Você termina a consulta, para a gravação e, em trinta segundos, o prontuário aparece na tela do computador. O texto está bom. Você revisa, cola no seu sistema e chama o próximo paciente.
Nada na tela diz o que acontece por detrás dos panos.
Muitas plataformas apagam o áudio, e dizem isso logo na primeira linha da política de privacidade. É a frase mais fácil de escrever: gravação de voz é algo pessoal, difícil de anonimizar. Já o texto que saiu daquela gravação segue outro caminho, e é sobre ele que a política quase nunca é tão direta.
O texto é o que interessa. Ele ocupa alguns kilobytes, é fácil de indexar e serve direto para treinar uma IA — coisa que o áudio bruto não faz sem pré-processamento. Apagar o áudio e guardar a transcrição não é contradição: é a escolha economicamente óbvia, e permite anunciar "nenhum áudio fica armazenado" sem descartar uma vírgula sua.
A palavra que destranca o resto
A LGPD, no artigo 5º, define Dado Pessoal Sensível: "dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural."
O prontuário é, portanto, dado pessoal sensível, e cai no regime mais duro da lei: o artigo 11 exige consentimento específico e destacado para finalidades específicas. É trabalhoso, é rastreável, e o titular pode revogar quando quiser.
Quebre a ligação com a pessoa e esse regime inteiro cai junto. A definição de Dado Pessoal, no mesmo artigo 5º, termina nas palavras que fazem todo o trabalho: "informação relacionada a pessoa natural identificada ou identificável". Sem esse vínculo, o artigo 12 tira o dado do alcance da lei. E sem dado pessoal não há titular — o que significa sem necessidade de consentimento ou base legal a justificar.
Na prática, boa parte do que se chama de anonimização em texto clínico é a troca de nome, data e número de documento por "[REMOVIDO]". O que sobra continua sendo a consulta inteira: queixa, história clínica, exame físico, hipótese diagnóstica, conduta, prescrições.
Todo o raciocínio clínico, a investigação, conduta e prescrições continuam lá, preservadas.
E sobra uma coisa que a anonimização não mirou, porque ela mira o paciente: você, médico. O prontuário pode não identificar ninguém e ainda assim estar amarrado ao seu registro na plataforma — vínculo inevitável, já que é ele que sustenta autenticação e assinatura. Com esse vínculo, a plataforma sabe o que você prescreveu, para qual quadro, com que frequência, e o que cogitou antes de decidir.
Dado de prescrição a nível de prescritor é produto de prateleira há décadas. A IQVIA vende o Xponent, que cobre mais de 90% das prescrições dispensadas no varejo americano e desce ao prescritor individual, para a indústria calibrar visita de representante, território de vendas e material promocional — quantas vezes você já não ouviu falar de colegas médicos com viagens a congressos pagas por farmacêutica?
A matéria-prima tradicional desse mercado é a farmácia, que registra o que foi dispensado. Uma plataforma de transcrição enxerga um passo antes da farmácia: o raciocínio que levou à receita.
Um escritório americano de direito da saúde resumiu em fevereiro deste ano o padrão que encontra nos contratos do setor: a maior parte deles coloca as obrigações de consentimento e conformidade sobre o médico ou a instituição, enquanto o fornecedor mantém direitos amplos de acessar, processar e reter os dados de áudio.
O médico paga assinatura e concorda com tudo isso, quase sempre sem saber, por um motivo simples: ninguém lê os termos de uso.
Para compreender a relevância dos dados do médico para a plataforma, vamos analisar a arquitetura do sistema.
Como a máquina escreve
O que gera o seu documento é um modelo de linguagem. Ele roda sobre uma arquitetura chamada Transformer, descrita em 2017 por pesquisadores do Google no artigo Attention Is All You Need.
Escrever, para esse tipo de modelo, é uma sequência de apostas. Diante do trecho "Paciente refere dor torácica há duas", ele calcula uma probabilidade para cada palavra que poderia vir em seguida.
Ele escolhe uma, encaixa na frase e refaz o cálculo — palavra por palavra, até o documento acabar.
Duas peças fazem esse cálculo funcionar, e as duas dependem inteiramente do texto que o modelo leu antes.
A primeira é a atenção: cada palavra pesa quais das anteriores importam para ela. É o que faz o modelo saber que, em "A paciente deitou-se na cama. Ela estava cansada", o "Ela" é a paciente e não a cama.
