado pessoal sensível pela LGPD e não pode ir para ferramentas de uso pessoal.
• Todo conteúdo clínico gerado por IA passa por revisão e assinatura do médico antes de valer.
• Incidentes, treinamento e revisão periódica precisam de responsável com nome e prazo.
• O texto final deve ser validado pelo jurídico e pelo encarregado de dados antes de ser publicado.

Por que sua clínica precisa de uma política de IA agora?

Em muitas clínicas, a IA já chegou antes de qualquer decisão da gestão. A recepcionista usa um chatbot para redigir mensagens. Um médico cola trechos de exames em um assistente gratuito para resumir. Outro testa um aplicativo de transcrição no próprio celular. Nada disso é necessariamente má-fé, mas cada uso sem regra é um risco de vazamento de dado sensível e de erro clínico sem dono.

A Lei 13.709/2018 (LGPD) classifica dados de saúde como dados pessoais sensíveis (art. 5º, II) e restringe as hipóteses de tratamento desses dados (art. 11). O Código de Ética Médica, Resolução CFM 2.217/2018, mantém o sigilo profissional e a responsabilidade do médico pelos próprios atos, use ele IA ou não. A política é a ponte entre essas regras e o dia a dia: transforma princípios em instruções que a equipe consegue seguir.

Se você ainda está decidindo onde aplicar IA, comece pelo guia IA para clínicas: onde aplicar, quanto investir e o que esperar. A política faz mais sentido quando você já sabe quais usos quer permitir.

Como criar a política de uso de IA na clínica: passo a passo

Imagine uma clínica hipotética com quatro médicos, duas recepcionistas e uma gerente. Em duas a três semanas, dá para sair do zero a uma política aprovada seguindo esta ordem:

1. Faça o inventário. Pergunte a cada pessoa, sem tom de fiscalização, quais ferramentas de IA usa e para quê. Inclua extensões de navegador, aplicativos de celular e recursos de IA embutidos em sistemas que você já contrata.
2. Classifique os usos. Separe em três grupos: permitido, permitido com condições e proibido. O critério principal é se o uso envolve dado de paciente e se o resultado influencia decisão clínica.
3. Escolha o responsável pela política. Em geral, a gerente ou o diretor técnico. Essa pessoa mantém a lista de ferramentas aprovadas e recebe dúvidas e incidentes.
4. Adapte o modelo abaixo. Troque os campos entre colchetes, apague o que não se aplica e acrescente usos específicos da sua especialidade.
5. Valide com o jurídico e o encarregado de dados. Veja a seção sobre validação mais adiante.
6. Aprove e comunique. A direção assina, a política é apresentada em reunião e cada colaborador assina a ciência.
7. Treine e acompanhe. Nas primeiras semanas, revise alguns usos reais para confirmar que a regra está sendo seguida e ajuste o que estiver confuso.

Modelo de política de uso de IA para copiar e adaptar

O modelo a seguir está em listas para facilitar a cópia. Os trechos entre colchetes devem ser substituídos pelos dados da sua clínica.

1. Objetivo e abrangência

• Esta política define as regras para uso de ferramentas de inteligência artificial na [Nome da clínica], com o objetivo de proteger os dados dos pacientes, garantir a qualidade do atendimento e esclarecer responsabilidades.
• Aplica-se a médicos, equipe de enfermagem, recepção, administrativo, estagiários, prestadores de serviço e qualquer pessoa que acesse dados da clínica.
• Vale para uso em equipamentos da clínica e em equipamentos pessoais, sempre que a tarefa envolver dados da clínica ou de pacientes.
• Entende-se por ferramenta de IA qualquer sistema que gere, resuma, transcreva, classifique ou sugira conteúdo de forma automatizada, inclusive recursos de IA embutidos em outros sistemas.

2. Ferramentas aprovadas

• Só podem ser usadas as ferramentas listadas no Anexo I (Registro de ferramentas aprovadas), cada uma para a finalidade indicada.
• A inclusão de nova ferramenta exige pedido ao [responsável pela política], análise do contrato e dos termos de tratamento de dados e aprovação da [direção].
• Ferramentas que ofereçam apoio a diagnóstico ou conduta devem ter a regularização na Anvisa verificada quando se enquadrarem como software como dispositivo médico (RDC Anvisa 657/2022).
• Contas pessoais e versões gratuitas de ferramentas de uso geral não podem receber dados de pacientes.

