Aprendizado federado: IA colaborativa sem compartilhar dados de pacientes

Todo hospital que tenta usar IA clínica esbarra no mesmo paradoxo: os melhores modelos precisam de dados de muitas instituições, mas dados de saúde são exatamente o que as instituições menos podem compartilhar. A LGPD classifica dado de saúde como dado pessoal sensível (art. 5º, II), com regras de tratamento mais rígidas (art. 11) — e com razão: um prontuário vazado não é um cartão de crédito que se cancela.

O caminho tradicional — centralizar tudo num grande repositório e treinar ali — cria um alvo único, exige acordos jurídicos complexos entre cada par de instituições e multiplica o risco a cada cópia dos dados. O aprendizado federado propõe uma inversão simples de enunciar e poderosa nas consequências:

O modelo viaja. Os dados, nunca.

Antes de tudo: o que significa “treinar um modelo”

Treinar um modelo de IA é ajustar milhões de parâmetros numéricos (os pesos) até que ele acerte mais. O ingrediente que provoca esses ajustes são os dados; o produto de cada rodada de treino são as atualizações de pesos (tecnicamente, gradientes). A sacada do aprendizado federado é perceber que, para colaborar, as instituições só precisam trocar as atualizações — não os dados que as geraram.

Como funciona uma rodada federada

O ciclo do diagrama acima se repete dezenas ou centenas de vezes, e cada rodada tem quatro passos:

1. O servidor distribui o modelo global. Cada hospital recebe uma cópia idêntica dos pesos atuais. Isso garante que todos partem do mesmo ponto — sem isso, as contribuições não seriam comparáveis.
2. Cada hospital treina localmente. O modelo roda dentro da infraestrutura da instituição, sobre os dados que já estão lá. É aqui que mora a garantia central: o dado bruto nunca cruza o perímetro do hospital.
3. Só as atualizações de pesos voltam — cifradas. O que sobe para o servidor é um pacote numérico que descreve como o modelo mudou, protegido em trânsito (TLS) e, nos arranjos mais robustos, cifrado de ponta a ponta.
4. O servidor agrega e recomeça. As atualizações de todos são combinadas (uma média ponderada, em geral) num novo modelo global, que volta ao passo 1 — agora um pouco melhor para todos.

“Mas atualizações de pesos não vazam informação?”

Podem vazar — e é por isso que aprendizado federado sério nunca é só federado. Três camadas de proteção aparecem nos frameworks maduros, e vale entender cada uma antes de confiar nelas:

• Privacidade diferencial: adiciona ruído matemático calibrado às atualizações, de modo que a contribuição de qualquer paciente individual fique estatisticamente indistinguível. O custo é um pequeno sacrifício de precisão, negociado por uma garantia formal de privacidade.
• Agregação segura: um protocolo criptográfico em que o servidor só consegue enxergar a soma das atualizações de todos os hospitais — nunca a contribuição individual de nenhum deles. Nem o coordenador precisa ser plenamente confiável.
• Sanitização de gradientes: filtros que cortam ou limitam componentes das atualizações capazes de memorizar exemplos raros — justamente os casos clínicos atípicos que mais identificariam alguém.

Um framework recente publicado no World Journal of Advanced Research and Reviews combina exatamente essas peças — privacidade diferencial, agregação segura e personalização adaptativa — e acrescenta duas ideias úteis para o mundo real: FedAlign, que harmoniza esquemas de dados heterogêneos entre instituições (nenhum hospital estrutura o prontuário igual ao vizinho), e aprendizado federado personalizado, que adapta o modelo global às particularidades da população local de cada serviço.

Os números

O que torna esse estudo interessante não é a arquitetura — é a evidência de que a colaboração compensa:

• Na predição de sepse, o modelo federado alcançou AUC de 0,87, contra 0,76 dos modelos treinados isoladamente em cada hospital;
• Em análise de mamografias, a generalização para dados de instituições não vistas no treino melhorou 14%;
• Os falsos negativos — o erro mais caro da medicina — caíram 8,5%;
• No agregado, o arranjo federado atingiu cerca de 99% da precisão de um modelo centralizado equivalente, com isolamento total dos dados.

Em outras palavras: abriu-se mão de ~1% de desempenho para eliminar a necessidade de qualquer instituição entregar seus dados a terceiros.

O que o aprendizado federado não resolve

Aqui vale honestidade técnica, porque a ferramenta virou moda:

• Federado não é sinônimo de anônimo. Treinar sobre dados pessoais continua sendo tratamento de dados pessoais para a LGPD — a base legal, o registro de operações e a governança continuam obrigatórios. O que muda é o mapa de riscos, muito mais favorável.
• Dados não-IID são o dia a dia. Populações, equipamentos e protocolos variam entre hospitais; sem técnicas como as do FedAlign, o modelo global pode oscilar ou favorecer a instituição com mais dados.
• Há custo de orquestração. Coordenar rodadas, versões de modelo e disponibilidade de nós entre instituições com maturidades de TI diferentes é um projeto de engenharia — não um botão.
• Ataques existem. Inversão de gradientes e inferência de pertencimento são áreas ativas de pesquisa; as três camadas de proteção acima existem precisamente porque a versão ingênua do federado é atacável.

Por que isso importa para o Brasil

Pesquisa multicêntrica, redes de hospitais públicos e privados, consórcios regionais de saúde: todos esbarram hoje na mesma barreira de compartilhamento. O aprendizado federado oferece um caminho em que cooperar deixa de exigir confiar dados brutos a alguém — uma mudança de arquitetura que conversa diretamente com o dever de necessidade e minimização da LGPD e com a realidade de instituições que não podem (nem devem) abrir seus prontuários.

---

Na Sciereli, ajudamos organizações de saúde a transformar esses conceitos em prática: arquitetura de dados com Zero Trust, governança alinhada à LGPD e avaliação técnica de estratégias de IA que respeitam o paciente por construção. Fale com a gente: contato@sciereli.com.br.