- Dados de pacientes são dados pessoais sensíveis nos termos do Artigo 5º, II da LGPD, com condições de tratamento mais restritas que dados comuns
- Sistemas de IA usados em tomada de decisão clínica exigem atenção redobrada quanto à base legal e à supervisão humana
- Um RIPD é altamente recomendado antes de implantar qualquer ferramenta de IA que trate dados sensíveis em escala, e a ANPD pode exigi-lo a qualquer momento
- Organizações que também atendem pacientes ou operam na Europa somam as obrigações do GDPR e da Lei de IA da UE às da LGPD, sem substituí-las
- Ferramentas de IA hospedadas fora do Brasil podem acionar as regras de transferência internacional de dados do Capítulo V da LGPD
O risco real: dados de saúde e IA são uma combinação específica
Dados de saúde são dados pessoais sensíveis nos termos do Artigo 5º, II da LGPD. Seu tratamento exige uma das condições específicas previstas no Artigo 11, que são mais restritas do que a maioria das organizações supõe. O legítimo interesse, a base mais flexível para dados pessoais comuns segundo o Artigo 7º, IX, não está disponível para dados sensíveis. São necessários consentimento específico e destacado, obrigação legal ou regulatória, tutela da saúde exercida por profissionais e serviços de saúde, ou proteção da vida ou incolumidade física do titular.
Isso importa para a IA porque muitas ferramentas processam dados de formas que não são óbvias pela interface do usuário. Uma ferramenta de resumo clínico recebe notas de pacientes. Uma IA de agendamento pode processar códigos de diagnóstico para otimizar horários. Um chatbot administrativo pode armazenar o histórico de conversas contendo sintomas ou informações sobre medicamentos. Cada um desses casos constitui tratamento de dado pessoal sensível, e cada um exige uma condição válida do Artigo 11 e uma base legal documentada antes que a ferramenta entre em operação.
Ferramentas de IA de terceiros amplificam esse risco. Quando sua organização usa um produto de IA SaaS, o fornecedor trata dados em seu nome como operador. Isso significa que você, como controlador, permanece responsável pela legalidade do tratamento. A política de privacidade de um fornecedor que declara "não usamos seus dados para treinar nossos modelos" não substitui sua própria avaliação da base legal.
A classificação da Lei de IA da UE para IA na saúde
A Lei de IA da UE entrou em vigor em agosto de 2024, com a maioria das disposições aplicando-se a partir de agosto de 2026. As organizações de saúde que implantam IA precisam compreender como a Lei classifica suas ferramentas agora, porque as etapas de conformidade exigidas antes da implantação levam tempo.
Sistemas de IA utilizados em contextos clínicos são classificados como alto risco pelo Anexo III da Lei. Isso abrange sistemas destinados a serem utilizados como dispositivos médicos, sistemas que auxiliam no diagnóstico clínico e sistemas que influenciam decisões de tratamento. Sistemas de IA de alto risco exigem avaliação de conformidade antes de serem colocados no mercado ou em serviço, mantêm documentação técnica detalhada, implementam mecanismos de supervisão humana e devem ser registrados na base de dados da UE para sistemas de IA de alto risco.
Sistemas de IA utilizados exclusivamente para tarefas administrativas, como agendamento, RH ou gestão financeira dentro de uma organização de saúde, podem não se enquadrar na categoria de alto risco da Lei de IA. A distinção importa porque a carga de conformidade é substancialmente menor para sistemas não classificados como alto risco. No entanto, as obrigações da LGPD aplicam-se independentemente da classificação da Lei de IA. Uma IA administrativa que trata dados de saúde ainda necessita de base legal válida e, em muitos casos, de um RIPD.
Uma ferramenta que o fornecedor comercializa como "IA para administração de saúde" pode ou não ser de alto risco nos termos da Lei de IA, dependendo se influencia decisões clínicas. A descrição de marketing não é o teste jurídico. A questão é se o resultado do sistema provavelmente será usado para tomar ou influenciar decisões sobre a saúde de um paciente. Em caso afirmativo, é alto risco independentemente de como o fornecedor a posiciona.
