TRANSPARÊNCIA E CLASSIFICAÇÃO DE RISCO DAS FUNCIONALIDADES DE IA

Versão 2026-09-05 · Vigente desde 5 de setembro de 2026. Versões anteriores estão disponíveis mediante solicitação ao suporte (hello@oasismed.com.br). Este documento cumpre a Cláusula 12.7 dos Termos de Uso e o dever de transparência da Resolução CFM nº 2.454/2026, que normatiza o uso de inteligência artificial na medicina e entra em vigor em 26 de agosto de 2026 (art. 23), alcançando inclusive os sistemas já em operação (art. 21). Ele descreve como cada funcionalidade de IA do Oasis Med funciona, suas limitações conhecidas, a classificação de risco que atribuímos a cada uma, o que informamos ao paciente, o que fazemos com os dados dele antes de qualquer processamento externo, quais indicadores de desempenho publicamos e por onde relatar uma falha de IA.

---

1. PRINCÍPIOS

1.1. A decisão clínica é sempre humana. Toda saída de IA no Oasis Med é um insumo de trabalho para o médico, nunca um ato médico. A Plataforma não comunica diagnósticos, prognósticos ou condutas a pacientes, não prescreve e não decide.

1.2. Todo documento gerado pela Plataforma constitui minuta, que só adquire valor clínico ou legal após revisão, edição (quando necessária) e assunção de responsabilidade pelo médico assistente (Termos, Cláusula 12.2).

1.3. Modelos de linguagem podem errar, inclusive de forma convincente (“alucinação”). As mitigações descritas abaixo existem porque assumimos essa limitação como premissa de projeto, não como exceção.

2. TECNOLOGIAS UTILIZADAS

2.1. Modelos de linguagem de grande porte (LLMs) da Anthropic (família Claude), acessados via AWS Bedrock; um modelo leve da própria Amazon (família Nova), também via AWS Bedrock, usado apenas em tarefas auxiliares (ver 2.1.1); transcrição de fala da AWS Transcribe (português brasileiro, com vocabulário customizado de medicamentos); modelos de recuperação semântica (embeddings e reranking) da Cohere, via AWS Bedrock. Os fornecedores estão contratualmente impedidos de usar os dados enviados para treinar seus modelos. O tratamento de dados pessoais é descrito na Política de Privacidade.

2.1.1. Divisão de trabalho entre os modelos. Nem toda tarefa de IA da Plataforma exige um modelo de ponta. Tarefas mecânicas, como decidir a que categoria um pedido pertence, dar título a uma conversa ou extrair um trecho curto de um texto, podem ser atendidas por um modelo menor e mais barato (Amazon Nova Micro). Tudo o que tem conteúdo clínico denso, isto é, a minuta de documento, o resumo da consulta e as respostas do Chat Médico, permanece nos modelos principais. Essa divisão é configurada tarefa a tarefa, registrada por mensagem (ver 2.2) e testada antes de qualquer troca: uma tarefa só migra para o modelo menor depois de comparação lado a lado demonstrando que a qualidade não regride. Para o paciente e para o médico, nada muda no que a Plataforma faz nem em quem responde pela decisão clínica, que é sempre o médico. O modelo menor roda no mesmo ambiente AWS dos demais, em perfil de inferência restrito a regiões dos Estados Unidos, com as mesmas garantias: sem retenção do conteúdo após o processamento e sem uso para treinamento. Situação na data desta versão: o modelo auxiliar está em pré-lançamento, com uso restrito a contas internas da Oasis Med; sua disponibilização aos médicos clientes depende do aviso prévio de 15 dias previsto na Cláusula 7.3 do DPA e será registrada na data desta página.

2.2. Rastreabilidade. Cada resposta do Chat Médico registra o modelo utilizado e a versão de cada instrução de sistema (prompt) aplicada. Cada documento e cada resumo gerados registram o modelo, a versão do prompt, o canal e o momento da geração, e recebem no próprio corpo a marcação visível de que foram produzidos com apoio de IA, que acompanha o documento em qualquer exportação (PDF, impressão, cópia ou e-mail). É a trilha exigida pela Res. CFM 2.454/2026 para sistemas em operação.