O Anexo I pode seguir este formato:

Se o prontuário com IA for um dos itens da lista, prefira ferramentas pensadas para saúde. Na Pronova, por exemplo, o escriba médico transcreve a consulta e gera o prontuário em SOAP ou no modelo da especialidade, e o médico revisa, ajusta e assina; os dados ficam em servidores no Brasil, com criptografia AES-256 e TLS 1.3. Para avaliar qualquer fornecedor, use o roteiro de demonstração, piloto e contrato com fornecedor de IA.

3. Dados permitidos e proibidos

• Permitido em ferramentas aprovadas para uso clínico: dados do paciente necessários à finalidade aprovada, no mínimo indispensável.
• Permitido em ferramentas de uso geral: textos sem identificação de pacientes, como rascunhos de comunicados, roteiros de treinamento e materiais educativos.
• Proibido em ferramentas não aprovadas: nome, CPF, telefone, endereço, número de prontuário, fotos, imagens de exames, laudos, áudios de consulta ou qualquer combinação de informações que permita identificar o paciente.
• Proibido em qualquer ferramenta: senhas, dados bancários de pacientes, dados de outros profissionais sem autorização e informações estratégicas da clínica sem aval da direção.
• Anonimizar não é só apagar o nome: idade, cidade, profissão e data do atendimento juntos podem identificar alguém. Em caso de dúvida, trate como dado identificável.

Para entender os cuidados com assistentes de texto de uso geral, veja como usar chatbots de IA com segurança no dia a dia do médico.

4. Revisão humana obrigatória

• Todo conteúdo clínico gerado ou sugerido por IA (evolução, prontuário, CID, laudo, prescrição, atestado, resumo de exames) é um rascunho até ser revisado e assinado pelo médico responsável.
• O médico deve conferir especialmente: alergias, medicamentos e doses, lateralidade, datas, valores de exames e códigos sugeridos.
• É proibido assinar em lote documentos gerados por IA sem leitura individual.
• Mensagens automáticas aos pacientes seguem modelos aprovados pela [direção]; mudanças no texto passam por nova aprovação.
• A IA não toma decisão clínica. Sugestões são apoio e podem ser descartadas a qualquer momento.
• Documentos que integram o prontuário seguem a Lei 13.787/2018 e a Resolução CFM 1.821/2007, e a assinatura digital deve usar certificado ICP-Brasil, conforme a MP 2.200-2/2001.

5. Consentimento e transparência com o paciente

• O paciente é informado de que a clínica usa ferramentas de IA para apoiar a documentação e a comunicação, em linguagem simples.
• Quando a consulta for gravada ou transcrita, o médico informa no início do atendimento e registra a ciência do paciente no prontuário.
• Se o paciente recusar a transcrição, o atendimento segue normalmente, sem a ferramenta.
• O aviso de privacidade da clínica menciona o uso de IA e os fornecedores envolvidos, conforme orientação do encarregado.

O roteiro de fala e o modelo de termo estão em como avisar o paciente sobre o uso de IA. A base legal correta para cada tratamento é definida pelo jurídico e pelo encarregado; nem sempre ela será o consentimento.

6. Responsabilidades

O uso de IA não transfere a responsabilidade do médico para o software. O tema está detalhado em responsabilidade médica no uso de IA.

7. Incidentes

• É incidente: dado de paciente inserido em ferramenta não aprovada, mensagem enviada ao paciente errado, erro relevante em documento gerado por IA, acesso indevido ou falha de segurança do fornecedor.
• Quem identificar comunica o [responsável pela política] em até [24 horas], pelo canal [e-mail ou grupo interno].
• O registro inclui data, ferramenta, dados envolvidos, pacientes afetados e medidas tomadas.
• O encarregado avalia se o caso exige comunicação à ANPD e aos titulares.
• Comunicar um erro próprio não gera punição; ocultar, sim.

