Instituições de saúde usam IA sem saber dos riscos à LGPD

Por Marcelo Mearim

Vivemos com um crescimento explosivo das soluções de IA na área da saúde. Um levantamento realizado pela Anahp (Associação Nacional de Hospitais Privados) em conjunto com a ABSS (Associação Brasileira de Startups de Saúde) revelou que 62,5% das instituições de saúde já utilizam soluções baseadas em IA. Hoje, agentes inteligentes são capazes de transcrever consultas em tempo real, estruturar dados automaticamente e até sugerir condutas clínicas. São avanços notáveis em produtividade e qualidade de atendimento, mas que também introduzem desafios complexos no campo jurídico e ético.

O principal risco reside na superficialidade com que a LGPD (Lei Geral de Proteção de Dados) tem sido tratada por muitas dessas instituições. Em nome da eficiência, dados sensíveis, envolvendo diagnósticos, exames e conversas clínicas, vêm sendo manipulados sem as salvaguardas legais adequadas. A impressão é de que a corrida pela inovação tecnológica vem ofuscando a necessidade de garantir a privacidade dos pacientes.

E essa percepção se estrutura também na diferença entre o setor de saúde e outros ramos. Dados médicos não podem ser tratados como meros registros administrativos, uma vez que representam aspectos íntimos da vida física e emocional dos pacientes. Quando algoritmos capturam, interpretam e armazenam essas informações, é fundamental questionar: onde esses dados estão sendo guardados? Quem tem acesso? Estão sendo usados exclusivamente para atendimento ou também para treinar sistemas de IA fora do país?

É a LGPD a responsável por garantir que essas informações sejam respondidas. O artigo 7 da norma exige consentimento específico e destacado para o tratamento de dados sensíveis. Já o 33 proíbe a transferência internacional desses dados para países sem garantias equivalentes de proteção, salvo exceções bem delimitadas.

Sendo assim, soluções que operam em nuvens estrangeiras, como é o caso dos grandes fornecedores globais de IA, precisam contar com cláusulas contratuais robustas, uma autorização da ANPD ou mecanismos formais de compliance. Caso contrário, as instituições se colocam em risco jurídico real.

Por outro lado, já existem caminhos mais seguros

Soluções integradas ao prontuário eletrônico (EHR), que estruturam e armazenam dados diretamente em sistemas auditáveis, tendem a estar mais alinhadas à LGPD. Ao mesmo tempo, grandes players como Oracle e Google já oferecem infraestrutura local que garante a hospedagem de dados em território nacional. No entanto, é preciso cuidado: não necessariamente o que é “nacional” está em conformidade. Mesmo empresas brasileiras podem estar usando, por trás das cortinas, tecnologias terceirizadas hospedadas no exterior e sem anonimização efetiva, muitas vezes, ainda, sem clareza contratual para os clientes.

Não são raros os casos recentes de vazamento de dados sensíveis da saúde. Em 2021, mais de 45,9 milhões de registros de saúde foram violados no Brasil, conforme dados do The HIPAA Journal. Esses vazamentos incluem informações extremamente sensíveis, como resultados de exames e conversas médicas. A LGPD não apenas exige segurança técnica e organizacional, como também prevê multas que podem chegar a R$ 50 milhões por infração.

Além do aspecto jurídico, vale destacar que existe uma camada ética e clínica nessa equação. A responsabilidade sobre a integridade das informações do paciente continua sendo, em última instância, do profissional de saúde. Isso significa que médicos precisam estar envolvidos na escolha das soluções de IA, compreendendo seus riscos. A segurança da informação tornou-se parte integrante do cuidado. Instituições, por sua vez, podem nomear um DPO (Data Protection Officer) com autonomia real, garantindo governança contínua e efetiva.

É chegado o momento de encarar a convergência entre IA e LGPD como uma oportunidade e não um entrave. Se a IA é uma realidade imprescindível para o futuro médico, a legislação deve ser vista como um alicerce que reforça o compromisso com o paciente. Porém, vale sempre o aviso, se tecnologia não respeitar o sigilo e a privacidade, ela deixa de ser aliada e torna-se ameaça. Inovar com responsabilidade é o único caminho viável para garantir que o progresso tecnológico realmente esteja a serviço da saúde, e não à custa dela.

*Marcelo Mearim é CEO da Sofya no Brasil.