3. O PACIENTE: INFORMAÇÃO PRÉVIA E DIREITO DE RECUSA

3.1. Informação prévia (art. 5º, §1º). Antes da primeira gravação de cada paciente, a Plataforma apresenta ao médico um passo de informação prévia, com o texto pronto para ser dito: "Esta consulta será apoiada por um assistente de inteligência artificial que nos escuta e me ajuda com as anotações, me liberando de tempo no teclado. O áudio não será armazenado permanentemente. Fica registrado só o texto, sob meu sigilo profissional. Para gerar o texto, trechos sem o seu nome passam por provedores de inteligência artificial fora do Brasil, com contrato de proteção de dados. Se preferir que eu não use esse apoio, é só me dizer." O texto é afirmativo, não termina em pergunta, porque cumpre o dever de informar (art. 9º da LGPD e art. 5º, §1º, da Res. CFM 2.454/2026) e não condiciona o tratamento de dados a consentimento (ver 3.2); a recusa tem botão próprio na mesma tela. O médico registra que informou, por qual meio (verbalmente, por escrito ou de outra forma) e a quem: ao próprio paciente ou ao responsável legal, quando se trate de menor ou de paciente que não possa receber a informação diretamente (art. 14 da LGPD). Ficam gravados a data, o autor do registro e a versão do texto que foi lido ao paciente, para que o registro prove o que foi dito, e não apenas que algo foi dito.

3.2. Dois eixos que não se confundem. Quando a tela fala em "consentimento", trata do eixo da Resolução CFM nº 2.454/2026: o paciente consente com o uso de inteligência artificial no seu cuidado e pode recusá-lo a qualquer tempo (art. 5º, §3º; ver 3.3). Não se trata de consentimento como base legal de tratamento de dados: essa base é a tutela da saúde por profissional habilitado (art. 11, II, "f", da LGPD), que não depende de consentimento e não é revogável. A distinção tem consequência prática: a recusa bloqueia o uso de IA daquele paciente dali em diante, mas não apaga o prontuário já produzido, cuja guarda é obrigatória por vinte anos (Lei nº 13.787/2018). O que a tela cumpre, portanto, é o dever de informar (art. 9º da LGPD e art. 5º, §1º, da Res. CFM 2.454/2026) e o registro da decisão do paciente quanto ao uso de IA.

3.3. Recusa informada (art. 5º, §3º). O paciente pode recusar o uso de sistemas de inteligência artificial no seu cuidado, e a Plataforma respeita essa recusa em software, não apenas em política: registrada a recusa, a gravação e a transcrição ficam bloqueadas no servidor para aquele paciente, em todos os caminhos de envio de áudio, e o bloqueio só é levantado por revisão explícita no cadastro. A opção fica na mesma tela da informação prévia e com o mesmo destaque das demais, porque é um direito do paciente, não um caminho de exceção.

3.4. A recusa vale daqui para a frente. Ela não apaga o prontuário já produzido, que permanece sob a guarda obrigatória da Lei nº 13.787/2018, e não se confunde com os direitos do titular previstos na LGPD, descritos na Política de Privacidade.

4. O QUE SAI DA PLATAFORMA: A FRONTEIRA DE DADOS PESSOAIS

4.1. O armazenamento, o processamento primário e a transcrição de áudio ocorrem no Brasil (AWS, região de São Paulo). As etapas de inferência ocorrem fora do Brasil, porque os modelos empregados não são oferecidos na região do Brasil, e o alcance varia conforme a etapa e o modelo: o cálculo de vetores de busca e a reordenação de trechos recuperados (Cohere) ocorrem em infraestrutura da AWS nos Estados Unidos; a geração de texto das funções clínicas (Anthropic) usa perfil de inferência de alcance global da Amazon Bedrock, de modo que a requisição pode ser atendida por qualquer região comercial da AWS no mundo, escolhida pelo provedor conforme a capacidade disponível, sem que possamos fixar a região previamente; e o modelo auxiliar de baixo risco (Amazon Nova, item 2.1.1) usa perfil restrito a regiões dos Estados Unidos. Em todos os casos o tratamento permanece dentro da infraestrutura da AWS. Isso é transferência internacional de dados pessoais e está formalizado como tal na Política de Privacidade (Seção 7) e no DPA (Cláusula 9).

