Modelo de adendo contratual e SLA para mitigar alucinações e garantir auditoria clínica em plataformas de atendimento por IA
Use um adendo contratual com métricas de precisão, logs, calibração clínica, sincronização de agenda e fallback humano.
Solicitar uma conversa com a Auris
Neste artigo7 seções
- Por que um adendo contratual para IA clínica é necessário
- O que exigir antes de assinar o adendo contratual e o SLA
- Modelo de cláusulas para reduzir alucinações no atendimento clínico
- Quais métricas incluir no SLA para detectar e corrigir alucinações
- Como definir a janela de aceitação no piloto e no contrato final
- Como pedir logs e evidências de auditoria sem violar a LGPD
- Como negociar o SLA e evitar falhas depois da contratação
Por que um adendo contratual para IA clínica é necessário
Um modelo de adendo contratual e SLA para reduzir alucinações em plataformas de atendimento por IA deve transformar promessas técnicas em obrigações verificáveis. Para uma clínica, não basta contratar atendimento 24/7: é preciso definir o que acontece quando a IA informa uma preparação incorreta, oferece um horário já ocupado ou deixa de transferir uma dúvida clínica para a equipe responsável.
A contratação também precisa separar três dimensões que costumam ser misturadas: disponibilidade da plataforma, qualidade da conversa e consistência dos dados de agendamento. Um sistema pode estar disponível durante todo o mês e, ainda assim, apresentar falhas relevantes ao interpretar especialidades, convênios, unidades ou regras de agenda.
Considere uma clínica com grande volume de leads. Um paciente pergunta sobre jejum para um exame, recebe uma orientação desatualizada e abandona a conversa. O prejuízo não aparece apenas no relatório de indisponibilidade: ele surge como perda de confiança, retrabalho da recepção e oportunidade de agendamento desperdiçada.
O adendo deve funcionar como uma camada operacional do contrato principal. Ele registra os limites de uso, define a base clínica autorizada, determina evidências de auditoria e estabelece prazos para correção, comunicação e transferência para um humano.
A checklist de aceitação contratual para validar uma plataforma de atendimento por IA ajuda a transformar esses requisitos em testes antes da entrada em produção. O adendo, por sua vez, mantém essas condições válidas depois do go-live.
O que exigir antes de assinar o adendo contratual e o SLA
- ✓Definição objetiva de alucinação: informação sem respaldo na base aprovada, resposta incompatível com uma regra clínica vigente, invenção de disponibilidade, alteração indevida de dados ou omissão de um alerta obrigatório.
- ✓Matriz de responsabilidade: a clínica aprova protocolos, horários, preços e políticas assistenciais; o fornecedor responde pela aplicação técnica das regras, pelo registro dos eventos e pela correção de falhas sob seu controle.
- ✓Métricas separadas para disponibilidade, precisão clínico-conversacional, sincronização de agenda, tempo de fallback, taxa de duplicidade e conclusão de correções.
- ✓Obrigação de manter versionamento da base de conhecimento, dos fluxos, dos agentes e das integrações, com data, responsável, justificativa e aprovação correspondente.
- ✓Direito de solicitar amostras de logs, relatórios de incidentes e evidências de testes, respeitando minimização de dados, controle de acesso e demais requisitos da LGPD.
- ✓Plano de calibração com participação de representantes clínicos e operacionais da contratante, incluindo periodicidade, critérios de priorização e prazo para validar alterações.
- ✓Janelas de aceitação distintas para piloto e contrato definitivo, sem tratar o encerramento do piloto como conclusão da implantação.
- ✓Regras para suspensão de um fluxo específico, acionamento de atendimento humano, comunicação de incidentes e retomada controlada após a correção.
Modelo de cláusulas para reduzir alucinações no atendimento clínico
A seguir está um modelo de referência para negociação. Ele deve ser revisado pelo jurídico da clínica e adaptado ao papel de cada parte no tratamento de dados, ao risco assistencial e aos sistemas integrados. A Lei Geral de Proteção de Dados Pessoais deve orientar as disposições sobre finalidade, segurança, acesso, retenção e atendimento aos direitos dos titulares.
Cláusula 1, escopo e limites de atuação da IA. A plataforma será utilizada para atendimento administrativo, qualificação de demanda, esclarecimento de informações previamente aprovadas, recuperação de conversas paradas, reagendamento e agendamento conforme regras fornecidas pela contratante. A IA não deverá criar diagnóstico, interpretar resultado de exame, indicar conduta terapêutica ou responder fora da base autorizada sem encaminhamento para profissional ou equipe designada.
