LGPD e Dados de Saúde com IA: O Que Garantir Antes

A combinação entre LGPD e dados de saúde com IA é, hoje, um dos pontos de maior risco regulatório para clínicas, hospitais, laboratórios e operadoras. Dado de saúde é dado sensível por definição legal — e jogar esse dado dentro de uma ferramenta de IA sem governança não é inovação, é exposição a multa, vazamento e dano reputacional.

Este artigo é sobre o negócio de saúde, não sobre diagnóstico clínico. O foco é gestão e risco: o que a sua operação precisa garantir antes de colocar IA para tratar prontuário, agenda, faturamento, glosa ou atendimento. Porque a tecnologia não perdoa quem implementa sem preparo — e na saúde o regulador olha com lupa.

US$ 7,42 milhões é o custo médio de um vazamento de dados na saúde, segundo o relatório Cost of a Data Breach 2025 da IBM

Por Que Dado de Saúde É um Caso à Parte na LGPD

A LGPD (Lei 13.709/2018) separa dados pessoais comuns de dados pessoais sensíveis. Dado sobre saúde, vida sexual, dado genético e biométrico entram na categoria sensível (art. 5º, II). E dado sensível tem regra própria, mais dura, no art. 11.

Na prática, isso muda o jogo: você não pode tratar dado de saúde com a mesma base legal genérica que usaria para um cadastro de marketing. O art. 11 exige uma hipótese específica.

As Bases Legais Que Realmente Valem na Saúde

O art. 11 admite o tratamento de dado sensível basicamente em duas situações:

Consentimento específico e destacado do titular, para finalidades determinadas (art. 11, I). Consentimento "genérico no rodapé" não vale — tem que ser claro e para um fim definido.
Sem consentimento, apenas nas hipóteses do art. 11, II — entre elas a tutela da saúde, "exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária", além de cumprimento de obrigação legal, proteção da vida e estudos por órgão de pesquisa.

O erro comum: a clínica acha que "tutela da saúde" cobre tudo. Não cobre. Usar dado de paciente para treinar um modelo de IA de um fornecedor, ou para uma análise de marketing, não é tutela da saúde — é outra finalidade, que precisa de outra base legal e, em geral, de consentimento específico.

Na saúde, a pergunta não é "posso usar IA?". É "qual a base legal que sustenta exatamente este uso do dado?".

O Que a IA Faz Mudar (e Por Que o Risco Cresce)

A IA amplia a superfície de risco porque multiplica os pontos onde o dado de saúde trafega: a ferramenta de transcrição que escuta a consulta, o copiloto que resume o prontuário, o bot que responde o paciente no WhatsApp, o modelo que prioriza glosas no faturamento. Cada integração é uma nova porta.

A Responsabilidade Continua Sendo da Instituição

Ponto que muito gestor ignora: a responsabilidade pelo dado é da instituição, não da ferramenta. Se um colaborador cola dados de pacientes numa IA pública e isso vaza, quem responde perante a ANPD e perante o titular é a clínica ou o hospital — não a OpenAI, não o fornecedor do software.

Por isso, "saber usar" aqui é literal: a diferença entre uma IA que reduz custo de operação e uma IA que gera passivo está inteiramente na governança que você coloca em volta dela.

O Fornecedor de IA Vira Operador — e Isso Tem Consequência

Quando você contrata uma ferramenta de IA que processa dados de pacientes, esse fornecedor passa a ser operador dos dados sob a LGPD, e muitas vezes ele mesmo se apoia em subcontratados (a nuvem, o provedor do modelo). Cada elo dessa cadeia é um ponto que precisa estar contratualmente amarrado.

Três perguntas que separam o projeto seguro do projeto-armadilha:

Onde o dado é processado e armazenado? Muitos modelos rodam em servidores fora do Brasil. Transferência internacional de dado sensível de saúde tem requisitos próprios na LGPD — não é só "subir na nuvem".
O fornecedor usa meus dados para treinar o modelo dele? Se a resposta não for um "não" contratual e explícito, o dado do seu paciente pode estar alimentando um produto de terceiros.
O que acontece no fim do contrato? Retenção, devolução e descarte verificável dos dados precisam estar definidos antes da assinatura, não depois do incidente.

Esses pontos não são jurídicos "para o advogado resolver depois". São decisões de gestão que determinam se a IA vai gerar economia ou um passivo silencioso que só aparece no dia do vazamento.

