As sete propriedades de um log auditável para IA radiológica
Log auditável não é virtude. É infraestrutura — e em 2026 é regulamentar.
Por que o log virou requisito clínico
Log auditável deixou de ser detalhe técnico em 2026. A Resolução CFM 2.454/2026 exige identificação do uso de IA no laudo, registro do modelo (nome e versão) em cada análise e preservação da trilha de ações do médico sobre as sugestões automatizadas. A LGPD concede ao paciente direitos de acesso, correção, portabilidade e eliminação de dados pessoais sensíveis. Juntos, esses marcos transformam o log de IA radiológica em obrigação clínica e civil. O termo 'log', porém, está abusado — qualquer arquivo de texto com timestamp é chamado assim.
Os custos de um log inadequado dividem-se em três frentes:
- Regulatório: serviços sem trilha demonstrável podem perder acreditação, ter contratos cancelados ou enfrentar processos administrativos.
- Civil: o radiologista pode responder por laudo automatizado sem trilha, mesmo quando a responsabilidade é do fabricante.
- Operacional: incidente sem log impede o aprendizado — é impossível corrigir o que não se consegue medir.
Propriedade 1 — completude
Todo evento clinicamente relevante precisa estar registrado. Para IA radiológica, isso inclui: abertura do exame (timestamp, usuário, modalidade, identificador do paciente), sugestão da IA (modelo, versão, input, conteúdo sugerido, timestamp, confiança), edições do médico (diff entre proposto e final), eventos de comparação com exame anterior, marcação de achado crítico, comunicação CRIT (registro de ciência, destinatário, canal), revisão pré-assinatura e assinatura digital (hash do conteúdo, timestamp, identidade).
Completude não é registrar tudo. É registrar o que pode ser auditado. Mover-de-coluna, scroll e zoom são irrelevantes para auditoria. Mas 'radiologista aceitou sugestão de impressão sem editar' é absolutamente relevante.
Propriedade 2 — integridade
Log auditável não pode ser silenciosamente reescrito. Se for alterado, a alteração precisa ser detectável.
Engenharia mínima
- Hash chain (cada entrada carrega o hash da anterior).
- Armazenamento append-only (write-once, read-many — bucket S3 com Object Lock, Postgres com triggers que bloqueiam update/delete).
- Assinatura criptográfica das entradas críticas (assinatura do laudo, comunicação CRIT).
Engenharia robusta
- Replicação cross-region e snapshot diário imutável.
- Verificação periódica de integridade (job recalculando hashes, com alerta em divergência).
- Para serviços enterprise: time-stamping de terceiro confiável (RFC 3161) nas assinaturas críticas — adiciona uma testemunha externa imodificável pela cadeia.
Propriedade 3 — ordenação
Uma timeline confiável é trivial em teoria e complicada na prática. Timestamps locais do cliente não são confiáveis (o relógio do navegador pode estar errado, o fuso pode confundir). Timestamps do servidor são melhores, exigindo monotonia e sincronização (NTP) em todos os serviços. Para sistemas distribuídos, vector clocks ou sequence numbers globais resolvem a ambiguidade.
Auditoria sem ordenação confiável vira disputa de 'mas isso aconteceu antes ou depois daquilo?'. Ordenação resolve isso de antemão.
Propriedade 4 — identidade
Cada evento precisa estar amarrado a uma identidade verificável.
- Para usuário humano: identidade autenticada (SSO/SAML institucional, MFA quando aplicável), CRM ou identificador profissional na sessão clínica, IP de origem para detecção de uso fora de padrão.
- Para sistema (a IA): identidade do modelo (nome, versão exata, hash do arquivo de modelo quando possível), identidade do serviço/microserviço que invocou, request ID de correlação.
Identidade fraca ('sistema' sem detalhe, usuário sem MFA, sessão compartilhada) destrói metade do valor do log. Para a CFM 2.454/2026, a identidade do modelo é especialmente importante: se a versão mudar depois e gerar comportamento diferente sobre o mesmo exame, o auditor precisa reproduzir o estado da época.
Propriedade 5 — contexto
Log sem contexto é difícil de interpretar mesmo quando completo. Contexto inclui: qual modalidade, qual protocolo, qual paciente (no nível de identificação compatível com a política institucional), qual exame específico, qual modelo de IA estava ativo naquele instante (importante em A/B test interno ou rollout gradual), qual versão da aplicação (release tag) e qual ambiente (produção/staging).
Para a IA: o input do modelo (não necessariamente a imagem inteira, mas ao menos hashes/IDs que permitam reconstruir a query) e o output bruto (antes do pós-processamento). Em alguns casos, isso significa armazenar prompt e resposta literais — com o cuidado de não capturar PHI fora do escopo.
Propriedade 6 — legibilidade humana
Log que ninguém consegue ler não será auditado quando importar. Engenharia mínima: estrutura consistente (JSON com schema bem definido ou banco relacional com tabelas e índices), exportação para CSV/PDF para o auditor que não vai aprender SQL, painel administrativo legível para o radiologista ver o que aconteceu no seu laudo e motor de busca por exame/paciente/usuário/intervalo de tempo.
Legibilidade inclui interpretação semântica: o painel não pode mostrar 'event_type: model_invocation' — precisa mostrar 'IA gerou sugestão de impressão para o exame X às 14:23'. Isso é trabalho de produto, não só de engenharia.
Propriedade 7 — retenção e exportação
Quanto tempo retém: o prontuário médico no Brasil tem retenção mínima de 20 anos (Lei 13.787/2018, CFM). O log de IA associado ao laudo deve seguir a mesma cadência. Mais que isso (50+ anos) faz sentido em pediatria, pesquisa e ensino, conforme política institucional.
