10 perguntas que um auditor fará sobre sua plataforma de atendimento por IA
Use este roteiro para organizar evidências operacionais antes de uma auditoria de atendimento automatizado.
Acessar conteúdos sobre segurança e governança
Neste artigo8 seções
- Por que uma auditoria de atendimento por IA começa pelas evidências
- Perguntas de auditoria sobre IA, finalidade e dados: 1 a 5
- Perguntas de auditoria sobre integrações, acesso e continuidade: 6 a 10
- Que evidências apresentar ao auditor sobre a plataforma de atendimento por IA
- Checklist para preparar a clínica antes da auditoria
- Como demonstrar governança contínua da IA sem depender de jargões
- Como transformar as dez perguntas em uma rotina de controle
- Cinco erros que enfraquecem a resposta da clínica
Por que uma auditoria de atendimento por IA começa pelas evidências
Uma auditoria de plataforma de atendimento por IA não avalia apenas se o sistema responde aos pacientes. O auditor quer entender quem pode acessar os dados, quais decisões são automatizadas, como a clínica detecta falhas e que registros comprovam cada etapa do contato até o agendamento.
Para gestores de clínicas, laboratórios e hospitais, essa análise tem um impacto operacional direto. Uma conversa pode conter nome, telefone, preferência de unidade, informação sobre exame e contexto clínico suficiente para exigir controles de privacidade, rastreabilidade e transferência adequada para uma pessoa.
O ponto central é sair de afirmações genéricas, como “a plataforma é segura”, e apresentar artefatos verificáveis. Políticas, registros de acesso, histórico de alterações, relatórios de sincronização e amostras de conversas formam um conjunto mais convincente do que uma apresentação comercial.
A auditoria de conversas automatizadas com foco em LGPD e segurança ajuda a estruturar essa visão. Este artigo complementa o tema com as dez perguntas mais prováveis e com uma preparação orientada ao que o auditor consegue verificar.
Perguntas de auditoria sobre IA, finalidade e dados: 1 a 5
- 1
Quais dados a IA coleta e por que precisa deles?
Prepare um inventário por campo: nome, telefone, unidade, especialidade, preferência de horário e informações clínicas eventualmente inseridas pelo paciente. Para cada item, registre a finalidade, o prazo de retenção, o sistema de destino e a base legal analisada pela clínica, em alinhamento com os princípios da LGPD descritos na Lei Geral de Proteção de Dados.
- 2
Qual é a base legal para o atendimento automatizado?
O auditor pode perguntar se a clínica usa consentimento, execução de contrato, legítimo interesse ou outra hipótese aplicável. Não existe uma resposta universal: a escolha depende da finalidade, do tipo de dado e do fluxo de atendimento. Mantenha a análise documentada, incluindo a necessidade de tratar dados pessoais sensíveis quando o paciente fornece informações sobre saúde.
- 3
Como o paciente é informado sobre o uso da IA?
Apresente o texto usado no WhatsApp, no site, no SMS ou no e-mail, além da política de privacidade vinculada ao fluxo. A comunicação deve explicar que o contato pode ser automatizado, indicar como solicitar atendimento humano e evitar a impressão de que a IA realiza diagnóstico ou decisão clínica. Guarde versões e datas para demonstrar qual aviso estava vigente.
- 4
A IA pode responder sobre diagnóstico, conduta ou urgência?
Defina limites escritos para assuntos clínicos. Dúvidas sobre preparo de exames, documentos e disponibilidade de horários podem seguir um fluxo aprovado, enquanto sinais de urgência, sintomas incomuns, reclamações complexas ou pedidos de interpretação devem gerar transferência para a equipe responsável. O guia de fluxos de escalonamento 24/7 em clínicas pode ajudar a documentar esses critérios.
- 5
Como a clínica comprova que a resposta enviada era a versão autorizada?
Organize a biblioteca de conteúdos clínico-operacionais, seus responsáveis, datas de aprovação e histórico de mudanças. Inclua testes realizados antes da publicação, amostras de respostas e registros de revisão quando uma orientação foi alterada. O auditor deve conseguir relacionar uma resposta enviada ao conteúdo que a autorizou e à pessoa que aprovou a regra.
