IA e Direito Digital em Saúde

O que é direito digital aplicado à saúde

Direito Digital aplicado à Saúde é a intersecção entre o Direito Digital (LGPD, Marco Civil, Lei de Crimes Cibernéticos), o Direito Médico (ética CFM, sigilo, prontuário) e o Direito Regulatório setorial (ANS, ANVISA, ANPD). Cobre toda operação de saúde que envolva tecnologia, dados pessoais sensíveis e automação: desde um hospital que opera um prontuário eletrônico até uma startup que oferece diagnóstico por machine learning.

A área cresceu exponencialmente após a entrada em vigor da LGPD em 2020, a consolidação da telemedicina pela Res. CFM 2.381/2024 e a expansão de sistemas de inteligência artificial em diagnóstico, triagem, auditoria de planos de saúde e gestão hospitalar. Cada uma dessas frentes tem regras específicas — e riscos próprios de responsabilização cível, administrativa e ética.

Base legal e regulatória

Direito digital em saúde se assenta em múltiplas camadas normativas que se sobrepõem:

LGPD (Lei 13.709/2018)

• Art. 5º, II — dados sensíveis incluem saúde, genéticos, biométricos.
• Art. 7º — 10 bases legais para dados comuns.
• Art. 11 — bases específicas para dados sensíveis.
• Art. 18 — direitos do titular.
• Art. 20 — direito à revisão humana de decisões automatizadas.
• Art. 38 — Relatório de Impacto à Proteção de Dados (RIPD).
• Arts. 52-54 — sanções administrativas.

Resoluções do CFM

• Res. 2.381/2024 — telemedicina (atual).
• Res. 2.314/2022 — telemedicina (anterior, ainda referenciada).
• Res. 1.821/2007 — prontuário médico, inclusive eletrônico.
• Res. 1.931/2009 — consentimento esclarecido.
• Res. 2.217/2018 — Código de Ética Médica vigente.

Direito digital infraconstitucional

• Lei 12.965/2014 — Marco Civil da Internet.
• Lei 12.737/2012 — crimes cibernéticos (Lei Carolina Dieckmann).
• Decreto 9.637/2018 — Política Nacional de Segurança da Informação.

Pesquisa clínica

• Res. CNS 466/2012 — ética em pesquisa com seres humanos.
• Res. CNS 510/2016 — pesquisa em ciências humanas e sociais.

Regulação setorial

ANS (operadoras de planos), ANVISA (dispositivos e aplicativos de saúde classificados como SaMD — Software as a Medical Device), Ministério da Saúde (políticas e certificações).

Telemedicina: Res. CFM 2.381/2024

A Resolução CFM 2.381/2024 é o marco atual da telemedicina no Brasil, substituindo a 2.314/2022. Regula as modalidades: teleconsulta, telecirurgia, telediagnóstico, telemonitoramento, teletriagem, teleemergência e teleconsultoria entre médicos.

Exigências essenciais:

• Registro do médico no CRM do Estado onde está fisicamente.
• Consentimento específico do paciente, com registro.
• Documentação eletrônica obrigatória (prontuário, receita, atestado).
• Identificação segura do paciente — preferencialmente biométrica ou documental.
• Local físico definido para o médico durante a consulta.
• Respeito ao sigilo profissional e à LGPD.

Prontuário eletrônico e assinatura digital

A Res. CFM 1.821/2007 reconheceu a validade do prontuário eletrônico, desde que cumpridos requisitos de integridade, autenticidade, disponibilidade e guarda mínima de 20 anos. A assinatura digital em padrão ICP-Brasil é forma preferencial de autenticação. Padrões internacionais reconhecidos também podem ser aceitos.

Prontuário eletrônico bem estruturado é mais defensável do que em papel — permite timestamp preciso, rastreabilidade de alterações, cópia de segurança, controle de acesso granular.

IA diagnóstica e responsabilidade

Sistemas de IA aplicados ao diagnóstico — reconhecimento de imagens em radiologia e dermatologia, análise preditiva em oncologia, triagem em prontos-socorros, apoio à decisão clínica — proliferam no Brasil e no mundo. A responsabilidade por erro é multicamada:

• Médico — mantém a decisão clínica final, responsável se indicou ou interpretou inadequadamente o output do sistema.
• Hospital ou clínica — adotou o sistema, responsável por treinamento da equipe, validação do fornecedor e supervisão contínua.
• Desenvolvedor — responsável por defeito de produto (CDC art. 12), falhas de algoritmo, vieses de treinamento, documentação inadequada.

Em casos concretos, a tese costuma envolver todos três no polo passivo, com discussão sobre quem teve contribuição causal. Jurisprudência brasileira ainda é emergente nesse campo, seguindo de perto precedentes europeus (EU AI Act) e norte-americanos.