O Custo Real de um Vazamento na Saúde

Não é abstrato. O relatório Cost of a Data Breach 2025, da IBM, mostra que a saúde é o setor com vazamento mais caro do mundo há 14 anos seguidos: custo médio de US$ 7,42 milhões por incidente, contra US$ 4,44 milhões na média de todos os setores. E a saúde leva mais tempo para detectar e conter um incidente — 279 dias em média, cinco semanas acima da média global.

Some a isso a multa da LGPD (até 2% do faturamento, limitada a R$ 50 milhões por infração), o bloqueio de dados, a publicização da infração e os processos individuais de pacientes. O custo de não fazer governança é, com folga, maior que o de fazer.

A Nova Camada Regulatória: CFM Resolução 2.454/2026

Em fevereiro de 2026 o cenário ficou mais concreto. O Conselho Federal de Medicina publicou a Resolução CFM nº 2.454/2026 (publicada em 27/02/2026), normatizando o uso de IA na medicina. Ela não substitui a LGPD — soma-se a ela. E traz obrigações que afetam diretamente a gestão de quem opera serviços de saúde.

Pontos que o gestor precisa conhecer:

Avaliação de risco algorítmico: instituições que desenvolvem ou operam sistemas próprios de IA devem classificar o risco (baixo, médio, alto ou inaceitável), considerando impacto em direitos, autonomia do modelo e sensibilidade dos dados.
Comissão de IA e Telemedicina: hospitais e instituições que desenvolvem ou operam IA própria devem instituir uma comissão sob coordenação médica, vinculada à diretoria técnica.
Registro no prontuário: o uso de IA como apoio à decisão deve ser registrado no prontuário do paciente, garantindo rastreabilidade e auditoria.
Médico como responsável final: a IA é ferramenta de apoio; a decisão clínica é sempre do médico.
Aderência à LGPD: o tratamento de dados deve respeitar estritamente a LGPD e as normas de segurança da informação em saúde.

O prazo de adequação é de 180 dias a partir da publicação. Ou seja: não é discussão para o ano que vem — é agenda do trimestre.

Anonimização e Pseudonimização: o Detalhe Que Reduz o Risco

Uma das formas mais eficazes de baixar o risco antes de levar dado de saúde para a IA é não levar dado identificável quando ele não for necessário.

Anonimização: quando o dado é tratado de forma irreversível, deixando de ser pessoal — sai do escopo da LGPD. Quando possível, é o caminho mais seguro.
Pseudonimização: o dado é descaracterizado, mas pode ser reidentificado com uma chave guardada à parte. Continua sendo dado pessoal, mas com risco reduzido.

Para muitos casos de uso de gestão — analisar padrões de glosa, prever no-show, dimensionar agenda — você não precisa do nome do paciente. Precisa do comportamento. Separar o "quem" do "o quê" antes de alimentar o modelo é uma decisão de engenharia e de compliance que evita boa parte dos problemas.

O Que Garantir ANTES de Usar IA na Sua Operação de Saúde

Uma checklist prática de gestão, antes de qualquer projeto de IA tocar dado de paciente:

Mapeie o fluxo do dado sensível. Saiba onde o dado de saúde entra, por onde passa e para quais ferramentas (inclusive as não oficiais que a equipe já usa) ele vaza.
Defina a base legal de cada uso. Tutela da saúde, consentimento específico ou outra hipótese do art. 11 — por uso, não em bloco.
Revise o contrato com o fornecedor de IA. Proíba o uso dos seus dados para treinar modelos do fornecedor, defina responsabilidades, prazos de retenção e descarte, e penalidades em caso de incidente.
Anonimize ou pseudonimize sempre que o uso permitir. Não leve identificável para a IA sem necessidade.
Implemente governança e trilha de auditoria. Quem aprovou a ferramenta, quais dados ela acessa, quem usou e quando — registrado.
Adeque-se ao CFM 2.454/2026. Avaliação de risco, comissão quando aplicável, registro no prontuário.
Treine a equipe. A maior fonte de vazamento não é o hacker — é o colaborador que cola dado de paciente numa IA pública sem perceber o risco.
Tenha um DPO atuante. Na saúde, o encarregado de dados não é figura decorativa.

O fio condutor de tudo isso é o mesmo que defendo em qualquer projeto de IA: adotar tecnologia sem preparo é desperdício — e, na saúde, é passivo. O retorno aparece para quem implementa com estratégia, base legal definida e governança, não para quem só compra a ferramenta.