Classificação de risco para mensagens automatizadas em clínicas: como estruturar níveis P1 a P4
Use níveis P1 a P4, critérios objetivos e runbooks operacionais para proteger o paciente, a clínica e a trilha de auditoria.
Conheça um modelo de atendimento automatizado para clínicas
Neste artigo8 seções
- O que é classificação de risco para mensagens automatizadas em clínicas?
- Como criar os níveis P1, P2, P3 e P4 para mensagens clínicas
- Quais critérios objetivos devem transferir a conversa para um humano?
- Como implementar a classificação de risco P1 a P4 em 7 etapas
- Runbooks P1 a P4: o que cada procedimento deve conter
- Como registrar eventos para LGPD e auditoria médico-legal
- Como uma arquitetura multiagente pode apoiar P1 a P4
- Indicadores e erros que comprometem a classificação de risco
O que é classificação de risco para mensagens automatizadas em clínicas?
A classificação de risco para mensagens automatizadas organiza cada conversa conforme o potencial de dano clínico, operacional, financeiro ou de privacidade. Em vez de tratar toda interação como uma solicitação de agendamento, a clínica define o que pode seguir em automação, o que exige validação e o que deve chegar imediatamente a um profissional treinado.
Uma pergunta sobre horário de atendimento costuma ter baixo risco. Já uma mensagem como “estou com dor no peito e falta de ar” exige uma resposta operacional diferente, sem diagnóstico e sem tentativa de conduzir o paciente até uma agenda. O sistema deve reconhecer o sinal, interromper o fluxo comercial e orientar a busca de atendimento adequado conforme o protocolo da instituição.
O modelo P1 a P4 funciona como uma linguagem comum entre recepção, coordenação clínica, tecnologia, jurídico e fornecedor. A letra indica prioridade e o número representa a gravidade, sendo P1 a situação mais crítica e P4 a interação de menor risco.
A classificação precisa considerar o conteúdo da mensagem, o contexto da conversa, o histórico autorizado no prontuário, o canal utilizado e a consequência de uma resposta incorreta. Uma mesma expressão pode ter prioridades distintas dependendo da idade informada, do procedimento solicitado ou de um evento já registrado pela clínica.
Esse desenho também evita um erro frequente: transferir tudo para a equipe humana e perder o ganho operacional, ou automatizar tudo e expor pacientes a respostas sem contexto. Para aprofundar a governança de responsabilidades e indicadores, consulte o guia sobre governança de CRM conversacional em clínicas.
Como criar os níveis P1, P2, P3 e P4 para mensagens clínicas
- ✓P1, risco crítico: sinais de possível emergência, risco imediato à vida, ameaça de autoagressão, reação grave após procedimento, suspeita de erro com potencial de dano ou indisponibilidade que impeça orientações essenciais. A automação deve interromper o fluxo, registrar o evento, enviar a orientação institucional aprovada e acionar o responsável definido no plantão.
- ✓P2, risco alto: sintomas relevantes sem indicação clara de emergência, dúvidas sobre preparo que podem comprometer um exame, reação adversa sem sinais de gravidade, conflito de agenda com procedimento sensível ou solicitação que envolva dados clínicos delicados. A conversa deve ser transferida para um profissional habilitado dentro de um prazo definido pela clínica.
- ✓P3, risco moderado: situações que exigem interpretação humana, mas não apresentam sinal de urgência, como dúvidas sobre cobertura, indicação de especialidade, documentação, preparo não crítico, resultado ainda não liberado ou pedido de orientação sobre fluxo assistencial. A automação pode coletar dados mínimos e encaminhar a fila correta.
- ✓P4, risco baixo: tarefas administrativas e informativas com baixa probabilidade de dano, como horários, endereço, valores previamente aprovados, disponibilidade de agenda, confirmação, cancelamento, reagendamento e recuperação de pacientes que pararam de responder. A IA pode conduzir o fluxo quando as informações estiverem sincronizadas e autorizadas.
- ✓Regra de dominância: quando uma conversa contiver sinais de níveis diferentes, prevalece o maior risco. Um paciente que pede um horário, mas relata piora intensa após um procedimento, não deve permanecer em P4 por causa da intenção inicial de agendamento.
- ✓Regra de incerteza: quando o classificador não tiver confiança suficiente, a conversa deve subir de nível ou ser transferida para humano. A ausência de informação não é evidência de baixo risco.
Quais critérios objetivos devem transferir a conversa para um humano?
O critério mais seguro combina intenção, entidades clínicas, contexto e confiança da resposta. Intenção é o que o paciente busca; entidades são elementos como sintoma, exame, medicamento, unidade ou data; contexto mostra o que já foi dito; confiança indica se o sistema encontrou uma resposta autorizada e consistente.
