← Módulos
IA · Processos

IA nos processos clínicos, com privacidade na base.

A IA da Sanance entra onde o processo trava, da anamnese à autorização, sempre sob a mesma regra: o determinístico é a fonte da verdade e o modelo só assiste ou verbaliza. Por padrão, nenhum byte clínico sai do servidor.
Local-first por padrãoEgress fail-closedHumano valida
Pipeline · privacidade na base
Local-first
01
Leitura local
documento e áudio ficam no servidor
02
Tarja de PII
detector determinístico, bloqueante
03
Egress-guard
allowlist · pseudonimização · fail-closed
04
Rascunho
profissional valida item a item
O áudio da consulta nunca egressa · a identificação do paciente nunca passa pelo modelo
Os módulos de IA

Quatro processos, uma mesma disciplina de privacidade.

Cada módulo tem o seu ofício, mas todos partem do mesmo princípio: guardas determinísticas bloqueantes, egress minimizado e um profissional como validador final.

01 · Anamnese

Lê o documento sem deixá-lo vazar

Lê documentos clínicos, propõe as áreas de interesse do corpo do documento e tarja a identificação. O detector de PII é uma camada determinística e bloqueante, e o modelo é assistivo. A identificação do paciente é resolvida localmente e nunca passa pelo LLM.

Egress: modo A (JSON allowlisted) ou B (raster tarjado) Status diagnóstico: regra determinística no código
02 · Prontuário

Rascunho da consulta, com o médico no comando

Grava a consulta com duplo consentimento (médico e paciente), transcreve e diariza o áudio sempre localmente (o áudio nunca egressa) e cruza as medicações ditas com as notas do médico. Dose, quantidade e frequência são alto risco: o modelo é proibido de escrevê-las, a seção de medicações é renderizada de forma determinística, e a formalização trava até o médico confirmar cada item.

Áudio: transcrição + diarização sempre local Formalização: confirmação médica item a item
03 · Guias de autorização

A guia lida e normalizada

Lê a guia de autorização (TISS · SP/SADT com anexo de quimioterapia) a partir do raster das páginas, extrai e normaliza os campos. É gateado por RBAC, com papel definindo quem vê e quem opera o módulo, e com storage de arquivos cifrado.

Entrada: raster das páginas do PDF Acesso: gateado por RBAC (guia:read/manage)
04 · Copiloto A3C

O copiloto de gestão que nunca toca no paciente

Um chat de gestão para supervisores e gestores, ancorado só em indicadores agregados: ocupação, sessões, paradas, TUE e esperas de farmácia. Traz o método A3 e os cinco porquês, e separa com clareza a leitura do dado da sugestão de prática. Ele nunca inventa número e recusa qualquer dado individual de paciente.

  • Contexto PHI-free por construção: só agregados dos read-models
  • Blindagem OWASP LLM01: dados e histórico são conteúdo não-confiável
  • Se o dado não está no painel, ele avisa que não está
Copiloto A3C · gestão
Sem dado de paciente
Por que a ocupação caiu na terça?
Nas janelas da tarde, as paradas por farmácia concentraram o tempo parado. Método A3: investigue a etapa de validação primeiro.
Só indicadores agregados · nunca inventa números · recusa dado individual
Privacidade na base

A IA não abre uma exceção na privacidade. Ela obedece à mesma.

Local-first

Por padrão o provider é local: extração, transcrição e geração acontecem no servidor. Nenhum byte clínico sai.

Egress fail-closed

Para usar nuvem, a cadeia de gates precisa estar satisfeita: teto do módulo, consentimento da org e autorização contratual. Na dúvida, bloqueia.

Guarda determinística

A tarja de PII e o status diagnóstico são regra no código, bloqueantes. O modelo é assistivo; nunca é ele quem decide o que pode sair.

Áudio nunca egressa

No prontuário, transcrição e diarização são sempre locais. Só as etapas de texto podem ir à nuvem, sob guarda e mascaradas.

Humano valida

A IA produz rascunho. O profissional confirma e, nas medicações, item a item. A formalização não acontece sem essa etapa.

Rastreável

Toda saída para IA passa por um único choke point, com log de egress. O que saiu, quando e sob qual base fica registrado.

O vendor de nuvem é a OpenAI, sob base contratual, e é usado apenas quando os gates autorizam. Dado de paciente é dado pessoal sensível (LGPD, art. 5º, II), e a arquitetura o trata assim em repouso, em trânsito, em uso e no prompt.

Outros módulos

A plataforma inteira, por setor.

● Contato

Pronto para enxergar a operação?

30 minutos. Uma conversa sobre a sua sala e o seu fluxo. Saímos da chamada com um diagnóstico inicial e os próximos passos por escrito.

Sem SDR · você fala com a equipe fundadora e com a i-OMT

Ao enviar, você concorda com o tratamento dos dados conforme a Política de Privacidade.