LGPD, ANVISA SaMD e prontuário com IA em 2026: FAQ para psicólogos clínicos brasileiros.

O dado psicológico é dado pessoal sensível sob LGPD (Lei 13.709/2018, Art. 5º, II). Tratamento exige base legal específica do Art. 11. Para prontuário em consultório, as bases mais usadas são: tutela da saúde (Art. 11, II, "f"), exercício regular de direitos em processo judicial, administrativo ou arbitral (Art. 11, II, "d") e consentimento livre, informado e inequívoco (Art. 11, II, "a"). Quando a IA processa o prontuário — escuta passiva, transcrição, copilot de redação — a recomendação técnica é registrar duas bases: tutela da saúde para o tratamento clínico e consentimento específico para a camada de IA. Documente em termo escrito qual ferramenta, qual finalidade, qual retenção e qual base. Sem documentação, a ANPD trata a clínica como controladora desprotegida.

O PL 2338/2023 — Marco Legal da Inteligência Artificial no Brasil — está em tramitação no Congresso, tendo sido aprovado no Senado em dezembro/2024 e seguindo análise na Câmara dos Deputados em 2025-2026. Ainda não é lei. O texto aprovado pelo Senado classifica sistemas de IA em níveis de risco, com IA aplicada a saúde geralmente em categoria de alto risco — sujeita a avaliação prévia, transparência algorítmica, supervisão humana significativa e auditoria. Quando convertido em lei, terá impacto direto em ferramentas de IA em psicologia: escuta passiva, chatbots terapêuticos e copilots clínicos provavelmente entrarão em alto risco. Até lá, vale a regulação setorial existente — CFP, LGPD e RDC ANVISA quando aplicável.

A RDC 657/2022 — substituiu a RDC 185/2001 — regulamenta software como dispositivo médico (SaMD, Software as a Medical Device) no Brasil. Software destinado a diagnóstico, prevenção, monitoramento ou tratamento de doença pode ser SaMD, classificado em classes I a IV conforme risco. Aplicação a chatbots terapêuticos depende da finalidade declarada. Chatbot que faz psicoeducação geral, sem reivindicar efeito terapêutico, tende a ficar fora do escopo. Chatbot que declara tratar transtorno depressivo ou ansioso tende a ser SaMD — exige registro ANVISA, ensaios clínicos e farmacovigilância. Quem usa chatbot em consultório precisa verificar a classificação e o registro no portal da ANVISA antes de incorporar à rotina.

Em 03/07/2025 o CFP divulgou Posicionamento sobre Inteligência Artificial no Contexto da Prática Psicológica, anunciando grupo de trabalho para desenvolvimento de diretrizes específicas. Não se trata de Resolução com poder sancionatório — é nota técnica de orientação. As normas vigentes que regem o uso de tecnologia em psicologia são: Código de Ética do Psicólogo (Resolução CFP 10/2005), Resolução CFP 11/2018 sobre serviços psicológicos prestados por meios de tecnologia, Resolução CFP 06/2019 sobre documentos psicológicos. O Posicionamento de 2025 reforça responsabilidade técnica do profissional, sigilo, consentimento e atenção a vieses algorítmicos — sem revogar a 11/2018.

A LGPD (Art. 41) exige que o controlador indique encarregado pelo tratamento de dados (DPO). A regulamentação infralegal da ANPD prevê dispensa para agentes de tratamento de pequeno porte sob critérios específicos — Resolução CD/ANPD 02/2022 traz definição de agente de pequeno porte. Consultório solo geralmente se enquadra, podendo dispensar DPO formal, mas precisa manter canal de atendimento ao titular de dados, política de privacidade publicada e capacidade de responder à ANPD em prazo. Em prática clínica multiprofissional com volume de pacientes maior, recomenda-se DPO ou contrato com DPO externo terceirizado. Em qualquer caso, a responsabilidade pelo cumprimento da LGPD permanece do profissional.

