LGPD e IA na saúde mental: como usar sem expor dados sensíveis

Toda conversa sobre inteligência artificial no consultório esbarra, mais cedo ou mais tarde, na mesma pergunta: isso é seguro? A resposta honesta é que depende inteiramente de como e onde a ferramenta é usada. E, no caso da psicologia, o padrão de exigência é dos mais altos que existem.

Por que o padrão aqui é mais alto

A Lei Geral de Proteção de Dados (Lei 13.709/2018) separa dados pessoais comuns de dados pessoais sensíveis. No artigo 5º, inciso II, entram nessa categoria os dados referentes à saúde — e registro de atendimento psicológico é dado de saúde. Some a isso o sigilo profissional previsto no Código de Ética Profissional do Psicólogo, e o resultado é uma dupla camada de responsabilidade: você responde perante a ANPD e perante o Conselho.

Na prática isso significa três coisas: base legal específica para tratar o dado, medidas de segurança compatíveis com o risco e muito mais cuidado ao compartilhar com terceiros — e todo fornecedor de IA é um terceiro.

O erro mais comum (e mais fácil de cometer)

Colar o relato de uma sessão num chatbot público para "pedir ajuda a organizar as ideias". É rápido, parece inofensivo e é exatamente o tipo de coisa que a lei não permite.

Ao fazer isso, você transfere conteúdo sensível para um terceiro sem base legal, sem contrato de tratamento de dados, sem saber onde o dado será armazenado, por quanto tempo, quem terá acesso e — em muitas ferramentas gratuitas — com autorização implícita de que aquele conteúdo seja usado para treinar modelos futuros.

Anonimizar mal é pior do que não anonimizar: trocar o nome por "paciente X" não remove profissão, cidade, composição familiar, evento marcante e data. Reidentificação é mais fácil do que parece.

O que a LGPD exige, em termos práticos

1. Base legal e finalidade definida

Para dados sensíveis, a lei exige consentimento específico e destacado, ou uma das hipóteses do artigo 11 — como tutela da saúde por profissional de saúde. Em qualquer caso, a finalidade precisa ser determinada e informada. "Melhorar o serviço" não é finalidade.

2. Consentimento que se sustenta

Se você grava sessões para transcrever com IA, o consentimento precisa ser:

• Livre — recusar não pode prejudicar o atendimento;
• Informado — o paciente entende o que será gravado, processado por quem, para quê e por quanto tempo será guardado;
• Específico e destacado — não escondido no meio de um contrato;
• Registrado — você precisa conseguir demonstrar que ele existiu;
• Revogável — a qualquer momento, sem constrangimento, com efeito real.

3. Minimização

Trate apenas o necessário. Se o resumo estruturado basta, não é preciso reter o áudio bruto indefinidamente. Definir prazo de descarte é obrigação, não zelo.

4. Segurança compatível com o risco

Criptografia em trânsito e em repouso, autenticação forte, controle de acesso por perfil, registro de quem acessou o quê e política de backup. Para prontuário, o CFP exige guarda mínima de cinco anos — o que torna a integridade do armazenamento parte da conformidade.

5. Transparência sobre a cadeia

Se o seu sistema usa um provedor de IA por trás, você precisa saber quem é, onde processa e sob quais termos. A responsabilidade pelo dado do seu paciente não termina no seu fornecedor.

Seis perguntas para fazer a qualquer fornecedor

1. Meus dados são usados para treinar modelos? A única resposta aceitável é não, por escrito.
2. Onde os dados ficam armazenados? País, provedor e regime jurídico aplicável.
3. Há criptografia em repouso e em trânsito? E quem detém as chaves.
4. Qual a política de retenção e descarte? Inclusive depois que eu cancelar.
5. Consigo exportar tudo, em formato aberto, quando quiser? Portabilidade é direito do titular e blindagem sua.
6. Existe contrato de tratamento de dados e canal do encarregado? Fornecedor sério tem os dois.

Um fornecedor que responde essas seis perguntas com clareza já está acima da média. Um que enrola em qualquer uma delas está respondendo.

Sobre o encarregado (DPO)

A LGPD prevê a figura do encarregado pelo tratamento de dados. A ANPD flexibilizou a exigência para agentes de pequeno porte, e um consultório individual em geral não precisa nomear um DPO formal. O que continua valendo, sem exceção: informar um canal de contato para que o titular exerça seus direitos, e responder a esses pedidos.

Se algo der errado

Incidente de segurança com dado sensível deve ser comunicado à ANPD e aos titulares afetados em prazo razoável. Ter, antes de precisar, um registro de operações de tratamento e um plano mínimo de resposta reduz muito o dano — reputacional e jurídico.

Em resumo

IA e sigilo não são incompatíveis. O que é incompatível com sigilo é usar ferramenta de terceiro sem saber para onde vai o conteúdo. A regra prática cabe em uma frase: dado clínico só entra em sistema que você escolheu conscientemente, com contrato, criptografia, prazo de descarte e consentimento registrado. Todo o resto é improviso com risco assimétrico — a conveniência é sua, e a exposição é do paciente.

Leia também

• Ética profissional e IA: o que garantir antes de usar
• Exportar dados do seu sistema sem virar refém
• Prontuário com IA: registro melhor sem terceirizar o raciocínio