Anonimização de PII on-premise para texto clínico: o que é e quando você precisa

O que significa "anonimização de PII on-premise"?

É um software que detecta informações pessoais identificáveis (PII) e dados de saúde em texto, PDFs, imagens e áudio e depois os mascara, tokeniza ou substitui, tudo em hardware que você controla. Nada é enviado para a nuvem de um fornecedor para ser analisado.

No ambiente clínico a entrada costuma ser um sumário de alta, uma evolução, um encaminhamento ou um formulário digitalizado. A saída é o mesmo documento, ou texto limpo, onde nomes, identificadores, endereços e datas foram tratados conforme uma política.

Como difere de uma API de anonimização na nuvem?

Uma API na nuvem pede que você envie o documento bruto para limpá-lo. Com os contratos certos pode ser aceitável, mas tira do seu perímetro a versão mais sensível do dado, exatamente o que muitos hospitais, operadoras e grupos de pesquisa querem evitar.

As ferramentas on-premise invertem isso: o documento bruto nunca sai. Só sai, se for o caso, o resultado transformado.

O que um bom sistema deve detectar em um prontuário brasileiro?

• Nomes de pacientes, acompanhantes e profissionais, incluindo sobrenomes repetidos na narrativa.
• Identificadores: CPF, RG, Cartão Nacional de Saúde (CNS), número do prontuário, carteirinha do convênio; a lista completa está em CPF, CNS, CRM e CEP: os identificadores brasileiros que o NER genérico não detecta.
• Endereços e localizações, com CEP, bairro e município.
• Datas de internação, alta e retorno, e idades.
• Dados de contato: celulares, fixos e e-mails.
• Instituições: hospitais, clínicas e operadoras.

Modelos genéricos de reconhecimento de entidades detectam nomes razoavelmente bem, mas falham com os formatos locais. Sistemas de produção combinam um modelo NER clínico, regras para identificadores locais e, opcionalmente, uma segunda passada com um LLM local.

Quando você precisa?

• Você quer resumir ou classificar notas com um LLM na nuvem, mas o jurídico não aprova o envio de dados de saúde. O padrão para isso está em Como enviar prontuários a um LLM na nuvem sem enviar o paciente.
• Você está montando um dataset para analytics, treinamento ou pesquisa e precisa de uma etapa de anonimização documentada.
• Você recebe documentos de muitas fontes (PDF nativo, digitalizações, e-mails) e precisa de um único pipeline.
• O seu comitê de privacidade precisa de um controle mensurável, não de uma promessa. Em Como fazer um POC de anonimização: 100 a 200 documentos reais e recall por entidade explicamos como medir.

O que perguntar a um fornecedor?

1. O motor roda totalmente sem internet, inclusive a validação da licença?
2. Quais identificadores do meu país ele suporta sem configuração?
3. Posso escolher por tipo de entidade se vou mascarar, tokenizar, sintetizar ou deslocar datas?
4. O cofre de reversão fica só do meu lado?
5. Posso medir o recall por tipo de entidade nos meus próprios documentos?

Onde o Velo se encaixa

O Velo é um motor de detecção e anonimização de PII on-premise para texto clínico no Brasil, nos Estados Unidos e na Colômbia. Roda no Velo Nodo, um computador de IA compacto, ou no seu próprio cluster Docker ou Kubernetes. Você pode ver um sumário de alta sendo anonimizado ao vivo ou solicitar um POC.

Este artigo é informação geral, não aconselhamento jurídico.