Consentimento do paciente para transcrição por IA sob PIPEDA e HIPAA

O consentimento do paciente para o uso de IA para transcrição não é um formulário único e universal. Trata-se de um fluxo de trabalho de privacidade que depende da legislação aplicável, dos dados coletados pela ferramenta, do motivo pelo qual a clínica a utiliza, de quais fornecedores e subcontratados recebem os dados, se o áudio é armazenado e se as informações são utilizadas para qualquer finalidade secundária.

A distinção mais importante é a seguinte: a PIPEDA geralmente torna o consentimento informado essencial para a coleta, o uso e a divulgação de informações pessoais, enquanto a HIPAA frequentemente permite que informações de saúde protegidas sejam usadas ou divulgadas para tratamento, pagamento e operações de assistência médica sem uma autorização separada do paciente. A HIPAA ainda exige uma autorização válida quando o uso ou a divulgação propostos não forem permitidos de outra forma, e outras leis federais, estaduais, provinciais, profissionais ou de registro podem adicionar requisitos de consentimento.

Aviso legal: Este artigo tem fins meramente educativos e não constitui aconselhamento jurídico. A PIPEDA e a HIPAA não se aplicam a todas as clínicas da mesma forma. Requisitos também podem surgir em virtude de leis provinciais de privacidade na área da saúde, leis estaduais americanas de privacidade e registro de dados, normas profissionais, contratos com operadoras de planos de saúde e políticas da organização. As clínicas devem consultar um advogado ou consultor jurídico qualificado em privacidade antes de alterar suas práticas de consentimento ou documentação.

Primeiro, determine qual lei de privacidade se aplica.

No Canadá, a PIPEDA aplica-se a organizações do setor privado que lidam com informações pessoais em atividades comerciais, nas circunstâncias previstas na lei. Alberta, Colúmbia Britânica e Quebec têm leis do setor privado substancialmente semelhantes, e várias províncias possuem estatutos de privacidade específicos para a área da saúde. A PIPEDA ainda pode ser aplicada a fluxos comerciais interprovinciais ou internacionais de informações pessoais e a organizações regulamentadas pelo governo federal. Uma clínica deve mapear as normas federais e provinciais aplicáveis antes de elaborar seu termo de consentimento.

Nos Estados Unidos, a HIPAA se aplica a planos de saúde, câmaras de compensação de saúde e prestadores de serviços de saúde que realizam transações eletrônicas específicas, além de seus parceiros comerciais. Um produto não está automaticamente sujeito à HIPAA simplesmente por lidar com informações relacionadas à saúde. A clínica deve determinar se é uma entidade coberta, se o fornecedor do sistema de transcrição por IA atua como um parceiro comercial e se outras leis protegem dados que não se enquadram na HIPAA.

Antes da implementação, confirme:

Qual organização controla as informações do paciente e qual lei ou leis as regem?
Se a ferramenta captura áudio ao vivo, cria uma transcrição, gera apenas uma anotação ou retém qualquer um desses registros.
Independentemente de os dados saírem dos sistemas da clínica, cruzarem uma fronteira provincial ou nacional ou chegarem a subcontratados.
Se o fornecedor utiliza informações identificáveis apenas para prestar o serviço ou também para análises, melhoria do produto ou treinamento de modelos.

PIPEDA: consentimento válido é mais do que um aviso.

Nos casos em que a PIPEDA se aplica, espera-se geralmente que uma organização obtenha um consentimento válido para a coleta, o uso e a divulgação de informações pessoais. O consentimento só é válido quando uma pessoa razoável entenderia a natureza, a finalidade e as consequências da prática. Um aviso na recepção ou uma cláusula de política de privacidade escondida podem não ser suficientes se não chamarem a atenção do paciente para os fatos importantes.

