Alerta do CNJ sobre vazamento de dados por IA vale também para o prontuário do fisioterapeuta

Um juiz do CNJ alertou que agentes de inteligência artificial podem ser manipulados para vazar dados sigilosos nos tribunais. O mesmo risco aparece quando o fisioterapeuta usa um assistente de IA para resumir a evolução do paciente ou organizar a agenda pelo WhatsApp.

Nota da redação: a citação atribuída ao juiz George Marmelstein neste texto foi reconstruída a partir da reportagem original e não reproduz literalmente a frase publicada pela fonte, embora preserve o sentido do alerta sobre agentes de IA executando código malicioso. Além disso, a afirmação sobre o código de ética da fisioterapia tratar o sigilo como dever profissional não pôde ser verificada contra as fontes usadas nesta apuração, que tratam apenas do caso do Judiciário; trata-se de um dado de conhecimento geral da categoria, não extraído das reportagens citadas. Levamos isso ao leitor para que avalie essas passagens com a devida cautela.

Um juiz do CNJ alertou que agentes de inteligência artificial podem ser manipulados para vazar dados sigilosos nos tribunais. O mesmo risco aparece quando o fisioterapeuta usa um assistente de IA para resumir a evolução do paciente ou organizar a agenda pelo WhatsApp.

O caso que começou no Judiciário chega ao consultório

No dia 14 de novembro de 2026, o g1 publicou um alerta do juiz federal George Marmelstein, integrante do Comitê Nacional de Inteligência Artificial do Judiciário, ligado ao CNJ. Ele afirmou que agentes de IA (programas que executam tarefas sozinhos, sem um humano aprovando cada passo) podem ser manipulados por quem tem más intenções para acessar senhas, dados de servidores e informações sigilosas de processos.

O alerta nasceu de um problema real. Uma reportagem do Fantástico, exibida em 1º de novembro de 2026, identificou 83 casos de advogados que esconderam instruções em documentos processuais para tentar enganar as ferramentas de IA usadas por juízes. A prática já resultou em multas no STJ e no STF, de R$ 5 mil a 10% do valor da causa. O presidente do STJ, Luis Felipe Salomão, disse que a corte analisou quase 6 milhões de peças e confirmou 40 casos suspeitos após revisão humana.

O motivo de trazer esse caso para a fisioterapia não é o Judiciário em si. É o mecanismo que ele expôs: qualquer sistema de IA que leia um documento e execute uma ação sozinho corre o mesmo risco, seja ele um tribunal ou o aplicativo que organiza a sua agenda de atendimentos.

O que é um agente de IA (e por que ele é mais perigoso que um chat comum)

Quando você digita uma pergunta num chat de IA e recebe um texto de volta, você ainda decide o que fazer com aquela resposta. É você quem copia, edita ou descarta. O risco existe, mas passa pelo seu julgamento antes de virar ação.

Um agente é diferente. Ele recebe uma tarefa e permissão para executá-la sozinho: abrir arquivos, ler mensagens, preencher formulários, enviar e-mails, rodar outros programas. Ele encadeia essas ações sem pedir sua aprovação a cada passo. Se alguém conseguir manipular esse agente, a ação indesejada pode já ter acontecido quando você perceber o problema.

É exatamente esse tipo de ferramenta que vem crescendo entre fisioterapeutas: o assistente que lê o áudio que o paciente mandou no WhatsApp e já escreve o resumo da evolução no prontuário, ou o bot que organiza a agenda, manda lembrete de consulta e reagenda faltas automaticamente.

Como um comando escondido chegaria até o seu consultório

A técnica que os advogados usaram contra os sistemas dos tribunais se chama injeção de comando (em inglês, prompt injection): uma instrução escondida num documento, em letra branca sobre fundo branco ou em código invisível ao olho humano, mas legível pela IA. O sistema não consegue distinguir com segurança se está lendo uma ordem do usuário ou uma instrução oculta plantada por outra pessoa.

No consultório, o canal de entrada seria outro, mas o princípio é idêntico. Pense num cenário hipotético: um paciente encaminha, pelo WhatsApp, um PDF de exame de imagem ou um laudo médico para você anexar ao prontuário. Se esse arquivo tiver sido manipulado, ou se vier de uma fonte comprometida, e o seu assistente de IA tiver permissão para ler o documento e executar ações (como enviar arquivos, atualizar cadastros ou responder mensagens em seu nome), uma instrução escondida poderia levá-lo a encaminhar dados de outros pacientes para um número externo, sem que você percebesse.