4.2. No Chat Médico, no cálculo de vetores de busca, na reordenação de trechos, na indexação dos documentos do paciente e nas buscas externas, a Plataforma substitui os identificadores do paciente por marcadores antes do envio (nome, CPF, CNS, data de nascimento, telefone, e-mail e endereço, a mesma lista da Seção 4.4.1 da Política de Privacidade e da Cláusula 9.3 do DPA). A correspondência entre marcador e dado real fica conosco, e o texto volta a exibir os dados verdadeiros apenas dentro da Plataforma.

4.2.1. Na formatação e no resumo da transcrição e na geração das minutas de documentos, o texto segue para o provedor de inferência com os dados de identificação do paciente, porque o nome e os demais dados dele integram o documento produzido e são necessários a essa finalidade. Preferimos registrar essa distinção a descrever a substituição como se alcançasse tudo. Nesses caminhos valem as mesmas garantias contratuais: uso exclusivo para produzir a resposta solicitada, proibição de treinamento e não retenção do conteúdo pelo provedor.

4.3. A substituição do item 4.2 é pseudonimização, não anonimização (art. 13, §4º, da LGPD): como a correspondência é conservada, o conteúdo enviado permanece dado pessoal e permanece protegido pela Política de Privacidade. A medida reduz a exposição sobre texto clínico livre; não a elimina, e não é apresentada como se eliminasse.

4.4. Na busca na internet e em bases de literatura científica, os provedores recebem apenas o texto da consulta, já substituído. Não recebem prontuário, documentos do paciente, transcrições, anexos nem o histórico da conversa.

4.5. O áudio do atendimento é eliminado de forma automatizada após a transcrição, com prazo-limite de sete dias na infraestrutura de armazenamento. Os fornecedores de IA estão contratualmente impedidos de usar o conteúdo para treinar seus modelos, e a Oasis Med não treina modelos com conteúdo clínico: para melhorar o produto usamos apenas metadados de uso e indicadores agregados, apurados sem extrair texto clínico.

4.6. Dados usados em validação e testes (art. 6º, §2º, da Res. CFM 2.454/2026). Para validar e aprimorar as funcionalidades de IA usamos apenas dados dos próprios usuários internos da empresa (consultas e documentos produzidos pela equipe da Oasis Med para esse fim) e casos de teste sintéticos; nenhum dado de cliente é usado para validar ou aprimorar modelos sem base legal e aviso prévio ao controlador.

5. CLASSIFICAÇÃO DE RISCO POR FUNCIONALIDADE

Adotamos a gradação da Res. CFM 2.454/2026 (baixo, médio, alto, inaceitável), considerando impacto potencial, autonomia do sistema e sensibilidade dos dados. Nenhuma funcionalidade do Oasis Med opera sem supervisão humana; por desenho, não mantemos funcionalidades de risco alto (decisão autônoma) ou inaceitável.

5.1. Transcrição de consulta: risco MÉDIO. O que faz: converte o áudio da consulta em texto com identificação de falantes e o formata. Limitações: termos raros, sotaques e sobreposição de vozes podem gerar erros de transcrição; a formatação usa LLM. Mitigações:

• a. grifos de revisão: termos clinicamente sensíveis (medicamentos, doses, diagnósticos, exames, valores de laboratório) são destacados para conferência manual;
• b. barreira de conferência: a geração dos documentos clínicos da consulta fica bloqueada no servidor até que o médico marque a transcrição como revisada. É uma declaração do médico, não uma prova de leitura, mas o bloqueio é técnico e vale para todos os canais de geração;
• c. vocabulário customizado de medicamentos na transcrição.

