Segurança MCP nos Cuidados de Saúde: O que é um Conector Médico Seguro?

Conectar assistentes pessoais de inteligência artificial a serviços de saúde digitais requer uma arquitetura de segurança que isole as ferramentas de software do julgamento médico. Um conector médico seguro, construído com base no Protocolo de Contexto do Modelo (MCP), depende da autenticação OAuth 2.1 com PKCE, permissões de paciente baseadas em escopo e uma fronteira inabalável onde as decisões clínicas permanecem estritamente nas mãos humanas. Os assistentes de IA servem como interfaces intuitivas para preencher questionários adaptativos, mas apenas médicos registados e licenciados na UE retêm a autoridade para diagnosticar, aprovar cuidados e emitir prescrições.

Principais pontos

• OAuth 2.1 com PKCE: Impede que clientes de IA de terceiros acedam, visualizem ou armazenem palavras-passe de contas.
• Limites clínicos rigorosos: Os assistentes de IA não podem prescrever, diagnosticar, ajustar dosagens ou aprovar questionários médicos.
• Escopos de permissão granulares: Os pacientes controlam explicitamente quais ações um assistente pode realizar, revogando o acesso a qualquer momento.
• Monitorização do progresso da perda de peso: A monitorização da saúde através do conector é estritamente limitada ao registo do progresso da perda de peso.
• Controlo médico garantido: Cada submissão é revista assincronamente por um médico licenciado na UE, com reembolso total da taxa se o tratamento for recusado.

O que é o Protocolo de Contexto do Modelo (MCP) nos cuidados de saúde digitais?

O Protocolo de Contexto do Modelo (MCP) é um padrão aberto que permite que assistentes de IA — como Claude ou ChatGPT — interajam de forma segura com sistemas externos. Nos cuidados de saúde, um servidor MCP traduz a intenção conversacional em pedidos médicos estruturados sem expor credenciais de conta sensíveis ou bases de dados brutas ao modelo de IA.

Quando implementado corretamente, um conector MCP permite que os pacientes preencham questionários médicos, revejam consultas anteriores e comuniquem com as equipas de cuidados clínicos através de linguagem natural. No entanto, a integridade de um conector médico depende inteiramente do que a plataforma explicitamente proíbe o protocolo de fazer.

"Um conector médico seguro não torna um sistema de IA mais inteligente em medicina; torna a infraestrutura inabalável à extralimitação da IA. As decisões clínicas devem permanecer completamente ausentes da superfície da ferramenta da máquina."

Como o OAuth 2.1 com PKCE protege a autenticação do paciente?

As integrações de software legadas dependiam historicamente de chaves de API estáticas ou palavras-passe armazenadas — métodos que introduzem vulnerabilidade grave quando expostos a modelos de linguagem de terceiros. Uma arquitetura MCP médica segura usa OAuth 2.1 com Proof Key for Code Exchange (PKCE) para gerir a autorização.

Sob o OAuth 2.1 com PKCE, o paciente autentica-se diretamente numa página web encriptada e propriedade da plataforma. O assistente de IA recebe um token de autorização de curta duração ligado a uma sessão específica, o que significa que o cliente de IA nunca vê, captura ou armazena a palavra-passe do paciente. Se um token de sessão for revogado ou expirar, o acesso termina instantaneamente em todos os pontos finais.

Por que um assistente de IA nunca deve possuir autoridade de decisão clínica?

Os modelos de linguagem são excelentes na estruturação de diálogos, tradução de texto entre idiomas e organização da entrada do paciente. São fundamentalmente incapazes de assumir responsabilidade legal ou clínica por resultados médicos. Numa arquitetura de saúde segura, as ferramentas de decisão clínica não são meramente restritas por prompts — estão completamente ausentes da superfície da ferramenta do conector de IA.

Esta separação estrutural garante que um assistente de IA não pode pré-aprovar um paciente, alterar uma dose prescrita ou emitir uma prescrição. A elegibilidade médica é imposta pelo backend seguro quando um questionário é submetido, e cada caso é atribuído a um médico registado e licenciado na UE para revisão assíncrona.

