IA em conformidade com a HIPAA: ferramentas e agentes para a área da saúde

Segundo o relatório de 2026 do HIPAA Journal sobre violações de dados na área da saúde, esses incidentes afetaram cerca de 139,7 milhões de pessoas no ano anterior. Sem as devidas medidas de proteção e um contrato de conformidade, a adoção se torna um risco jurídico e financeiro.

Principais conclusões

• A IA em conformidade com a HIPAA exige criptografia, controles de acesso rigorosos e a assinatura de um Acordo de Parceria Comercial (BAA, na sigla em inglês).
• Nenhum modelo de IA, por si só, segue padrões de conformidade. A conformidade depende inteiramente de como o sistema é implantado e gerenciado.
• As plataformas de IA de nível empresarial impedem que dados confidenciais de saúde sejam utilizados para treinar modelos públicos.
• A IA agêntica automatiza com segurança fluxos de trabalho de várias etapas na área da saúde, como o processamento de pedidos de reembolso e o atendimento inicial de pacientes.

O que é IA em conformidade com a HIPAA?

HIPAA é a sigla para Health Insurance Portability and Accountability Act, uma a lei dos Estados Unidos que estabelece normas para a proteção de informações de saúde, e uma IA em conformidade com a HIPAA é qualquer sistema de inteligência artificial configurado para lidar com dados médicos confidenciais conforme as Regras de Privacidade e Segurança da HIPAA. O que determina se um sistema está sujeito à lei é a finalidade, e não a capacidade: um assistente de uso geral que responde a perguntas da equipe sobre a política de agendamento não está sujeito à HIPAA, enquanto o mesmo modelo subjacente passa a estar sujeito à lei no momento em que recebe um prontuário médico, um pedido de reembolso ou qualquer outra informação de saúde protegida (PHI).

Um sistema de IA está em conformidade com a HIPAA somente quando é executado em uma infraestrutura qualificada pela HIPAA, aplica os controles de acesso e auditoria exigidos e está coberto por um contrato formal com o fornecedor. A conformidade depende da implantação, da configuração e dos termos legais, e não do modelo subjacente. A integração robusta com o prontuário eletrônico garante que esses sistemas possam extrair com segurança os registros necessários sem expor o banco de dados como um todo.

Uma breve revisão: o que a HIPAA protege (PHI)

As PHI são informações de saúde individualmente identificáveis que uma entidade coberta pela HIPAA ou um parceiro comercial cria, recebe, armazena ou transmite. A HIPAA, promulgada em 1996, estabelece os parâmetros federais básicos para a proteção dessas informações. O Departamento de Saúde e Serviços Humanos dos Estados Unidos (HHS) define 18 identificadores que transformam dados de saúde em informações regulamentadas, entre os quais nomes, datas associadas a um indivíduo, números de prontuários médicos, identificadores biométricos e fotografias de rosto inteiro.

A HIPAA divide a responsabilidade entre as entidades abrangidas (planos de saúde, centrais de processamento de dados e a maioria dos prestadores de serviços) e os parceiros comerciais, ou seja, os fornecedores que fazem o tratamento das PHI em nome dessas entidades. Um fornecedor de IA que trata as PHI geralmente atua como parceiro comercial, função que o obriga a assinar um acordo de parceria comercial (BAA) e a cumprir as medidas de proteção previstas na Regra de Segurança.

Por que “a IA está em conformidade com a HIPAA?” é a pergunta errada

Perguntar se um modelo de IA está em conformidade com a HIPAA é uma pergunta equivocada, pois nenhum modelo de IA alcança essa conformidade por si só; é a implantação que determina a conformidade. O mesmo modelo pode estar em conformidade com a HIPAA em uma implantação e constituir uma violação em outra, dependendo de onde é executado, de como o acesso é controlado, se os dados de entrada são retidos ou utilizados para treinamento e se existe um contrato de conformidade em vigor. A implantação é o que vai distinguir um programa de IA sustentável na área da saúde de um que apresenta riscos ocultos.

Os requisitos essenciais para uma IA em conformidade com a HIPAA

Os principais requisitos para uma IA em conformidade com a HIPAA se baseiam em cinco pilares: criptografia de dados, controles de acesso, registros de auditoria, um acordo formal de conformidade e minimização de dados. Uma plataforma que não possua qualquer um desses elementos não pode ser considerada em conformidade, independentemente da capacidade do modelo subjacente.

Criptografia de dados (em trânsito e em repouso)

A criptografia de dados para IA em conformidade com a HIPAA exige que os dados dos pacientes sejam criptografados tanto em trânsito (Transport Layer Security, ou TLS 1.2+) quanto em repouso (Advanced Encryption Standard, ou AES-256) para evitar interceptações não autorizadas ou violações de segurança. Proteger apenas um dos dois deixa os registros expostos em um estado desprotegido. Atualmente, a criptografia é uma medida de proteção “opcional”, embora uma proposta do HHS feita em 2025 venha a torná-la obrigatória.

