Como o Clerkify protege os dados do seu paciente antes de chegar à IA

Se você usa IA no consultório, provavelmente já se perguntou: quem lê o que eu conto sobre meus pacientes? É uma pergunta justa. O sigilo é a base do seu trabalho, e qualquer ferramenta que entra no seu fluxo precisa respeitar isso.

Este texto explica uma mudança que fizemos no Clerkify: antes de mandar o texto de uma sessão para a IA que escreve seus documentos, o Clerkify agora troca os dados que identificam diretamente o paciente por marcadores. A gente também conta, com a mesma clareza, o que essa mudança não faz.

Como o Clerkify funciona hoje, em resumo

Você grava o atendimento, solta o áudio do celular ou faz um Relato. O Clerkify transcreve, e um modelo de linguagem (hoje, da OpenAI) escreve o rascunho da evolução, do resumo e dos outros documentos no formato que você escolheu. Você revisa, ajusta e decide o que entra no prontuário.

Para acompanhar a qualidade das respostas e corrigir erros, usamos uma ferramenta de monitoramento de IA, o LangSmith. Ela registra o que foi enviado ao modelo e o que voltou. Os dois fornecedores aparecem na nossa Política de Privacidade.

Até agora, o texto enviado a esses dois serviços incluía o nome do paciente e, quando aparecia na conversa, telefone, e-mail ou outros dados de contato.

O que mudou: marcadores no lugar dos dados

Agora, antes de qualquer texto sair do Clerkify para a OpenAI, a gente troca:

• o nome do paciente, como está no cadastro (o nome completo, o primeiro nome e outras formas em que ele aparece no texto);
• o seu nome, como profissional;
• e-mails e telefones brasileiros: os do cadastro e os que aparecerem na fala ou no texto;
• CPF, quando alguém fala ou escreve um;
• links de reunião do Google Meet, Zoom e Microsoft Teams.

Cada dado vira um marcador, algo como [PACIENTE], [PROFISSIONAL] ou [TELEFONE]. É esse texto com marcadores que chega à OpenAI e fica registrado na nossa ferramenta de monitoramento.

Quando o rascunho volta, o Clerkify faz o caminho contrário: coloca os dados reais de volta no lugar antes de mostrar o texto pra você e antes de salvar. A tabela que liga cada marcador ao dado real fica só na memória do Clerkify durante aquela chamada. Ela não é enviada à IA e não fica gravada no banco.

Para você, nada muda na tela. A evolução aparece com o nome do paciente, o PDF gerado também, e o chat do atendimento responde normalmente.

Onde isso vale

A troca acontece em todos os textos que o Clerkify envia à IA:

• rascunhos de documentos (evolução, resumo e os modelos que você personalizou), inclusive quando você pede para reescrever um trecho ou regenerar um documento;
• o chat de perguntas sobre o atendimento;
• o Relato, na conversa e na montagem final;
• resumos, histórico do paciente e títulos dos atendimentos.

E a qualidade do rascunho?

Temos testes que rodam o mesmo material com e sem os marcadores e conferem a estrutura do documento, as citações da transcrição e outros critérios de qualidade. Num teste interno com 54 sessões fictícias, avaliado às cegas por um modelo de IA, a qualidade dos rascunhos com marcadores ficou equivalente à dos rascunhos com os nomes reais, e nenhum nome foi devolvido no lugar errado. Você recebe o rascunho completo, com os dados no lugar. A IA não precisa saber que o paciente se chama Ana pra escrever uma boa evolução. Ela precisa do conteúdo clínico, e esse continua lá.

Isso não quer dizer que todo texto sai idêntico, palavra por palavra, ao de antes. Modelos de linguagem variam um pouco a cada vez, com ou sem marcadores. Por isso o rascunho continua sendo um rascunho, e a revisão continua sendo sua.

O que isso não faz

Esta é a parte que a gente faz questão de deixar clara.

Não é anonimização. O nome técnico é pseudonimização: a troca é reversível, porque o Clerkify consegue desfazê-la. Pela LGPD, o texto com marcadores continua sendo dado pessoal, e o conteúdo de saúde continua sendo sensível.

O conteúdo clínico continua indo para a IA. Sintomas, histórico, o que o paciente contou na sessão. Sem isso não existe rascunho. Detalhes como profissão, bairro, escola ou um diagnóstico raro também seguem no texto e, juntos, ainda podem ajudar alguém a reconhecer uma pessoa.

Apelidos e outras pessoas não são trocados. Se na sessão o paciente vira "Vivi", ou se aparecem os nomes da mãe, do chefe ou de um amigo, esses nomes vão como estão. Nomes escritos errado também podem escapar. A troca funciona com base no cadastro e em padrões como CPF e telefone, não adivinha nomes. Telefones estrangeiros também não são reconhecidos.

O áudio não passa por essa troca. A transcrição é feita por um serviço especializado, que recebe o áudio da gravação como ele é. Se alguém fala um nome na sessão, ele está no áudio. A troca acontece depois, no texto que vai para a IA que escreve os documentos.

Arquivos anexados no chat não passam pela troca. Imagens e PDFs que você anexa ao chat seguem como estão. Só o nome do arquivo é trocado.

Endereço, RG e data de nascimento ainda não estão na lista.

E a LGPD?

Pela LGPD, você é o controlador dos dados dos seus pacientes: é quem decide por que e como eles são tratados. A Clerkify atua como operadora, tratando esses dados em seu nome e seguindo suas instruções. Isso está na nossa Política de Privacidade.

Trocar identificadores por marcadores é uma medida técnica de segurança que reduz a quantidade de dados diretos que chegam aos fornecedores de IA. Ela não substitui as suas obrigações como controlador nem as nossas como operadora. A Clerkify não tem selo nem certificação de LGPD, e não tem endosso do CFP. O que a gente pode fazer é explicar com precisão o que o sistema faz, e é isso que este texto tenta fazer.

Em resumo

• O Clerkify troca nome, CPF, e-mail, telefone e link da reunião por marcadores antes de enviar o texto à IA que escreve seus documentos e à ferramenta de monitoramento.
• O rascunho volta com os dados reais no lugar, só pra você.
• O conteúdo clínico, apelidos, nomes de outras pessoas e o áudio da gravação não passam por essa troca.

Quer ver na prática? Veja como funciona para psicólogos. Para os detalhes de cada fornecedor, veja a página Segurança e LGPD e a Política de Privacidade.