Como exporta: para o auditor regulatório (CRM, vigilância sanitária, Justiça), o log precisa sair em formato amigável, com índice cronológico, identificação do paciente compatível com a ordem judicial e sem mistura de dados de outros pacientes. Para o paciente exercendo direito LGPD de acesso/portabilidade: exportação dos dados clínicos pessoais associados, incluindo o registro de uso de IA — em formato estruturado (JSON/CSV) ou PDF legível. A política de retenção precisa estar documentada e implementada; retenção excessiva também viola a LGPD (princípio da necessidade).
O que NÃO é log auditável
- Planilha de Excel com timestamps manuais — sem integridade, sem identidade, sem hash chain.
- Screenshots de tela do laudo arquivados em pasta — não é log, é evidência avulsa.
- E-mail com cópia do laudo enviado — fluxo de comunicação não substitui trilha.
- Backup diário do banco — backup é restore de emergência, não auditoria. Sem ordem cronológica, sem identidade, sem busca.
- Console logs descartáveis (sem retenção, sem busca, sem export) — só servem para debug de engenharia.
Como medir o seu — auditoria interna em 30 minutos
- Pegue um laudo aleatório dos últimos 30 dias e pergunte ao sistema: qual modelo de IA foi usado? Qual versão? Qual conteúdo a IA propôs? O que o radiologista editou? Quanto tempo da abertura à assinatura? Se responder tudo em menos de 5 minutos sem chamar engenharia, a propriedade 1 (completude) está OK.
- Pegue um laudo de 6 meses atrás e tente reproduzir a sugestão da IA da época. Se o modelo mudou de versão e você não consegue saber qual era a antiga, a propriedade 4 (identidade) está com falha.
- Tente alterar diretamente um log antigo (no banco, no storage). Se conseguir sem deixar rastro, a propriedade 2 (integridade) está com falha.
- Peça a exportação do log de um paciente específico (cenário LGPD). Se demorar mais que 1 dia útil ou exigir engenharia customizada, a propriedade 7 (retenção/exportação) está com falha.
- Mostre o painel de log a um auditor externo (advogado, compliance). Se ele não entender sem treinamento, a propriedade 6 (legibilidade) está com falha.
Log auditável não é virtude. É infraestrutura — e em 2026 é regulamentar.
Implementação Laudos.AI
A trilha de auditoria da Laudos.AI cobre as sete propriedades por construção. Por exame: registro do modelo e versão, conteúdo sugerido pela IA, diff de edição do radiologista, eventos de comparação com exame anterior, marcação de achado crítico, eventos CRIT (registro de ciência, destinatário, canal), revisão pré-assinatura, hash assinado da versão final e timestamp do servidor sincronizado e ordenado.
Por usuário: autenticação institucional (SSO/SAML opcional no Enterprise), identidade do radiologista assinante com CRM quando aplicável, IP e dispositivo. Por modelo: nome, versão exata, política de atualização (changelog público) e modo de invocação. Storage append-only com replicação cross-region, política de retenção parametrizada por serviço (20 anos default no Brasil), exportação em JSON e PDF e painel legível para radiologista e auditor institucional, com verificação periódica de integridade.
Se você está adotando IA radiológica hoje, faça a auditoria interna de 30 minutos descrita acima antes de assinar o contrato. Log auditável é mais barato de cobrar antes — e muito caro de implementar depois, quando o auditor já está na porta.
Perguntas frequentes
Quais são as sete propriedades de um log auditável?
Completude, integridade, ordenação, identidade, contexto, legibilidade humana e retenção/exportação. Juntas, elas separam um log auditável de um log meramente decorativo.
Por quanto tempo preciso reter o log de IA radiológica?
Como mínimo, o mesmo prazo do prontuário médico no Brasil: 20 anos (Lei 13.787/2018, CFM). Em pediatria, pesquisa e ensino, prazos maiores podem fazer sentido. A política de retenção precisa estar documentada — retenção indefinida ou excessiva também viola a LGPD.
Uma planilha com timestamps serve como log auditável?
Não. Planilhas, screenshots avulsos, e-mails com cópia do laudo e backups de banco não atendem aos requisitos: faltam integridade (hash chain), identidade verificável, ordenação confiável e capacidade de busca/exportação.
A Laudos.AI substitui o radiologista?
Não. A Laudos.AI estrutura e acelera o laudo, mas o médico revisa, edita e assina. O uso é assistivo, sob responsabilidade do radiologista (Resolução CFM 2.454/2026). A IA propõe; o médico decide.
Sobre o autor
Dr. Natan Paraíso Ribeiro — Radiologista formado no InRad/HC-FMUSP. Desenvolvedor único e acionista da Laudos.AI. Encarregado de Dados (DPO) pela LGPD. Escreve sobre IA em radiologia, governança clínica e a camada de laudo que vem depois da imagem.
Conteúdo de uso assistivo, sob responsabilidade do radiologista (Resolução CFM 2.454/2026; LGPD/ANPD). A Laudos.AI não substitui o radiologista nem realiza diagnóstico: a IA acelera a estrutura do laudo, e o médico revisa, edita e assina.
Referências
Estruture seus laudos com o Laudos.AI
Ditado em português com terminologia radiológica, estruturação automática por modalidade, sinalização de achados críticos (CRIT) e integração com seu PACS/RIS atual — com governança CFM 2.454/2026 e LGPD documentada, e o radiologista sempre no controle.