LGPD e IA na saúde: guia prático de conformidade em 2026

Conformidade LGPD aplicada a projetos de IA na saúde em 2026: bases legais, RIPD, contratos, retenção, direitos do paciente e gestão de incidentes.

A LGPD trata dado de saúde como sensível em seu artigo 11, com regras específicas para tratamento, transferência e responsabilização. Quando entra IA na operação, o cuidado dobra: modelos consomem grandes volumes, geram metadados, mantêm logs e dependem de subprocessadores muitas vezes internacionais. Este guia traz a conformidade prática que clínicas, hospitais e operadoras precisam ter formalizada antes de qualquer projeto entrar em produção em 2026.

Bases legais aplicáveis ao tratamento de dado de saúde

O artigo 11 da LGPD lista as hipóteses para tratamento de dado pessoal sensível. As mais usadas em saúde são: tutela da saúde, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; consentimento específico, válido para finalidades não cobertas pela hipótese anterior; cumprimento de obrigação legal, em casos como notificação compulsória; execução de contrato, em operadoras quando o tratamento é necessário para o plano contratado.

Para IA, a base legal precisa ser definida por finalidade, com documentação clara. Treinar modelo com dados de paciente, por exemplo, normalmente exige consentimento específico, salvo se enquadrado em pesquisa científica com comitê de ética aprovado.

Relatório de Impacto à Proteção de Dados (RIPD)

O RIPD é obrigatório quando o tratamento envolve risco elevado, condição quase sempre presente em IA aplicada à saúde. O documento descreve: finalidade, dados tratados, categorias de titulares, medidas de segurança, transferências internacionais, riscos identificados e medidas de mitigação. A ANPD pode solicitar o RIPD a qualquer momento; sua ausência configura risco regulatório direto.

Para clínicas pequenas, o RIPD do primeiro caso costuma ter de 18 a 30 páginas e leva de 2 a 3 semanas para ser elaborado com apoio jurídico especializado, custando entre R$ 8 mil e R$ 18 mil. Atualizações anuais são recomendadas, e qualquer mudança relevante de finalidade exige revisão imediata.

Contrato com fornecedor de IA: cláusulas indispensáveis

1. Lista de subprocessadores com país de hospedagem e finalidade de cada um.
2. Transferência internacional sob garantias do art. 33 da LGPD.
3. Política de retenção com prazo específico para logs, transcrições e embeddings.
4. Direito de auditoria da contratante, com periodicidade mínima anual.
5. Notificação de incidente em prazo igual ou inferior a 48 horas.
6. Cláusula de não treinamento com dados da contratante, salvo autorização expressa.
7. Encarregado nominal do fornecedor, com canal direto.
8. Continuidade operacional em caso de encerramento contratual, com prazo de migração e devolução de dados.

Sem essas oito cláusulas, o contrato deixa a contratante exposta. Modelos genéricos de software como serviço normalmente não cobrem esses pontos por padrão e precisam ser complementados por adendo específico.

Direitos do titular e como operacionalizar

O paciente tem nove direitos previstos no art. 18, dos quais cinco impactam diretamente projetos de IA: confirmação da existência do tratamento, acesso aos dados, correção, anonimização ou eliminação dos dados desnecessários, e revisão de decisões automatizadas. Em IA assistiva, a revisão de decisão automatizada é especialmente sensível: o paciente pode pedir explicação sobre como a sugestão foi gerada e qual o peso dela na conduta médica.

Operacionalmente, isso exige canal documentado para o titular exercer direitos, prazo de resposta de 15 dias, registro auditável de cada solicitação e capacidade técnica de explicar a saída do modelo em linguagem acessível. Sistemas que não permitem rastrear como uma sugestão foi gerada não atendem a esse requisito.

Gestão de incidente: o que fazer nas primeiras 72 horas

Detecção, contenção e notificação. Detectado o incidente, o encarregado de dados aciona o protocolo: isolar sistema afetado, preservar evidência, mapear escopo (titulares afetados, dados expostos, vetor), avaliar gravidade e iniciar comunicação. A ANPD deve ser notificada em prazo razoável, normalmente até 48 horas, com formulário oficial preenchido. Os titulares afetados precisam ser comunicados quando houver risco relevante.