Para um escriba de IA, a conversa sobre consentimento deve enfatizar quatro elementos:

O que é coletado – por exemplo, um fluxo de áudio, transcrição, rascunho, identificadores e registros técnicos.
Quem recebe o documento – incluindo a clínica, o fornecedor de transcrição por IA, o provedor de hospedagem e os subprocessadores relevantes.
Por que é coletado, usado ou divulgado – como, por exemplo, para gerar um rascunho de nota clínica para revisão do médico.
Riscos e consequências materiais – incluindo retenção de dados, processamento transfronteiriço, possível acesso não autorizado e o que acontece se o paciente recusar ou retirar o consentimento.

A forma de consentimento deve refletir a sensibilidade da informação e as expectativas razoáveis do paciente. Informações de saúde são geralmente sensíveis, portanto, o consentimento expresso pode ser apropriado, particularmente quando a ferramenta grava uma conversa, introduz um terceiro inesperado, cria um risco residual significativo de dano ou propõe um uso além do suporte direto à documentação. O consentimento não pode transformar uma prática inadequada ou desnecessária em uma prática aceitável.

Os pacientes podem revogar o consentimento, sujeitos a restrições legais ou contratuais e mediante aviso prévio razoável. A revogação não exige necessariamente a exclusão de um prontuário médico finalizado quando outra lei ou norma profissional exigir que a clínica o mantenha. A clínica deve distinguir a interrupção de futuras capturas por IA da retenção do prontuário oficial.

Deveres da PIPEDA que continuam após o consentimento

Sala de consulta privada preparada para conversa de consentimento do paciente com assistente de IA

O consentimento é apenas um dos 10 princípios de informação justa da PIPEDA. Um programa de transcrição por IA defensável também deve abordar:

Responsabilidades: nomear um responsável pela privacidade, documentar as decisões, realizar uma avaliação de impacto na privacidade e uma análise de ameaças, e supervisionar o fornecedor.
Limitação da finalidade e minimização de dados: coletar apenas o que a finalidade documentada exige, obter novo consentimento para uma nova finalidade quando necessário e proibir usos secundários incompatíveis.
Retenção: defina por quanto tempo os áudios, transcrições, rascunhos, registros e notas finalizadas serão mantidos e como cada um será excluído com segurança.
Processamento por terceiros: utilize contratos ou outras medidas que ofereçam proteção comparável, limite o uso do processador, avalie os riscos transfronteiriços e seja transparente quando as informações puderem ser processadas no exterior.
Medidas de segurança: utilizar proteções administrativas, físicas e técnicas adequadas à sensibilidade das informações de saúde, incluindo controles de acesso, criptografia quando apropriado, registro de auditoria, treinamento e resposta a incidentes.
Acesso e precisão: apoiar o acesso do paciente e as solicitações de correção, e garantir que as informações geradas por IA sejam revisadas antes de serem incorporadas ao prontuário clínico.
Resposta a violações: reportar violações que criem um risco real de danos significativos ao Gabinete do Comissário de Privacidade do Canadá, notificar os indivíduos afetados conforme exigido e manter um registro de cada violação das salvaguardas por dois anos.

HIPAA: consentimento não é o mesmo que autorização.

De acordo com a Norma de Privacidade da HIPAA, uma entidade coberta geralmente pode usar ou divulgar informações de saúde protegidas para tratamento, pagamento e operações de assistência médica sem obter uma autorização separada do paciente. A HIPAA permite, mas não exige, que uma entidade coberta crie um processo de consentimento voluntário para essas atividades. Isso significa que uma clínica não deve afirmar que a HIPAA sempre exige que o paciente assine um formulário de consentimento para transcrição por IA.

Uma autorização HIPAA é diferente. Ela é necessária para usos ou divulgações que não são permitidos pela Norma de Privacidade e deve conter elementos específicos, incluindo as informações envolvidas, quem pode divulgá-las e recebê-las, a finalidade e uma data ou evento de expiração. Um breve aviso de transcrição por IA ou um consentimento geral para tratamento não substituem uma autorização válida quando esta for legalmente exigida.

O acordo de parceria comercial é fundamental.

Médico revisando a documentação do assistente de IA antes de adicionar anotações ao prontuário do paciente.