Controles rigorosos de acesso e autenticação

O padrão mínimo necessário da HIPAA exige que os usuários acessem apenas as informações médicas exigidas por sua função. Na prática, isso significa Controle de Acesso Baseado em Função (RBAC), IDs de usuário exclusivos e Autenticação Multifatorial (MFA), de modo que um agente de agendamento possa verificar a disponibilidade de consultas sem ter acesso às anotações clínicas. No caso dos sistemas de IA, o controle de acesso também determina quais dados um modelo ou agente pode recuperar durante a execução. Esse limite é tão ou mais importante quanto as permissões humanas relacionadas a ele. As integrações seguras com os prontuários eletrônicos desempenham um papel crucial nesse sentido, garantindo que os agentes consultem apenas o que é estritamente necessário.

Registro de auditoria e rastreabilidade

O registro de auditoria e a rastreabilidade em sistemas de IA em conformidade com a HIPAA mantêm registros imutáveis de quem acessou quais registros de pacientes, quando e quais ações foram realizadas em seguida. No caso dos agentes de IA, isso se estende às decisões que o agente toma: quais registros ele recuperou, quais ferramentas ele acionou e o que fez com o resultado. Essa rastreabilidade é o que torna possível a análise do comportamento de um agente posteriormente, o que é necessário tanto para o cumprimento das exigências de prestação de contas da HIPAA quanto para ser aprovado em uma auditoria do Escritório de Direitos Civis (OCR).

O acordo de parceria comercial (BAA)

O BAA é inegociável. Um fornecedor que trata as PHI deve assinar um acordo de parceria comercial no qual assuma a responsabilidade legal pela proteção dessas informações. O acordo deve especificar que o fornecedor não pode utilizar PHI para treinar seus modelos gerais, deve comunicar violações dentro de um prazo definido e deve exigir que seus próprios subcontratados cumpram os mesmos termos. Um fornecedor que se recuse a assinar um BAA não pode, legalmente, processar suas PHI. Além disso, as versões para consumidores ou gratuitas de assistentes de IA gerais não oferecem esse documento.

Minimização de dados e desidentificação

A minimização de dados e a desidentificação garantem que um sistema em conformidade processe apenas as PHI necessárias para uma determinada tarefa e desidentifique as informações sempre que o caso de uso permitir. A desidentificação segundo o método Safe Harbor consiste na remoção de todos os 18 identificadores da HIPAA, de modo que os dados fiquem fora do escopo da HIPAA; algumas ferramentas de IA aplicam a supressão automatizada de Informações de Identificação Pessoal (PII) antes que os dados sejam enviados ao modelo. Minimizar o que entra no sistema desde o início reduz tanto o risco de violação quanto a carga de trabalho relacionada às auditorias.

Como garantir a conformidade da IA com a HIPAA: uma lista de verificação rápida

Antes de implantar uma ferramenta de IA para o tratamento de PHI, verifique se:

• um BAA assinado já está em vigor e especifica os serviços que você utilizará;
• a hospedagem está em conformidade com a HIPAA e, quando necessário, oferece suporte à residência de dados nos EUA;
• a criptografia é aplicada durante a transmissão (TLS 1.2+) e em repouso (AES-256);
• o acesso é controlado por RBAC, IDs de usuário exclusivos e MFA;
• o registro de auditoria captura os acessos às PHI e as ações dos agentes;
• o fornecedor exclui contratualmente suas PHI do treinamento do modelo;
• a supervisão humana é definida para decisões de alto risco;
• a integração adequada do prontuário eletrônico é estabelecida para manter limites de segurança dos dados.

IA em conformidade com a HIPAA vs. IA de uso geral

A diferença prática entre a IA em conformidade com a HIPAA e a IA de uso geral está no enquadramento contratual e técnico em torno dos dados. As ferramentas para consumidores são desenvolvidas para uso geral e não oferecem um BAA, o que, por si só, torna as PHI inacessíveis. Os sistemas em conformidade são configurados e contratados para lidar com isso.

O problema dos dados de treinamento é o mais fácil de passar despercebido pelas equipes. Os planos para o consumidor final costumam usar dados de entrada para aprimorar seus modelos por padrão; portanto, colar o prontuário de um paciente em um assistente gratuito pode expor PHI, mesmo que nunca ocorra uma violação de segurança.

