A proteção de dados sempre foi um desafio para o setor da saúde e a rápida incorporação da inteligência artificial tornou esse cenário ainda mais complexo. Hospitais, clínicas, laboratórios, operadoras e healthtechs lidam diariamente com dados pessoais sensíveis, que circulam entre diferentes sistemas, fornecedores e profissionais. Por isso, garantir conformidade com a LGPD deixou de ser apenas uma questão documental para se tornar uma atividade permanente de gestão de riscos.

Muitas organizações ainda tratam a adequação à LGPD como um projeto de início, meio e fim. Não é isso. A operação muda continuamente: novos sistemas são implantados, fornecedores são contratados, serviços são digitalizados e ferramentas de IA passam a fazer parte da rotina. Se o programa de privacidade não acompanha essas transformações, políticas e inventários rapidamente deixam de refletir a realidade da organização.

Os riscos dessa desatualização vão muito além da possibilidade de sanções regulatórias. Um programa de governança desatualizado dificulta a identificação de incidentes, compromete a gestão de fornecedores, mantém controles incompatíveis com a operação e reduz a capacidade da empresa de demonstrar conformidade durante auditorias ou fiscalizações. Em um setor que trata informações capazes de impactar diretamente a vida das pessoas, isso representa uma vulnerabilidade significativa.

Esse movimento ganha ainda mais importância com o fortalecimento da atuação da ANPD, que tem ampliado a exigência por prestação de contas baseada em evidências. Hoje, não basta possuir políticas internas ou contratos. As organizações precisam demonstrar como identificam riscos, monitoram seus processos, avaliam fornecedores e mantêm controles efetivos ao longo do tempo.

Ao mesmo tempo, a Resolução CFM nº 2.454/2026 reforça que o uso de inteligências artificiais na medicina exige avaliação prévia dos riscos, monitoramento contínuo e supervisão humana. A norma evidencia que privacidade, IA e segurança da informação não podem ser tratadas como agendas independentes, pois compartilham os mesmos dados, riscos e responsabilidades.

Por isso, a governança precisa envolver diferentes áreas da organização, como jurídico, tecnologia, segurança da informação, compliance, compras e equipes assistenciais. A decisão de implantar uma solução de IA não deve considerar apenas sua eficiência técnica, mas também a qualidade dos dados utilizados, os possíveis vieses, os impactos sobre os pacientes e os mecanismos de supervisão e auditoria ao longo de todo o ciclo de vida da tecnologia.

Na saúde, conformidade deixou de significar apenas possuir documentos organizados. Governança efetiva é a capacidade de acompanhar continuamente as mudanças regulatórias, tecnológicas e operacionais, identificar riscos antes que se transformem em problemas e demonstrar, com evidências, que a proteção dos pacientes evolui na mesma velocidade que a inovação.

*Mariana Dessotti é fundadora e CEO da Axis AI & Privacy Governance.