Cinco perguntas a fazer antes de implantar qualquer ferramenta de IA
Aplique estas perguntas a cada ferramenta de IA em avaliação. Valem tanto para ferramentas adquiridas de fornecedores quanto para funcionalidades de IA incorporadas em plataformas de software existentes (cada vez mais comuns em prontuários eletrônicos, agendamento e sistemas de comunicação).
Quando uma DPIA é obrigatória (e por que a maioria está sendo ignorada)
O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) pode ser exigido pela ANPD, nos termos dos Artigos 5º, X e 38 da LGPD, sempre que o tratamento de dados pessoais puder gerar riscos às liberdades civis e aos direitos fundamentais dos titulares. Tratamentos que envolvem dados sensíveis, como dados de saúde, em larga escala estão entre os casos em que a elaboração de um RIPD é mais indicada, mesmo sem exigência expressa da ANPD. Qualquer ferramenta de IA na saúde implantada em uma operação clínica quase certamente está dentro desse território.
O problema prático é que o RIPD leva tempo: tipicamente de duas a seis semanas quando realizado adequadamente. Os prazos de aquisição e a pressão para implantar ferramentas de IA rapidamente levam muitas organizações a pular a avaliação ou a conduzir uma versão superficial que não aborda os riscos reais. A ANPD tem sinalizado atenção a esse padrão em suas orientações sobre IA e proteção de dados, que tratam o RIPD como verificação de conformidade primária para tratamentos de alto risco.
Um RIPD para uma ferramenta de IA na saúde precisa cobrir: a finalidade e necessidade do tratamento, fluxos de dados e retenção, riscos para os direitos dos pacientes (incluindo o risco de discriminação caso a IA produza resultados tendenciosos), medidas de segurança e o papel do fornecedor como operador. Também precisa abordar explicitamente o direito do titular à revisão de decisões tomadas unicamente com base em tratamento automatizado, previsto no Artigo 20 da LGPD.
Se sua DPIA identificar alto risco residual que não pode ser mitigado, é obrigatório consultar a autoridade supervisora antes de prosseguir. A consulta prévia é um processo formal, não uma conversa informal. Incorporar tempo adequado para a DPIA nas decisões de aquisição de IA evita a situação em que uma ferramenta já foi contratada antes de você descobrir que a consulta prévia é necessária.
Como é uma implantação segura na prática
Três escolhas estruturais determinam se sua implantação de IA cria risco ou o gerencia.
Minimização de dados. Avalie quais dados a ferramenta realmente precisa para funcionar. Muitas ferramentas de IA estão configuradas por padrão para receber mais dados do que o necessário. Uma ferramenta de resumo clínico que exige registros completos de pacientes para resumir uma nota de consulta deve ser questionada: pode funcionar apenas com o conteúdo da consulta, sem outros identificadores? Quanto menos dados de saúde fluírem para um sistema de terceiros, menor será sua exposição.
Implantação local versus API em nuvem. Ferramentas de IA que processam dados localmente na sua infraestrutura, em vez de enviá-los para uma API em nuvem, reduzem substancialmente o risco de operador terceirizado. Isso é mais relevante para IA administrativa do que para ferramentas clínicas SaaS, onde a implantação local raramente é uma opção. Para ferramentas de IA internas sendo construídas ou configuradas pela sua equipe, a implantação de modelo local deve ser a consideração padrão para qualquer coisa que envolva dados de saúde.
Mecanismos de supervisão humana. A Lei de IA da UE exige que sistemas de IA de alto risco incluam recursos que permitam supervisão humana, incluindo a capacidade de um humano intervir, substituir ou parar o sistema. Construa sua arquitetura de implantação em torno deste requisito. Um sistema de IA que produz resumos clínicos para revisão está em conformidade. O mesmo sistema, configurado para atualizar automaticamente registros de pacientes sem revisão, pode não estar.
A IA na saúde oferece valor operacional mensurável, e o objetivo é estruturar a implantação de forma que sua organização esteja protegida. Organizações que realizam a DPIA, documentam a base legal e incorporam mecanismos de supervisão estão em posição sólida perante os reguladores. As que implantam primeiro e avaliam depois enfrentam exposição a ações de fiscalização.
A Lei de IA da UE está publicada em EUR-Lex (Regulamento 2024/1689). As orientações da Comissão Europeia sobre classificação de IA de alto risco e avaliação de conformidade para aplicações de saúde estão disponíveis nas páginas de política de IA da UE.