Documentar tudo é essencial: cronologia, decisões tomadas, comunicações realizadas, medidas corretivas aplicadas. Em fiscalização posterior, essa documentação é o que diferencia uma instituição que respondeu bem de uma que pagará multa. A própria existência de protocolo testado é considerado fator atenuante pela ANPD.

Conformidade aplicada no contexto brasileiro

Em projetos a partir do Recife conduzidos pela WSS, o RIPD e o pacote contratual de fornecedor são entregues como parte do Diagnóstico Arquitetônico em clínicas, hospitais e operadoras em São Paulo, Recife e Belo Horizonte. A conformidade não é etapa anexa: vem antes da implantação técnica para evitar retrabalho jurídico em produção.

Perguntas frequentes

Dado de saúde é dado sensível pela LGPD?

Sim, conforme artigo 5, II e artigo 11. Exige base legal específica, RIPD em casos de risco elevado e medidas reforçadas de segurança técnica e organizacional.

Posso usar consentimento como base legal para IA na saúde?

Sim, especialmente para finalidades não cobertas pela tutela da saúde. O consentimento precisa ser específico, destacado, livre e informado, com possibilidade de revogação.

RIPD é obrigatório em todo projeto de IA em saúde?

É obrigatório quando há risco elevado, situação quase sempre presente em IA aplicada à saúde. Na prática, considere obrigatório em todos os projetos clínicos.

Quanto custa elaborar um RIPD?

Entre R$ 8 mil e R$ 25 mil para o primeiro projeto, dependendo da complexidade. Atualizações anuais ou por mudança de finalidade custam entre R$ 3 mil e R$ 8 mil.

Como tratar transferência internacional de dado de saúde?

Apenas para países com nível adequado reconhecido pela ANPD ou sob garantias específicas (cláusulas-padrão, normas corporativas globais, certificação). Documentar tudo no RIPD.

Posso treinar modelo de IA com dados de pacientes?

Apenas com base legal clara, normalmente consentimento específico ou enquadramento em pesquisa científica com comitê de ética aprovado. Anonimização robusta é boa prática complementar.

Em quanto tempo preciso notificar a ANPD após um incidente?

A LGPD pede prazo razoável; a ANPD tem orientado até 48 horas para incidentes com risco relevante. Quanto antes, melhor para a instituição.

Quais são as multas da LGPD para descumprimento?

Até 2% do faturamento, limitada a R$ 50 milhões por infração, mais sanções não pecuniárias. Em saúde, o impacto reputacional costuma ser ainda mais relevante.

Quem é o encarregado de dados (DPO) em uma clínica?

Pessoa nomeada pela controladora para atuar como canal entre titular, ANPD e instituição. Pode ser interno ou terceirizado, com qualificação compatível com o porte do tratamento.

Preciso revisar contrato com fornecedor de IA antigo?

Sim, sempre. Contratos assinados antes da maturidade regulatória da LGPD costumam não ter cláusulas adequadas. Adendos específicos são a forma mais rápida de regularizar.

Próximo passo

Se sua instituição de saúde está avaliando IA com seriedade em 2026, comece pelo Diagnóstico Arquitetônico clínico-jurídico. Fale com a equipe da WSS ou explore o hub de Consultoria em IA.

Em projetos conduzidos a partir do Recife pela WSS, IA em saúde foi implantada em clínicas multiespecialidade, hospitais privados e operadoras com a mesma disciplina: conformidade LGPD e CFM antes da tecnologia, validação clínica local antes da escala e medição contínua revisada em reunião clínica. O resultado consistente é tempo até retorno reduzido, segurança jurídica e segurança do paciente preservadas.

Referências

1. Brasil. (2018). Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018). https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
2. ANPD. (2023). Guia de Tratamento de Dados Pessoais Sensíveis. https://www.gov.br/anpd/pt-br
3. ANPD. (2024). Comunicado de Incidente de Segurança. https://www.gov.br/anpd/pt-br
4. Conselho Federal de Medicina. (2022). Resolução CFM nº 2.314/2022. https://www.in.gov.br/en/web/dou/-/resolucao-cfm-n-2.314-de-20-de-abril-de-2022-397602852
5. OECD. (2024). AI Principles overview. https://www.oecd.org/ai/principles/