Perguntas de auditoria sobre integrações, acesso e continuidade: 6 a 10
- 1
Quem acessa as conversas e os dados integrados?
Leve uma matriz de acesso com perfis, permissões, responsáveis e data da última revisão. Diferencie recepção, gestão, suporte do fornecedor e administradores técnicos. Também apresente registros de criação, alteração e revogação de usuários, sobretudo após desligamentos ou mudanças de função.
- 2
Como a integração com prontuário e agenda é rastreada?
O auditor costuma procurar registros de tentativa, sucesso, falha, horário, identificador da operação e retorno do sistema integrado. Em um agendamento, por exemplo, deve ser possível verificar qual conversa originou a solicitação, qual disponibilidade foi consultada e se a confirmação foi registrada no sistema de agenda. Logs de sincronização com Feegow, Amplimed ou outros sistemas conectados devem ser preservados conforme a política de retenção.
- 3
O que acontece quando uma integração falha?
Documente o comportamento esperado para indisponibilidade, resposta incompleta, conflito de horário e duplicidade de cadastro. O fluxo deve impedir que o paciente receba uma confirmação sem que o agendamento tenha sido efetivamente registrado. Inclua alertas, responsáveis, prazo de tratamento e evidências de testes de contingência.
- 4
Como a clínica comprova a segurança do WhatsApp, SMS e e-mail?
Apresente o provedor utilizado, a autorização do canal, os registros de entrega e falha, as regras de opt-out e o controle de modelos de mensagem. Para WhatsApp, verifique se a operação usa a documentação oficial da API do WhatsApp Business como referência de configuração e governança. Também registre como a clínica trata números inválidos, bloqueios, denúncias e pedidos de interrupção.
- 5
Como a IA é monitorada, treinada e corrigida ao longo do tempo?
Prepare um registro de mudanças com data, motivo, responsável, amostra analisada, métrica afetada e validação posterior. Inclua indicadores de transferência para humano, respostas sem correspondência, erros de agendamento, tempo até a primeira resposta e taxa de conversas retomadas. Treinamento incremental precisa significar melhoria controlada, não alteração sem aprovação em produção.
Que evidências apresentar ao auditor sobre a plataforma de atendimento por IA
A melhor preparação começa pela montagem de uma pasta de auditoria com índice, proprietário e data de atualização. O conjunto pode conter mapa de dados, política de acesso, avaliação de riscos, contratos, registros de incidentes, relatórios de integração, evidências de treinamento e amostras de conversas anonimizadas.
Para cada processo, use a lógica “regra, execução e resultado”. A regra mostra o que deveria acontecer; o log demonstra o que ocorreu; o relatório indica se o processo funcionou dentro do parâmetro definido. Essa combinação permite investigar uma conversa sem depender da memória da recepção ou de uma planilha preenchida depois.
Em integrações com agenda, um bom relatório relaciona o identificador da conversa ao evento criado, alterado ou cancelado. Em recuperação de pacientes que pararam de responder, a clínica deve mostrar o momento do primeiro contato, o intervalo de espera, a mensagem de retomada, a resposta recebida e o desfecho, sem enviar comunicações fora da finalidade autorizada.
A integração nativa com prontuário e agenda tende a facilitar a rastreabilidade porque reduz etapas intermediárias e deixa mais claro onde cada informação foi registrada. Ainda assim, a clínica precisa validar permissões, campos sincronizados, tratamento de erros e responsabilidades contratuais.
Certificações e declarações de conformidade ajudam, mas não encerram a análise. O auditor pode solicitar evidências de aplicação dos controles, como revisões de acesso, testes de restauração, acompanhamento de incidentes e relatórios de disponibilidade. Para entender o papel da norma, consulte a descrição oficial da ISO/IEC 27001, sem confundir certificação do fornecedor com conformidade automática de todos os processos da clínica.
Checklist para preparar a clínica antes da auditoria
- ✓Defina um responsável interno pela auditoria e um substituto. Eles devem saber onde ficam os contratos, as políticas, os relatórios e os contatos de suporte.
- ✓Desenhe o caminho dos dados desde a mensagem recebida até o CRM, a agenda e, quando aplicável, o prontuário. Marque os pontos em que há leitura, gravação, exportação ou exclusão.