Um fornecedor de transcrição por IA que cria, recebe, mantém ou transmite informações de saúde protegidas em nome de uma entidade coberta pela HIPAA geralmente será considerado um parceiro comercial. As partes precisam de um contrato de parceria comercial em conformidade com a HIPAA antes que o serviço lide com informações de saúde protegidas (PHI). Um provedor de nuvem que armazena informações eletrônicas de saúde protegidas (ePHI) criptografadas em nome da clínica ainda pode ser considerado um parceiro comercial, mesmo que não possua a chave de descriptografia.

A clínica deve verificar se o acordo e a configuração do serviço abordam os seguintes pontos:

Usos e divulgações permitidos e obrigatórios, sem uso independente de PHI fora do contrato e da Norma de Privacidade.
Salvaguardas administrativas, físicas e técnicas, bem como a responsabilidade pelo controle de acesso, criptografia, backups e disponibilidade.
Relatórios de violações e incidentes de segurança, incluindo um cronograma contratual que permite à clínica cumprir seus próprios prazos.
Obrigações do subcontratado, devolução ou destruição de informações de saúde protegidas (PHI) no término do contrato e suporte para obrigações de acesso, alteração e prestação de contas.

Um acordo de parceria comercial é necessário quando exigido pela HIPAA, mas não comprova que o produto, a configuração ou o fluxo de trabalho da clínica estejam em conformidade. O HHS não certifica produtos específicos de transcrição por IA como "compatíveis com a HIPAA". Cada organização regulamentada deve realizar sua própria análise de risco e implementar medidas de segurança razoáveis e apropriadas.

Segurança HIPAA e resposta a violações

A Norma de Segurança HIPAA exige que as entidades cobertas e seus parceiros comerciais protejam a confidencialidade, a integridade e a disponibilidade das informações eletrônicas de saúde protegidas (ePHI) com salvaguardas administrativas, físicas e técnicas. A análise de risco é fundamental: a clínica deve inventariar onde as ePHI são criadas, recebidas, mantidas e transmitidas, e então abordar as ameaças e vulnerabilidades razoavelmente previsíveis.

O padrão de necessidade mínima da HIPAA geralmente exige esforços razoáveis para limitar as informações de saúde protegidas (PHI) ao estritamente necessário para a finalidade pretendida, embora as divulgações entre profissionais de saúde para tratamento sejam isentas desse padrão. Uma implementação de transcrição assistida por IA ainda deve usar acesso baseado em funções e restringir o processamento pelo fornecedor à finalidade acordada.

Caso ocorra uma violação de informações de saúde protegidas (PHI) não seguras, a Regra de Notificação de Violação da HIPAA pode exigir notificação aos indivíduos afetados, ao Departamento de Saúde e Serviços Humanos (HHS) e, em alguns casos, à mídia. Um parceiro comercial deve notificar a entidade coberta sem demora injustificada e no máximo em 60 dias corridos após a descoberta, embora o contrato geralmente deva exigir uma notificação mais rápida para que a clínica tenha tempo de investigar e responder.

O que deve ser dito aos pacientes antes da utilização de um assistente virtual (IA)

Independentemente de o mecanismo legal ser o consentimento informado, um aviso HIPAA, um processo de preferência voluntária ou uma autorização formal, a comunicação com o paciente deve estar alinhada com a tecnologia e os contratos utilizados. As clínicas devem estar preparadas para explicar:

Que a ferramenta auxilia na documentação e não substitui o profissional clínico.
Seja para ouvir ao vivo, gravar áudio, criar uma transcrição ou gerar apenas um rascunho.
Quem revisa a minuta e quando ela passa a fazer parte do prontuário médico?
Quais organizações processam as informações e onde esse processamento ocorre?
Por quanto tempo os áudios, transcrições, rascunhos e registros são mantidos.
Se os dados identificáveis são usados para treinamento de modelos ou para qualquer outra finalidade secundária.
Quais são as opções do paciente e o que acontece se ele recusar?
Como fazer uma pergunta sobre privacidade, solicitar acesso ou correção de dados, ou apresentar uma reclamação.

As clínicas devem fornecer aos pacientes um recurso em linguagem simples antes de qualquer gravação assistida por IA, para que os pacientes possam fazer perguntas e tomar uma decisão informada.