O contrato com operador (Art. 39 da LGPD) deve conter cláusulas mínimas: descrição clara da finalidade do tratamento, tipo de dado tratado e duração, indicação de subcontratados, medidas de segurança técnicas e administrativas (criptografia em repouso e em trânsito, segregação por tenant, log de acesso, política de senhas), localização do processamento e bases legais para transferência internacional (Art. 33), proibição de uso para treinamento de modelo salvo autorização específica, prazo de retenção e descarte certificado, notificação imediata de incidente. Para ferramentas de saúde mental, peça também documentação de conformidade com normas técnicas — ISO 27001, ISO 27701, SOC 2 — e relatório de auditoria recente.

Transferência internacional de dados sensíveis exige base legal específica do Art. 33 da LGPD. As bases mais usadas: garantia de nível adequado de proteção pelo país de destino (a ANPD ainda não publicou lista oficial de países adequados), cláusulas-padrão contratuais aprovadas pela ANPD, normas corporativas globais aprovadas pela ANPD, consentimento específico e destacado do titular. Para modelo hospedado nos EUA (OpenAI default, Anthropic default, Google), o caminho prático é contrato com cláusulas-padrão ou consentimento específico documentado. Modelos com hospedagem no Brasil (Microsoft 365 Copilot Brazil South, AWS Bedrock São Paulo) ou na Europa (sob GDPR) reduzem a fricção. Em qualquer caso, desidentificação prévia do conteúdo é prática recomendada.

Não. A LGPD (Art. 5º, XI e Art. 12) distingue. Anonimização é técnica que impede a re-identificação do titular — quando bem-sucedida, o dado deixa de ser pessoal e sai do escopo da lei. Pseudonimização (Art. 13, IV) substitui identificadores diretos por código, mas mantém a possibilidade de re-identificação por chave separada — o dado permanece pessoal e dentro do escopo da LGPD. Para uso de IA em prontuário, a recomendação técnica é pseudonimização com chave segura, não anonimização — porque a clínica precisa retornar ao paciente real. Estudos de re-identificação por triangulação (Rocher et al., 2019, Nature Communications) mostram que anonimização robusta em dados clínicos é tecnicamente difícil quando o caso é detalhado.

A Resolução CFP 06/2019 (documentos psicológicos) determina retenção mínima de 5 anos a partir do último registro do prontuário. Em casos específicos — perícia, processo judicial, paciente menor de idade — o prazo pode ser maior. Para a camada de IA (transcrições, áudios brutos, logs de uso), a recomendação técnica é alinhar ao mesmo prazo do prontuário ou ser mais restritivo: muitos fornecedores oferecem descarte automático de áudio bruto após geração da transcrição. Defina por escrito a política de retenção, com data de início (último atendimento), data de fim (5 anos depois ou mais) e processo de descarte seguro. ANPD pode auditar a política de retenção em caso de denúncia.

O titular de dado pessoal (Art. 18 da LGPD) tem direitos exigíveis a qualquer momento: confirmação de existência de tratamento, acesso aos dados, correção de dados incorretos, anonimização ou eliminação de dados desnecessários, portabilidade, eliminação de dados tratados com base em consentimento, informação sobre compartilhamento, revogação de consentimento, revisão de decisões automatizadas (Art. 20). Em uso de IA em clínica, três pontos delicados: o paciente pode pedir cópia da transcrição automática? Sim. Pode pedir eliminação após término do tratamento? Sim, com ressalva do prazo legal de retenção do CFP. Pode contestar interpretação automatizada de modelo? Sim, e o psicólogo precisa demonstrar revisão humana.

A LGPD (Art. 9º) impõe dever de informação clara, precisa e acessível ao titular sobre finalidade, forma e duração do tratamento, identidade do controlador, informações sobre uso compartilhado, responsabilidades e direitos. Quando IA é parte do fluxo clínico, o termo de consentimento informado padrão é insuficiente — precisa explicitar: qual ferramenta de IA é usada, com qual finalidade clínica, qual dado é processado, qual a retenção, qual a base legal, possibilidade de revogação. O Posicionamento CFP de 07/2025 reforça consentimento livre e informado especificamente para uso de IA. Termo genérico que apenas "autoriza uso de tecnologias" é frágil em perícia ética.

