A Inteligência Artificial já faz parte da rotina das instituições de saúde, mesmo daquelas que ainda não possuem qualquer projeto formal de IA.
Profissionais administrativos utilizam ferramentas generativas para revisar documentos, elaborar relatórios, resumir contratos, analisar planilhas ou estruturar apresentações. Médicos e profissionais assistenciais começam a utilizá-las para organizar informações, pesquisar conteúdos e apoiar diferentes atividades. Gestores, por sua vez, encontram na IA uma ferramenta extremamente eficiente para análise e produção de conhecimento.
O problema não está nessa utilização. Ao contrário: impedir o avanço dessas tecnologias provavelmente significaria abrir mão de importantes ganhos de produtividade e inovação.
A questão central é outra: quem está definindo o que pode e o que não pode ser enviado para uma ferramenta de Inteligência Artificial?
Em muitas instituições, a resposta ainda é: ninguém.
O risco da IA utilizada sem governança
Imagine um colaborador que precisa analisar rapidamente uma planilha com centenas de registros. Para ganhar tempo, ele acessa uma ferramenta pública de Inteligência Artificial e faz o upload do arquivo.
Outro profissional precisa melhorar a redação de um documento e envia para a IA um relatório interno contendo informações estratégicas do hospital.
Um terceiro deseja resumir determinada situação clínica e copia informações de um prontuário para uma ferramenta disponível gratuitamente na Internet.
Individualmente, essas ações podem parecer inofensivas. Do ponto de vista da segurança da informação, entretanto, existe uma questão fundamental: dados que estavam dentro do ambiente controlado do hospital passaram a ser processados por uma plataforma externa.
É semelhante a retirar um documento de dentro de um arquivo protegido da instituição e entregá-lo para uma empresa externa sem previamente verificar onde ele será armazenado, durante quanto tempo permanecerá lá, quem poderá processá-lo e quais regras contratuais disciplinam sua utilização.
Isso não significa que todo conteúdo enviado a uma IA pública ficará automaticamente acessível a outros usuários. Cada plataforma possui políticas diferentes de privacidade, retenção, treinamento e tratamento das informações. Algumas permitem, inclusive, configurar se determinadas interações poderão ou não ser utilizadas para melhoria dos modelos. No próprio ChatGPT, por exemplo, existem controles pelos quais o usuário pode determinar se suas conversas podem ser utilizadas para melhoria dos modelos, enquanto ambientes corporativos possuem políticas específicas de tratamento de dados.
Portanto, o problema não deve ser simplificado para “a IA vai divulgar os dados”. O risco está em algo mais amplo: a instituição perder o controle sobre onde suas informações estão sendo processadas e quais regras estão sendo aplicadas a elas.
Na saúde, essa preocupação é ainda maior
Hospitais trabalham diariamente com uma das categorias mais críticas de informação: os dados relacionados à saúde das pessoas.
A Lei Geral de Proteção de Dados — LGPD — classifica expressamente dados referentes à saúde como dados pessoais sensíveis, atribuindo a eles proteção especial.
Prontuários, resultados de exames, diagnósticos, prescrições, dados cadastrais, informações biométricas e diferentes registros assistenciais não podem ser tratados da mesma maneira que informações comuns.
Mas o problema não se limita aos dados dos pacientes.
Hospitais também possuem informações estratégicas que precisam permanecer protegidas:
- indicadores financeiros;
- custos hospitalares;
- contratos;
- negociações comerciais;
- planejamento estratégico;
- relatórios de auditoria;
- documentos jurídicos;
- informações de colaboradores;
- planilhas gerenciais;
- indicadores de desempenho;
- dados sobre fornecedores;
- documentos relacionados a processos internos;
- informações sobre vulnerabilidades e infraestrutura tecnológica.
Nem todas essas informações são necessariamente dados pessoais protegidos pela LGPD, mas podem representar conhecimento estratégico e confidencial para a instituição.
A Organização Mundial da Saúde também destaca que a utilização de Inteligência Artificial em saúde exige estruturas robustas de governança dos dados, justamente para permitir inovação preservando privacidade, segurança e confiança.
A versão gratuita não deve ser o ambiente corporativo do hospital
Uma das primeiras medidas que uma instituição de saúde deveria avaliar é estabelecer regras para utilização de contas pessoais ou versões públicas e gratuitas de ferramentas de IA em atividades profissionais.
Isso não significa necessariamente proibir a IA.
Significa estabelecer uma diferença clara entre uso pessoal de uma tecnologia e uso corporativo de uma tecnologia.
Quando uma instituição contrata uma solução corporativa, deve avaliar questões como política de privacidade, utilização das informações para treinamento de modelos, retenção dos dados, mecanismos de exclusão, controle de acesso, autenticação, auditoria, localização e transferência dos dados, integração com outros sistemas e responsabilidades contratuais do fornecedor.
Ou seja, não basta perguntar:
“Qual IA é melhor?”
É preciso também perguntar:
“Como essa IA trata as informações do nosso hospital?”
O hospital precisa criar uma Política de Uso de Inteligência Artificial
Assim como existem políticas para utilização de e-mail corporativo, acesso à Internet, segurança da informação, dispositivos móveis e proteção de dados, as instituições precisam começar a criar suas Políticas Corporativas de Uso de Inteligência Artificial.
Essa política deve ser compreensível para todos os profissionais e não apenas para a equipe de tecnologia.