5.2. Geração de documentos clínicos: risco MÉDIO. O que faz: elabora minutas (anamnese, evolução, receitas, atestados, laudos, encaminhamentos e outros) a partir da transcrição revisada, do contexto escrito e dos dados do paciente. Limitações: pode omitir, generalizar ou inferir indevidamente conteúdo; a qualidade depende do material de origem. Mitigações:

• a. identidade do paciente resolvida sempre do cadastro, nunca do texto;
• b. confirmação explícita antes de gerar e barreira de conferência da transcrição (item 5.1);
• c. aviso quando o conteúdo de origem não tem teor clínico;
• d. quando um pedido reúne itens de documentos diferentes, o que ficou de fora é listado explicitamente ao médico;
• e. a minuta não sugere exames, medicamentos ou condutas por iniciativa própria e só inclui código CID quando o médico o autoriza;
• f. todo documento é editável e é minuta até o médico assumir.

5.3. Chat Médico (apoio informacional à decisão): risco MÉDIO. O que faz: responde perguntas clínicas com busca em literatura científica (PubMed, Europe PMC, LILACS/SciELO e outras fontes), nos documentos e anexos do paciente selecionados pelo médico e/ou na web, com citações. Limitações: pode citar de memória artigos que não estavam nas fontes recuperadas ou atribuir a um artigo afirmação que ele não sustenta. Mitigações:

• a. verificação automática de citações: referências não confirmadas recebem selo visível ("Fora das fontes consultadas" ou "Atribuição não confirmada");
• b. preprints são sinalizados;
• c. o nível de rigor de evidência é controlável pelo médico;
• d. aviso fixo na tela de que as respostas são apoio informacional;
• e. rastreabilidade de modelo e prompts por mensagem.

5.3.1. Consultas do assistente aos seus dados e aos catálogos oficiais: risco BAIXO. O que faz: a pedido do médico, em linguagem natural, o assistente lê e relata dados que já são dele — a agenda de compromissos (um dia, um período, por nome ou por texto, e quanto dela está tomada), o cadastro dos seus pacientes, as consultas que atendeu ou tem marcadas, e, para o paciente já aberto na conversa, a linha do tempo e a lista de documentos já emitidos. Consulta também catálogos oficiais e públicos: as bulas registradas na ANVISA, o catálogo TUSS da ANS e a Classificação Internacional de Doenças.

O assistente não alcança nada que o médico já não alcance: cada consulta é feita com as credenciais dele, e por isso as mesmas permissões da tela valem aqui — a agenda de um colega, por exemplo, aparece sem o nome do paciente. Para o paciente aberto, o assistente lê metadado (que documento, de que tipo, quando), nunca o conteúdo dos documentos, e não consulta o histórico de nenhum outro paciente. Limitações: relata o que está registrado na Plataforma, e só; um compromisso marcado fora dela não aparece. Mitigações:

• a. os nomes de pacientes que voltam de uma consulta são substituídos por marcadores antes de qualquer envio ao modelo — o médico lê o nome na tela, o modelo não o recebe (item 4.2);
• b. o resultado é exibido num cartão montado pela Plataforma a partir do dado consultado, não pelo modelo: se o texto da resposta divergir do cartão, é o cartão que está certo;
• c. a funcionalidade pode ser desligada por completo, e o assistente volta a responder sem acesso a esses dados.

5.3.2. Propostas de agendamento pelo assistente: risco BAIXO. O que faz: a pedido do médico ("marque com o paciente X na segunda às 17h"), o assistente mostra o que aconteceria — o horário, a duração e o conflito, se houver — e o médico confirma num clique.

O assistente não agenda, não remarca e não cancela nada. A Plataforma simula a operação com as mesmas regras da tela de Agenda e desfaz a simulação; a gravação só existe depois do clique do médico, e é feita pelo mesmo caminho de sempre. Agendar é ato administrativo: quem, quando e por quanto tempo são escolhas de organização do trabalho, não decisão clínica. Limitações: a interpretação do pedido pode não ser a pretendida — por isso a confirmação existe. Mitigações:

• a. nenhuma alteração é gravada sem o clique de confirmação;
• b. o horário é calculado pela Plataforma no fuso da clínica, nunca pelo modelo, para que o compromisso não caia numa hora diferente da que o médico leu;
• c. o que a simulação recusa (horário ocupado, permissão ausente) é mostrado com o motivo, e nesse caso não há botão de confirmar;
• d. a funcionalidade pode ser desligada sem afetar as demais.

