Hospedagem no Brasil garante adequação à LGPD?

Não. É preciso examinar finalidade, acessos, suboperadores, segurança, direitos e outras condições. Acesso a partir do exterior também pode ser relevante para a análise de transferência.

Todo incidente deve ser comunicado em 24 horas?

Não há essa regra geral na regulamentação citada. A ANPD informa prazo geral de três dias úteis para comunicações exigidas, com critérios de risco ou dano relevante e condições específicas.

Contrato empresarial elimina a necessidade de consentimento informado?

Não. Condições comerciais não substituem deveres profissionais de informação e consentimento quando aplicáveis, nem a análise das hipóteses legais e dos demais requisitos da LGPD.

Contratar IA para a clínica: um roteiro de governança e proteção de dados

1. Defina a finalidade e uma alternativa

Escreva o que a ferramenta faria e qual seria o procedimento sem ela. Uma proposta de organizar bibliografia pública exige menos informação que transcrever sessões. Começar por um exercício com material público ou inteiramente fictício permite examinar erros sem transformar pessoas atendidas em participantes involuntárias de um teste.

2. Desenhe o caminho dos dados

Registre entrada, armazenamento, acesso, suboperadores, exportação e exclusão. Pergunte se há retenção para segurança, uso para treinamento, acesso de suporte e possibilidade de alteração dos termos. “Não treina com seus dados” é uma informação relevante, mas não descreve todo o tratamento.

3. Separe hipótese legal e dever profissional

A LGPD exige hipótese legal adequada e observância dos princípios. Para dados de saúde, consulte o artigo 11; execução de contrato prevista no artigo 7 não deve ser apresentada como base autônoma suficiente para dado sensível. A análise depende do tratamento concreto e dos agentes envolvidos.

O guia do CFP sobre IA aborda informação clara, consentimento e possibilidade de recusa sem prejuízo. A existência de uma hipótese legal não dispensa observar deveres éticos, e um termo assinado não torna qualquer uso necessário ou seguro. Explique finalidade, consequências, limites e alternativa antes de uma gravação ou processamento por IA.

4. Verifique acesso internacional

A Resolução CD/ANPD 19/2024 exige, para transferência internacional, uma hipótese legal aplicável e um mecanismo válido de transferência, conforme o caso. Servidores no Brasil não afastam automaticamente a questão se houver acesso do exterior; servidores na Europa tampouco tornam a operação regular apenas por estarem sujeitos a outra legislação.

Peça informações documentadas sobre destinos e suboperadores. Cláusulas-padrão são um dos mecanismos possíveis, não uma frase genérica a acrescentar ao contrato sem verificar o fluxo real.

5. Defina critérios para revisar as saídas

Escolha erros que importam para a finalidade: omissão, invenção, troca de pessoa, alteração de sentido, referência falsa e certeza indevida. Uma saída elegante pode falhar nesses critérios. Registre quem confere, qual fonte usa e o que torna o material inadequado.

6. Combine acesso, retenção e saída do serviço

Defina perfis de acesso, revogação, exportação e exclusão com documentação do fornecedor. Diferencie registro profissional, arquivo de áudio, transcrição e registro técnico de acesso. Eles têm funções distintas; não atribua a todos um prazo universal copiado de outra categoria.

7. Planeje incidentes e mudanças

A orientação da ANPD sobre incidentes trata da comunicação pelo controlador quando o evento puder acarretar risco ou dano relevante. O prazo geral informado é de três dias úteis, observadas as condições e exceções da regulamentação. Não existe uma regra genérica de “24 a 72 horas” que dispense examinar o caso. O plano deve identificar responsáveis e canais para análise tempestiva.

Defina também o que exige nova avaliação: mudança de finalidade, versão, contrato, suboperador ou falha relevante. A contratação não encerra o acompanhamento.

8. Faça um exercício de adoção com dados fictícios

Exemplo hipotético: uma equipe avalia um recurso para revisar comunicados. Cria três textos inventados, incluindo um com informação contraditória. Confere se o sistema identifica o problema ou o encobre com linguagem mais fluente. O critério de aceitação exige manter fatos e sinalizar dúvidas; reduzir tempo não compensa inventar uma informação.

9. Registre a decisão e seus limites

Documente finalidade autorizada, restrições, responsável, fontes e motivos da decisão. Para atendimento digital, considere a Resolução CFP 9/2024. Para documentos e avaliações, consulte suas regras específicas. Uma política interna pode ser mais restritiva diante de incertezas, mas não pode autorizar aquilo que contraria deveres profissionais.

Como aprofundar o estudo?

No curso FinOps de LLMs, aproveite a distinção entre custo contratado, uso e resultado aprovado. Aplique-a à tarefa fictícia: contabilize também conferência e retrabalho. A análise de custo complementa a decisão; não substitui proteção de dados ou critérios profissionais.

O recurso educacional é complementar. Um eventual certificado não equivale a pós-graduação nem concede título profissional; as fontes técnicas e normas desta página devem orientar a conferência dos fatos.

Fontes e escopo da revisão

Fontes consultadas em 6 de outubro de 2026. Revisão editorial de conteúdo educativo; não representa avaliação clínica individual nem revisão pessoal atribuída a profissional de saúde.