Ela deve definir, entre outros aspectos:
- quais ferramentas de IA estão autorizadas pela instituição;
- quais tipos de informações podem ser utilizados nessas ferramentas;
- quais informações são proibidas;
- quando os dados precisam ser anonimizados;
- regras específicas para informações assistenciais e dados de pacientes;
- regras para documentos financeiros, jurídicos, comerciais e estratégicos;
- utilização de contas corporativas em vez de contas pessoais;
- responsabilidades dos usuários;
- critérios de contratação e homologação de fornecedores de IA;
- necessidade de revisão humana das informações produzidas por Inteligência Artificial;
- registro e auditoria das utilizações consideradas críticas;
- responsabilidades das áreas de TI, Segurança da Informação, Jurídico, LGPD e gestão.
Essa política deve ser acompanhada de treinamento.
Pouco adianta produzir um documento de vinte páginas que ninguém conhece. A orientação precisa chegar ao usuário que está diante do computador decidindo se deve ou não anexar determinada planilha em uma ferramenta de IA.
Uma regra simples pode evitar grandes problemas
Uma orientação bastante objetiva poderia fazer parte do treinamento dos profissionais:
Antes de enviar qualquer documento para uma Inteligência Artificial, pergunte-se: eu enviaria este mesmo documento para uma empresa externa sem autorização do hospital?
Se a resposta for não, provavelmente aquela informação também não deveria ser enviada para uma ferramenta externa de IA sem que existam regras, autorização e proteção adequadas.
Outra pergunta igualmente importante é:
Se esse conteúdo se tornasse público amanhã, existiria algum problema para o paciente, para um profissional ou para o hospital?
Se existir, o tratamento dessa informação merece atenção especial.
Anonimização não significa simplesmente retirar o nome do paciente
Outro cuidado importante está na interpretação da anonimização.
Retirar apenas o nome de um paciente de um relatório não significa necessariamente que aquela informação deixou de permitir sua identificação.
Data de nascimento, número do atendimento, endereço, datas de internação, diagnóstico, procedimentos realizados e outras características podem, quando combinadas, permitir a identificação de uma pessoa.
A própria LGPD diferencia dado pessoal de dado efetivamente anonimizado, considerando os meios técnicos razoáveis disponíveis para identificação do titular.
Portanto, políticas de IA precisam trabalhar em conjunto com as políticas de privacidade e proteção de dados já existentes na instituição.
A responsabilidade não pode ficar apenas com o usuário
Existe ainda um erro frequente: imaginar que basta orientar os colaboradores para “ter cuidado”.
Governança não pode depender exclusivamente do bom senso individual.
A instituição precisa estabelecer controles.
TI, Segurança da Informação, gestão, encarregado de proteção de dados e demais áreas envolvidas precisam definir quais ferramentas estão homologadas e criar condições para que os profissionais possam utilizar IA de maneira segura.
Caso contrário, surge um fenômeno já conhecido na tecnologia como Shadow IT: colaboradores começam a adotar ferramentas por conta própria porque elas resolvem problemas reais mais rapidamente do que os processos oficiais da organização.
Com a Inteligência Artificial, surge uma nova variação desse fenômeno: a Shadow AI.
A ferramenta pode estar sendo utilizada diariamente dentro do hospital sem que a direção, a TI ou a área responsável pela proteção de dados sequer saibam disso.
Proibir indiscriminadamente provavelmente não resolverá o problema. Criar uma alternativa institucional segura tende a ser muito mais eficiente.
A IA deve fazer parte da estratégia institucional
A discussão sobre Inteligência Artificial não deveria ser conduzida apenas como uma questão tecnológica.
Trata-se de governança corporativa.
O hospital precisa definir onde pretende utilizar IA, quais problemas deseja resolver, quais informações poderão ser processadas, quais riscos são aceitáveis e quais controles precisam existir.
Nesse cenário, a área de Tecnologia da Informação assume um papel cada vez mais estratégico.
A TI deixa de ser apenas responsável por servidores, computadores, sistemas e conectividade e passa a participar diretamente da governança tecnológica da instituição, avaliando segurança, interoperabilidade, arquitetura, fornecedores, proteção de dados e integração das novas tecnologias aos processos hospitalares.
Inovar, mas com responsabilidade
A Inteligência Artificial provavelmente será uma das tecnologias com maior impacto sobre a gestão e a assistência em saúde nos próximos anos.
Ignorá-la não parece ser uma alternativa.
Utilizá-la sem critérios também não.
Entre esses dois extremos existe o caminho mais adequado: adotar Inteligência Artificial com governança, segurança, políticas institucionais e responsabilidade sobre os dados.
Hospitais passaram décadas investindo em sistemas, controles de acesso, segurança, rastreabilidade e proteção das informações armazenadas em seus ambientes tecnológicos.
Não faria sentido proteger rigorosamente os dados dentro do HIS, do prontuário eletrônico e dos servidores da instituição e, ao mesmo tempo, permitir que informações sensíveis fossem copiadas livremente para ferramentas externas sem qualquer política de utilização.
A transformação digital da saúde não depende apenas da adoção de novas tecnologias.
Depende também da capacidade das instituições de utilizá-las com segurança.
A pergunta para os gestores hospitalares, portanto, talvez não seja mais se os profissionais do hospital estão utilizando Inteligência Artificial.
Provavelmente já estão.
A pergunta mais importante é:
o hospital sabe como eles estão utilizando?