8. Treinamento

• Todo colaborador recebe treinamento sobre esta política antes de usar qualquer ferramenta de IA.
• Novos contratados fazem o treinamento na integração.
• Quando uma ferramenta for incluída ou alterada, os usuários afetados recebem orientação específica.
• Cada colaborador assina o termo de ciência (Anexo II).

9. Revisão periódica

• A política é revisada a cada [6 ou 12 meses], ou antes, se houver nova ferramenta, incidente relevante ou mudança regulatória.
• Na revisão, conferir: ferramentas em uso real, incidentes do período, dúvidas recorrentes e novas orientações do CFM, da ANPD e da Anvisa.
• O PL 2.338/2023, marco legal da inteligência artificial, está em discussão no Congresso; acompanhe e atualize a política se houver aprovação.
• Cada versão recebe número e data, e as anteriores ficam arquivadas.

10. Vigência e descumprimento

• Esta política entra em vigor em [data] e substitui orientações anteriores sobre o tema.
• O descumprimento pode gerar medidas disciplinares, conforme a legislação e os contratos aplicáveis.
• Dúvidas devem ser enviadas ao [responsável pela política] antes do uso, e não depois.

Como validar a política com o jurídico e o encarregado de dados

O encarregado de dados, também chamado de DPO, é a pessoa indicada pela clínica para cuidar da conformidade com a LGPD. Ele e o jurídico transformam o modelo genérico em um documento que funciona para o seu caso. Leve a eles o rascunho, o inventário de ferramentas e os contratos dos fornecedores, e peça respostas para estas perguntas:

• Qual a base legal de cada tratamento com IA listado no Anexo I?
• Os contratos com fornecedores definem papéis (controlador e operador), local de armazenamento, retenção e exclusão dos dados?
• Algum fornecedor usa os dados da clínica para treinar modelos? Isso está autorizado?
• Há transferência internacional de dados? Com quais garantias?
• Algum uso exige relatório de impacto à proteção de dados?
• A redação das sanções está compatível com o vínculo de cada profissional?
• O aviso de privacidade e o termo para pacientes estão alinhados com a política?

Algumas respostas dependem da análise do caso concreto, e é justamente para isso que a validação existe. Não publique a política antes dessa etapa.

Checklist antes de publicar

• Todos os campos entre colchetes foram preenchidos.
• O Anexo I lista todas as ferramentas em uso real, com finalidade e responsável.
• Jurídico e encarregado revisaram e registraram a aprovação.
• A direção assinou e datou a versão.
• O canal de incidentes funciona e a equipe sabe qual é.
• O treinamento está agendado e o termo de ciência está pronto.
• A data da próxima revisão está na agenda do responsável.

Para a etapa de capacitação, o artigo sobre treinamento da equipe para usar IA e vencer a resistência traz um roteiro prático.

Erros comuns ao criar a política

• Proibir tudo. Uma política que veta qualquer IA empurra o uso para o celular pessoal, onde você não tem controle algum. Ofereça alternativas aprovadas.
• Copiar sem adaptar. Uma política que menciona ferramentas que a clínica não usa, ou ignora as que usa, perde credibilidade com a equipe.
• Esquecer a recepção. Mensagens a pacientes e agendamentos também envolvem dados pessoais e precisam de regra.
• Não nomear responsáveis. "A clínica" não responde a incidentes; pessoas respondem.
• Tratar a revisão humana como formalidade. Assinar sem ler anula a principal proteção do documento.
• Engavetar o documento. Sem revisão periódica, a política fica desatualizada em poucos meses.

Próximo passo

Faça o inventário esta semana, adapte o modelo e marque a reunião de validação com o jurídico e o encarregado. Depois, escolha ferramentas que facilitem cumprir a própria política, com revisão do médico antes da assinatura e dados armazenados no Brasil. Se quiser ver na prática como funciona um prontuário com IA que respeita essa lógica, faça o Teste Express da Pronova, uma demonstração de 30 segundos sem cadastro, ou comece o teste grátis de 7 dias.