Playbook de resposta a incidentes para conversas automatizadas em saúde
Um roteiro jurídico, técnico e operacional para clínicas, laboratórios e hospitais conterem incidentes, preservarem evidências e protegerem a confiança dos pacientes.
Avaliar a prontidão da sua operação
Neste artigo9 seções
- Por que um incidente conversacional em saúde exige um playbook próprio
- Como classificar a severidade e acionar a resposta a incidentes
- Contenção técnica: logs, isolamento de agentes e rollback controlado
- O que preservar para auditoria médica, jurídica e de segurança
- Governança jurídica: quando analisar notificação e responsabilidade
- Como comunicar pacientes, sócios e autoridades sem ampliar o risco
- Modelos de comunicação para um incidente em conversas automatizadas
- Como avaliar fornecedores e transformar o incidente em prevenção
- Checklist de prontidão antes do go-live e das simulações
Por que um incidente conversacional em saúde exige um playbook próprio
Um playbook de resposta a incidentes em conversas automatizadas em saúde organiza as decisões tomadas depois de um possível vazamento, erro de agendamento, orientação clínica inadequada ou falha de integração com prontuário e agenda. Em uma clínica, o impacto não fica restrito à tecnologia: pode envolver dados pessoais sensíveis, risco assistencial, receita perdida e confiança do paciente.
Uma mensagem enviada ao contato errado, por exemplo, pode revelar que uma pessoa realizou determinado exame. Já uma agenda desatualizada pode gerar conflito de horários, duplicidade de marcação ou ausência de confirmação. Os dois casos pedem contenção, investigação, comunicação e registro, mas com prioridades diferentes.
A primeira avaliação deve separar quatro dimensões: segurança da informação, continuidade operacional, risco clínico e obrigação jurídica. Tratar todo evento como indisponibilidade técnica costuma deixar de lado pacientes afetados e evidências relevantes.
A LGPD classifica dados referentes à saúde como dados pessoais sensíveis. A Lei Geral de Proteção de Dados no texto oficial deve orientar a análise de finalidade, necessidade, segurança, prevenção e responsabilização ao longo da resposta.
O playbook também precisa definir quem pode interromper uma automação, quem aprova uma comunicação externa e quem conversa com o fornecedor. Sem essa divisão, equipes tendem a apagar mensagens, alterar configurações ou reiniciar integrações antes de preservar os sinais que explicariam o ocorrido.
Como classificar a severidade e acionar a resposta a incidentes
- 1
Registrar o sinal sem concluir a causa
Abra um registro com horário, canal, unidade, paciente afetado ou potencialmente afetado, mensagem observada e pessoa que identificou o evento. Use a expressão “possível incidente” até que a investigação confirme a extensão.
- 2
Determinar o tipo de evento
Classifique o caso como exposição de dados, envio indevido, erro de conteúdo clínico, falha de integração, indisponibilidade, fraude ou combinação desses tipos. Uma mesma ocorrência pode pertencer a mais de uma categoria.
- 3
Avaliar impacto clínico e regulatório
Pergunte se houve risco para a saúde, divulgação de dado sensível, alteração de prontuário, agendamento incorreto ou perda de continuidade do atendimento. A presença de dado de saúde ou possível prejuízo assistencial deve elevar a prioridade.
- 4
Acionar os responsáveis definidos
O responsável operacional chama tecnologia, encarregado de dados, liderança clínica, jurídico e fornecedor conforme a matriz de severidade. O atendimento precisa receber uma orientação única para evitar respostas improvisadas aos pacientes.
- 5
Escolher contenção proporcional
Suspenda apenas o fluxo, agente, canal ou integração relacionado ao risco quando houver segurança para isso. Se a origem ainda for incerta, aplique uma pausa controlada e direcione as conversas para uma fila humana com mensagem de contingência.
- 6
Revisar a decisão em intervalos definidos
Estabeleça horários para reavaliar escopo, pacientes afetados e continuidade do serviço. O incidente só deve ser encerrado depois de validar a correção, documentar a causa e acompanhar possíveis efeitos posteriores.
Contenção técnica: logs, isolamento de agentes e rollback controlado
A contenção começa pela preservação do estado atual. Antes de alterar um fluxo, exporte identificadores de conversa, eventos de integração, versões de instruções, respostas geradas, tentativas de envio, retornos da API e registros de autenticação relacionados ao período investigado.
Logs úteis precisam responder a cinco perguntas: o que aconteceu, quando aconteceu, qual componente tomou a decisão, quais dados foram usados e qual sistema recebeu o resultado. O conteúdo deve ser protegido contra alterações, com controle de acesso, retenção definida e registro de quem consultou ou exportou cada evidência.