- ✓Separe cinco a dez conversas anonimizadas de cenários diferentes: agendamento, dúvida sobre preparo, paciente sem resposta, cancelamento, falta à consulta e transferência para humano.
- ✓Solicite ao fornecedor uma amostra de logs de integração e confirme se os registros têm data, horário, operação, resultado e identificador suficiente para investigação.
- ✓Revise os perfis de acesso. Remova usuários sem necessidade operacional, valide autenticação e registre a revisão com data, responsável e justificativa.
- ✓Liste as regras que impedem a IA de responder fora do escopo. Inclua urgência, sintomas, reclamações sensíveis, solicitações de prontuário e qualquer situação que dependa de avaliação profissional.
- ✓Teste um cenário de indisponibilidade da agenda. Verifique se o paciente recebe uma mensagem coerente, se a recepção é alertada e se existe uma fila para regularização.
- ✓Confira a documentação de opt-out e de preferências de canal para WhatsApp, SMS e e-mail. O pedido do paciente precisa ser registrado e respeitado nos contatos seguintes.
- ✓Compare as métricas do período auditado com metas aprovadas. Use taxa de agendamento, transferência para humano, falhas de integração, mensagens entregues e conversas retomadas, sem tratar agendamento como sinônimo de consulta realizada.
- ✓Faça uma entrevista interna antes do auditor. Pergunte à recepção quem aprova conteúdos, quem trata falhas e como uma conversa é localizada, depois corrija respostas baseadas em suposições.
Como demonstrar governança contínua da IA sem depender de jargões
Governança é a capacidade de explicar quem decide, quem executa, quem verifica e quem corrige. Uma clínica demonstra maturidade quando consegue mostrar que alterações de mensagens, regras de encaminhamento e integrações passam por avaliação antes de afetar pacientes.
Um registro de melhoria pode ser uma tabela com seis campos: problema identificado, origem da evidência, ajuste realizado, aprovador, data de entrada em produção e resultado medido. Se uma resposta gerou transferências acima do esperado, por exemplo, a clínica deve registrar a análise da amostra e verificar se o ajuste reduziu o problema sem criar outro.
A arquitetura multiagente Orchestra da Auris usa um agente maestro para coordenar agentes especializados. Para uma auditoria, o valor dessa descrição não está no nome da arquitetura, mas na possibilidade de documentar quais agentes atuam em cada etapa, quais regras limitam suas respostas e quando a conversa é encaminhada para uma pessoa.
Peça relatórios de monitoramento, indicadores de qualidade conversacional e registros de transferência para humano. A avaliação de fornecedores pela governança contínua da IA oferece critérios para diferenciar uma implantação acompanhada de uma configuração que fica sem revisão após a entrada em operação.
O erro recorrente é tratar o piloto como conclusão. Uma implantação em saúde exige calibração posterior, porque especialidades, profissionais, unidades, horários e políticas de convênio produzem exceções que só aparecem com uso real.
Como transformar as dez perguntas em uma rotina de controle
Na prática, uma clínica pode transformar a auditoria em uma reunião mensal de 45 minutos. O grupo revisa uma amostra de conversas, falhas de integração, transferências, pedidos de opt-out, alterações de conteúdo e indicadores do funil entre primeiro contato e agendamento.
A Auris atende clínicas, laboratórios e hospitais com integrações nativas e conexões via API para sistemas de agenda e prontuário, incluindo Feegow e Amplimed. Em uma avaliação, a clínica deve pedir exemplos dos logs de sincronização, do tratamento de falhas e da relação entre conversa, disponibilidade consultada e agendamento registrado.
A infraestrutura AWS e os controles associados à conformidade ISO 27001 e LGPD devem ser analisados junto com os processos internos da clínica. O fornecedor pode apresentar seus controles, mas a organização contratante continua responsável por definir finalidades, acessos, conteúdos autorizados e fluxos de transferência.
Para gestores que precisam medir impacto financeiro, vale combinar os registros de auditoria com um painel de métricas para provar o retorno do atendimento com IA. Assim, a mesma base operacional ajuda a responder perguntas de segurança e de gestão, como quantas conversas foram recuperadas, quantos agendamentos vieram de contatos fora do horário e onde ocorreram perdas.
