O OpenEvidence está em conformidade com a HIPAA? BAA, PHI e uso seguro (2026)
O OpenEvidence diz cumprir a HIPAA e oferece um Business Associate Agreement a entidades cobertas dos EUA. Veja o que esse BAA cobre, quando a política do seu empregador ainda diz não e quais identificadores manter fora de qualquer IA.
Resposta curta: sim, segundo o OpenEvidence, com condições. O OpenEvidence declara cumprir integralmente a HIPAA e diz que entidades cobertas dos EUA que inserem informações de saúde protegidas (PHI) o fazem sob o seu Business Associate Agreement (BAA). Isso não significa que qualquer profissional possa colar dados de pacientes: se você trabalha para um hospital ou rede de saúde, quem decide são a política e os contratos do seu empregador, e pelo menos uma rede de saúde orienta a equipe a não inserir PHI porque não tem um BAA próprio com o OpenEvidence.
Aviso: a Arkangel AI escreveu este artigo e desenvolve uma ferramenta de IA clínica concorrente do OpenEvidence. Os dados sobre o OpenEvidence vêm apenas das páginas dele e das fontes indicadas abaixo, verificadas em outubro de 2026. Isto não é aconselhamento jurídico; consulte seu responsável de compliance antes de inserir PHI em qualquer ferramenta.
O que o OpenEvidence diz sobre a HIPAA (em outubro de 2026)
- Conformidade com a HIPAA. Em 25 de abril de 2025, o OpenEvidence anunciou que "cumpre integralmente" a HIPAA e que entidades cobertas dos EUA podem inserir PHI (anúncio). Sua página de segurança e compliance afirma que cumpre as regras de Privacidade, Segurança e Notificação de Violações da HIPAA.
- BAA. Seu Business Associate Agreement (atualizado em 5 de fevereiro de 2025) integra os Termos de Uso e só se aplica se o usuário for uma entidade coberta pela HIPAA e o OpenEvidence tratar PHI em nome dela. A página de segurança também menciona "acordos específicos com clientes".
- A responsabilidade continua sendo sua. O anúncio diz que cada usuário deve garantir que o que insere cumpre a HIPAA e outras leis de privacidade.
- Controles de segurança. O OpenEvidence informa SOC 2 Tipo II na categoria de segurança, criptografia em trânsito (TLS 1.2) e em repouso (AES-256), hospedagem no Google Cloud Platform e na Vercel e um teste de invasão externo anual (página de segurança).
- Treinamento e privacidade. Sua política de privacidade, atualizada em 17 de setembro de 2026, diz que as consultas são confidenciais e que não treina modelos de IA com PHI. As conversas são privadas por padrão, e só as que não têm PHI devem ser compartilhadas por link público.
Não conseguimos verificar em páginas públicas como o OpenEvidence confirma que um usuário individual é uma entidade coberta antes de aplicar o BAA, nem quais suboperadores tratam PHI. Pergunte ao fornecedor se isso importa para a sua avaliação.
O BAA cobre você?
O BAA é o contrato que a HIPAA exige antes de uma entidade coberta permitir que um fornecedor crie, receba, mantenha ou transmita PHI em seu nome (HHS sobre business associates). Se o BAA do OpenEvidence cobre o seu uso depende de quem é a entidade coberta:
| Sua situação | Pode inserir PHI no OpenEvidence? |
|---|---|
| Profissional ou consultório independente que é entidade coberta, após aceitar os Termos de Uso | O BAA do OpenEvidence foi pensado para esse caso; você continua responsável pelo uso mínimo necessário e pelo seu programa de HIPAA |
| Funcionário de hospital ou rede de saúde | Só se o empregador permitir. A rede é a entidade coberta; um BAA individual pode não cobrir os dados dela |
| Estudante, residente ou usuário não coberto | Não insira PHI; o BAA vale apenas para entidades cobertas |
| Fora dos EUA | A HIPAA é uma lei americana; vale a lei de privacidade local (no Brasil, a LGPD), e o OpenEvidence não está disponível na UE nem no Reino Unido desde 2026 (Telehealth.org) |
A segunda linha não é hipotética. A MaineHealth informa à equipe que não tem BAA com o OpenEvidence, que não chegou a termos aceitáveis e que BAAs individuais "não cobrem" o compartilhamento de dados da MaineHealth com terceiros, portanto não se deve inserir PHI (MaineHealth, verificado em outubro de 2026). Confira a política de IA da sua instituição antes de supor que está coberto.