A segunda são os embeddings, e é neles que o texto clínico vira ativo.
Um embedding é o significado de uma palavra convertido em coordenada. Imagine um plano com dois eixos, um para "cão" e outro para "gato". Uma IA bem calibrada associa padrões de características de cães e gatos a seus respectivos eixos. Assim, ela aloca imagens de cães perto do eixo "cão" e imagens de gatos perto do eixo "gato" — e um gato com traços de cão cai entre os dois, ainda assim mais perto de "gato" do que de "cão". De forma análoga, imagens de pássaros serão alocadas para longe de ambos os eixos, já que suas características são "opostas" às de cães e de gatos (possuem penas em vez de pelos, bico em vez de focinho etc.).
Palavras funcionam do mesmo jeito. Podemos associar, por exemplo, um prognóstico a um sentimento despertado pelo paciente.
É por isso que os dados importam tanto. As coordenadas de "dor torácica em aperto", "sudorese fria" e "irradiação para o membro superior esquerdo" só ficam onde precisam ficar se a IA tiver lido muita gente escrevendo essas expressões juntas, em prontuário de verdade, permitindo que ela possa captar as relações semânticas e proximidade entre as palavras. Treinado em texto genérico da internet, a IA coloca tudo no lugar errado.
Nenhuma etapa desse processo consulta um livro de medicina. A qualidade do prontuário que a IA escreve hoje depende de quanto texto clínico ela leu ontem.
Por que a sua consulta vale tanto
Um estudo publicado na Nature em 2025 mostra o tamanho dessa dependência. Uma equipe do Google treinou um sistema chamado AMIE para conduzir consultas por conversa. Os dados incluíram 89.027 diálogos reais. Mesmo assim, os pesquisadores precisaram gerar conversas simuladas para completar o treinamento, pois os dados existentes do mundo real "frequentemente falham em capturar a vasta gama de condições e cenários médicos".
Leia essa justificativa com atenção e ela vira um plano de negócios. Conversa clínica real, em volume e organizada, é escassa e cara. Uma plataforma com milhares de médicos gravando consultas todos os dias produz esse material como subproduto do serviço que você já paga.
O diagrama mostra o arranjo que os contratos do setor permitem, e não o de toda plataforma. O áudio some ou fica, varia. O texto quase sempre fica.
O que a pesquisa já mostrou
O AMIE foi comparado a 20 médicos de atenção primária em 159 cenários clínicos, num desenho randomizado, duplo-cego e cruzado, com atores no papel de paciente. Especialistas o avaliaram como superior em 30 dos 32 critérios; os atores-pacientes, em 25 de 26. A acurácia diagnóstica ficou acima da dos médicos.
Em junho de 2026 veio a continuação: 100 casos acompanhados ao longo de várias consultas, contra 21 médicos. O sistema foi não-inferior aos médicos no raciocínio de manejo e pontuou acima deles na adequação do plano, na precisão dos exames solicitados e na aderência às diretrizes. Não houve nenhum domínio em que os médicos tenham superado a máquina.
Os próprios autores marcam os limites: os dois estudos rodaram por chat de texto, com atores, em cenários simulados. É dito que o trabalho "não deve ser considerado representativo da prática usual em (tele)medicina" e que os achados "não sugerem que o AMIE esteja pronto para o cuidado clínico". Nenhum paciente real, nenhum desfecho clínico.
O que chama atenção é a direção da curva. Em pouco mais de um ano, o alvo saiu do diagnóstico em consulta única e chegou ao acompanhamento longitudinal — a parte da medicina que mais depende de vínculo. E o combustível dessa curva é produzido, consulta a consulta, pelo médico que paga pela plataforma.
E a melhor parte, ao menos para a plataforma: com um acervo desses, você pode tanto treinar IAs próprias quanto vender para quem quiser treiná-las.
Na China, isso já saiu do campo da hipótese. A Ping An Good Doctor opera as chamadas "clínicas de um minuto": cabines de uns 3 m², sem ninguém dentro, instaladas em condomínios, farmácias, universidades e postos de rodovia. O paciente entra, conversa com a IA, usa os aparelhos de medição ali dentro — e um médico de verdade entra no fim para complementar a consulta.
