Um agente de prevenção a fraudes em telemedicina confere receitas e atestados médicos digitais antes que eles sejam aceitos: verifica se a assinatura eletrônica é válida e do tipo exigido, se o médico tem registro ativo, se os dados internos do documento são coerentes entre si e com o atendimento registrado, e se o mesmo documento já foi usado. Quando encontra algo fora do padrão, ele sinaliza e explica o motivo para uma pessoa revisar. Ele não recusa o documento, não acusa o paciente e não decide sozinho.
O valor do agente está em juntar, num único parecer, verificações que hoje ficam espalhadas: o validador do ITI para assinaturas, o validador da Prescrição Eletrônica do CFM e do Conselho Federal de Farmácia, o Sistema Nacional de Controle de Receituários (SNCR) da Anvisa para receitas controladas e as regras de prontuário da telemedicina. Este guia mostra o que checar, o que a lei exige de cada documento e como montar o fluxo com revisão humana.
Resumo rápido
- Receita de controle especial e atestado em meio eletrônico só valem com assinatura eletrônica qualificada (padrão ICP-Brasil), pela Lei nº 14.063/2020, art. 13.
- O validador oficial do governo (validar.iti.gov.br) confere assinaturas ICP-Brasil e gov.br; o validador da Prescrição Eletrônica do CFM/CFF também indica se o signatário é médico habilitado e se a receita já foi dispensada.
- Desde 30/09/2026 a Anvisa iniciou a emissão eletrônica integrada ao SNCR, com transição até 29/10/2026; o papel continua válido.
- A plataforma Atesta CFM foi instituída pela Resolução CFM nº 2.382/2024, mas teve os efeitos suspensos pela Justiça Federal; não conte com ela como fonte de validação.
- O agente produz alertas com evidência; a decisão de recusar, glosar ou investigar fica com uma pessoa.
Que inconsistências o agente procura
Fraude em documento médico digital costuma aparecer de quatro formas: documento sem assinatura válida (um PDF montado ou uma imagem editada), assinatura válida de alguém que não é médico, documento verdadeiro alterado depois de assinado, ou documento verdadeiro reaproveitado várias vezes. O agente organiza as checagens nessas frentes.
| Checagem | Como o agente verifica | Sinal de alerta |
|---|---|---|
| Assinatura presente e íntegra | Envia o arquivo original ao validador oficial e lê o resultado | Sem assinatura, assinatura inválida ou documento alterado após assinar |
| Tipo de assinatura adequado | Compara o nível da assinatura com o tipo de documento | Receita controlada ou atestado eletrônico sem assinatura qualificada |
| Signatário habilitado | Relaciona a identidade do signatário ao nome, CRM e UF em consulta oficial | Identidade incompatível com o registro profissional consultado |
| Coerência interna | Extrai datas, nomes e campos obrigatórios | Data de emissão posterior à apresentação, paciente diferente do titular, campos obrigatórios vazios |
| Coerência com o atendimento | Cruza com o registro da teleconsulta, quando a empresa tem acesso legítimo a ele | Documento sem consulta correspondente, horário fora do atendimento |
| Reuso | Calcula um hash do arquivo e consulta o histórico; para receitas, verifica dispensação | Mesmo arquivo apresentado mais de uma vez; receita já dispensada |
| Receita controlada | Confere numeração e dados no SNCR, quando o perfil de acesso existir | Numeração inexistente ou de outro prescritor |
A extração de campos de documentos escaneados pode usar modelos multimodais, como comparamos em modelos de visão para prontuários e receitas. Mas um alerta de fraude não pode depender só da leitura de uma imagem: assinaturas e bases oficiais fornecem evidências técnicas, mas não comprovam, isoladamente, fraude ou veracidade clínica.
Repetição de arquivo e diferença entre datas não comprovam fraude: pode haver reapresentação legítima ou correção de um pedido. O certificado também não precisa conter o CRM. A identidade do signatário deve ser relacionada ao registro profissional por uma consulta autorizada, sem presumir que assinatura válida comprova a veracidade clínica do conteúdo.
Validade jurídica: assinatura qualificada e ICP-Brasil
A Medida Provisória nº 2.200-2/2001 instituiu a Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) para garantir autenticidade, integridade e validade jurídica de documentos eletrônicos. Sobre ela, a Lei nº 14.063/2020 definiu o que vale para documentos de saúde:
- Art. 13: “Os receituários de medicamentos sujeitos a controle especial e os atestados médicos em meio eletrônico, previstos em ato do Ministério da Saúde, somente serão válidos quando subscritos com assinatura eletrônica qualificada do profissional de saúde.” Assinatura qualificada é a que usa certificado ICP-Brasil.
- Art. 14: os demais documentos eletrônicos de profissionais de saúde valem com assinatura avançada ou qualificada. Uma receita simples assinada com gov.br, por exemplo, pode ser válida; uma notificação de receita controlada, não.