IA em operadoras: negativas por algoritmo

Operadoras de planos de saúde usam IA crescentemente para: auditoria de sinistros, precificação atuarial, análise de risco, negativas de cobertura baseadas em algoritmos. O art. 20 da LGPD garante ao beneficiário o direito à revisão humana de decisões automatizadas que afetem seu interesse.

Negativa puramente automatizada, sem possibilidade de revisão humana demonstrável, é passível de anulação. Beneficiário pode exigir (i) explicação da lógica usada (respeitados segredos comerciais), (ii) critérios aplicados, (iii) revisão por profissional humano. Dano moral é cabível quando há recusa repetitiva ou arbitrária.

Healthtechs, startups e compliance

Healthtechs brasileiras operam em ambiente regulatório múltiplo: LGPD + ANS (quando há plano ou serviço integrado a operadora) + ANVISA (se o produto é classificado como dispositivo médico — SaMD) + Marco Civil + contratos com hospitais/operadoras.

Pontos centrais de compliance:

• Classificação LGPD — controladora ou operadora conforme o caso, por vezes ambas em operações distintas.
• Contratos DPA — Data Processing Agreement detalhado com cada parceiro.
• Due diligence em M&A — investidores exigem prova de adequação LGPD e regulatória.
• Regulatório ANVISA — registro de software como dispositivo médico quando aplicável (RDC 751/2022).
• Regulatório ANS — autorização e credenciamento quando há serviço de saúde suplementar.

Pesquisa clínica e uso de dados

Pesquisa clínica com dados de saúde exige aprovação do CEP (Comitê de Ética em Pesquisa) e, em alguns casos, do CONEP. Consentimento específico do titular (Res. CNS 466/12 e 510/16). Uso secundário de dados já coletados tem restrições severas — precisa de nova base legal ou anonimização robusta.

Estudos observacionais com dados históricos de prontuários exigem avaliação específica do CEP, com consideração de anonimização, pseudonimização ou consentimento retroativo quando possível.

Decisões automatizadas (art. 20 LGPD)

O art. 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses — inclusive decisões de saúde. Aplicável a:

• Negativas de cobertura por IA em planos de saúde.
• Triagem algorítmica em prontos-socorros.
• Priorização de filas cirúrgicas por IA.
• Decisões de admissão em programas de cuidado.
• Precificação dinâmica de planos individuais.

Incidente de segurança e notificação ANPD

Incidente de segurança é qualquer evento adverso que afete a confidencialidade, integridade ou disponibilidade de dados pessoais — ataque hacker, ransomware, vazamento por e-mail errado, perda de dispositivo, erro operacional.

Fluxo obrigatório:

1. Contenção técnica imediata — bloqueio do vetor, preservação de logs.
2. Avaliação do risco — quantidade de titulares afetados, sensibilidade dos dados, potencial de dano.
3. Notificação à ANPD em prazo razoável (regulamento ANPD 15/2024 define procedimento).
4. Comunicação aos titulares quando houver risco relevante.
5. Plano de mitigação e medidas corretivas.
6. Postmortem e aprendizado organizacional.

Hospitais são alvo frequente de ataques de ransomware nos últimos anos. Plano de resposta bem estruturado é indispensável.

Responsabilidade civil por sistema de IA

A pergunta central do Direito Digital em saúde: quando uma IA médica causa dano, quem responde? A resposta, no direito brasileiro atual, é multicamada:

• Médico usuário — responde subjetivamente se indicou ou interpretou mal o output (art. 951 CC + art. 14 §4º CDC).
• Hospital ou clínica — responde objetivamente (art. 14 CDC) se adotou sistema defeituoso, treinou mal a equipe ou não supervisionou.
• Desenvolvedor do algoritmo — responde objetivamente pelo defeito de produto (art. 12 CDC).
• Operadora ou plano — responde solidariamente se o sistema integrado causou negativa indevida (Súmula 608 STJ + art. 20 LGPD).

Em ação concreta, a tese típica inclui todos os atores no polo passivo com discussão de contribuição causal. A decisão do STJ no Tema 793 (saúde pública) e na Súmula 608 (planos) oferecem analogia útil para a solidariedade.

Sanções da ANPD e dano moral

Violações em saúde digital podem acionar três esferas simultâneas:

Sanção administrativa (ANPD)

Conforme art. 52 da LGPD: advertência, multa simples (até 2% do faturamento, limite R$ 50 milhões por infração), multa diária, publicização da infração, bloqueio ou eliminação de dados, suspensão parcial ou total do tratamento. Dosimetria considera gravidade, vantagem econômica, condição do agente e cooperação.

Dano moral individual

Ação cível do titular afetado. TJSP tem arbitrado valores entre R$ 5.000 e R$ 50.000 para vazamentos típicos, podendo ultrapassar R$ 100.000 em casos graves com dano psicológico demonstrado ou discriminação documentada.

Dano moral coletivo

Ações civis públicas pelo MP ou Defensoria em vazamentos massivos. Valores têm ultrapassado R$ 10 milhões em casos contra grandes operadoras e marketplaces.