Em integrações com Feegow, Amplimed ou outros sistemas de agenda e prontuário, o registro autoritativo deve ser identificado previamente. Se a IA confirmar um horário, a clínica precisa verificar qual sistema efetivamente criou ou atualizou o agendamento e com qual identificador de transação.
Um rollback seguro não significa apagar o histórico. Significa restaurar uma versão conhecida do fluxo, bloquear novas alterações e manter o conjunto de evidências da versão que apresentou falha. A operação deve testar se o retorno não reabre conflitos de agenda ou dispara mensagens duplicadas.
A arquitetura multiagente também influencia a contenção. No modelo Orchestra da Auris, um agente maestro coordena agentes especializados, o que permite suspender, por exemplo, o agente de confirmação enquanto o agente de triagem permanece disponível sob regras de segurança. O isolamento reduz o alcance de uma falha, mas precisa ser testado antes do incidente.
Para validar dependências, payloads e cenários de indisponibilidade, use um checklist técnico para validar integrações clínicas em escala. Ele deve incluir respostas incompletas da API, credenciais expiradas, duplicidade de eventos, queda do canal e divergência entre agenda exibida e agenda autorizada.
O que preservar para auditoria médica, jurídica e de segurança
- ✓Linha do tempo do incidente: registre detecção, decisões, mudanças de configuração, comunicações, contenção, recuperação e encerramento. Use horário padronizado e identifique o responsável por cada ação.
- ✓Cópia íntegra das conversas: preserve mensagens recebidas e enviadas, anexos, templates, identificadores de conversa e status de entrega. Restrinja a visualização ao grupo necessário e evite compartilhar capturas de tela em canais informais.
- ✓Contexto da decisão automatizada: armazene versão do fluxo, agente acionado, intenção classificada, regra aplicada, dados consultados e resposta do sistema integrado. O objetivo é reconstruir o caminho sem expor dados além do necessário.
- ✓Registros de integração: mantenha requisições e respostas sanitizadas, códigos de erro, identificadores de correlação, tentativas, horários e resultado final no prontuário ou na agenda. Segredos, tokens e credenciais nunca devem entrar no relatório do incidente.
- ✓Evidência de atendimento humano: documente quando um profissional revisou a conversa, qual orientação foi dada, se o paciente foi contatado e qual encaminhamento ocorreu. Isso ajuda a demonstrar cuidado operacional e evita atribuir à automação uma decisão clínica que não foi tomada por ela.
- ✓Cadeia de custódia: registre quem coletou, onde armazenou, quando exportou e quais transformações foram feitas. Uma evidência sem contexto de origem pode perder valor em auditoria ou discussão contratual.
- ✓Impacto e escopo: relacione unidades, canais, períodos, tipos de dados, número estimado de pacientes e agendamentos afetados. Quando o número ainda for incerto, marque a estimativa e atualize o documento com histórico de versões.
Governança jurídica: quando analisar notificação e responsabilidade
A equipe jurídica ou o encarregado de dados deve participar cedo, sem esperar a investigação técnica terminar. A decisão sobre comunicação depende da natureza dos dados, do risco ou dano relevante, do número de titulares, da capacidade de identificação e das medidas de contenção adotadas.
A ANPD explica o tratamento de incidentes de segurança e orienta que a organização avalie a necessidade de comunicação à autoridade e aos titulares conforme o risco. O prazo e o conteúdo aplicáveis devem ser conferidos na regulamentação vigente e no caso concreto, com validação jurídica.
A comunicação à ANPD não deve ser tratada como substituta da comunicação ao paciente. Mesmo quando a análise indicar que uma notificação formal não é exigida, a clínica pode precisar orientar pessoas afetadas, corrigir uma informação ou oferecer canal para dúvidas.
O contrato com a plataforma precisa definir papéis de controlador e operador conforme o fluxo real de dados, sem usar rótulos genéricos. Também deve estabelecer prazo para aviso ao contratante, cooperação na investigação, acesso a logs, preservação de evidências, subcontratação, localização de dados, retorno ou eliminação e apoio a solicitações dos titulares.
Inclua uma cláusula que obrigue o fornecedor a informar fatos verificáveis: horário de detecção, sistemas envolvidos, tipos de dados, medidas de contenção, escopo conhecido, dependências externas e próximos boletins. Evite cláusulas que permitam comunicação vaga ou que condicionem a entrega de evidências à conclusão definitiva da causa.
SLA de disponibilidade não é suficiente. Para incidentes, avalie tempo para reconhecer o aviso, iniciar contenção, disponibilizar equipe técnica, entregar atualização e apoiar a comunicação. O checklist de cláusulas contratuais e SLA para plataformas de atendimento com IA ajuda a transformar essas expectativas em obrigações verificáveis.