Defina transferência obrigatória para palavras ou padrões associados a emergência, sofrimento intenso, ameaça, discriminação, falha assistencial, incidente de privacidade, reclamação formal e suspeita de informação incorreta. A lista deve ser construída com profissionais da clínica e revisada após análise de conversas reais, sem depender apenas de palavras isoladas.
Também devem gerar transferência a ausência de uma resposta validada, divergência entre agenda e prontuário, falha de integração, conflito entre duas fontes de informação, pedido de interpretação de resultado e qualquer solicitação que possa ser entendida como diagnóstico, prescrição ou mudança de tratamento.
Um limiar de confiança pode ajudar, mas não deve ser o único controle. Por exemplo, uma resposta com alta confiança linguística ainda pode estar errada se a agenda estiver desatualizada ou se o prontuário indicar uma restrição que o agente não consultou.
A política de tempo precisa ser mensurável. Um P1 pode exigir acionamento imediato e confirmação de recebimento; um P2 pode ter prazo de poucos minutos durante o horário assistencial; um P3 pode entrar em uma fila priorizada; e um P4 pode seguir automaticamente, com amostragem e auditoria.
A clínica pode documentar esse fluxo em uma matriz de risco para escalonamento da IA, desde que adapte os exemplos à sua especialidade, à cobertura de plantão e às regras internas de atendimento.
Como implementar a classificação de risco P1 a P4 em 7 etapas
- 1
Mapear as jornadas e pontos de decisão
Liste os fluxos de primeiro contato, agendamento, preparo, confirmação, cancelamento, reagendamento, resultado, reclamação e pós-atendimento. Marque em cada etapa quais informações podem causar dano se forem interpretadas ou enviadas incorretamente.
- 2
Formar um grupo de decisão
Inclua uma liderança clínica, recepção, proteção de dados, tecnologia e responsáveis pelo plantão. O grupo deve aprovar os critérios de risco, os textos de fallback e os responsáveis por cada fila.
- 3
Criar uma taxonomia de eventos
Padronize eventos como sintoma de alerta, solicitação de resultado, conflito de agenda, falha de integração, pedido de humano e incidente de privacidade. Uma taxonomia consistente facilita o treinamento, a busca nos registros e a medição de recorrência.
- 4
Associar cada intenção a uma política
Para cada intenção, defina se a IA pode responder, coletar dados, consultar uma fonte autorizada, agendar ou transferir. Não basta escrever uma resposta: é preciso registrar a condição que permite enviá-la.
- 5
Configurar o fallback
O fallback deve interromper mensagens automáticas conflitantes, preservar o contexto e entregar ao humano um resumo acionável. Quando não houver agente disponível, use o protocolo aprovado pela clínica, sem criar orientação clínica improvisada.
- 6
Testar cenários normais e de exceção
Simule mensagens curtas, erros de digitação, mistura de assuntos, mudança de canal, histórico incompleto e indisponibilidade do prontuário. Inclua testes P1 com plantão, P2 fora do horário e P4 com agenda concorrida.
- 7
Revisar indicadores e calibrar a operação
Acompanhe transferências por nível, tempo até o primeiro contato humano, falsos negativos, falsos positivos, conflitos de agenda e reincidência de falhas. A implantação não termina no go-live: os critérios precisam evoluir com as conversas e com as mudanças dos protocolos.
Runbooks P1 a P4: o que cada procedimento deve conter
Um runbook transforma uma classificação em ação coordenada. Ele deve responder, sem ambiguidades, quem recebe o alerta, qual canal é usado, qual prazo se aplica, quais informações podem ser visualizadas, qual mensagem é permitida e quando o caso é encerrado.
Para um P1, o procedimento pode seguir esta sequência: interromper a automação; gerar alerta com identificador da conversa; enviar a orientação institucional aprovada; acionar a equipe de referência; confirmar recebimento; registrar cada ação; e abrir revisão do evento. A automação não deve prometer atendimento clínico nem afirmar que o caso foi resolvido.
Para um P2, o runbook precisa definir a fila especializada, o prazo de aceite, a possibilidade de solicitar dados adicionais e o escalonamento caso ninguém assuma a conversa. Em uma clínica com mais de uma unidade, o evento deve carregar unidade, especialidade, canal e identificação segura do paciente para evitar encaminhamento incorreto.
Para P3, a equipe pode trabalhar com fila priorizada e resumo estruturado. O sistema deve indicar a intenção detectada, os trechos que motivaram a classificação, os dados consultados e o que ainda falta para responder, reduzindo a necessidade de o recepcionista reler toda a conversa.
