Como auditar conversas automatizadas e demonstrar conformidade em clínicas

A auditoria de conversas automatizadas verifica se cada interação foi conduzida de acordo com a finalidade informada, as permissões concedidas, as regras clínicas e os controles de segurança definidos pela instituição. Em clínicas, esse trabalho não se limita a conferir se uma mensagem foi enviada. Ele precisa mostrar o que aconteceu antes do agendamento, quais dados foram consultados, quando houve intervenção humana e como uma exceção foi tratada.

Uma conversa pelo WhatsApp pode conter nome, telefone, convênio, preferência de unidade, pedido de exame e informações relacionadas à saúde. A LGPD classifica dados referentes à saúde como dados pessoais sensíveis, o que exige maior rigor na definição de finalidade, acesso, armazenamento e compartilhamento. A Lei Geral de Proteção de Dados no portal do Planalto deve ser a referência jurídica de base para esse desenho.

O risco também aparece em situações aparentemente rotineiras. Um paciente pergunta sobre preparo para exame, abandona o fluxo, retorna dias depois e recebe uma resposta baseada em um contexto incompleto. Se a clínica não consegue reconstruir a sequência, fica difícil avaliar a qualidade do atendimento, explicar a decisão tomada ou corrigir a regra que provocou o desvio.

A auditoria deve, portanto, unir três perspectivas: privacidade, segurança e operação. O resultado esperado é um conjunto de evidências verificáveis, associado a responsáveis, prazos de retenção e critérios objetivos para encaminhar a conversa à recepção ou a um profissional habilitado.

Um log é um registro cronológico de um evento. Em atendimento automatizado, ele deve permitir responder a cinco perguntas: quem iniciou a ação, quando ela ocorreu, qual sistema participou, qual decisão foi tomada e qual foi o resultado. O conteúdo integral da conversa pode ser necessário em determinados casos, mas log técnico e transcrição não são a mesma coisa.

Mantenha um identificador único para cada conversa, sem usar o nome do paciente como chave principal. Registre data e hora com fuso definido, canal, versão do fluxo, agente responsável, evento executado, sistema consultado, status da operação e motivo de eventual falha. Quando houver integração com agenda, guarde também o identificador do evento criado ou alterado, sem copiar para o log mais dados clínicos do que o necessário.

Os registros de segurança devem cobrir autenticação, criação e revogação de usuários, mudanças de permissão, acesso a dados sensíveis, exportações, alterações de regras, tentativas malsucedidas e incidentes. Um relatório mensal pode mostrar que o controle existe, mas não comprova sozinho que cada evento foi protegido contra alteração. Por isso, considere armazenamento com controle de acesso, trilha de auditoria, sincronização de horário e proteção contra edição indevida.

Na camada operacional, registre transferências para humanos, motivo do encaminhamento, fila de destino, horário de aceite, orientação dada e encerramento. Se a pessoa responsável corrigir uma resposta, documente a correção e a regra que será revisada. Esse histórico ajuda a distinguir falha de configuração, indisponibilidade de sistema, decisão clínica e comportamento do paciente.

Uma matriz útil pode conter as colunas: evidência, finalidade, origem, responsável, prazo de retenção, nível de acesso, localização, periodicidade de revisão e ação em caso de inconsistência. Para alinhar controles técnicos e administrativos, use como referência a visão geral da família ISO/IEC 27000, sem confundir a adoção de boas práticas com uma certificação automática.

Depois de estruturar o método, a tecnologia deve fornecer evidências sem transformar a equipe em responsável por reconstruir cada conversa em planilhas. Em implementações acompanhadas pela Auris em mais de 489 profissionais, clínicas e laboratórios, a necessidade recorrente foi ligar a interação ao resultado operacional, preservando critérios de acesso e contexto.

A arquitetura Orchestra organiza agentes especializados sob a coordenação de um agente maestro. Em vez de concentrar todas as tarefas em uma única camada, essa estrutura separa funções como identificação da intenção, consulta de agenda, recuperação de conversa e encaminhamento. Ela foi projetada para reduzir o risco de respostas inadequadas, especialmente em operações com maior variedade de unidades, especialidades e regras.

Na prática, uma auditoria deve verificar quais agentes participaram, qual versão de instrução estava ativa, qual fonte foi consultada e por que o fluxo terminou em agendamento, pendência ou transferência. A integração via API oficial do WhatsApp e as conexões com agendas e prontuários também devem aparecer no mapa de evidências, com escopos de permissão e registros de erro.

O CRM conversacional acrescenta uma visão operacional que não depende de planilhas: conversas abertas, pacientes que pararam de responder, faltas que exigem reagendamento e etapas até o agendamento. Essa informação pode ser usada de forma agregada para medir perdas, desde que a clínica aplique minimização e controle de acesso.

A Auris atua exclusivamente com operações de saúde, integra sistemas como Feegow, Amplimed, Prodoctor e Visual Asa e trabalha com implantação acompanhada e calibração ao longo do uso. Para avaliar qualquer fornecedor, incluindo a Auris, peça exemplos de evidências, periodicidade de revisão, processo de transferência humana e tratamento de incidentes, em vez de aceitar apenas uma declaração genérica de conformidade.