O que procurar em uma plataforma de IA empresarial em conformidade com a HIPAA

Uma plataforma de IA empresarial em conformidade com a HIPAA deve oferecer um escopo contratual abrangente, observabilidade de nível de auditoria, governança rigorosa e conectividade profunda com sistemas clínicos, indo além da conformidade básica. O cumprimento dos requisitos essenciais permite que uma ferramenta tenha acesso aos dados dos pacientes. A implementação da IA nas operações de saúde de uma organização (em grande escala, em diversos sistemas e sob auditoria) exige muito mais. Os critérios abaixo se concentram no que diferencia uma plataforma desenvolvida para produção daquelas que se limitam a cumprir os requisitos mínimos de conformidade:

• Escopo do BAA: o acordo abrange todos os serviços da pilha e vincula os subcontratados, não apenas o produto principal.
• Observabilidade em nível de auditoria: cada acesso a PHI e cada ação do agente são registrados, podem ser consultados e revisados em tempo real (não apenas armazenados para análise posterior).
• Governança e medidas de proteção: políticas de acesso, mascaramento de dados e pontos de verificação com intervenção humana são aplicados de maneira consistente em todos os fluxos de trabalho, e não apenas ferramenta por ferramenta.
• Orquestração entre fluxos de trabalho: a plataforma coordena o trabalho entre sistemas distintos e vários agentes, em vez de automatizar uma única tarefa isolada.
• Integração de prontuários eletrônicos e sistemas clínicos: os conectores fazem a ligação com os prontuários eletrônicos, sistemas de reembolso e aplicativos legados que não dispõem de APIs modernas. As integrações profundas com o prontuário eletrônico garantem um fluxo de dados contínuo e seguro.

IA em conformidade com a HIPAA por caso de uso

"A IA em conformidade com a HIPAA" não é uma única categoria de produto. Ela abrange ferramentas que redigem notas clínicas, modelos disponibilizados por meio de APIs para desenvolvedores, chatbots voltados para pacientes e agentes que executam fluxos de trabalho administrativos de ponta a ponta. Cada um deles lida com as PHI de maneira diferente; portanto, a escolha certa depende do fluxo de trabalho e do caminho que os dados percorrem, e não de um único ranking.

As categorias abaixo são ilustrativas, com ferramentas representativas em cada uma. A conformidade depende sempre da implantação e de um BAA assinado, e não do nome da ferramenta.

Documentação clínica e assistentes de registro com IA

As ferramentas de documentação clínica e os assistentes de registro com IA ouvem as consultas clínicas e redigem notas, exigindo contratos de conformidade rigorosos, pois processam prontuários médicos continuamente. Segundo um estudo de 2026 da Associação Médica Americana (AMA), os assistentes de IA ambientais reduzem o tempo de documentação em até 50%, poupando aos médicos, em média, 2,5 horas por dia. Uma vez que registram toda a conversa, um contrato assinado e uma hospedagem de nível empresarial são requisitos imprescindíveis. O Microsoft Dragon Copilot (sucessor unificado do DAX Copilot e do Dragon Medical One), o Ambience e o Nabla são exemplos representativos dessa categoria.

Modelos de IA e APIs corporativos em conformidade com a HIPAA

Os principais provedores de modelos oferecem ambientes em conformidade com a HIPAA para desenvolvedores que utilizam suas APIs. A OpenAI, o Google (por meio do Vertex AI) e a Anthropic assinarão, cada uma, um BAA abrangendo suas APIs e produtos corporativos, com as PHI excluídas do treinamento de modelos nos termos desses acordos. A ressalva é que as versões para consumidores desses assistentes não estão abrangidas e nunca devem processar PHI. A conformidade nesse caso depende da implementação dentro da configuração em conformidade com a HIPAA.

IA voltada para o paciente e para a triagem

Os sistemas de IA voltados para o paciente e de triagem gerenciam o atendimento inicial e o agendamento, combinando IA conversacional com a supressão em tempo real de informações confidenciais e acesso restrito a um escopo específico. Uma vez que esses sistemas interagem diretamente com os pacientes (muitas vezes antes que qualquer pessoa revise a troca de informações), essa supressão de dados precisa ocorrer no momento da inserção, e não posteriormente, e o acesso deve permanecer restrito ao que a tarefa inicial ou de triagem realmente exige. A Hyro e a Corti apresentam sua gama de produtos, que vai desde a automação digital de portas de entrada até a triagem clínica por voz.

IA agêntica para operações de saúde

A IA agêntica para operações de saúde coordena fluxos de trabalho administrativos de várias etapas entre sistemas, o que exige controles de acesso rigorosos, trilhas de auditoria e intervenção humana. Segundo a previsão da Gartner para 2026 sobre tecnologia na área da saúde, a IA agêntica pode reduzir os custos de processamento administrativo em até 30%, mantendo ao mesmo tempo a estrita conformidade. Em vez de dar suporte a uma única tarefa, os agentes coordenam fluxos de trabalho administrativos com várias etapas, extraindo dados de um sistema, validando-os em outro e encaminhando exceções a um funcionário, em todo o back office.