Para P4, o runbook deve prever exceções. Se houver falha de agenda, ausência de vaga compatível, conflito de dados ou repetição de mensagens sem resposta, a conversa deixa de ser tratada como rotina e sobe de prioridade.
Um modelo mínimo de runbook pode conter: objetivo, escopo, definição do evento, severidade, gatilhos, responsável primário, substituto, prazo de aceite, mensagem autorizada, ação proibida, fonte de dados, passos de contenção, evidências obrigatórias, critério de encerramento e revisão pós-evento.
A documentação deve conversar com o procedimento geral de incidentes, mas não precisa duplicá-lo. O runbook operacional para agendamento 24/7 ajuda a conectar conflitos de agenda, fallback humano e continuidade do atendimento.
Como registrar eventos para LGPD e auditoria médico-legal
Cada mudança de prioridade deve gerar um evento verificável. O registro deve mostrar quando a mensagem chegou, qual classificação foi atribuída, quais regras foram acionadas, qual fonte foi consultada, qual resposta foi enviada, quem assumiu a conversa e quando o caso foi encerrado.
Um payload de evento pode seguir esta estrutura conceitual:
{
"event_id": "evt_20261007_000184",
"conversation_id": "conv_72891",
"risk_level": "P2",
"trigger": "duvida_preparo_exame",
"confidence": 0.86,
"source": "whatsapp_api",
"unit_id": "unidade_03",
"human_transfer": true,
"policy_version": "triagem_2.4",
"created_at": "2026-10-07T14:32:11Z",
"acknowledged_at": null,
"data_accessed": ["agenda", "instrucoes_preparo"],
"status": "aguardando_aceite"
}
O exemplo não deve ser copiado sem avaliação de segurança. Identificadores precisam ser minimizados, o acesso deve seguir perfis autorizados e o conteúdo sensível não deve aparecer em painéis operacionais quando um identificador técnico for suficiente.
A Lei Geral de Proteção de Dados, disponível no portal do Planalto, orienta princípios como necessidade, segurança, prevenção e responsabilização. Na prática, isso significa registrar o necessário para demonstrar a decisão, proteger o histórico e definir retenção compatível com a finalidade e as obrigações da instituição.
Também registre a versão do fluxo, do prompt ou da regra que classificou a conversa. Sem versionamento, a clínica pode encontrar o resultado de uma decisão, mas não conseguir reconstruir por que aquela resposta foi enviada em determinada data.
A trilha deve ser imutável ou protegida contra alteração indevida, ter controle de acesso e permitir exportação para investigação. Para aprofundar os requisitos de auditoria e evidência, consulte o guia de auditoria de conversas automatizadas em clínicas.
Como uma arquitetura multiagente pode apoiar P1 a P4
Depois que a política estiver definida, a arquitetura da plataforma passa a ser decisiva. Um sistema monolítico tende a concentrar interpretação, consulta de agenda, redação e decisão de transferência em um único fluxo, o que dificulta identificar a origem de um erro e limitar o escopo de cada tarefa.
Na Auris, a arquitetura Orchestra organiza um agente maestro e agentes especializados. O maestro coordena a conversa, enquanto especialistas podem cuidar de intenção, agenda, recuperação de pacientes, regras clínicas conversacionais e transferência para a recepção. Essa separação foi desenhada para reduzir o risco de alucinação, mantendo decisões sensíveis vinculadas a fontes autorizadas.
Em uma operação integrada ao Feegow ou ao Amplimed, por exemplo, o agente de agenda pode consultar disponibilidade e regras do sistema conectado, enquanto o agente de risco verifica se há sinal que exige atendimento humano. A confirmação só deve ser enviada quando a resposta da integração estiver consistente com a política da clínica.
A Auris atende clínicas, laboratórios e hospitais com integrações nativas e conexões com sistemas de prontuário e agenda. O valor operacional não está apenas em responder mensagens, mas em transformar a conversa em um registro de CRM, preservar o contexto e permitir que o paciente avance para o agendamento ou seja encaminhado à pessoa adequada.
A plataforma também combina WhatsApp por API oficial, SMS e e-mail conforme a estratégia da operação. Em todos os canais, a mesma classificação precisa acompanhar a conversa para evitar que uma transferência iniciada no WhatsApp seja perdida quando o contato continua por outro meio.
A integração não elimina a necessidade de governança da clínica. Antes da ativação, valide cenários de sincronização, permissões, mensagens e fallback com o checklist técnico e runbook para integrações clínicas em escala.
Indicadores e erros que comprometem a classificação de risco
- ✓Monitore a taxa de transferência por nível, mas não trate uma taxa baixa como sinal automático de eficiência. Se P1 e P2 quase nunca chegam a humanos, investigue falsos negativos e amostras de conversas antes de celebrar o resultado.