Cláusula 2, definição de evento de risco. Considera-se evento de risco qualquer resposta que: a) contenha informação não encontrada na base aprovada; b) contrarie protocolo vigente; c) atribua ao paciente um agendamento inexistente; d) grave, cancele ou altere uma reserva sem autorização válida; e) deixe de encaminhar uma situação classificada como clínica, urgente, ambígua ou fora do escopo.
Cláusula 3, base de conhecimento e aprovação. A contratante indicará os responsáveis por aprovar protocolos, perguntas frequentes, regras de convênio, preparo de exames, políticas de cancelamento e mensagens de consentimento. Cada publicação deverá registrar versão, data de ativação, responsável pela aprovação e data prevista para revisão.
Cláusula 4, logs e rastreabilidade. O fornecedor deverá registrar, para cada interação relevante, identificador pseudonimizado da conversa, data e hora, canal, versão do fluxo, agente acionado, fonte consultada, ação executada, resposta enviada, resultado da integração, transferência para humano e alterações posteriores. O conteúdo integral deverá ser tratado segundo a política de retenção contratada, com acesso restrito e trilha de consulta.
Cláusula 5, correção e contenção. Identificada uma resposta de risco, o fornecedor deverá registrar o incidente, preservar as evidências, avaliar o alcance, interromper o fluxo quando necessário e propor correção. O prazo deve variar conforme a gravidade: por exemplo, até 2 horas para contenção de um fluxo que esteja criando agendamentos incorretos, até 1 dia útil para análise inicial de uma resposta clínica inconsistente e até 5 dias úteis para plano de correção de causa raiz.
Cláusula 6, responsabilidade por agendamentos. Antes de confirmar uma marcação, a plataforma deverá consultar a fonte de agenda definida pela clínica, validar profissional, unidade, procedimento, convênio, data e horário e registrar o identificador retornado pelo sistema. Em caso de conflito, indisponibilidade ou resposta inconclusiva, a conversa deverá seguir para fila de análise ou alternativa aprovada, sem confirmação afirmativa ao paciente.
Cláusula 7, mudanças relevantes. Alterações no modelo, nos agentes, nas regras de encaminhamento, nos provedores de infraestrutura ou na integração que possam afetar precisão, segurança ou disponibilidade deverão ser comunicadas com antecedência contratual. Mudanças emergenciais poderão ocorrer para contenção de risco, mas deverão ser documentadas e submetidas à validação posterior.
Essas cláusulas não devem ficar isoladas em um anexo técnico. Elas precisam se conectar ao contrato de tratamento de dados, ao plano de resposta a incidentes, à matriz de escalonamento e ao processo de aprovação clínica. A avaliação da trilha de auditoria médico-legal de uma plataforma de atendimento por IA oferece critérios adicionais para verificar se os registros realmente permitem reconstruir uma conversa.
Quais métricas incluir no SLA para detectar e corrigir alucinações
Um SLA clínico precisa medir mais do que percentual de disponibilidade. O conjunto recomendado combina indicadores técnicos, conversacionais e operacionais, sempre com fórmula, fonte de dados, periodicidade, meta, tolerância e consequência contratual.
A primeira métrica é a taxa de respostas sem respaldo. Fórmula sugerida: respostas classificadas como sem evidência na base aprovada divididas pelo total de respostas avaliadas em uma amostra definida. A amostra deve ser estratificada por especialidade, canal, unidade, horário e tipo de solicitação, pois uma média geral pode esconder falhas concentradas em exames ou plantões.
A segunda é a taxa de confirmação correta de agendamentos. Conte como erro qualquer confirmação que não corresponda ao registro retornado pela agenda, incluindo profissional, unidade, procedimento, convênio, data e horário. Para uma operação integrada ao Feegow ou Amplimed, o SLA deve indicar qual sistema é a fonte autoritativa e qual evento comprova a confirmação.
Inclua também o tempo de sincronização. Uma redação possível é: “95% das consultas de disponibilidade deverão refletir a resposta da agenda em até 30 segundos, e 99% em até 2 minutos, exceto em indisponibilidade comprovada do sistema integrado”. Os números são parâmetros de negociação, não uma meta universal; devem ser validados no piloto com volume semelhante ao da operação.
O tempo de fallback mede quanto demora para transferir uma conversa que atingiu um critério de risco para a fila humana. O contrato pode estabelecer, por exemplo, classificação automática em até 30 segundos e disponibilização ao grupo responsável em até 2 minutos, com alerta adicional quando o paciente mencionar sintomas de urgência, resultado alterado ou pedido de orientação médica.
Outros indicadores úteis são: taxa de duplicidade de agendamento, percentual de conversas sem resposta após a transferência, tempo de correção de incidente, reincidência após correção, cobertura de logs, taxa de mensagens enviadas fora das regras de consentimento e percentual de fluxos revisados na periodicidade acordada.