Uma vez que atuam em diversos sistemas e tomam decisões ao longo do processo, o sucesso ou o fracasso dessa categoria depende inteiramente da governança. É a categoria mais relevante para a ampliação da IA nas operações da área da saúde.

O papel da Automation Anywhere: automação agêntica para a administração da área da saúde

A Automation Anywhere oferece IA em conformidade com a HIPAA ao aplicar automação agêntica aos fluxos de trabalho administrativos que consomem mais tempo operacional no setor de saúde: processamento de pedidos de reembolso, autorização prévia, gestão do ciclo de receitas, admissão de pacientes, verificação de elegibilidade e integração de prestadores de serviços e fornecedores.

Trata-se de processos de alto volume e que envolvem vários sistemas, exatamente o tipo de trabalho que as ferramentas pontuais têm dificuldade em coordenar e que mais se beneficia da atuação de agentes que atuam entre sistemas, em vez de dentro de um único sistema.

O modelo de conformidade prioriza a governança. Os agentes operam sob controles de acesso obrigatórios, de modo que cada agente tenha acesso apenas às PHI necessárias para a realização de sua tarefa. Todas as ações dos agentes são registradas em logs com nível de auditoria, que registram o que foi acessado e o que ocorreu em seguida, e pontos de verificação com intervenção humana são estabelecidos nos pontos de decisão que envolvem risco clínico ou financeiro.

Essa combinação possibilita a automação agêntica na área da saúde em grande escala, ao mesmo tempo em que garante o cumprimento das normas exigidas pela HIPAA.

Riscos do uso de IA não conforme na área da saúde

Os riscos decorrentes do uso de IA não conforme na área da saúde incluem penalidades civis, notificações de violação, investigações do OCR e uma grave perda da confiança dos pacientes. Conforme as diretrizes de níveis de penalidades do HHS para 2026, as penalidades civis chegam agora a mais de US$ 2,15 milhões no nível mais alto, mas o maior risco é operacional e de reputação. O ano de 2025 bateu um recorde com 772 grandes violações de segurança. Basta uma única ferramenta não aprovada que processe dados de saúde sem que ninguém saiba para que uma organização seja incluída nessa lista.

Conclusão: Implantação segura da IA na área da saúde

A IA em conformidade com a HIPAA se resume a cinco requisitos (criptografia, controles de acesso, registros de auditoria, um BAA assinado e minimização de dados) e a um princípio: a conformidade é uma característica da implantação, não do modelo.

O caminho mais seguro para a expansão é a automação com governança, na qual os agentes atuam em fluxos de trabalho da área da saúde sob acesso restrito, total rastreabilidade e supervisão humana. Para saber como a automação agêntica se aplica às operações da área da saúde, conheça as soluções da Automation Anywhere para o setor de saúde.

Perguntas frequentes sobre IA em conformidade com a HIPAA

O que é IA em conformidade com a HIPAA?

A IA em conformidade com a HIPAA é uma inteligência artificial desenvolvida para fazer o tratamento de PHI conforme as Regras de Privacidade e Segurança da HIPAA. Ela exige criptografia em trânsito e em repouso, controles de acesso rigorosos, registros de auditoria e um BAA assinado com o fornecedor.

O que torna uma ferramenta de IA em conformidade com a HIPAA?

Uma ferramenta de IA passa a estar em conformidade com a HIPAA por meio de um BAA assinado, criptografia em trânsito e em repouso, controles de acesso rigorosos e hospedagem em conformidade com a HIPAA. A conformidade depende de como a ferramenta é implantada e contratada, e não do modelo de IA em si.

O ChatGPT ou o Claude estão em conformidade com a HIPAA?

As versões de uso geral do ChatGPT ou do Claude não estão em conformidade com a HIPAA, pois não assinam acordos legais e não devem tratar PHI. Ambos os provedores oferecem opções distintas para empresas e APIs que permitem BAAs e configurações em conformidade com a HIPAA para as organizações que precisarem delas.

Quais plataformas de agentes de IA estão entre as principais soluções de conformidade com a HIPAA?

As principais soluções de conformidade com a HIPAA para agentes de IA são avaliadas com base na disponibilidade de BAAs, infraestrutura em conformidade com a HIPAA, governança e observabilidade adequada para auditorias. A Automation Anywhere é uma plataforma corporativa que aplica a automação agêntica com governança aos fluxos de trabalho administrativos na área da saúde.

Os agentes de IA conseguem tratar PHI com segurança?

Sim, nas plataformas com mecanismos de governança e em conformidade com a HIPAA, que contam com criptografia, controles de acesso, trilhas de auditoria e supervisão por pessoas. A automação agêntica é capaz de processar fluxos de trabalho administrativos de grande volume, mantendo os controles exigidos pela HIPAA.