Segurança de dados em IA médica: o checklist de conformidade antes de contratar
Segurança de dados em IA médica é a pergunta que separa uma decisão de compra madura de um problema de compliance guardado para depois. Se você gere uma clínica ou um grupo médico, sabe que colocar uma ferramenta para ouvir consultas e escrever notas não é só uma escolha de produtividade — é assumir um novo ponto de contato com o dado mais sensível que sua operação manuseia. Este artigo é o checklist que você leva para a mesa antes de assinar: cinco itens objetivos, cada um vira uma pergunta ao fornecedor, e a qualidade da resposta já diz se vale seguir a conversa. Nada de selo na página inicial; o que interessa é o que está na arquitetura e no contrato.
Criptografia em trânsito e em repouso
O primeiro item do checklist é o mais básico e, por isso mesmo, o que separa fornecedor sério de improviso: como o dado viaja e como ele fica parado. Criptografia em trânsito protege a informação enquanto ela vai do consultório ao servidor de processamento — sem ela, a conversa entre a clínica e a ferramenta pode ser interceptada. Criptografia em repouso protege o que precisa ficar armazenado, como a nota estruturada e os documentos gerados. Os dois são padrão de mercado há anos; a ausência de qualquer um deles não é detalhe técnico, é sinal vermelho.
Para o gestor, o ponto não é virar especialista em cifragem, e sim saber fazer a pergunta e reconhecer a resposta. Um fornecedor maduro descreve com naturalidade que o tráfego é criptografado e que o dado armazenado também está — porque isso foi projetado desde o começo. Um imaturo responde com "levamos segurança a sério" e muda de assunto. Anote a diferença: a régua aqui é a capacidade de descrever a proteção de forma concreta, não a de reafirmar boa intenção.
Vale um lembrete que muda o peso deste item. Criptografia protege o dado que existe — e boa parte do risco em IA clínica está justamente em quanto dado a ferramenta decide guardar. Criptografar bem é obrigatório, mas o próximo item do checklist, sobre o áudio, muitas vezes reduz o problema na origem: o dado que não é retido nem precisa ser protegido.
O áudio é gravado ou descartado?
Esta é a pergunta mais reveladora de todo o checklist, e por isso merece destaque na sua avaliação: o que acontece com o áudio da consulta? A resposta correta, do ponto de vista de segurança, é a mais enxuta possível. Na VitaNote, o áudio nunca é gravado nem armazenado — ele é transcrito em tempo real e descartado. Não existe um arquivo de voz da consulta esperando em servidor. Isso elimina uma classe inteira de risco antes que ela exista: não há acervo de gravações para invadir, vazar, auditar ou explicar a um paciente depois.
Compare os dois desenhos e a diferença de risco fica óbvia. Uma ferramenta que guarda gravações cria um repositório de altíssimo valor para um invasor e uma obrigação permanente de retenção, criptografia e controle de acesso sobre cada arquivo de voz. Uma ferramenta que não persiste o áudio simplesmente não tem esse acervo — o problema deixa de estar na sua lista. Para um comitê de compliance, isso é mais tranquilizador do que qualquer promessa de proteção sobre um dado que, no fim, nem deveria estar guardado.
Faça a pergunta assim, sem eufemismo: o áudio é gravado ou descartado? Se a resposta for "gravado, mas com segurança", você acabou de descobrir onde mora o risco. Se for "descartado, não persistimos a voz", o fornecedor projetou pensando em minimização. E cobre a consequência disso por escrito: o que fica não é a voz do paciente, é a nota estruturada e os documentos que a clínica de fato precisa — transcrição vira condição principal, sintomas, conduta e exames, e alimenta atestado, receita, encaminhamento e pedido de exames. Nada disso exige guardar o áudio.
Onde os dados são processados (e por quem)
O terceiro item costuma passar batido e é o que mais gera dor de cabeça depois: em que infraestrutura o dado é processado, em qual jurisdição, e quais terceiros entram na cadeia. Toda IA clínica processa a transcrição em algum lugar, muitas vezes com subprocessadores — o provedor de nuvem, o serviço de transcrição, o modelo de linguagem. Isso é normal. O que não pode ser normal é você não saber quem são. Sem esse mapa, a clínica assume risco que não consegue nem descrever, o que é a pior posição possível numa auditoria.
Para o gestor, isto vira uma exigência de transparência concreta: peça a lista de subprocessadores e onde o dado trafega. Um fornecedor que trata segurança a sério tem essa informação organizada e a entrega sem drama, porque já precisou respondê-la para outros clientes corporativos. A resposta importa por dois motivos práticos — determina a quais regimes legais o dado está sujeito e define a quem você precisa estender as garantias contratuais. Cada terceiro na cadeia é um ponto que a sua política de dados precisa alcançar.
O princípio que une este item aos anteriores é o de não terceirizar risco às cegas. Você pode aceitar que o processamento envolva parceiros de nuvem e de IA — o mercado inteiro funciona assim — desde que saiba quem são, o que fazem com o dado e sob quais garantias. E aqui vale a régua de honestidade que a VitaNote defende: o dado da sua consulta é da clínica e do paciente, não matéria-prima para treinar produtos do fornecedor ou de seus subprocessadores. Essa cláusula precisa estar por escrito, e é exatamente o que o próximo item formaliza.