Para não confundir desempenho comercial com segurança, mantenha separado o indicador de agendamentos concluídos, a taxa de conversão de conversas e o número de consultas realizadas. Um aumento de agendamentos pode coexistir com falhas de orientação ou excesso de cancelamentos. O mapa de processos do CRM conversacional em clínicas ajuda a organizar essas etapas e seus respectivos eventos.
Como definir a janela de aceitação no piloto e no contrato final
- 1
Delimite o escopo de risco
Escolha especialidades, unidades, canais e tipos de atendimento que entrarão na primeira fase. Exclua temporariamente fluxos clínicos de maior risco ou exija transferência humana até que os testes tenham evidência suficiente.
- 2
Monte um conjunto de casos reais anonimizados
Separe perguntas sobre horários, preparo, convênios, cancelamentos, documentos, retornos e situações ambíguas. Inclua conversas que geraram perda de paciente, pois elas revelam falhas de contexto que um roteiro idealizado costuma ocultar.
- 3
Defina os critérios de aprovação
Estabeleça metas por categoria, como precisão mínima de 98% em regras de agenda, zero confirmação sem retorno válido do sistema e transferência obrigatória em 100% dos casos classificados como fora de escopo. Registre também limites para falhas críticas, que não devem ser compensadas por uma média geral.
- 4
Execute testes de integração e carga
Simule agendas concorrentes, cancelamento simultâneo, indisponibilidade da API, alteração de preço, mudança de profissional e mensagens fora do horário. Registre o horário de cada evento e compare a conversa com o prontuário ou sistema de agenda.
- 5
Faça a aceitação condicional
Se os resultados estiverem dentro dos limites, autorize a expansão apenas para o escopo testado. Pendências devem ter responsável, prazo, risco associado e decisão sobre manter, restringir ou suspender o fluxo.
- 6
Estabeleça a janela pós-ativação
Durante os primeiros 30 a 60 dias, acompanhe amostras semanais e reuniões de calibração. O contrato definitivo deve prever monitoramento recorrente, porque mudanças em agenda, convênios, protocolos e comportamento dos pacientes alteram o risco ao longo do tempo.
Como pedir logs e evidências de auditoria sem violar a LGPD
O direito de auditoria precisa ser específico. Pedir “acesso a todos os dados” cria risco de exposição e não garante uma investigação útil. Prefira solicitar relatórios, amostras pseudonimizadas, registros de versão, evidências de controle de acesso e exportações delimitadas por período, unidade, fluxo ou identificador de incidente.
O fornecedor deve explicar quais dados são coletados, por que são necessários, onde são armazenados, por quanto tempo permanecem disponíveis e quem pode consultá-los. Para cada campo sensível, defina se ele é indispensável ao agendamento, se pode ser mascarado e qual procedimento será usado para atender solicitações da clínica ou do titular.
A referência à ISO 27001 deve vir acompanhada de evidência verificável, como escopo da certificação, declaração de aplicabilidade quando pertinente, controles abrangidos e relatórios de auditoria disponíveis. A página oficial da ISO sobre a ISO/IEC 27001 ajuda a diferenciar a norma de uma promessa genérica de segurança.
Inclua no adendo uma reunião mensal ou trimestral de governança, conforme o volume e o risco da operação. O relatório deve apresentar incidentes, quase incidentes, alterações de fluxo, amostra de respostas avaliadas, métricas de fallback, falhas de integração, pendências e decisões de calibração.
Na Auris, a arquitetura Orchestra organiza agentes especializados sob a coordenação de um agente maestro. Essa abordagem foi construída para reduzir o risco de respostas fora de contexto, especialmente em operações com múltiplas unidades, especialidades e regras de agenda. Ainda assim, a segurança depende de base aprovada, testes, registros e revisão contínua junto à clínica, e esses elementos devem aparecer no contrato.
Como negociar o SLA e evitar falhas depois da contratação
Comece a negociação pelo risco operacional da sua instituição, não por uma lista genérica de recursos. Uma clínica odontológica pode priorizar conflitos entre profissionais e procedimentos; um laboratório pode concentrar atenção em preparo, unidades de coleta e resultados pendentes; um hospital pode exigir critérios mais rigorosos para transferência e linguagem de urgência.
Peça ao fornecedor uma tabela que relacione cada requisito a uma evidência. “Integração com agenda” deve significar consulta, confirmação, cancelamento, reagendamento, tratamento de conflito e registro do identificador da transação. “Auditoria” deve significar eventos recuperáveis, controle de acesso, retenção e exportação em formato utilizável.