O especialista em cibersegurança Matheus Vasconcelos, ouvido pelo g1, resume o princípio que deveria orientar qualquer ferramenta desse tipo:

Um agente encarregado de resumir um processo deveria receber apenas os documentos necessários para aquela tarefa. Não há motivo para ele ter, por padrão, acesso a outros processos ou autorização para enviar mensagens e alterar registros.

Matheus Vasconcelos, especialista em cibersegurança

Troque "processo" por "prontuário" e a recomendação vale integralmente para um consultório de fisioterapia.

Por que o dado de paciente pesa mais do que o dado de um processo

A legislação brasileira de proteção de dados classifica informações sobre saúde como dado pessoal sensível, categoria que exige cuidado redobrado porque o vazamento pode gerar discriminação, constrangimento ou exposição da pessoa. Diagnóstico, evolução clínica, queixa de dor, histórico de cirurgia: tudo isso entra nessa categoria, e não apenas nome e telefone.

Isso define onde um assistente de IA pode e não pode ir:

• Pode, em geral, sem grande risco adicional: organizar horário de consulta, enviar lembrete de retorno, confirmar presença, gerenciar fila de espera, desde que o conteúdo da mensagem não inclua diagnóstico ou detalhe clínico.
• Exige cautela redobrada: resumir evolução do paciente a partir de áudio ou texto, transcrever anotação de sessão, organizar ficha de avaliação. Esses dados não deveriam sair de uma ferramenta sem contrato de confidencialidade com o fornecedor e, idealmente, sem anonimização antes de qualquer processamento por serviço de terceiros.
• Não deveria acontecer nunca: dar a um agente de IA permissão irrestrita para ler toda a conversa de WhatsApp do consultório, acessar a pasta de prontuários inteira ou enviar arquivos automaticamente sem revisão humana prévia.

O código de ética da profissão de fisioterapia já trata o sigilo profissional como dever do fisioterapeuta em relação a tudo o que souber sobre o paciente em razão do exercício profissional. Uma ferramenta que vaza esse dado, mesmo sem intenção, não transfere a responsabilidade do profissional que a configurou: o dever de sigilo continua sendo dele.

O que fazer antes de dar permissão a um assistente de IA

A fala do juiz Marmelstein sobre os agentes do Judiciário descreve bem o risco que também se aplica ao consultório:

Os agentes apertam botões, executam códigos, criam documentos. Eles têm essa questão do fazer. E, ao fazer, pode haver uma influência para que ele rode um código malicioso, no sentido de pegar suas credenciais, pegar seus dados. E isso é um risco maior.

George Marmelstein, juiz federal e integrante do Comitê Nacional de Inteligência Artificial do Judiciário (CNJ)

Antes de ativar um assistente que resuma evolução de paciente ou organize a agenda sozinho, valem alguns passos simples:

1. Confira quais permissões o aplicativo pede: se ele pode enviar mensagens, acessar contatos ou abrir arquivos sem você aprovar cada ação, isso é um agente, não um simples assistente de resposta.
2. Restrinja o acesso ao mínimo necessário para a tarefa: um app de lembrete de consulta não precisa ler o conteúdo clínico das conversas.
3. Nunca cole dado identificável de paciente (nome completo, diagnóstico, CPF) em ferramentas de IA generalistas sem verificar a política de privacidade do fornecedor.
4. Mantenha uma etapa de revisão humana antes de qualquer envio automático de documento ou mensagem que contenha dado clínico.
5. Pergunte ao fornecedor da ferramenta, por escrito, onde os dados são processados e armazenados, e guarde essa resposta: ela é parte da sua defesa em caso de fiscalização ou reclamação de paciente.

O advogado Matheus Puppe, consultor da Comissão Especial de Direito Digital da Câmara dos Deputados, lembra que o vazamento só se concretiza quando três condições se encontram: o agente precisa ter acesso ao dado sensível, as barreiras de segurança da ferramenta precisam falhar e precisa existir um mecanismo capaz de executar a ação indevida. Reduzir qualquer uma dessas três condições já diminui bastante o risco, e a mais fácil de controlar, no consultório, é a primeira: quanto menos acesso você concede, menor o estrago possível se algo falhar.

Fonte: g1.globo.com