Conformidade: LGPD e normas do Conselho de Medicina

Por que esta página existe

Tecnologia aplicada à medicina não se sustenta apenas na qualidade técnica. Ela precisa operar dentro de um marco normativo que protege o paciente, preserva a autonomia do médico e disciplina o tratamento de dados sensíveis.

A Kyon Med foi construída sob esse marco, e não adaptada a ele depois. Nesta página explicamos, de forma verificável, quais normas se aplicam à nossa operação e como cada exigência se traduz em decisões concretas de arquitetura, de processo e de contrato.

Esta página trata da fundamentação normativa. As regras aplicáveis ao tratamento de dados, ao uso de cookies e à relação contratual com o profissional estão nos documentos abaixo.

Mapa normativo aplicável

1. Lei Geral de Proteção de Dados

Dados de saúde são dados pessoais sensíveis (art. 5º, II) e submetem-se ao regime reforçado do art. 11 da LGPD. A conformidade, nesse contexto, não se resolve com um aviso de privacidade: ela precisa estar na arquitetura.

1.1. Separação de papéis definida em contrato

A plataforma opera com divisão formal de papéis: o profissional ou a clínica figura como controlador dos dados de pacientes, e a Kyon Med como operadora, tratando os dados conforme instruções documentadas. Essa definição não é apenas declaratória; ela determina quem responde por cada obrigação legal e está refletida nos instrumentos contratuais firmados com cada clínica.

O detalhamento dessa divisão está na Política de Privacidade, seção 6.

1.2. Base legal específica para dados de saúde

O tratamento de dados clínicos na plataforma apoia-se no art. 11, II, alínea "f", da LGPD, que autoriza o tratamento de dados sensíveis para tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde ou serviços de saúde. É a hipótese legal adequada ao contexto assistencial, e não o consentimento genérico, frequentemente utilizado de forma inadequada no setor.

1.3. Medidas de segurança adotadas

• Segregação lógica por clínica, de modo que os dados de um contratante não sejam acessíveis a outro;
• Criptografia de dados em trânsito e em repouso;
• Controle de acesso baseado em papéis, com princípio do menor privilégio;
• Trilhas de auditoria que registram quem acessou qual informação e quando;
• Despersonalização de dados antes de qualquer utilização para aprimoramento de modelos;
• Encarregado de Dados (DPO) designado, com canal público de contato.

1.4. Privacy by design e privacy by default

Os conceitos de privacidade desde a concepção e por padrão, expressamente definidos no Anexo I da Resolução CFM nº 2.454/2026, orientam o desenvolvimento da plataforma: a configuração padrão é sempre a mais restritiva, e a exposição de dados identificáveis é minimizada em todo o ciclo de vida do sistema.

2. Resolução CFM nº 2.454/2026: inteligência artificial na medicina

Publicada em 27 de fevereiro de 2026 e vigente desde 26 de agosto de 2026, esta resolução é o marco regulatório da IA na medicina brasileira. Ela não proíbe o uso da tecnologia: reconhece-o formalmente e o condiciona a governança, transparência e supervisão humana. Abaixo, a correspondência entre as exigências da norma e a arquitetura da Kyon.

2.1. A IA como ferramenta de apoio, com autoridade final do médico

O art. 4º, I, estabelece que o médico deve empregar a IA exclusivamente como ferramenta de apoio, mantendo-se responsável final pelas decisões clínicas. O art. 18, §2º, determina que a decisão sobre diagnóstico, prognóstico, prescrição ou qualquer ato médico caberá sempre ao médico, que pode acolher ou rejeitar as sugestões da IA.

Na Kyon: a funcionalidade apresenta hipóteses e sugestões de exames, jamais conclusões diagnósticas. A interface exibe de forma permanente a natureza auxiliar do recurso, e nenhuma ação clínica é executada automaticamente pelo sistema. O art. 15, parágrafo único, é explícito ao afirmar que as soluções de IA não são soberanas e que a supervisão humana é obrigatória; a plataforma foi desenhada para tornar essa supervisão inevitável, e não opcional.

2.2. Autonomia profissional preservada

O art. 19 assegura ao médico o direito de não utilizar ou de desligar sistemas de IA que julgue inadequados, e o §1º veda a penalização de quem opte por não seguir a orientação da IA.

Na Kyon: o uso da rede neural é facultativo em cada atendimento. O profissional pode registrar o prontuário integralmente sem acionar a funcionalidade, e a plataforma não condiciona nenhuma função ao uso da IA nem produz métricas que induzam sua adoção.

2.3. Transparência e explicabilidade

O art. 3º, II, assegura ao médico o direito de acesso a informações claras sobre funcionamento, finalidades, limitações, riscos e grau de evidência científica dos sistemas. O Anexo I define explicabilidade como a possibilidade de compreender como o sistema chegou a determinado resultado, e contestabilidade como a possibilidade de revisão dos resultados.

Na Kyon: cada sugestão é rastreável. O profissional pode consultar os elementos considerados pela rede, e a documentação sobre capacidades, limitações e vieses conhecidos é disponibilizada aos usuários. As limitações inerentes da tecnologia estão descritas de forma expressa nos Termos de Uso para Profissionais Médicos, cláusula 9.

