O que a LGPD diz sobre usar IA com dados de pacientes?

Como funciona a LGPD na área da saúde?

Na saúde, a LGPD protege mais: dado de saúde é sensível (art. 5º, II) e só pode ser tratado com consentimento específico ou sem ele nos casos do art. 11, II. O caso do consultório é a tutela da saúde em procedimento feito por profissional ou serviço de saúde (alínea f).^[1]

Quem decide como os dados são usados é o controlador: o médico autônomo ou a clínica. O sistema de prontuário e o fornecedor de IA costumam ser operadores, que tratam os dados em nome do controlador e seguem as instruções dele (art. 5º, VI e VII, e art. 39).

Valem os princípios do art. 6º. Para a IA, pesam três: finalidade (o dado serve ao cuidado), necessidade (só o mínimo) e transparência (o paciente sabe quem trata os dados dele).

O que a LGPD diz sobre IA?

A LGPD não cita a inteligência artificial. Ela vale para qualquer tratamento de dados, inclusive por IA, e dá ao titular o direito de pedir revisão de decisões tomadas só por tratamento automatizado (art. 20). O marco legal da IA, o PL 2338/2023, ainda não é lei.^[1][8][7]

Em 13/10/2026, o PL 2338/2023 aguardava o parecer do relator na Comissão Especial da Câmara. Até ele virar lei, as regras para IA com dados de pacientes vêm da LGPD, das resoluções da ANPD e, para o médico, da Resolução CFM nº 2.454/2026.

A ANPD publicou um estudo sobre IA generativa, da série Radar Tecnológico. Ele analisa riscos à privacidade à luz da LGPD, como dados pessoais nos dados de treino e conteúdo gerado que parece dado real. Não encontramos regra da ANPD específica para IA que transcreve consultas.

Posso usar IA com dados de pacientes?

Pode, se a IA serve ao atendimento, recebe só o necessário e vem de um fornecedor com contrato. Você continua controlador: escolhe a ferramenta, define a finalidade e responde por ela. A LGPD pede segurança (art. 46) e a Resolução CFM 2.454/2026 proíbe IA sem segurança para dados sensíveis.^[1][2][6]

Quase toda IA de consulta usa modelos de empresas dos Estados Unidos. Isso não proíbe o uso, mas é transferência internacional. A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão e deu 12 meses, a partir da publicação, para quem usa cláusulas contratuais adotar o texto da ANPD.

• Finalidade: documentar o atendimento, não alimentar outro produto (LGPD, art. 6º, I).
• Necessidade: mande à IA o que ela precisa para o texto, não o prontuário inteiro (art. 6º, III).
• Contrato: o fornecedor trata os dados em seu nome e segue as suas instruções (art. 39).
• Segurança: acesso por clínica, registro de quem abriu cada prontuário, conexão criptografada (art. 46).
• Transferência: se os dados saem do Brasil, o contrato precisa de um mecanismo do art. 33, como as cláusulas-padrão da ANPD.

O que a Resolução CFM 2.454/2026 diz sobre os dados do paciente?

A Resolução CFM nº 2.454/2026 manda o médico zelar pela confidencialidade, integridade e segurança dos dados usados pela IA (art. 6º). Ele só compartilha dado sensível com a IA para a finalidade informada e quando for estritamente necessário, e não pode usar IA sem segurança compatível.^[2][3]

Instituições que desenvolvem ou usam IA fazem uma avaliação preliminar de risco, com os níveis baixo, médio, alto ou inaceitável, e informam o nível ao usuário (art. 12 e 13). Pergunte ao fornecedor em que nível ele classificou a ferramenta.

A resolução está em vigor desde 26/08/2026. A lista completa de deveres do médico que usa IA está no guia sobre a melhor IA para médicos, nos links ao fim desta página.

• Compartilhe dados com a IA só para a finalidade informada ao paciente, com base legal adequada (art. 6º, § 1º).
• O uso de dados para treinar ou validar IA segue a proteção de dados (art. 6º, § 2º, e art. 16).
• Não use IA sem padrões mínimos de segurança para dados sensíveis (art. 6º, § 3º).
• Informe o paciente e respeite a recusa (art. 5º, §§ 1º e 3º, e art. 11).
• Registre no prontuário o uso de IA como apoio (art. 4º, V).
• Comunique falhas e riscos relevantes da IA às instâncias competentes (art. 7º, § 2º).

Conferimos em 13/10/2026: não encontramos decisão judicial que suspenda a resolução.

Preciso do consentimento do paciente para gravar a consulta?