Evite aceitar uma meta agregada de satisfação como substituta da precisão clínica. Um paciente pode avaliar bem uma conversa cordial mesmo depois de receber uma informação incorreta. Da mesma forma, um índice alto de agendamentos não elimina o risco de duplicidade, encaixe indevido ou confirmação sem disponibilidade.
Outro erro frequente é tratar a implantação como projeto pontual. A operação muda quando novos médicos entram, horários são alterados, convênios mudam regras e a clínica começa a recuperar pacientes faltantes. O contrato deve prever treinamento contínuo da equipe, reuniões de calibração, backlog de melhorias e governança para novas unidades.
A Auris trabalha com implantação consultiva, integração a sistemas como Feegow, Amplimed, Prodoctor e outros ambientes de agenda e prontuário, além de CRM conversacional para organizar o funil. Em vez de avaliar apenas a demonstração, peça uma prova com casos reais anonimizados e use o checklist de sincronização em tempo real entre IA, prontuário e agenda para documentar a decisão.
Para operações que recebem mensagens fora do horário comercial, inclua uma política de fallback por canal. O WhatsApp oficial, SMS e e-mail podem ter regras diferentes de consentimento, entrega e retomada. A comparação de SLAs e runbooks para fallback humano em atendimento com IA ajuda a transformar essa política em procedimentos acionáveis.
Perguntas Frequentes
O que deve constar em um adendo contratual para uma plataforma de atendimento por IA em clínicas?▼
O adendo deve definir escopo de uso, limites clínicos, responsabilidades, base de conhecimento, logs, retenção, direito de auditoria, métricas, prazos de correção e regras de transferência para humanos. Também precisa tratar alterações de modelo, integrações, incidentes e aprovação de novos fluxos. A redação deve conectar o contrato comercial às políticas de LGPD, segurança e governança clínica.
Quais indicadores de SLA detectam alucinações em respostas clínicas?▼
Os principais são taxa de respostas sem respaldo na base aprovada, precisão por categoria, taxa de fallback correto, reincidência após correção e tempo de contenção de incidentes. Para agendamento, acompanhe conflitos, duplicidades e confirmações que não correspondem ao retorno do sistema oficial. Avalie os dados por especialidade, unidade, canal e tipo de solicitação, pois a média geral pode esconder um problema concentrado.
Como responsabilizar o fornecedor por agendamentos incorretos feitos pela IA?▼
Defina no contrato o que caracteriza um agendamento incorreto e qual sistema será considerado fonte autoritativa. Exija validação de profissional, unidade, procedimento, convênio, data e horário antes da confirmação ao paciente. Registre identificador da transação, logs da consulta e prazos de correção, além de um procedimento para localizar pacientes afetados e suspender o fluxo quando houver risco recorrente.
Que logs uma clínica deve solicitar para auditar uma conversa automatizada?▼
Solicite data e hora, canal, identificador pseudonimizado, versão do fluxo, agente acionado, fonte consultada, resposta enviada, ação executada, retorno da integração e transferência para humano. Também peça registros de alterações, permissões de acesso e exportação delimitada por período ou incidente. O acesso deve respeitar minimização, finalidade, retenção e controles previstos na LGPD.
Como funciona a janela de aceitação de um piloto de IA para clínicas?▼
A janela de aceitação é um período com escopo, casos de teste, metas, limites de falha e responsáveis previamente definidos. Ela deve validar integrações, respostas, fallback, logs e operação da equipe, sem tratar o encerramento do piloto como conclusão da implantação. Depois da aprovação condicional, mantenha uma fase pós-ativação com amostragem, calibração e revisão de indicadores.
A arquitetura multiagente reduz o risco de alucinações no atendimento de saúde?▼
Uma arquitetura multiagente pode reduzir o risco ao separar tarefas, limitar o contexto de cada agente e coordenar decisões por regras mais específicas. Ela não elimina falhas, porque a qualidade também depende da base aprovada, das integrações, dos testes e da revisão operacional. Por isso, o contrato deve exigir evidências de desempenho por fluxo e não apenas uma descrição da arquitetura.
Como avaliar a Auris antes de assinar um contrato de atendimento por IA?▼
Solicite um piloto com casos anonimizados da sua operação, incluindo dúvidas clínicas, conflitos de agenda, cancelamentos e pacientes que pararam de responder. Verifique a integração com o sistema utilizado, os registros de auditoria, o processo de calibração e os prazos de fallback humano. A proposta da Auris combina foco em saúde, arquitetura Orchestra, integrações com agendas e prontuários e parceria contínua de treinamento, mas a decisão deve ser baseada nas evidências do seu escopo.