2.4. Registro no prontuário e rastreabilidade

O art. 4º, V, impõe ao médico o dever de registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão. Esse registro é o elemento central de gestão do risco, pois permite reconstituir, posteriormente, quem decidiu o quê.

Na Kyon: a plataforma registra automaticamente a utilização da funcionalidade e preserva o vínculo entre a sugestão apresentada e a conduta efetivamente adotada pelo profissional, entregando ao médico o meio técnico de cumprir seu dever normativo sem trabalho adicional.

2.5. Comunicação ao paciente e direito de recusa

O art. 5º, §2º, veda ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem mediação humana. O §1º assegura ao paciente o direito de ser informado quando a IA for utilizada como apoio relevante, e o §3º garante o direito de recusa informada.

Na Kyon: a funcionalidade de apoio à decisão é acessível exclusivamente ao profissional, em ambiente autenticado. Nenhuma sugestão da rede neural é exibida ou enviada ao paciente. O agente de atendimento que interage com pacientes por mensagem opera em escopo estritamente administrativo, de agendamento e orientação operacional, sem emitir conteúdo diagnóstico.

2.6. Proteção e qualidade dos dados

O art. 6º, §3º, veda ao médico utilizar sistemas de IA que não garantam padrões mínimos de segurança compatíveis com dados pessoais sensíveis. O art. 16 determina que os dados utilizados no desenvolvimento, treinamento, validação e implementação observem rigorosamente a proteção de dados e as normativas de segurança da informação em saúde. O art. 17 exige proteção eficaz contra destruição, perda, alteração, acesso não autorizado e vazamento.

Na Kyon: aplicam-se as medidas descritas na seção 1.3 desta página, somadas à despersonalização prévia de dados utilizados para aprimoramento de modelos e à segregação de ambientes por contratante. O detalhamento do tratamento para aprimoramento de modelos consta da Política de Privacidade, seção 5.

2.7. Classificação de risco

Os arts. 12 e 13 exigem avaliação preliminar de risco, com categorização em baixo, médio, alto ou inaceitável, considerando o impacto nos direitos fundamentais, a criticidade do contexto, o grau de autonomia do modelo, a finalidade e o nível de intervenção humana no resultado.

Enquadramento da funcionalidade: o Anexo II define como médio risco as aplicações que apoiam decisões clínicas importantes, mas não as executam de forma autônoma, de modo que erros possam ser detectados e corrigidos pelo profissional antes de causarem dano. É exatamente a natureza da funcionalidade de apoio à decisão da Kyon: grau de autonomia nulo, intervenção humana obrigatória em todas as etapas e ausência de execução automatizada de qualquer ato clínico.

Essa classificação é reavaliada periodicamente, conforme exige o §2º do Anexo II, sempre que houver alteração de funcionalidade, de contexto de uso ou de grau de autonomia.

A avaliação preliminar de risco é obrigação da instituição médica que desenvolve ou contrata o sistema (art. 12). A Kyon fornece às clínicas contratantes a documentação técnica necessária para que realizem e documentem essa avaliação.

2.8. Governança do ciclo de vida

O Anexo III exige transparência sobre o emprego da IA, prevenção e mitigação de vieses discriminatórios, gestão do ciclo de vida como produto, interoperabilidade, auditabilidade e acesso de órgãos de controle a relatórios.

Na Kyon: mantemos documentação do ciclo de vida dos modelos, rotinas de monitoramento de desempenho, processos de revisão periódica e registro das atualizações relevantes. Monitoramos resultados para identificação de vieses e adotamos medidas corretivas quando identificados. Atendemos a requisições legítimas de Conselhos de Medicina e demais autoridades competentes, nos limites legais e resguardados o segredo industrial e comercial, conforme faculta o art. 1º, §2º.

2.9. Interoperabilidade e customização

O Anexo III, itens IV e V, orienta a preferência por soluções interoperáveis, que permitam customização e treinamento adicional com dados locais, em detrimento de sistemas totalmente fechados.

Na Kyon: a plataforma oferece APIs e integrações, e a rede neural é ajustável ao contexto de cada clínica, característica que atende diretamente à diretriz de adaptabilidade prevista na norma.

3. Prontuário eletrônico

O módulo de prontuário está sujeito a regime normativo próprio, anterior e independente da regulamentação de IA.

3.1. Marco legal

A Lei nº 13.787/2018 rege a digitalização e a utilização de sistemas informatizados para guarda, armazenamento e manuseio de prontuário, determinando expressamente, em seu art. 1º, que essa atividade é regida também pela LGPD. A Resolução CFM nº 1.821/2007 aprova as normas técnicas correspondentes e o Manual de Certificação para Sistemas de Registro Eletrônico em Saúde (S-RES).

3.2. Níveis de garantia de segurança

A certificação SBIS-CFM classifica os sistemas em níveis de garantia de segurança. O NGS2 exige a utilização de certificado digital para assinatura e autenticação e é o nível requerido para que a guarda eletrônica dispense o registro em papel, nos termos dos arts. 3º e 4º da Resolução CFM nº 1.821/2007.