- ✓Meça o tempo entre a classificação e o aceite humano, o tempo até a primeira resposta, o percentual de reabertura e os casos sem encerramento. Esses indicadores mostram se a política existe apenas no documento ou funciona durante o plantão.
- ✓Compare mensagens classificadas com o desfecho revisado por especialistas. Uma amostra mensal, estratificada por unidade e especialidade, ajuda a encontrar termos locais, abreviações e situações que o vocabulário inicial não cobria.
- ✓Não use apenas palavras-chave. “Resultado”, “dor” e “preparo” podem aparecer em contextos administrativos ou clínicos, e a decisão depende da combinação entre intenção, contexto, fonte consultada e consequência potencial.
- ✓Não deixe a recepção sem contexto. Uma transferência que entrega apenas o texto “atender humano” aumenta retrabalho e pode fazer o paciente repetir uma informação sensível.
- ✓Não permita que a IA invente disponibilidade, protocolo ou prazo. Quando agenda, prontuário ou base autorizada estiverem indisponíveis, o fallback deve informar a limitação e direcionar o caso conforme a política definida.
- ✓Não confunda classificação de risco com prioridade financeira. Um paciente com alto potencial de receita continua P4 se a conversa for administrativa e segura; um caso P1 deve manter prioridade clínica mesmo quando não houver impacto comercial.
- ✓Mantenha uma revisão de mudanças. Alterações em especialidades, exames, horários de plantão, textos institucionais ou integrações podem modificar o risco de uma intenção que antes era rotineira.
Perguntas Frequentes
O que significa P1, P2, P3 e P4 no atendimento automatizado em saúde?▼
P1 representa a maior gravidade e costuma envolver possível emergência, risco imediato ou falha crítica. P2 indica risco alto e exige transferência prioritária para uma equipe habilitada. P3 reúne situações que precisam de interpretação humana sem sinal de urgência, enquanto P4 cobre tarefas administrativas de baixo risco, como confirmação e reagendamento.
Quando uma mensagem automatizada deve ser transferida para um humano?▼
A transferência deve ocorrer quando houver sinal de urgência, pedido de diagnóstico ou prescrição, dúvida sem resposta autorizada, conflito entre agenda e prontuário, falha de integração, incidente de privacidade ou reclamação sensível. Também é recomendável transferir quando o sistema não tiver confiança suficiente para responder com segurança. A regra de incerteza deve elevar a prioridade, nunca tratar a falta de informação como risco baixo.
Como criar um runbook P1 para uma clínica?▼
Comece definindo os gatilhos, o responsável pelo aceite, o prazo de acionamento e a mensagem institucional permitida. O procedimento deve interromper a automação conflitante, registrar a conversa, encaminhar o alerta, confirmar recebimento e estabelecer critérios de encerramento. Depois, faça simulações com o plantão e revise o runbook após cada evento relevante.
Quais informações devem constar no log de uma conversa classificada como P1?▼
Registre identificador da conversa, horário de entrada, nível atribuído, gatilho, versão da política, fonte consultada, mensagem enviada, responsável pelo aceite e horários das ações. Inclua o resultado da revisão e as mudanças feitas depois do evento. O conteúdo deve ser protegido por controles de acesso e limitado ao necessário para a finalidade de segurança, operação e auditoria.
A classificação P1 a P4 substitui a triagem clínica feita por profissionais?▼
Não. Ela organiza prioridade operacional e define quando a automação deve parar ou encaminhar a conversa, mas não transforma a plataforma em serviço de diagnóstico ou decisão clínica. A clínica precisa aprovar os protocolos, delimitar as mensagens autorizadas e manter profissionais responsáveis pelos casos que exigem avaliação.
Como integrar a classificação de risco ao prontuário e à agenda?▼
Defina quais dados podem ser consultados, quais eventos podem ser gravados e qual sistema é a fonte autoritativa para cada informação. A integração deve registrar o contexto necessário sem copiar dados sensíveis em excesso e precisa tratar indisponibilidade, conflito e duplicidade. Antes da entrada em produção, teste cenários reais com Feegow, Amplimed ou o sistema utilizado pela clínica.
Como medir se o modelo de risco está funcionando?▼
Acompanhe falsos negativos, falsos positivos, tempo de aceite humano, tempo até resposta, reabertura, transferências por nível e conversas sem encerramento. Faça auditorias amostrais por especialidade e unidade, comparando a classificação com a avaliação de profissionais. O objetivo é equilibrar proteção do paciente e continuidade do fluxo, sem transformar toda mensagem em atendimento manual.