Acordo de tratamento de dados (BAA/ZDR)
Os três itens anteriores descrevem arquitetura; este os transforma em obrigação jurídica. O acordo de tratamento de dados é o contrato que define os papéis — a clínica como controladora, o fornecedor como operador — e amarra por escrito o que o dado pode e não pode virar: qual finalidade, por quanto tempo, com quais garantias. A ausência desse acordo é o primeiro sinal de que o fornecedor não pensou em compliance. Na saúde, sob a lógica de LGPD e HIPAA, ele não é opcional; é o documento que você guarda para o dia em que a pergunta chegar.
Duas siglas resumem os compromissos que interessam. O BAA (Business Associate Agreement) é o acordo, na tradição HIPAA, em que o fornecedor assume formalmente as obrigações de quem trata dado de saúde a serviço da clínica. O ZDR (Zero Data Retention) é o compromisso de não reter o dado além do estritamente necessário ao processamento — nada de acumular consultas para outros fins. A VitaNote trabalha com essa chave BAA/ZDR justamente para dar ao gestor a garantia contratual, e não apenas a promessa de interface, de que o dado não é reaproveitado.
Na prática da sua avaliação, cobre o documento antes da assinatura, não depois do incidente. Quando um paciente, um convênio ou a ANPD perguntarem o que acontece com os dados, a resposta não pode ser "confiamos no fornecedor" — precisa ser o acordo assinado, com a descrição do tratamento e a política de retenção. Escolher bem a ferramenta é, em boa medida, escolher a que já entrega esse dossiê pronto em vez de deixar você montá-lo sob pressão.
Registro de auditoria e controle de acesso
O último item fecha o checklist com a pergunta da prestação de contas: depois de minimizar o dado e contratar as garantias, você consegue provar quem tocou o que sobrou? Prestação de contas sem registro é só palavra. Por isso a VitaNote mantém registro de auditoria (audit log): as ações relevantes sobre o dado ficam rastreáveis. Somado ao controle de acesso — cada profissional enxerga o que lhe cabe —, é isso que transforma a política escrita no manual em prática verificável no dia a dia.
Para uma clínica com vários profissionais, esse par é o que evita que a boa norma vire ficção. Você pode ter a melhor regra de acesso do mundo no papel, mas é o log que mostra se ela foi seguida, e é o controle de acesso que impede que ela seja burlada por padrão. Num eventual incidente, o registro é a sua rede de proteção: ele delimita o que aconteceu, quem esteve envolvido e o alcance real — o que muda completamente a conversa com a ANPD e com o paciente. Sem rastreabilidade, todo incidente vira o pior cenário por falta de evidência do contrário.
Feche a avaliação transformando este item em perguntas objetivas: existe audit log? O que ele captura? A clínica consegue consultá-lo? Como é o controle de acesso entre os profissionais? Com os cinco itens do checklist respondidos — criptografia, descarte do áudio, transparência sobre processamento, acordo BAA/ZDR e auditoria com controle de acesso —, você tem o retrato real da segurança de dados em IA médica de um fornecedor, muito antes de qualquer selo estampado na página inicial.
Leve o checklist a um teste real
A forma mais concreta de validar segurança de dados em IA médica é passar cada item deste checklist por um teste com a sua equipe, e ver a consulta virar nota e documentos sem que o áudio seja guardado. Teste grátis a VitaNote e avalie na prática a privacidade por design: transcrição em tempo real sem gravação, criptografia, chave BAA/ZDR, audit log e o dado do paciente permanecendo do paciente e da clínica.
Aviso: a VitaNote apoia a documentação; a decisão clínica é do profissional, e todo documento é revisado e assinado por ele.
Perguntas frequentes
O áudio da minha consulta fica gravado em algum servidor quando eu uso a IA?
Não. Na VitaNote o áudio é transcrito em tempo real e descartado, sem que nenhum arquivo de voz seja armazenado. Como não existe acervo de gravações, elimina-se de origem toda uma classe de risco: não há voz do paciente para vazar, invadir ou explicar depois. O que fica guardado é a nota estruturada e os documentos que a clínica de fato precisa.
O que a IA faz com a transcrição e o que continua sendo decisão minha como profissional?
A IA organiza a transcrição em uma nota estruturada em modelo SOAP (condição principal, sintomas, fatores de risco, conduta e exames) e a usa para gerar rascunhos de atestado, receita, encaminhamento e pedido de exames. Ela apoia a documentação, não substitui o julgamento clínico. Toda saída é editável e a decisão, assim como a assinatura de cada documento, é sempre do profissional.
Que garantias contratuais eu devo exigir sobre o uso dos dados do paciente antes de contratar?
Peça o acordo de tratamento de dados que defina a clínica como controladora e o fornecedor como operador, alinhado a LGPD e HIPAA. A VitaNote trabalha com a chave BAA/ZDR, ou seja, o compromisso formal de tratar o dado de saúde a serviço da clínica e de não retê-lo além do necessário nem reaproveitá-lo para outros fins. Some a isso o registro de auditoria e o controle de acesso, que tornam a política verificável na prática.
Leia também no mesmo eixo:
- LGPD na saúde: de quem é o dado do paciente quando entra uma IA na consulta?
- Prontuário eletrônico e IA: por que registrar não é o mesmo que documentar bem
Aprofunde no ebook: LGPD e Segurança na IA Clínica: o que exigir do fornecedor