A LGPD não tem regra própria para gravar consulta, e a tutela da saúde (art. 11, II, f) dispensa consentimento quando o tratamento é indispensável ao cuidado. Mas a Resolução CFM 2.454/2026 manda informar o paciente sobre a IA e respeitar a recusa. Avise antes de gravar e registre o aviso.^[1][2]

A escolha da base legal é do controlador. Se a sua clínica preferir o consentimento específico do art. 11, I, ele precisa ser destacado e ligado a essa finalidade. Em caso de dúvida, fale com a sua assessoria jurídica.

Na Aura, prontuário eletrônico com IA, a gravação presencial só começa depois que você confirma uma declaração: informou o paciente sobre a gravação e a transcrição, a finalidade e o direito de revogar, e ele concordou. O aceite fica registrado com data, hora e a sua identificação, e o rodapé do PDF da evolução assinada traz a frase “Paciente ciente da gravação.”

1. Antes de gravar, diga que a consulta será gravada e transcrita por IA para escrever o prontuário.
2. Explique quem recebe o áudio e o texto, em linhas gerais, e que o médico revisa tudo.
3. Pergunte se o paciente concorda. Se ele recusar, atenda sem gravar.
4. Registre que o paciente foi informado e concordou.

Quais são os riscos da IA na medicina?

Os principais riscos são texto errado ou inventado, viés, confiança excessiva do médico no resultado e exposição de dados do paciente. A OMS, em guia de 2024 sobre modelos de linguagem na saúde, cita esses mesmos riscos e faz mais de 40 recomendações.^[9][2]

O remédio para os três primeiros é o mesmo que a Resolução CFM 2.454/2026 exige: a IA é apoio, o resultado dela não decide nada sozinho e você revisa antes de assinar. Na Aura, o PDF da evolução traz a linha “Registro com apoio de IA, revisado pelo profissional responsável.” quando a IA ajudou a escrever.

• Erro no texto: dose, lado, nome comercial ou quem disse o quê.
• Viés: o modelo pode errar mais com alguns grupos de pacientes.
• Viés de automação: aceitar o rascunho sem ler.
• Vazamento: o áudio e a transcrição são dados sensíveis em mais de um sistema.
• Dados fora do país: o texto pode ser processado no exterior.
• Outra finalidade: o conteúdo usado para treinar modelos ou para publicidade.

O que fazer se os dados dos pacientes vazarem?

Se o incidente pode causar risco ou dano relevante, o controlador comunica a ANPD e os pacientes afetados em 3 dias úteis, contados de quando soube que dados pessoais foram atingidos (Resolução CD/ANPD nº 15/2024, art. 6º e 9º). Dado de saúde é um dos critérios de risco.^[4][5][1]

A ANPD lembra que avisar só a ela não cumpre o art. 48 da LGPD: havendo risco relevante, o paciente também precisa ser avisado. Por isso, o contrato com o fornecedor de IA deve dizer em quanto tempo ele avisa você.

1. Contenha o incidente e peça ao fornecedor um relato por escrito.
2. Avalie o risco: dado sensível ou protegido por sigilo profissional conta (art. 5º da resolução).
3. Comunique a ANPD pelo SEI; quem envia é o encarregado ou um representante legal.
4. Comunique os pacientes afetados no mesmo prazo, com o que aconteceu e o que fazer.
5. Registre o incidente, mesmo sem comunicação, e guarde o registro por 5 anos (art. 10).

O que perguntar ao fornecedor de IA antes de contratar?

Pergunte quem recebe o áudio e o texto, em que país, se o conteúdo treina modelos, por quanto tempo fica guardado, quem acessa, como você é avisado de incidentes e como leva os dados embora. As respostas devem estar na política de privacidade publicada e no contrato.^[1][2][6]

• Papéis: o contrato diz que você é controlador e o fornecedor é operador?
• Suboperadores: a política lista quem recebe áudio e texto, como transcrição e modelo de linguagem?
• País: os dados saem do Brasil? Com qual mecanismo do art. 33?
• Treino: o conteúdo das consultas treina modelos, do fornecedor ou de terceiros?
• Retenção: por quanto tempo o áudio fica guardado, e no fornecedor de transcrição?
• Identificação: o nome e o CPF do paciente vão para a IA?
• Acesso: cada clínica vê só os próprios dados? Fica registrado quem abriu cada prontuário?
• Encarregado: há nome e contato públicos (art. 41)?
• Incidente: em quanto tempo o fornecedor avisa você?
• Saída: como exportar os dados se você sair?
• CFM: a ferramenta registra no prontuário o uso de IA e informa o nível de risco?

Fatos da Aura conferidos em 13/10/2026 na política de privacidade publicada.