"As prescrições eletrónicas transfronteiriças devem identificar o profissional prescritor, para que a responsabilidade recaia sobre um clínico nomeado. O software pode estruturar o contexto, mas apenas um médico verificado pode exercer o julgamento clínico."

Como as permissões e o isolamento de escopo mantêm os dados de saúde pessoais seguros

Um conector médico resiliente categoriza as suas capacidades em permissões isoladas. Por exemplo, o servidor MCP alojado do Hi-Doctor expõe até 50 ferramentas dedicadas, mas o acesso é dividido em escopos de segurança distintos que exigem consentimento explícito do paciente durante a autorização inicial.

• Escopo de perfil: Permite que o assistente leia detalhes demográficos necessários para a formatação de prescrições transfronteiriças.
• Escopo de consultas: Permite a leitura de registos de consultas concluídas e atualizações de estado pendentes.
• Escopo de questionário: Permite a conclusão conversacional de questionários médicos adaptativos passo a passo.
• Escopo de mensagens: Encaminha notas assíncronas do paciente diretamente para a caixa de entrada segura da equipa médica.
• Escopo de monitorização da saúde: Restrito exclusivamente ao registo do progresso da perda de peso para pacientes em planos de gestão de peso.

Se um paciente negar permissão para um escopo específico, essas ferramentas são omitidas da sessão por completo. Além disso, as transações financeiras nunca passam pelo modelo de IA; os pedidos de pagamento geram um link direto para uma página de checkout alojada e compatível com PCI-DSS, gerida pela Stripe.

Comparando APIs web tradicionais com a arquitetura MCP médica segura

Avaliar a segurança de um conector de tecnologia de saúde requer comparar o acesso tradicional à API com um ambiente MCP de confiança zero construído para fluxos de trabalho clínicos.

O ciclo de vida completo de uma consulta assistida por MCP

Um conector médico seguro integra a conveniência conversacional com uma rigorosa governação clínica com intervenção humana. O fluxo abaixo ilustra como um paciente interage com um assistente de IA, garantindo que a avaliação médica permanece 100% governada por um médico licenciado na UE.

1. O paciente inicia a consulta via assistente de IA
2. Autenticação OAuth 2.1 PKCE no site Hi-Doctor
3. O paciente concede permissões de escopo específicas
4. O assistente guia as respostas do questionário adaptativo
5. O paciente revê e confirma as respostas
6. Submissão e link de pagamento gerado via Stripe
7. O backend valida as regras de elegibilidade médica
8. O médico licenciado na UE revê o questionário assincronamente

Como o Hi-Doctor pode ajudar

O Hi-Doctor oferece consultas 100% online, não emergenciais, nas áreas de tratamento que abrange: Crescimento Capilar, Perda de Peso, Saúde Sexual, Ejaculação Precoce, Clamídia, Infeções Urinárias, Contraceção de Emergência e PrEP para o VIH. As taxas dos pacientes são totalmente transparentes, custando 25€ por consulta para categorias de subscrição contínua (Crescimento Capilar e Perda de Peso) ou uma taxa única de 35€ para categorias de saúde aguda e sexual.

Através do nosso servidor MCP alojado em https://mcp.hi-doctor.ai/mcp, os pacientes podem conectar o seu assistente pessoal de IA usando OAuth 2.1 para preencher questionários adaptativos de forma conversacional ou registar o progresso da perda de peso. Um médico licenciado na UE revê cada submissão concluída assincronamente e, quando clinicamente apropriado, emite uma prescrição eletrónica privada REMPE oficial em menos de 24 horas. Se o médico revisor decidir que um tratamento é inseguro ou inadequado, nenhuma prescrição é emitida e a taxa de consulta é reembolsada na totalidade.

As prescrições REMPE aprovadas são projetadas para reconhecimento transfronteiriço sob a Diretiva da UE 2011/24/UE, embora um farmacêutico ainda possa recusar a dispensa. Os pacientes podem descarregar o seu PDF de prescrição eletrónica diretamente na sua caixa de entrada segura para apresentar em qualquer farmácia licenciada em toda a UE. Os farmacêuticos locais revêem a prescrição e podem dispensar o tratamento ativo ou um equivalente de acordo com as regulamentações nacionais; eles retêm o direito de recusar, portanto, a dispensa nunca é garantida.