A resposta jurídica deve conversar com a governança da clínica. O programa de governança de dados conversacionais para clínicas pode servir como referência para definir responsáveis, taxonomia de eventos, retenção, auditoria e cadência de revisão.
Como comunicar pacientes, sócios e autoridades sem ampliar o risco
- 1
Mensagem aos pacientes afetados
Informe o que foi identificado, quais dados podem estar envolvidos, o período aproximado, as medidas já adotadas e o canal de atendimento. Não especule sobre a causa, não atribua culpa antes da apuração e não repita dados sensíveis na própria mensagem.
- 2
Orientação prática e canal humano
Explique se o paciente precisa tomar alguma providência, como confirmar um agendamento ou desconsiderar uma mensagem anterior. Disponibilize uma pessoa treinada para esclarecer dúvidas e registrar solicitações.
- 3
Atualização para sócios e direção
Use um resumo executivo com impacto clínico, operacional, financeiro e regulatório. Diferencie fatos confirmados, hipóteses, decisões pendentes e recursos necessários, evitando transformar o primeiro informe em uma narrativa definitiva.
- 4
Interação com autoridades
O encarregado e o jurídico devem conduzir eventual comunicação regulatória pelos canais oficiais. Mantenha consistência entre o que foi informado à autoridade, aos titulares, ao fornecedor, à seguradora e à equipe interna.
- 5
Encerramento transparente
Depois da contenção, comunique a correção e as medidas preventivas quando isso for pertinente. Registre data, canal, público alcançado, taxa de entrega, respostas recebidas e pendências que exigem acompanhamento.
Modelos de comunicação para um incidente em conversas automatizadas
Para um possível envio indevido, uma mensagem ao paciente pode seguir esta estrutura: “Identificamos uma falha em nosso atendimento por mensagens ocorrida entre [data e horário]. Uma comunicação pode ter sido direcionada de forma incorreta. Suspendemos o fluxo relacionado, iniciamos a apuração e estamos verificando quais informações foram envolvidas. Para dúvidas, fale com nossa equipe pelo canal [canal].”
Se o problema envolver agendamento, a comunicação precisa priorizar a continuidade do cuidado: “Estamos revisando confirmações e horários enviados pelo atendimento automático entre [período]. Antes de comparecer, confirme sua marcação pelo canal [canal]. Nossa equipe está priorizando os casos afetados e informará qualquer ajuste necessário.”
O informe interno para sócios pode usar quatro blocos: “O que sabemos”, “O que ainda está sendo investigado”, “O que foi contido” e “Qual decisão precisa ser tomada”. Essa estrutura reduz ruído e permite que a direção acompanhe a evolução sem receber detalhes técnicos desconectados do impacto.
Nunca use a própria automação comprometida para comunicar o incidente sem uma validação independente. Se o risco estiver no fluxo do WhatsApp, considere canal humano, ligação, SMS ou e-mail, respeitando consentimento, finalidade e segurança de cada meio.
A operação pode aproveitar um guia de fluxos de escalonamento 24/7 em clínicas para definir quais mensagens ficam pausadas, quais situações vão para a recepção e como preservar o atendimento fora do horário comercial.
Como avaliar fornecedores e transformar o incidente em prevenção
A seleção de uma plataforma deve considerar sua capacidade de responder a falhas, não apenas a quantidade de conversas ou agendamentos que consegue automatizar. Peça uma demonstração de incidente com integração fora do ar, resposta clínica inadequada, duplicidade de marcação e exposição potencial de dados.
Durante a avaliação, pergunte se há logs pesquisáveis por identificador de conversa, versão de fluxo e evento de agenda. Verifique se a clínica consegue exportar evidências sem depender de uma investigação informal por mensagens e se existe segregação de acesso para recepção, gestão, jurídico e tecnologia.
Outro critério é o isolamento operacional. Uma plataforma com agentes especializados deve permitir desativar um comportamento específico sem interromper indiscriminadamente todos os canais. A arquitetura Orchestra da Auris foi concebida para coordenar agentes especializados por meio de um agente maestro, reduzindo o alcance de falhas e apoiando ajustes contínuos sob supervisão da clínica.
A infraestrutura também precisa entrar na análise, mas certificação não elimina a necessidade de governança. A documentação oficial da AWS sobre conformidade ISO ajuda a entender o escopo das certificações da infraestrutura, enquanto a clínica ainda deve avaliar configurações, acessos, integrações e responsabilidades do serviço contratado.
Depois do incidente, realize uma análise de causa raiz sem procurar apenas um culpado. Pergunte qual barreira falhou, por que o alerta não foi acionado, qual teste não existia, qual decisão dependia de uma pessoa e como medir se a correção funcionou.