Já em 2019, a própria empresa anunciava que a IA por trás dessas cabines havia acumulado mais de 400 milhões de registros de consulta. No balanço de 2025, o sistema chegou a quase 12 milhões de usuários no ano, e o custo por atendimento no quarto trimestre caiu cerca de 45% ante o mesmo trimestre do ano anterior. O acervo não é efeito colateral do negócio. O acervo é o negócio.
E quem controla essa operação é o grupo Ping An, uma das maiores seguradoras do mundo. Ou seja, quem fornece a consulta médica otimizada e quem paga a conta do tratamento são a mesma companhia.
E não é preciso ir à China para imaginar a engrenagem em escala. Imagine uma grande rede de hospitais treinando uma IA dessas com o próprio acervo: a IA colhe a queixa e monta o prontuário inteiro — resumo, sinais, sintomas, hipóteses — e um único plantonista no fim do processo lê e despacha. Quase nunca precisa corrigir, porque a maioria é caso leve: uma coriza, uma enxaqueca, uma dor nas costas... Sequer precisa de carimbo, basta a assinatura eletrônica do CFM.
Você pagaria R$ 100/hora a um médico que despacha dez pacientes a cada cinco minutos, cada um deles pagando R$ 400 de plano de saúde e saindo satisfeito.
O médico continua sendo o ponto de decisão
No Brasil, a Resolução CFM nº 2.454/2026, publicada em fevereiro e com entrada em vigor em 26 de agosto de 2026, transforma a palavra final do médico em norma. Decisões diagnósticas, terapêuticas e prognósticas são sempre do médico. A resolução veda ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a devida mediação humana, garante ao paciente o direito de ser informado quando a ferramenta for usada, exige o registro desse uso no prontuário e determina que os dados usados no desenvolvimento, treinamento e implementação desses sistemas observem rigorosamente a proteção de dados pessoais.
Isso garante que a IA não decide sozinha — afinal, ela não tem CRM. Mas não impede que plataformas desenvolvam IAs para fazer o trabalho do médico, bastando apenas um plantonista recém-formado no fim da cadeia para assinar. E esse ponto de decisão humano é mais frágil do que parece: um ensaio clínico randomizado publicado no NEJM AI em 2026 encontrou viés de automação mesmo entre médicos que haviam passado por um programa de literacia em IA.
A arquitetura da Florence
A Florence foi desenhada para que o ciclo de armazenamento e treinamento de modelos, mencionado anteriormente, não feche. O diagrama abaixo repete de propósito os blocos do anterior — o mesmo celular, o mesmo servidor, o mesmo modelo — porque o que muda aqui é uma coisa só: onde os dados param.
O áudio sobe para o servidor, é processado e apagado assim que termina. Ele nunca chega a um repositório permanente, porque o nosso backend não tem nenhum. O prontuário gerado na interface web vive dentro da sessão, e a sessão tem prazo: depois de gerados os resultados, ela dura até você iniciar uma nova ou até 60 minutos, o que vier primeiro.
Nada disso alimenta treinamento de IAs. É a Garantia de Não-Treinamento da nossa Política de Privacidade, e ela cobre áudio, transcrição e dado clínico, não apenas a gravação.
Não precisamos anonimizar o seu prontuário porque não ficamos com ele. Também não sabemos quais medicações você prescreve. Na realidade, sequer sabemos a sua especialidade — não é algo que perguntamos no cadastro.
O preço dessa escolha
Você paga parte desse preço em conveniência, e cabe a você decidir se vale a pena.
A Florence não lembra do seu paciente anterior. Sem histórico no servidor, a IA não tem contexto das consultas passadas: num retorno, você preenche o campo Contexto do Paciente na mão. Uma plataforma que guarda tudo faz isso sozinha, e faz melhor. A Florence também não aprende com o seu uso — a IA que atende você é a mesma que atende todos os outros médicos.
Por outro lado, o seu jeito de trabalhar não vira um perfil. Não existe o dado que mostraria a um convênio se você pede exames demais, a uma farmacêutica o que você prescreve, ou a um hospital quanto tempo você leva por paciente. Nós sequer conseguimos recuperar a sua sessão que expirou há uma hora.
Não há nenhum arquivo do seu raciocínio clínico parado em algum servidor, esperando uma mudança de política, uma aquisição ou a decisão de rentabilizar o que já foi coletado. Um dado que ninguém guardou não vaza e não muda de finalidade — e quem não guardou nada não tem o que vender depois.