O sigilo profissional do psicólogo, estabelecido no Código de Ética (Resolução CFP 10/2005, Art. 9º), não muda em natureza com IA — muda em extensão. O sigilo cobre qualquer informação obtida em razão do exercício profissional, e isso inclui transcrição automática, nota gerada por copilot, log de uso de chatbot adjuvante. Quando IA processa o conteúdo, o fornecedor torna-se cocustodiante do sigilo, e o contrato precisa refletir essa responsabilidade. Quebra de sigilo por vazamento em fornecedor não isenta o psicólogo — a responsabilidade técnica permanece. Por isso a escolha do fornecedor, o contrato e a auditoria periódica são componentes da ética profissional, não detalhes técnicos.

Sim, com proteções específicas. Supervisão clínica envolve discussão de caso com dados sensíveis de paciente. Para uso de IA em supervisão — análise de transcrição, identificação de padrões, relatório de fidelidade — três regras: consentimento informado do paciente para uso em supervisão com IA, desidentificação do material antes do prompt, contrato com fornecedor cobrindo LGPD e sigilo profissional. Ferramentas como Lyssn foram desenhadas para esse propósito, com foco em fidelidade terapêutica. Em supervisão sem ferramenta especializada, o copilot textual genérico exige desidentificação rigorosa e revisão crítica de toda saída antes de devolver ao supervisionando.

A LGPD (Art. 48) determina comunicação à ANPD e ao titular em caso de incidente que possa acarretar risco ou dano relevante. O prazo prático é de até 2 dias úteis após conhecimento do fato — a ANPD pode exigir prazo mais curto em casos graves. Em incidente envolvendo IA em clínica — vazamento de transcrição, acesso indevido a prontuário, falha em fornecedor cloud — o psicólogo precisa: identificar escopo do incidente, notificar ANPD pelo canal oficial, notificar pacientes afetados com linguagem clara, registrar internamente o incidente e medidas corretivas, comunicar ao CFP se houver risco de quebra de sigilo profissional. Política de resposta a incidente é parte da governança mínima de IA em clínica.

O Posicionamento CFP de 07/2025 inclui "avaliação crítica de vieses algorítmicos" como recomendação explícita. Stade et al. (2024, JMIR Mental Health) testaram LLMs em cenários de psicoterapia e documentaram respostas que ignoravam pistas culturais, socioeconômicas e de gênero. Para auditoria prática em consultório, três níveis: revisão por saída (checklist explícito de viés a cada uso clínico), revisão por amostra (análise mensal de 10% das saídas), revisão estrutural (comparação anual entre saídas para perfis demográficos diferentes). Quem usa IA em clínica precisa demonstrar que faz revisão crítica — não basta confiar no fornecedor. Documente a auditoria, mesmo que simples.

Sim. Em RH, dados de funcionário sob avaliação de saúde mental seguem regras adicionais. A base legal mais usada é "execução de contrato" (Art. 7º, V), mas para dado sensível como saúde mental, exige-se base do Art. 11 — consentimento explícito ou exercício regular de direitos. NR-1 atualizada (PGR com riscos psicossociais) demanda gestão coletiva de saúde mental no trabalho, com dados agregados e anonimizados, não avaliação individual sob escore de IA. Ferramentas de pulse survey e análise de clima são compatíveis; avaliação individualizada com IA para classificar funcionário é território cinza, sujeito a regras do CFP sobre instrumentos psicológicos. Antes de implantar, consulte profissional registrado e DPO.

Para formação aplicada com base técnica em IA, people analytics, ética em dados e regulação contemporânea, o MBA em Psicologia Organizacional e do Trabalho do IPOG aborda esses temas em contexto profissional, em formato Ao Vivo síncrono com corpo docente nominal. A grade integra discussão de LGPD aplicada a RH e saúde mental, governança de IA e debate de casos. Para grade vigente e calendário, consulte ipog.edu.br. A discussão estruturada em ambiente acadêmico complementa a leitura isolada da regulação — e prepara o profissional para o cenário pós-PL 2338/2023, quando convertido em lei.