A Resolução CFM nº 2.314/2022, que regulamenta a telemedicina, acrescenta uma camada: na emissão a distância de relatório, atestado ou prescrição, devem constar no prontuário a identificação do médico com CRM, os dados do paciente, data e hora, a assinatura com certificação digital no padrão ICP-Brasil “ou outro padrão legalmente aceito” e a indicação de que foi emitido em telemedicina (art. 13). Isso dá ao agente um ponto de cruzamento: todo documento de telemedicina deveria ter um atendimento correspondente.
A regra prática para o agente: classificar o tipo do documento primeiro e só depois julgar se a assinatura é suficiente. Um alerta de “assinatura avançada em receita simples” seria falso positivo.
Os validadores oficiais e o SNCR
Validador do ITI
O Instituto Nacional de Tecnologia da Informação mantém o serviço oficial de validação de assinaturas eletrônicas em validar.iti.gov.br. Ele aceita o envio do arquivo, de uma URL ou a leitura de QR Code de documentos assinados, e verifica assinaturas ICP-Brasil, gov.br e as de acordos internacionais de reconhecimento mútuo. A página não menciona API pública; se a sua operação tiver volume, verifique com o ITI as opções de integração antes de automatizar o uso do site.
Prescrição Eletrônica do CFM e do CFF
A Prescrição Eletrônica é mantida pelo CFM em conjunto com o Conselho Federal de Farmácia e o ITI. A página do serviço oferece modelos de atestado, receituário simples, receituário de controle especial, receituário de antimicrobianos, relatório médico e solicitação de exames, que o médico preenche e assina com certificado ICP-Brasil. O validador do serviço verifica autoria e habilitação do médico signatário, a integridade do documento e, nas receitas, se houve dispensação por farmacêutico. O próprio CFM informa que o conteúdo validado não é armazenado nem repassado a terceiros.
SNCR e receitas de controle especial
Os medicamentos sujeitos a controle especial seguem a Portaria SVS/MS nº 344/1998, e a Anvisa atualizou os receituários pela RDC nº 1.000/2025. Em notícia de 21/09/2026, a agência informou que, a partir de 30/09/2026, notificações de receita (inclusive as azuis e amarelas, antes só em papel) podem ser emitidas eletronicamente de forma integrada ao SNCR. Até 29/10/2026 convivem papel, receitas brancas eletrônicas sem integração e receitas integradas; a partir de 30/10/2026, a Receita de Controle Especial ou Receita Sujeita à Retenção emitida eletronicamente deve estar integrada ao SNCR. A Anvisa também deixou claro que isso não torna a emissão eletrônica obrigatória e que as receitas em papel continuam válidas.
Para a verificação, a Anvisa descreve que farmácias consultam no SNCR a autenticidade da numeração e os dados do prescritor, e registram a utilização da receita; nas notificações eletrônicas, o QR Code também leva à consulta. O acesso exige os perfis “SNCR” e “SNCR-Farmácia” atribuídos pelo responsável legal no Cadastro Anvisa. Um agente só deve consultar o sistema por meio de um usuário autorizado e dentro do que o perfil permite.
Atestados médicos: o que dá para checar
A Resolução CFM nº 2.382/2024 instituiu a plataforma Atesta CFM como sistema oficial e obrigatório para emissão de atestados. Em novembro de 2024, o CFM informou que a Justiça Federal, em primeira instância, suspendeu os efeitos da resolução, e que recorreria. Em nota de 18/08/2026, o CFM informou que aguardava decisão definitiva da Justiça Federal para colocar a plataforma em funcionamento. Portanto, o agente não deve tratar como suspeito um atestado só por não ter sido emitido nessa plataforma, e atestados em papel continuam circulando.
O que dá para verificar num atestado digital: se há assinatura qualificada (exigência do art. 13 da Lei 14.063/2020 para o meio eletrônico), se a identidade do signatário corresponde ao médico identificado por CRM e UF, se as datas são coerentes (divergências precisam de contexto e esclarecimento do emissor) e se o mesmo arquivo já foi apresentado. Em atestado em papel, o agente consegue no máximo comparar dados e encaminhar para checagem manual, por exemplo junto ao serviço emissor.
Cuidado com o diagnóstico: o agente não precisa de CID para checar autenticidade. Configure a extração para ignorar campos clínicos, o que reduz o volume de dado sensível tratado.
Fluxo com revisão humana e LGPD
A sinalização automática afeta pessoas: um paciente pode ter a compra do remédio atrasada, um funcionário pode ter o atestado questionado. Por isso o desenho precisa de três travas.
- Alerta com evidência, não veredito. O agente entrega a lista de checagens, o resultado de cada uma e o link ou print do validador. A linguagem é “inconsistência encontrada”, nunca “documento falso”.