O que você pode e não pode colar
Mesmo com BAA, a HIPAA espera que você compartilhe só o mínimo necessário. Sem BAA, mantenha fora qualquer identificador. O HHS lista 18 identificadores que precisam ser removidos para que a informação seja considerada desidentificada pelo método Safe Harbor (guia de desidentificação do HHS):
- Nomes
- Subdivisões geográficas menores que um estado (endereço, cidade, condado, CEP, com exceção limitada para os três primeiros dígitos)
- Todos os elementos de datas, exceto o ano (nascimento, internação, alta, óbito), e idades acima de 89 anos
- Números de telefone
- Números de fax
- E-mails
- Números do seguro social
- Números de prontuário
- Números de beneficiário de plano de saúde
- Números de conta
- Números de certificados ou licenças
- Identificadores e números de série de veículos, incluindo placas
- Identificadores e números de série de dispositivos
- URLs
- Endereços IP
- Identificadores biométricos, incluindo impressões digitais e de voz
- Fotografias de rosto inteiro e imagens comparáveis
- Qualquer outro número, característica ou código único
Dois detalhes do mesmo guia costumam passar despercebidos: iniciais ou os últimos quatro dígitos de um número de documento continuam sendo identificadores, e identificadores em texto livre (uma evolução ou resumo de alta colado) devem ser removidos como os campos estruturados. Uma profissão rara ou um evento incomum também pode identificar o paciente.
Em geral, sem PHI: "Paciente de 62 anos com DRC estágio 3b e fibrilação atrial nova: qual anticoagulante e qual dose?"
Não serve sem um BAA que cubra você: uma nota colada com nome do paciente, número de prontuário, data de internação ou foto do prontuário.
Como usar IA clínica com segurança
- Por padrão, faça perguntas desidentificadas. A maioria das perguntas de evidência precisa de faixa etária, sexo, condição e valores-chave, não de identidade.
- Saiba qual BAA se aplica. Consulte a lista de ferramentas aprovadas pelo seu empregador; se a ferramenta não estiver nela, não insira PHI.
- Nunca envie documentos com identificadores (exames, laudos, fotos), a menos que sua organização tenha aprovado a ferramenta para PHI.
- Verifique cada citação. Abra o estudo ou a diretriz por trás da resposta antes de agir.
- Não compartilhe conversas com PHI. Use links públicos apenas para chats desidentificados.
- Mantenha o registro no prontuário eletrônico, não no histórico de um chatbot.
Como a Arkangel AI trata a privacidade
A Arkangel AI é uma busca médica com citações e uma alternativa ao OpenEvidence. Sobre privacidade, isto é o que declaramos publicamente:
- Certificação ISO 27001:2022, com mais de 70 controles de segurança, testes de invasão e monitoramento contínuo via Vanta (Trust Center).
- Conformidade com a HIPAA e BAA apenas nos planos Enterprise. O que é inserido nos planos self-service Free, Pro e Team não é coberto pela HIPAA; remova nomes, números de prontuário, datas e outros identificadores antes de perguntar.
- Respostas com citações em português, inglês, espanhol e francês, sem exigir NPI dos EUA.
Veja nossa página de segurança e compliance, os preços e a comparação alternativa ao OpenEvidence. Para uma visão mais ampla, leia melhores IAs para médicos em 2026 ou IA para médicos.
Perguntas frequentes
O OpenEvidence está em conformidade com a HIPAA?
O OpenEvidence declara cumprir integralmente a HIPAA, incluindo as regras de Privacidade, Segurança e Notificação de Violações, e oferece um Business Associate Agreement a entidades cobertas dos EUA por meio dos Termos de Uso. Os usuários continuam responsáveis pelo que inserem, e empregadores podem proibir PHI.
O OpenEvidence assina BAA?
Sim. Seu BAA padrão, atualizado em 5 de fevereiro de 2025, integra os Termos de Uso e só se aplica quando o usuário é uma entidade coberta e o OpenEvidence trata PHI em nome dela. A página de segurança também menciona acordos específicos para organizações.
Posso inserir dados de pacientes no OpenEvidence?
Só se um BAA aplicável ao seu uso cobrir você e seu empregador permitir. Se você trabalha para uma rede de saúde, a política dela decide; algumas pedem para não inserir PHI. Na dúvida, remova os 18 identificadores da HIPAA e faça uma pergunta desidentificada.
O que conta como PHI em um prompt de IA?
Informação de saúde ligada a qualquer um dos 18 identificadores listados pelo HHS, como nomes, datas mais específicas que o ano, CEPs, números de prontuário, telefones ou fotos do rosto. Iniciais e números parciais também contam, assim como identificadores dentro de texto livre colado.
O OpenEvidence treina a IA com dados de pacientes?
Sua política de privacidade, atualizada em 17 de setembro de 2026, afirma que não treina modelos de IA com informações de saúde protegidas e que as consultas dos usuários são confidenciais.
O OpenEvidence está disponível fora dos Estados Unidos?
O OpenEvidence é voltado a profissionais de saúde verificados nos EUA e, desde 2026, não está disponível na UE nem no Reino Unido. A HIPAA é uma lei americana; em outros países valem as regras locais de proteção de dados, como a LGPD no Brasil.
Fontes (verificadas em outubro de 2026)
- OpenEvidence. OpenEvidence is now HIPAA compliant (25 de abril de 2025); Security and Compliance; Business Associate Agreement; Privacy Policy.
- Departamento de Saúde e Serviços Humanos dos EUA (HHS). Guia de desidentificação e Business associates.
- MaineHealth. Aviso à equipe sobre o OpenEvidence.
- Telehealth.org. Saída do OpenEvidence da Europa.
- Arkangel AI. Trust Center.