Roteiros voltados para o paciente que as clínicas podem adaptar

Paciente e médico discutem o consentimento do paciente para o uso de assistente virtual de transcrição em uma consulta privada.

Exemplo focado na PIPEDA

“Utilizo um sistema de IA para auxiliar na elaboração de um rascunho do seu relatório de consulta. Ele processa nossa conversa para esse fim, e eu reviso e corrijo o relatório antes de adicioná-lo ao seu prontuário. Nossa clínica pode explicar quais informações são coletadas, quais provedores de serviços as processam, onde são processadas, por quanto tempo o áudio ou a transcrição são armazenados e os riscos à privacidade. Você pode fazer perguntas ou optar por não utilizar o sistema de IA; podemos documentar a consulta de outra forma.”

A clínica deve adicionar apenas declarações que tenha verificado. Se o áudio não for armazenado, informe isso. Se as informações forem processadas fora do Canadá, explique isso claramente. Se a recusa tiver uma consequência operacional específica, descreva-a sem pressionar o paciente.

Exemplo com foco na HIPAA

“Utilizo um serviço de documentação por IA para me ajudar a criar um rascunho da anotação da consulta, para que eu possa me concentrar na nossa conversa. Reviso a anotação antes de ela ser arquivada no seu prontuário. O serviço lida com informações de saúde da nossa clínica, respeitando os requisitos de privacidade e segurança. Por favor, faça qualquer pergunta ou me avise se preferir que eu faça a documentação manualmente.”

Este texto é um exemplo de comunicação, não uma autorização HIPAA. Se a clínica planeja um uso ou divulgação que exija autorização, ela deve usar um documento que atenda à Norma de Privacidade e a qualquer outra lei aplicável.

E se o paciente recusar?

Antes da implementação, a clínica deve decidir como uma recusa afetará a consulta. Mesmo nos casos em que a HIPAA não exige autorização para o uso em questão, a clínica pode optar por oferecer a opção de recusa, e outra lei ou norma profissional pode exigir consentimento. De acordo com a PIPEDA, o paciente deve ter uma escolha real quanto à coleta, uso ou divulgação de dados não essenciais.

O fluxo de trabalho deve definir:

Se o profissional de saúde optar pela documentação manual sem afetar o atendimento.
Como a preferência chega ao médico antes do início da coleta de dados.
Se a preferência se aplica a uma visita específica ou a visitas futuras e como ela pode ser alterada.
Como a equipe evita condicionar o atendimento a práticas opcionais de dados ou pressionar o paciente.
Como lidar com menores, responsáveis legais, visitas virtuais, intérpretes e encontros delicados.

A equipe deve interromper a captura de dados imediatamente quando o fluxo de trabalho assim o exigir e documentar a preferência sem adicionar detalhes desnecessários ao prontuário clínico.

O que a clínica deve documentar

Um registro confiável deve mostrar tanto a etapa realizada com o paciente quanto o trabalho de conformidade por trás dela. Dependendo da legislação e das políticas aplicáveis, documente:

A análise jurídica e política utilizada para selecionar entre notificação, consentimento, recusa ou autorização.
O roteiro ou formulário aprovado, a data da versão, as opções de idioma e as adaptações de acessibilidade.
Quando e como o paciente foi informado, a resposta do paciente e qualquer desistência ou recusa.
O mapa de fluxo de dados, a avaliação do impacto na privacidade ou do risco de segurança, a análise do fornecedor e o responsável pela aprovação.
Os termos de processamento da PIPEDA ou o acordo de parceria comercial com a HIPAA e os compromissos relevantes dos subcontratados.
Cronogramas de retenção e exclusão para áudio, transcrições, rascunhos, notas finalizadas e registros.
Os procedimentos de acesso, correção, reclamação, incidente de segurança e resposta a violações de segurança.