- Revisão humana obrigatória. Toda ação desfavorável (recusar reembolso, abrir investigação, negar dispensação) passa por uma pessoa treinada. O art. 20 da LGPD garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. Os padrões de aprovação estão em nosso guia de human-in-the-loop.
- Mínimo de dados. Dado de saúde é dado pessoal sensível (LGPD, art. 5º, II). Guarde somente os dados necessários, com base legal do art. 11, acesso restrito e prazo de retenção. Um hash associado ao paciente não torna o registro anônimo. Avalie também o envio a validadores externos.
A lógica de pontuar sinais e mandar para fila de análise é a mesma usada em outros antifraudes, como mostramos em agentes de IA contra fraudes no Pix. A diferença aqui é que boa parte da evidência é documental e pode ser conferida em bases oficiais, o que permite alertas mais objetivos.
Exemplo: operadora de saúde em Curitiba
Neste exemplo ilustrativo, imagine uma operadora de planos de saúde de Curitiba que recebe pedidos de reembolso com receitas e relatórios emitidos em teleconsultas de médicos fora da rede. A equipe de auditoria quer reduzir a checagem manual sem negar reembolsos legítimos.
O agente recebe cada pedido e faz, em ordem: identifica o tipo de documento; envia o PDF original ao validador oficial; confere a identidade do signatário e consulta o registro profissional; checa datas contra a data do pedido; calcula o hash e busca reuso no histórico da operadora. Se tudo confere, o pedido segue o fluxo normal. Se algo não confere, o agente monta um parecer curto: “Assinatura válida, ICP-Brasil. Identidade do signatário divergente do médico identificado no documento. Mesmo arquivo apresentado em outro pedido em agosto.” O auditor abre o parecer, confere os links e decide se pede esclarecimento ao beneficiário ou ao médico.
Uma foto de receita, sem o PDF original, não é tratada como fraude: o agente apenas pede o arquivo assinado, porque imagem não carrega assinatura digital verificável. Nenhum pedido é negado pelo agente.
Erros comuns
- Validar a imagem em vez do arquivo. Print ou foto de um PDF assinado perde a assinatura digital. Peça sempre o arquivo original.
- Exigir assinatura qualificada de tudo. Pela Lei 14.063/2020, receita simples pode valer com assinatura avançada; o alerta vira ruído e trava pacientes.
- Tratar falta de Atesta CFM como indício de fraude. A resolução que tornava a plataforma obrigatória teve os efeitos suspensos.
- Deixar o agente recusar automaticamente. Elimina a salvaguarda proposta neste fluxo. O art. 20 assegura o direito de solicitar revisão, sem impor literalmente revisão humana prévia a toda decisão.
- Coletar diagnóstico sem necessidade. Para checar autenticidade, o CID não é necessário.
- Automatizar consultas a sistemas oficiais sem autorização. Use perfis e canais previstos pelo órgão.
Perguntas frequentes
Receita assinada com gov.br é válida?
Depende do tipo. A Lei nº 14.063/2020 aceita assinatura avançada (como a do gov.br) para documentos de saúde em geral, mas exige assinatura qualificada (ICP-Brasil) para receitas de medicamentos sujeitos a controle especial e para atestados em meio eletrônico.
O agente pode consultar o SNCR sozinho?
Só com um usuário que tenha perfil autorizado pela Anvisa e dentro do que esse perfil permite. A Anvisa descreve os perfis “SNCR” e “SNCR-Farmácia”, atribuídos pelo responsável legal do estabelecimento no Cadastro Anvisa.
A receita em papel deixou de valer?
Não. Segundo a Anvisa, as receitas em papel continuam válidas, e a etapa iniciada em 30/09/2026 não torna a emissão eletrônica obrigatória.
O validador do ITI mostra se o médico tem CRM ativo?
O validador do ITI confere a assinatura e o certificado. A verificação de que o signatário é médico habilitado é oferecida pelo validador da Prescrição Eletrônica do CFM e do CFF, segundo o próprio CFM.
Quem responde se o agente errar?
A responsabilidade depende dos papéis, contratos, condutas e danos envolvidos, podendo alcançar diferentes participantes. Registrar quem revisou ajuda na auditoria, mas não define sozinho a responsabilidade jurídica.
Fontes e leitura recomendada
- Lei nº 14.063/2020 (assinaturas eletrônicas), Planalto
- Medida Provisória nº 2.200-2/2001 (ICP-Brasil), Planalto
- Validador oficial de assinaturas eletrônicas do ITI
- Prescrição Eletrônica: CFM, CFF e ITI
- Anvisa: nova etapa do SNCR a partir de 30 de setembro
- Portaria SVS/MS nº 344/1998
- Resolução CFM nº 2.314/2022 (telemedicina)
- CFM: situação do Atesta CFM em agosto de 2026
- Lei nº 13.709/2018 (LGPD), Planalto