Um indicador útil é o tempo entre detecção e contenção, separado do tempo entre contenção e recuperação. Acompanhe também percentual de conversas com evidência completa, número de pacientes afetados, mensagens corrigidas, agendamentos revisados, incidentes repetidos e ações preventivas concluídas.
Checklist de prontidão antes do go-live e das simulações
- ✓Existe uma lista nominal de responsáveis por operação, tecnologia, liderança clínica, jurídico, encarregado de dados e fornecedor, com contatos alternativos?
- ✓A clínica consegue pausar um agente, canal ou integração sem apagar conversas nem comprometer a evidência?
- ✓Cada evento de agendamento possui identificador de correlação entre conversa, plataforma, agenda e prontuário?
- ✓Os logs têm retenção definida, acesso restrito, proteção contra alteração e procedimento de exportação para auditoria?
- ✓Há regras para impedir que a automação forneça orientação clínica fora do escopo e para transferir exceções a uma pessoa qualificada?
- ✓O contrato prevê aviso de incidente, cooperação técnica, preservação de evidências, auditoria, subcontratados e atualização de status?
- ✓Existem modelos aprovados para pacientes, equipe, direção, fornecedor, seguradora e autoridade?
- ✓A recepção sabe como confirmar agendamentos, cancelar disparos e atender pacientes durante a contingência?
- ✓Foi executado um exercício com pelo menos quatro cenários: mensagem para contato incorreto, agenda indisponível, conteúdo clínico inadequado e credencial comprometida?
- ✓Após o exercício, cada falha recebeu responsável, prazo, critério de conclusão e data para novo teste?
Perguntas Frequentes
Quais são os primeiros passos após detectar um possível vazamento em uma conversa automatizada?▼
Registre o evento com horário, canal, mensagens envolvidas, sistemas relacionados e pessoa que fez a descoberta. Em seguida, preserve logs e evidências antes de alterar configurações, contenha o fluxo de forma proporcional e acione tecnologia, liderança clínica, jurídico e encarregado de dados. A análise deve verificar se houve exposição de dados sensíveis, risco à saúde ou impacto em agendamentos.
Quando uma clínica deve notificar pacientes sobre um incidente de dados?▼
A decisão depende da natureza dos dados, do risco ou dano relevante, do número de titulares e do impacto provável para as pessoas envolvidas. O encarregado e o jurídico devem analisar o caso à luz da LGPD e das orientações da ANPD, considerando também a necessidade de comunicação à autoridade. Quando houver comunicação, ela deve explicar fatos confirmados, medidas adotadas e canais de suporte sem especulação.
Como preservar conversas automatizadas para uma auditoria médico-legal?▼
Preserve a conversa original, os horários, identificadores, status de entrega, versão do fluxo, agente acionado, dados consultados e retorno da agenda ou prontuário. Registre quem coletou a evidência, onde ela foi armazenada e quais alterações foram feitas na cópia de trabalho. Evite usar apenas capturas de tela, pois elas raramente mostram o contexto técnico necessário para reconstruir a decisão.
O que deve constar no SLA de resposta a incidentes com um fornecedor de IA?▼
O SLA deve definir prazo para reconhecimento do aviso, início da contenção, acionamento de especialistas, entrega de informações, atualizações periódicas e apoio à recuperação. Também deve prever acesso a logs, preservação de evidências, cooperação com titulares e autoridades, comunicação sobre subcontratados e critérios de encerramento. Disponibilidade do sistema é uma métrica distinta da capacidade de investigar e conter um incidente.
Como conter uma falha em uma arquitetura multiagente sem interromper toda a operação?▼
Primeiro, identifique qual agente, regra, ferramenta ou integração apresentou comportamento suspeito. Depois, suspenda o componente específico, redirecione a função para atendimento humano ou para um fluxo validado e monitore eventos relacionados. Esse procedimento exige testes prévios de isolamento, permissões separadas, registro de versões e um mecanismo de retorno controlado.
Uma certificação de infraestrutura garante segurança para conversas de saúde?▼
Não. Uma certificação pode oferecer evidência sobre controles e escopo avaliados na infraestrutura, mas não comprova sozinha a qualidade dos fluxos, permissões, integrações, treinamento da equipe ou governança da clínica. A avaliação deve combinar infraestrutura, aplicação, contrato, logs, resposta a incidentes e testes com dados e cenários próximos da operação real.
Como evitar que a comunicação de um incidente agrave o risco reputacional?▼
Comunique apenas fatos verificados, reconheça o que ainda está em investigação e explique as medidas de contenção. Use linguagem direta, evite minimizar o evento e não atribua responsabilidade antes da apuração. Um canal humano treinado é essencial para corrigir agendamentos, responder dúvidas e registrar solicitações dos pacientes.