5.3.3. Consulta agregada do registro clínico: risco MÉDIO. O que faz: a pedido do médico, lista quais dos seus pacientes têm um diagnóstico, uma medida ou um escore registrado, com o valor e a data de cada registro.

É uma listagem do que o próprio médico registrou, reunida sob demanda — o mesmo que ele veria abrindo cada ficha. A Plataforma não calcula média, não classifica risco, não compara períodos e não aponta tendência, e a leitura desses registros permanece inteiramente do médico. Limitações: mostra apenas o que foi registrado de forma estruturada na Plataforma; um dado escrito em texto livre não aparece. Mitigações:

• a. restrita aos pacientes sob responsabilidade do próprio médico, verificada antes de qualquer leitura;
• b. sem execução automática, sem periodicidade e sem alerta — a consulta existe porque o médico perguntou, e nada é reexecutado ou observado no tempo;
• c. os nomes atravessam a mesma substituição do item 4.2 antes de qualquer envio ao modelo;
• d. interruptor próprio, independente das demais funcionalidades do assistente.

5.4. Resumo automático de consulta: risco MÉDIO. Minuta de resumo gerada após a transcrição; regenerável e editável; sujeita à mesma confirmação de conferência da transcrição.

5.4.1. Resumo pré-consulta: risco MÉDIO. O que faz: antes de um novo atendimento, sempre a partir de um gesto do médico — abrir o resumo do paciente ou iniciar um atendimento com ele —, e nunca em segundo plano nem por agendamento, organiza em texto curto o que a equipe de cuidado já registrou daquele paciente na Plataforma (resumos e notas de consultas anteriores, documentos emitidos, anexos, registros clínicos estruturados e o padrão de comparecimento), na ordem em que o médico costuma precisar ler. É apoio de leitura, não documento: não é exportável como documento, não entra no prontuário e é regenerado a cada uso. Limitações: pode omitir um registro relevante ou resumir de forma imprecisa; não vê o que não foi registrado na Plataforma. Mitigações:

• a. cada afirmação traz a fonte (a consulta, o documento ou o registro de origem, com data), e o texto sem fonte é descartado antes de chegar ao médico;
• b. o resumo só agrega e organiza o que foi registrado: não sugere exames, medicamentos ou condutas, não classifica risco nem aponta tendência (item 6);
• c. o nome e os dados de identificação do paciente não são enviados ao modelo; a recusa de IA registrada pelo paciente (item 3.3) bloqueia a geração;
• d. aviso fixo de IA na tela, revisão obrigatória pelo médico e avaliação (útil / com problemas) registrada a cada resumo.

5.5. Ditado por voz e busca de literatura: risco BAIXO. Conversão de fala em texto para campos de entrada (revisável na hora) e recuperação/ordenação de artigos científicos (não produz conteúdo clínico, apenas localiza fontes).

5.6. Grifos de revisão: mitigação (risco BAIXO). Funcionalidade cujo propósito é reduzir o risco das demais: marca automaticamente os termos mais suscetíveis a erro de IA para direcionar a revisão humana. Pode deixar de marcar um termo relevante; a responsabilidade de revisão integral permanece com o médico.

6. O QUE A IA DO OASIS MED NÃO FAZ

6.1. Não comunica diagnóstico, prognóstico ou conduta a pacientes.

6.2. Não emite, assina ou transmite documentos sem ação do médico.

6.3. Não decide sobre tratamento, triagem clínica ou priorização de pacientes de forma autônoma.

6.4. Não sugere exames, medicamentos ou condutas por iniciativa própria nas minutas de documentos.

6.5. Não substitui o julgamento do profissional e não deve ser usada como única fonte para decisão clínica.

7. GOVERNANÇA E MELHORIA CONTÍNUA

7.1. Instruções de sistema (prompts) são versionadas, com trilha de alteração e possibilidade de reversão ao padrão publicado.

