IA para nutricionistas: é legal e ética? Guia sobre o RGPD e o AI Act
Equipe CibusSim, um nutricionista pode usar legalmente a inteligência artificial na sua prática, sob três condições: (1) os dados dos pacientes devem ser tratados sobre uma base jurídica correta segundo o RGPD, (2) o fornecedor do software deve assinar um acordo de tratamento de dados (DPA nos termos do art. 28 do RGPD) e não usar os dados para treinar os seus modelos, (3) toda decisão clínica deve permanecer sob a supervisão do profissional.
O que diz o RGPD sobre os dados dos pacientes
Os dados que trata todos os dias — anamnese, patologias, medições, objetivos — são dados relativos à saúde, a categoria mais protegida pelo RGPD (art. 9.º). Em resumo, para os tratar com qualquer ferramenta digital precisa de:
- Uma base jurídica adequada: para o tratamento com finalidade de cuidados aplica-se o art. 9.º, n.º 2, alínea h); para ferramentas que vão além dos cuidados em sentido estrito, é prática recolher o consentimento explícito do paciente.
- Uma política de privacidade atualizada, que mencione as ferramentas digitais e as eventuais funcionalidades de IA utilizadas.
- Fornecedores nomeados subcontratantes com um DPA nos termos do art. 28.º: sem esse documento assinado, está a violar o RGPD mesmo que o software seja excelente.
- Medidas de segurança adequadas: cifragem, controlo de acessos, servidores na União Europeia.
Por que NÃO colar os dados dos pacientes no ChatGPT
- 1Sem DPA: as versões de consumo dos chatbots não preveem um acordo de tratamento de dados com o profissional de saúde. É você o responsável pelo tratamento e está a transferir dados de saúde para uma entidade não nomeada.
- 2Possível uso para treino: consoante as definições, o conteúdo introduzido pode ser usado para melhorar os modelos.
- 3Transferências para fora da UE sem as garantias exigidas.
A diferença não é «IA sim / IA não»: é entre IA de consumo e IA profissional. Um software de saúde sério usa a IA dentro de um perímetro conforme: DPA assinado, servidores na UE, nenhum treino com os dados dos seus pacientes, registos e controlos de acesso.
AI Act: o que muda para quem trabalha na área da saúde
- Transparência: o paciente deve saber quando interage com conteúdos gerados com o apoio da IA.
- Supervisão humana: os sistemas que apoiam decisões na área da saúde devem manter o profissional no centro. A IA propõe, o profissional decide.
Traduzindo: se usa a IA para gerar o rascunho de um plano ou de um relatório, revê-o, assina-o e assume a responsabilidade profissional por ele — exatamente como faria com o trabalho de um assistente humano.
A ética: a IA substitui o nutricionista?
Não — e quem o promete está a vender mal a IA. Um plano alimentar não é um cálculo: é um ato profissional que tem em conta patologias, exames, adesão, psicologia e a vida real do paciente. A IA faz muito bem a parte mecânica (estruturar o rascunho, calcular os macros, redigir o relatório) e muito mal a parte clínica e humana.
- Transparência com o paciente: uma linha na política de privacidade e, se o paciente pedir, uma explicação simples.
- Revisão sistemática: nunca entregar um resultado da IA sem revisão profissional.
- Competência atualizada: a IA não corrói as suas competências se continuar a ser você a decidir; corrói-as se abdicar.
Como a Cibus gere os dados (e por que o contamos com gosto)
A Cibus nasce em Itália para profissionais de saúde italianos, e a conformidade não é um apêndice: é arquitetura. É uma diferença substancial face a muitas ferramentas de IA para a saúde nascidas nos Estados Unidos e concebidas em torno de normas americanas como a HIPAA: para um profissional europeu, um fornecedor fora da UE significa ter de justificar transferências de dados de saúde para fora da União.
- Empresa italiana, dados na Europa: nenhuma transferência para fora da UE a justificar.
- DPA nos termos do art. 28.º do RGPD pronto para cada cliente.
- Servidores na União Europeia.
- Nenhum treino dos modelos de IA com os dados dos seus pacientes.
- Cifragem e controlo de acessos em todos os dados.
Quer usar a IA com os seus pacientes de forma conforme?
Deixe os seus contactos e mostramos-lhe como a Cibus une IA e RGPD, com DPA e modelos de política de privacidade já prontos.
Perguntas frequentes
Posso introduzir os dados dos meus pacientes no ChatGPT?
Não, nas versões de consumo não: faltam o DPA nos termos do art. 28.º, as garantias sobre as transferências e a exclusão do treino. Use ferramentas profissionais concebidas para dados de saúde.
É preciso um consentimento específico para usar a IA com os pacientes?
É preciso uma política de privacidade atualizada que mencione as ferramentas utilizadas; consoante as finalidades pode ser necessário o consentimento explícito. Para o seu caso específico, consulte o seu consultor de privacidade.
Quem é responsável se a IA errar num plano alimentar?
O profissional continua responsável pelo ato profissional: por isso todo resultado da IA deve ser revisto antes da entrega. É o mesmo princípio da supervisão de um colaborador.
O que é um DPA e por que devo pedi-lo ao meu fornecedor?
É o acordo (art. 28.º do RGPD) que nomeia o fornecedor como subcontratante e define as suas obrigações e limites. Sem um DPA assinado, o uso de qualquer software com dados de pacientes é uma violação.
Posso usar um software de IA americano com os dados dos meus pacientes?
Com muita cautela: as ferramentas nascidas para o mercado dos EUA são concebidas em torno da HIPAA, não do RGPD, e implicam transferências de dados de saúde para fora da UE que devem ser justificadas com garantias específicas. Um fornecedor europeu com servidores na UE elimina o problema pela raiz.