A adoção de IA em saúde avançou rápido: transcrição de consulta, apoio à redação de laudo, triagem de atendimento, organização de prontuário, agilização de faturamento. Em quase todos esses casos, o dado que passa pelo modelo é dado pessoal sensível — e isso muda o enquadramento inteiro.
Este texto é informativo e não substitui a análise do jurídico e do Encarregado da sua instituição.
Por que dado de saúde é diferente
A LGPD classifica dado referente à saúde como dado pessoal sensível, com hipóteses de tratamento mais restritas que as dos dados comuns. Não basta ter interesse legítimo: as bases legais aplicáveis são específicas e precisam ser identificadas caso a caso.
A isso se somam obrigações que já existiam antes da LGPD e continuam valendo: o sigilo profissional, as regras dos conselhos sobre prontuário e telemedicina, e as exigências de guarda e integridade do registro clínico. IA não cria exceção a nenhuma delas.
Os três pontos que mais aparecem
Prontuário no prompt
É o caso mais comum e o mais arriscado: colar o texto do prontuário — ou o laudo inteiro — dentro de uma ferramenta de IA para resumir, reescrever ou traduzir em linguagem simples. O ganho é real; o risco também.
Três medidas reduzem a exposição sem eliminar o benefício: minimizar o que é enviado (trecho relevante, não o documento inteiro), descaracterizar identificadores diretos sempre que a tarefa permitir, e impedir tecnicamente o envio quando o conteúdo contiver marcadores de dado sensível — em vez de confiar em orientação verbal.
Apoio à decisão clínica
Quando a IA sugere hipótese, prioriza fila ou destaca achado, ela entra no terreno de apoio à decisão. Aqui a exigência de revisão humana deixa de ser boa prática e vira condição: o profissional habilitado decide, e o registro precisa mostrar que a decisão foi dele.
Ferramentas de saúde com finalidade diagnóstica podem ainda se enquadrar como dispositivo médico sujeito a regulação sanitária específica. Antes de colocar em produção algo que influencie conduta clínica, essa verificação precisa ser feita — e é do tipo que sai caro descobrir depois.
Operadores e onde o dado fica
O provedor de IA que processa dado de paciente atua como operador. Isso exige previsão contratual adequada, atenção a transferência internacional e clareza sobre retenção e uso do conteúdo enviado — inclusive verificar se a instituição está em plano corporativo ou em versão de consumidor, onde os termos costumam diferir.
Para muitas instituições, a exigência de manter o dado no Brasil é o fator que decide qual arquitetura é viável.
O inventário específico do setor
O levantamento de uso em saúde costuma encontrar frentes que não aparecem em outros setores:
- Transcrição de consulta feita por aplicativo pessoal do profissional.
- Apoio à redação de laudo em ferramenta gratuita, com imagem ou texto do exame.
- Resumo de prontuário para passagem de plantão.
- Automação de faturamento e glosa usando dado clínico.
- Chatbot de agendamento que recebe queixa do paciente — e vira dado de saúde no momento em que a queixa é registrada.
O último é o mais subestimado: muita instituição classifica o chatbot como ferramenta de atendimento e esquece que o conteúdo trafegado é sensível.
Por onde começar
A sequência não difere da governança geral, mas a régua é mais alta: inventário do uso atual, classificação por risco com atenção especial ao que toca prontuário, política que defina explicitamente o que nunca sai da instituição, controle técnico no pré-envio, revisão humana obrigatória no que influencia conduta e trilha de auditoria capaz de responder a titular, conselho e autoridade.
A NOBUG atende o setor com produtos próprios de saúde e com a área de IA: a implantação estrutura política e ambiente, e o NOBUG STUDIO aplica o bloqueio no pré-envio e mantém a trilha. Nossa postura de tratamento de dados está no Trust Center.