7.2. Monitoramos indicadores de qualidade em produção (taxas de fallback, citações não verificadas, avaliações dos médicos) com alertas operacionais.

7.3. Mantemos suítes de avaliação automatizadas (centenas de casos clínicos de teste) para medir regressões de qualidade antes de mudanças, incluindo testes que reprovam saídas com forma de hipótese diagnóstica ou de conduta não ditada pelo médico.

7.4. Este documento é revisado a cada mudança material nas funcionalidades de IA; a versão vigente e a data constam no topo.

8. INDICADORES E RELATÓRIOS

8.1. O que a norma pede. A Res. CFM 2.454/2026 exige que os sistemas de IA em uso na medicina tenham indicadores de acurácia, eficácia e segurança apresentados em linguagem simples (art. 1º, §2º e §3º) e que o médico ou a instituição que os contrata mantenha governança sobre eles, com relatórios de desempenho, limitações e vieses, monitoramento das saídas e acesso do Conselho Regional a esses relatórios quando solicitado (art. 14 e Anexo III). A obrigação é do médico; o insumo é nosso. Esta seção diz qual insumo entregamos.

8.2. Quais indicadores publicaremos. Para cada funcionalidade da Seção 5, publicaremos nesta página, em linguagem simples e com a metodologia de medição ao lado:

• Transcrição: taxa de erro de transcrição, medida em suíte própria de áudios de consulta (gravados pela equipe interna, com vocabulário clínico em português brasileiro), com o número de casos e a data da medição;
• Geração de documentos e Chat Médico: resultado da bateria de guardrails (casos de teste que verificam se a minuta omite, inventa ou extrapola conteúdo e se a resposta respeita os limites da Seção 6), com a proporção de casos aprovados por cenário;
• Fronteira de dados: recall da substituição de identificadores (proporção dos identificadores presentes em texto de teste que a substituição de fato reconheceu), medido em corpus interno;
• Operação: os indicadores de qualidade em produção já monitorados (item 7.2), em forma agregada.

8.3. Quando. Os indicadores já são medidos internamente e orientam as mudanças do produto (item 7.3). A primeira publicação está prevista para acompanhar a entrada do primeiro cliente externo na Plataforma, e será atualizada a cada revisão material das funcionalidades de IA. Até lá, esta página não exibe números, para não apresentar como indicador público uma medição ainda interna; o médico que precisar dos valores para o seu dossiê de avaliação (arts. 12 e 13 e Anexo II da Res. 2.454/2026) pode solicitá-los pelo canal da Seção 10.

8.4. Relatórios ao médico e à instituição. Fornecemos ao Cliente, para cumprir o art. 14 e o Anexo III da Res. 2.454/2026, os relatórios de desempenho, limitações conhecidas e vieses identificados de cada funcionalidade, além da trilha de rastreabilidade por mensagem e por documento (item 2.2). O Cliente pode repassá-los ao seu Conselho Regional quando solicitado.

9. CANAL DE RELATO DE FALHA DE IA

9.1. Qualquer médico, paciente ou terceiro pode relatar uma falha, erro ou comportamento inesperado das funcionalidades de IA (art. 7º, §2º, da Res. CFM 2.454/2026) pelo e-mail hello@oasismed.com.br, com o assunto "Falha de IA". Pedimos que o relato descreva a funcionalidade, o que era esperado e o que ocorreu, sem incluir dados identificáveis de paciente no corpo do e-mail.

9.2. Respondemos em até 5 (cinco) dias úteis com a confirmação do recebimento, a análise inicial e, quando cabível, a medida adotada. Falhas confirmadas alimentam as suítes de avaliação (item 7.3) e, quando materiais, esta página.

10. CONTATO

Dúvidas sobre este documento ou sobre o funcionamento das funcionalidades de IA: hello@oasismed.com.br. Assuntos de privacidade e proteção de dados: ver a Política de Privacidade (Encarregado/DPO lá indicado).