Segurança de dados em laudo com IA: o que exigir de qualquer ferramenta que toca no exame do seu paciente

Todo oftalmologista que começa a usar IA no laudo faz, cedo ou tarde, a pergunta certa: para onde vai o dado do meu paciente, e quem mais consegue ver o laudo que eu assino? É uma pergunta de segurança, mas também é uma pergunta de responsabilidade médica — o CRM que assina o laudo é do médico, então a garantia de que esse laudo está protegido não pode ser "confia em nós". Este post detalha, de forma concreta, como isso foi construído no LaudoVision — e serve como checklist para avaliar qualquer outra ferramenta do gênero.

Aviso: este conteúdo descreve controles técnicos e organizacionais em vigor no LaudoVision AI. Não substitui a leitura da Política de Privacidade nem orientação jurídica sobre LGPD no seu contexto específico.

Isolamento entre médicos: por médico, não por clínica

O primeiro controle é o mais básico e o mais importante: um médico nunca acessa o laudo de outro. Essa regra não vive só na tela que você usa — ela está travada no próprio banco de dados, na "porta de entrada" de qualquer consulta. Isso importa porque significa que a proteção não depende de a interface "esconder direito" o que não é seu: mesmo que alguém tentasse buscar os dados por outro caminho, o banco simplesmente recusa entregar um laudo que não pertença ao médico que está logado.

Um ponto que costuma surpreender: mesmo dentro de uma clínica com vários médicos cadastrados, esse isolamento não é por clínica — é por médico individualmente. Não existe uma política de "os médicos da mesma clínica podem ler os laudos uns dos outros". Cada laudo pertence a quem o gerou e assinou, ponto final.

Trilha de auditoria: registro que ninguém consegue apagar depois

A Resolução CFM 2.454/2026 exige rastreabilidade no uso de IA em laudos médicos. Na prática, isso significa: é preciso ser possível provar, depois, que um laudo específico foi gerado com apoio de IA, com qual versão de prompt e de modelo, e que o conteúdo não foi adulterado silenciosamente.

O LaudoVision mantém uma tabela de auditoria com três características deliberadas:

• Uma "impressão digital" do laudo, não o laudo em si. O registro guarda um código único gerado a partir do conteúdo do laudo e um código único gerado a partir dos dados do paciente — não o texto do laudo nem o nome em claro. Esse código muda por completo se uma única letra do laudo original for alterada depois. É assim que se prova, no futuro, que um laudo é exatamente o que foi gerado naquele dia, sem precisar guardar uma segunda cópia do conteúdo sensível.
• Ninguém consegue editar ou apagar esse registro depois — nem a própria equipe do sistema. Uma vez gravada, a linha da trilha de auditoria é definitiva. Não existe um botão, uma tela ou um comando que permita alterá-la ou removê-la — nem para o médico, nem para um administrador. Só o próprio sistema, no momento em que o laudo é salvo, pode criar um novo registro.
• Fica carimbado qual "versão" da IA gerou aquele laudo. Cada linha registra qual versão das instruções internas e qual modelo de inteligência artificial foi usado — útil se, meses depois, for preciso entender por que um laudo antigo tem uma redação diferente de um laudo mais recente sobre o mesmo tipo de exame.

Acesso do administrador é limitado por desenho, não por promessa

Um sistema online por assinatura precisa de um painel administrativo — para suporte, cobrança, controle de uso e conformidade. A pergunta importante é: o que exatamente esse painel consegue ler?

No LaudoVision, as telas administrativas foram desenhadas para mostrar apenas informação operacional — o que é necessário para dar suporte, acompanhar uso e cobrança —, não o conteúdo clínico do laudo. Um exemplo concreto: a lista de "laudos recentes" que aparece na visão geral do admin traz tipos de exame, nível de urgência e data, usada para acompanhar o volume geral da operação. Ela não traz os achados, a impressão diagnóstica nem a conduta do laudo — porque a tela nunca pede esses campos ao banco de dados, mesmo tendo, tecnicamente, permissão para pedir. As telas de feedback clínico e de desempenho seguem o mesmo princípio.

Ou seja: a proteção não é só "confiar que ninguém da equipe vai abrir o laudo por curiosidade" — é o próprio sistema não trazer essa informação para perto de quem não precisa dela para trabalhar. Um médico avaliando uma ferramenta de IA deveria perguntar exatamente isso: "o painel de vocês foi construído para nunca precisar ler o conteúdo clínico do laudo, ou ele só depende da boa vontade de quem tem acesso"?

O dado do paciente não sai protegido só depois — ele nunca sai desprotegido

O ponto anterior cobre quem acessa o que dentro do sistema. Mas há uma camada anterior: o que é enviado para os modelos de IA que efetivamente leem a imagem do exame.

• Anonimização antes do envio. Nome do paciente, data de nascimento e número de carteirinha são removidos antes de qualquer chamada à IA — o modelo lê a imagem do exame e um contexto clínico anonimizado, não um prontuário identificado.
• Filtro automático em texto livre. Campos de anotação clínica passam por um filtro que detecta e remove CPF, CNPJ, telefone, e-mail, CEP, RG e CNS digitados — porque médico é ser humano e, sob pressão de agenda, é fácil colar um trecho de prontuário sem pensar no que está ali.
• Redação de imagem no navegador, antes do upload. Fotos de exame e páginas de PDF frequentemente trazem uma faixa de identificação impressa pelo próprio equipamento. Essa área é recortada no navegador do médico, antes de qualquer envio — os pixels com identificação nunca chegam ao servidor, muito menos à IA.

Checklist: o que perguntar a qualquer ferramenta de IA médica

Se você está avaliando uma ferramenta de IA para laudo — o LaudoVision ou qualquer concorrente —, vale levar estas perguntas:

• Um usuário da plataforma consegue, por engano de configuração ou por má-fé, ler o laudo de outro médico?
• Existe um registro imutável de que um laudo foi gerado por IA, com data e versão identificáveis?
• Esse registro pode ser editado ou apagado por alguém depois do fato — inclusive por um administrador?
• O painel de suporte/administração precisa ler o conteúdo clínico do laudo para funcionar, ou consulta só metadados?
• Dado de identificação do paciente (nome, nascimento, documento) é removido antes de chegar ao modelo de IA?
• Existe algum filtro para texto livre e imagem, ou a responsabilidade de não digitar/anexar dado identificável é só do médico?

Como o LaudoVision AI se posiciona

Os controles descritos aqui — isolamento total entre médicos, trilha de auditoria que ninguém consegue alterar, telas administrativas que não trazem o conteúdo clínico do laudo, e anonimização em múltiplas camadas antes do envio à IA — não são um pacote de segurança vendido à parte: são a forma como o produto é construído por padrão, porque um laudo assinado por CRM não pode depender de "confia em nós".

Quer conhecer os detalhes ou tirar dúvidas específicas sobre conformidade? Veja a Política de Privacidade, a página de LGPD ou fale com a gente. Para testar o fluxo completo, os planos incluem 7 dias de teste gratuito.

Escrito por Thiago Brito, arquiteto de soluções e criador do LaudoVision AI. Conteúdo educativo sobre a arquitetura de segurança do produto; não constitui parecer jurídico sobre LGPD — para avaliação de conformidade da sua clínica, consulte um profissional especializado.