Como ler uma política de privacidade em cinco minutos
Vale fazer isso com a Florence também. Abra a política da ferramenta que você usa e procure quatro coisas.
O que ela promete apagar. Se a frase fala só em áudio, ela não está falando da transcrição. Procure "transcrição" ou "prontuário" separadamente, e procure um prazo. "Pelo período necessário para cumprir as finalidades" não é prazo, porque quem define as finalidades é a plataforma.
Se aparece "anonimizado" ou "não tratamos dados sensíveis". As duas frases fazem a mesma coisa: respondem sobre o vínculo com a pessoa, não sobre o arquivo. Podem ser literalmente verdadeiras com o acervo clínico inteiro guardado do outro lado — e, uma vez anonimizado, o dado sai do alcance da LGPD.
Com quem ela compartilha. Procure a lista de terceiros. "Parceiros", "fornecedores" e "anunciantes" são categorias, não nomes — e uma categoria comporta desde uma hospedagem de servidores até uma empresa farmacêutica ou rede de hospitais.
Como ela muda. Muitas políticas se reservam o direito de reescrever o texto a qualquer momento, sem aviso prévio. Uma promessa que pode ser reescrita sem você saber vale o que a arquitetura por trás dela permitir: onde o dado já está guardado, basta trocar algumas palavras; onde não há nada guardado, mudar de ideia exige refazer o sistema.
Onde a ferramenta para
A Florence transcreve, estrutura e organiza. Quando ela lista hipóteses no diagnóstico diferencial, são apenas sugestões para apoiar o seu raciocínio: nenhuma delas chega ao paciente sem passar por você antes, e isso não muda quando a versão do modelo muda.
A IA na prática clínica é boa demais para ser descartada, e o uso dela é questão de tempo em qualquer consultório. O que ainda está em aberto é o que ela leva embora junto. Se os seus pacientes procuram você, é porque valorizam o modo como você trabalha. Esse modo é seu, e a nossa ferramenta foi construída para não ficar com uma cópia dele.
Referências
Vaswani, A. et al. Attention Is All You Need. arXiv:1706.03762 (2017). arxiv.org/abs/1706.03762
Tu, T. et al. Towards conversational diagnostic artificial intelligence. Nature 642, 442–450 (2025). DOI: 10.1038/s41586-025-08866-7
Liévin, V. et al. Towards conversational artificial intelligence for disease management. Nature (2026). DOI: 10.1038/s41586-026-10764-5
Automation Bias in Large Language Model–Assisted Diagnostic Reasoning among Physicians Trained in AI Literacy — A Randomized Clinical Trial. NEJM AI (2026). DOI: 10.1056/AIoa2501001
Resolução CFM nº 2.454/2026, publicada no DOU em 27 de fevereiro de 2026 (edição 39, seção 1, p. 158); art. 23: entrada em vigor 180 dias após a publicação, ou seja, 26 de agosto de 2026. texto integral (PDF) · portal.cfm.org.br
Lei nº 13.709/2018 (LGPD): art. 5º, I e II (definições de dado pessoal e de dado pessoal sensível), art. 11, I e II (consentimento específico e destacado, e as hipóteses dispensadas de consentimento) e art. 12, caput e §2º (dados anonimizados, reversibilidade e perfil comportamental). planalto.gov.br
IQVIA. The Power of Prescription Data e a ficha técnica do Xponent, com cobertura de 93% do canal de varejo nos EUA em nível de prescritor. iqvia.com
The Health Law Partners. Your AI Scribe Is Listening. Is Your Compliance Program? (23 de fevereiro de 2026). healthlawattorneyblog.com
Ping An Good Doctor. Ping An Good Doctor Launches "One-Minute Clinic" at Shanghai Jiao Tong University (11 de abril de 2019) — a cabine e seus aparelhos de medição; a IA que colhe sintomas e história "antes de fornecer uma sugestão diagnóstica preliminar", com o médico experiente entrando na sequência com recomendações complementares; e os "mais de 400 milhões de registros de consulta" acumulados pela IA. en.prnasia.com
Ping An Good Doctor (1833.HK). 2025 Annual Results (24 de março de 2026) — quase 12 milhões de usuários anuais do AI Doctor e queda de aproximadamente 45% no custo por consulta no 4º trimestre de 2025 ante o mesmo trimestre do ano anterior. A companhia é controlada pelo grupo segurador Ping An Insurance (Group) Company of China. prnewswire.com · pagd.net