Na Kyon: a plataforma incorpora os controles técnicos previstos no Manual de Certificação, incluindo controle de acesso e autenticação, registro de auditoria, controle de versão, disponibilidade e assinatura digital com certificado ICP-Brasil.

3.3. Guarda e eliminação

Os prazos de guarda do prontuário seguem a regulamentação do CFM e a legislação aplicável, e prevalecem sobre eventuais solicitações de eliminação, nos termos do art. 16 da LGPD. A plataforma preserva a integridade e a irretratabilidade dos registros clínicos, impedindo alteração não rastreável de conteúdo já assinado.

4. Telemedicina

A Resolução CFM nº 2.314/2022 regulamenta a telemedicina no Brasil e impõe requisitos que alcançam diretamente as plataformas de comunicação e arquivamento de dados.

4.1. Requisitos aplicáveis à plataforma

• Art. 3º: os dados e imagens dos pacientes devem ser preservados, observadas a guarda, a integridade, a veracidade, a confidencialidade, a privacidade, a irrefutabilidade e a garantia do sigilo profissional;
• Registro em S-RES: o atendimento por telemedicina deve ser registrado em Sistema de Registro Eletrônico de Saúde que atenda aos requisitos do NGS2, no padrão ICP-Brasil ou outro legalmente aceito;
• Art. 4º: é assegurada ao médico a autonomia de decidir se utiliza ou recusa a telemedicina, indicando o atendimento presencial sempre que entender necessário;
• Art. 17: as pessoas jurídicas que prestam serviços de telemedicina, inclusive as plataformas de comunicação e arquivamento de dados, devem ter sede em território nacional e estar inscritas no Conselho Regional de Medicina do estado onde estão sediadas, com responsabilidade técnica de médico regularmente inscrito no mesmo Conselho.

4.2. Como a Kyon atende

A sala virtual é integrada ao prontuário e à agenda, com transmissão protegida e registro do atendimento no próprio sistema de registro eletrônico, sem dependência de ferramentas externas não auditáveis. A infraestrutura de dados clínicos está estabelecida em território nacional.

5. Publicidade médica

O art. 7º, §3º, da Resolução CFM nº 2.454/2026 determina que o uso de sistemas de IA com finalidade mercantil, publicitária ou promocional observe rigorosamente as normas éticas de publicidade médica, disciplinadas pela Resolução CFM nº 2.336/2023.

Na Kyon: nossa comunicação institucional e comercial observa essas normas. Não anunciamos acurácia diagnóstica, não prometemos resultado clínico, não utilizamos linguagem sensacionalista e descrevemos a funcionalidade como apoio à decisão, jamais como substituição do médico. A mesma exigência é contratualmente estendida a parceiros, embaixadores e profissionais que divulgam a plataforma.

6. Assinatura digital e validade jurídica

A assinatura de prescrições, atestados, laudos e demais documentos médicos na plataforma utiliza certificado digital no padrão ICP-Brasil, instituído pela Medida Provisória nº 2.200-2/2001, que confere presunção de autenticidade e integridade aos documentos eletrônicos assinados.

A senha do certificado não é armazenada pela plataforma, sendo utilizada exclusivamente para validação local no dispositivo do profissional.

7. Governança e documentação

A conformidade se sustenta em documentação verificável. Mantemos:

• Registro das operações de tratamento de dados, conforme o art. 37 da LGPD;
• Documentação técnica dos modelos, das bases utilizadas e dos processos de validação;
• Avaliação preliminar de risco da funcionalidade de IA e sua revisão periódica;
• Registro de incidentes e respectivo plano de resposta;
• Versionamento e arquivamento dos termos e políticas, com registro auditável dos aceites;
• Contratos de tratamento de dados com clínicas contratantes e cláusulas de proteção com fornecedores.

8. Divisão de responsabilidades

A Resolução CFM nº 2.454/2026 é clara ao estabelecer, no art. 7º, que o médico permanece integralmente responsável pelos atos médicos praticados com auxílio de IA, e, no art. 3º, V, ao assegurar-lhe proteção contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema, desde que comprovado o uso diligente, crítico e ético da ferramenta.

Essa repartição está detalhada nos Termos de Uso para Profissionais Médicos, cláusulas 4, 5, 10 e 11, e nos instrumentos contratuais firmados com clínicas. Em síntese: a decisão clínica é do médico; a integridade, a segurança e o funcionamento adequado da tecnologia são da Kyon Med.

10. Canal de transparência

Dúvidas sobre conformidade, solicitações de documentação técnica para avaliação de risco, requisições de autoridades e questões relativas a dados pessoais podem ser dirigidas ao nosso Encarregado pelo Tratamento de Dados Pessoais, pelo e-mail dpo@kyonmed.com.

Médicos e clínicas contratantes podem solicitar a documentação necessária ao cumprimento de suas próprias obrigações de governança previstas no art. 14 e no Anexo III da Resolução CFM nº 2.454/2026.