LGPD
巴西的通用数据保护法，规范个人数据的处理，对敏感数据（如医疗记录）设有严格规定，要求匿名化过程不可逆方可将数据排除在适用范围之外
时间轴 (近 90 天)
GDPR已成为全球隐私立法的模板，巴西LGPD、加州CCPA等均受其影响。
在受监管行业，AI治理框架需要映射到具体法规要求，例如巴西央行对金融机构外包和数据处理的规定、LGPD（巴西通用数据保护法）对个人数据的处理限制。
在巴西，诊断必须由持有 CFM 注册的医生做出（第 12.842/2013 号法律），远程医疗受 CFM 第 2.314/2022 号决议约束，具有医疗用途的软件归 ANVISA 的 RDC 657/2022 管辖，病历属于敏感个人数据（LGPD 第 11 条）。
LGPD第46条明确将匿名化数据排除在安全事件通知义务之外
根据LGPD第42条，控制者对匿名化过程的有效性承担客观责任，将匿名化外包给第三方供应商不能转移该责任
LGPD第11条规定，只要匿名化过程满足'不可逆'要求，匿名化数据即被排除在LGPD适用范围之外
LGPD第5条XII款和第11条I款将匿名化定义为不可逆过程
仅使用无盐哈希处理（如对CPF直接应用SHA-256）不构成LGPD下充分不可逆的匿名化，信息仍被视为个人数据
如果匿名化医疗记录意外与数据主体关联，其匿名化状态将被撤销，LGPD所有义务随即激活，包括事件通知（第48条）和潜在行政处罚
如果匿名化有效且不可逆，则使用匿名化医疗记录训练AI不需要患者同意，但匿名化之前的处理行为仍需要法律依据
还有 5 条时间轴事件
全部知识事实 (15)
GDPR已成为全球隐私立法的模板，巴西LGPD、加州CCPA等均受其影响。
50%待验证在受监管行业，AI治理框架需要映射到具体法规要求，例如巴西央行对金融机构外包和数据处理的规定、LGPD（巴西通用数据保护法）对个人数据的处理限制。
50%待验证在巴西，诊断必须由持有 CFM 注册的医生做出（第 12.842/2013 号法律），远程医疗受 CFM 第 2.314/2022 号决议约束，具有医疗用途的软件归 ANVISA 的 RDC 657/2022 管辖，病历属于敏感个人数据（LGPD 第 11 条）。
50%待验证LGPD第46条明确将匿名化数据排除在安全事件通知义务之外
50%待验证根据LGPD第42条，控制者对匿名化过程的有效性承担客观责任，将匿名化外包给第三方供应商不能转移该责任
50%待验证LGPD第11条规定，只要匿名化过程满足'不可逆'要求，匿名化数据即被排除在LGPD适用范围之外
50%待验证LGPD第5条XII款和第11条I款将匿名化定义为不可逆过程
50%待验证仅使用无盐哈希处理（如对CPF直接应用SHA-256）不构成LGPD下充分不可逆的匿名化，信息仍被视为个人数据
50%待验证如果匿名化医疗记录意外与数据主体关联，其匿名化状态将被撤销，LGPD所有义务随即激活，包括事件通知（第48条）和潜在行政处罚
50%待验证如果匿名化有效且不可逆，则使用匿名化医疗记录训练AI不需要患者同意，但匿名化之前的处理行为仍需要法律依据
50%待验证LGPD不要求匿名化的正式认证，但要求提供客观技术证据（包括处理记录、审计报告和阴性重新识别测试）以向ANPD证明合规
50%待验证CLM的深度安全层内置全流程安全治理机制，满足LGPD等法规要求
50%待验证巴西的LGPD和日本的APPI修正案在立法时明显借鉴了GDPR框架
50%待验证去中心化组网方案能满足企业对合规性和数据主权的需求，如 GDPR、中国《数据安全法》、巴西 LGPD 对网络元数据跨境传输的要求
50%待验证该巴西三级医院案例在LGPD框架下完成了CLM六个成熟度阶段中的前三个阶段实施验证
50%