Questões de fornecedores sob as leis PIPEDA e HIPAA

Um termo de consentimento não pode compensar um acordo pouco claro com o fornecedor. Antes da aprovação, a clínica deve obter respostas específicas e por escrito para as seguintes perguntas:

Quais são exatamente os elementos de dados coletados, gerados, armazenados e registrados?
O áudio é transmitido, gravado, retido ou apagado imediatamente após o processamento?
Quais entidades e subcontratados podem acessar os dados e em quais países?
O fornecedor pode usar dados identificáveis, pseudonimizados ou desidentificados para treinamento de modelos ou aprimoramento de produtos?
Quais configurações desativam o uso secundário e elas estão refletidas no contrato?
Como os usuários são autenticados, as permissões limitadas, as atividades registradas, os dados criptografados e os backups protegidos?
Com que rapidez o fornecedor reportará uma suspeita de incidente ou violação, e que provas apresentará?
Como o fornecedor oferece suporte para acesso, correção, exportação, retenção legal, exclusão e rescisão de contrato?

Antes de utilizar qualquer ferramenta de documentação com IA, a clínica deve realizar sua própria análise de privacidade e segurança, confirmar os termos contratuais e manter um registro de sua avaliação.

Perguntas frequentes

Será que todos os assistentes de IA para transcrição médica exigem o consentimento do paciente?

Não existe uma resposta única que se aplique a todos os casos. A PIPEDA geralmente exige consentimento explícito quando rege a coleta, o uso ou a divulgação de informações, sujeita a exceções previstas em lei. A HIPAA não exige uma autorização separada do paciente para tratamento, pagamento ou operações de assistência médica permitidas, mas pode exigir autorização para outros usos ou divulgações. Normas provinciais, estaduais, de registro e profissionais podem impor requisitos adicionais.

Um acordo de parceria comercial HIPAA é suficiente?

Não. Um BAA (Acordo de Parceiro Comercial) é necessário quando o fornecedor é um parceiro comercial, mas a clínica também deve confirmar a finalidade permitida, configurar a ferramenta adequadamente, realizar uma análise de risco, aplicar medidas de segurança, treinar a equipe, manter os direitos do paciente e se preparar para incidentes e violações.

O consentimento previsto na PIPEDA é suficiente?

Não. A organização permanece responsável por finalidades apropriadas, coleta limitada, precisão, salvaguardas, transparência, acesso, retenção, supervisão de fornecedores e resposta a violações de dados. O consentimento não implica renúncia a essas obrigações.

É possível usar informações do paciente para treinar um modelo de IA?

Não presuma que o consentimento documentado ou um Acordo de Parceiro Comercial (BAA) geral permita o treinamento de modelos. De acordo com a PIPEDA, uma nova finalidade pode exigir um novo consentimento significativo e ainda deve ser apropriada. De acordo com a HIPAA, um parceiro comercial pode usar informações de saúde protegidas (PHI) somente conforme permitido pelo seu BAA e pela Regra de Privacidade. Qualquer uso de dados anonimizados deve ser avaliado em relação ao padrão legal aplicável e ao contrato.

As leis de gravação ainda importam?

Sim. Se a ferramenta gravar ou interceptar áudio, as leis federais, provinciais ou estaduais de gravação e interceptação telefônica podem ser aplicáveis independentemente da PIPEDA ou da HIPAA. As clínicas devem verificar se é necessário o consentimento de uma ou todas as partes e se o atendimento virtual introduz outra jurisdição.

Conclusão

Um fluxo de trabalho robusto de consentimento para transcrição assistida por IA começa com a legislação aplicável, e não com um formulário genérico. Sob a PIPEDA, o foco deve ser o consentimento significativo, as finalidades apropriadas, a responsabilidade, a supervisão do processador, as salvaguardas, o acesso, a retenção e os registros de violação de dados. Sob a HIPAA, é fundamental distinguir o consentimento voluntário da autorização obrigatória, estabelecer um contrato de parceria comercial adequado, realizar uma análise de risco, restringir o uso de informações de saúde protegidas (PHI) aos usos permitidos e preparar-se para a notificação de violação de dados. Em ambos os sistemas, é essencial informar aos pacientes o que realmente acontece com suas informações e manter o profissional de saúde responsável pela nota final.