O resultado esperado não é produzir documentos para arquivar, mas criar uma operação capaz de explicar cada decisão relevante. Quando a recepção, a área de tecnologia, o encarregado de dados e o fornecedor trabalham com os mesmos registros, a auditoria deixa de ser uma busca emergencial por provas.
Cinco erros que enfraquecem a resposta da clínica
- ✓Apresentar apenas o contrato ou o certificado do fornecedor, sem demonstrar como os controles são aplicados no atendimento diário.
- ✓Guardar conversas completas em arquivos compartilhados, sem classificação de acesso, anonimização quando possível e prazo definido de retenção.
- ✓Não registrar falhas de agenda porque a recepção corrigiu o problema manualmente. A correção humana também é uma evidência operacional e deve ser documentada.
- ✓Medir apenas volume de mensagens. Uma auditoria precisa considerar qualidade, transferência adequada, entrega, consentimento, agendamento registrado e incidentes.
- ✓Permitir que cada unidade publique respostas próprias sem aprovação central. A autonomia local pode existir, mas deve seguir versão, responsável e escopo documentados.
Perguntas Frequentes
Quais evidências a clínica deve apresentar para demonstrar conformidade com a LGPD em conversas automatizadas?▼
Separe o inventário de dados, as finalidades, a base legal avaliada, os avisos apresentados ao paciente e os procedimentos para solicitações dos titulares. Inclua matriz de acesso, política de retenção, registros de incidentes e amostras anonimizadas de conversas. Também demonstre que as respostas clínicas têm escopo aprovado e que situações de risco são transferidas para atendimento humano.
Que logs um auditor espera ver nas integrações com prontuário e agenda?▼
Os registros devem permitir identificar a operação, a data e o horário, o resultado, o sistema envolvido e um identificador da conversa ou solicitação. Para agendamento, é útil mostrar a consulta de disponibilidade, a criação ou alteração do evento e a confirmação efetivamente retornada pelo sistema. Falhas, tentativas repetidas, conflitos e correções manuais também precisam aparecer, pois fazem parte da rastreabilidade.
Como comprovar a segurança e a entregabilidade do WhatsApp usado pela clínica?▼
Documente o provedor, a configuração do canal, os modelos aprovados, os registros de entrega e falha e o processo de opt-out. Confirme se a operação segue a API oficial e se há tratamento para bloqueios, denúncias e números inválidos. Relatórios de mensagens não entregues e de solicitações de interrupção ajudam o auditor a verificar se a clínica controla o canal após o envio.
Que políticas de treinamento da IA precisam estar documentadas?▼
Registre a origem dos conteúdos, o responsável pela aprovação, a data da alteração, o motivo do ajuste e os testes realizados. Também documente métricas de qualidade, transferências para humano e critérios para retirar uma regra de produção. O treinamento deve ser incremental e controlado, com validação posterior para confirmar que a mudança melhorou o fluxo.
O auditor pode pedir para ver conversas reais dos pacientes?▼
Pode solicitar evidências do processo, mas a clínica deve aplicar minimização e controle de acesso. Sempre que a finalidade permitir, use amostras anonimizadas ou mascare telefone, nome, documentos e informações clínicas desnecessárias. Quando uma conversa identificável for indispensável, registre a justificativa, limite os participantes e siga a política interna de retenção.
Como auditar uma IA que recupera pacientes que pararam de responder?▼
Defina a janela de espera, o número máximo de tentativas, os canais permitidos e o critério de encerramento. Depois, verifique logs das mensagens, entregabilidade, opt-out, respostas recebidas e encaminhamentos para a recepção. O guia para recuperar pacientes que pararam de responder ajuda a conectar o controle de privacidade com a análise do funil de agendamento.
Quem é responsável pela proteção dos dados quando a clínica usa uma plataforma de IA?▼
A resposta depende das funções exercidas e das obrigações definidas no contrato, mas a clínica precisa mapear responsabilidades com clareza. O fornecedor deve explicar seus controles, subprocessadores, medidas de segurança, atendimento a incidentes e apoio às solicitações de titulares. A clínica, por sua vez, deve governar finalidades, permissões, conteúdos, usuários e uso adequado do sistema.