← Módulos
IA · Processos

IA nos processos clínicos, com privacidade na base.

A IA da Sanance entra onde o processo trava — anamnese, prontuário, autorização, gestão — sempre sob a mesma regra: o determinístico é a fonte da verdade e o modelo só assiste ou verbaliza. Por padrão, nenhum byte clínico sai do servidor.
Local-first por padrãoEgress fail-closedHumano valida
Pipeline · privacidade na base
Local-first
01
Leitura local
documento / áudio no servidor — nada sai
02
Tarja de PII
detector determinístico, bloqueante
03
Egress-guard
allowlist · pseudonimização · fail-closed
04
Rascunho
profissional valida item a item
O áudio da consulta nunca egressa · a identificação do paciente nunca passa pelo modelo
Os módulos de IA

Quatro processos, uma mesma disciplina de privacidade.

Cada módulo tem o seu ofício, mas todos partem do mesmo princípio: guardas determinísticas bloqueantes, egress minimizado e um profissional como validador final.

01 · Anamnese

Lê o documento sem deixá-lo vazar

Lê documentos clínicos, propõe as áreas de interesse do corpo do documento e tarja a identificação. O detector de PII é uma camada determinística e bloqueante — o modelo é assistivo, nunca a última palavra. A identificação do paciente é resolvida localmente e nunca passa pelo LLM.

Egress: modo A (JSON allowlisted) ou B (raster tarjado) Status diagnóstico: regra determinística no código
02 · Prontuário

Rascunho da consulta, com o médico no comando

Grava a consulta com duplo consentimento (médico e paciente), transcreve e diariza o áudio sempre localmente — o áudio nunca egressa — e cruza as medicações ditas com as notas do médico. Dose, quantidade e frequência são alto risco: o modelo é proibido de escrevê-las, a seção de medicações é renderizada de forma determinística, e a formalização trava até o médico confirmar cada item.

Áudio: transcrição + diarização sempre local Formalização: confirmação médica item a item
03 · Guias de autorização

A guia lida e normalizada

Lê a guia de autorização (TISS · SP/SADT com anexo de quimioterapia) a partir do raster das páginas, extrai e normaliza os campos. É gateado por RBAC — quem vê e quem opera o módulo é definido por papel — com storage de arquivos cifrado.

Entrada: raster das páginas do PDF Acesso: gateado por RBAC (guia:read/manage)
04 · Copiloto A3C

O copiloto de gestão que nunca toca no paciente

Um chat de gestão para supervisores e gestores, ancorado só em indicadores agregados — ocupação, sessões, paradas, OEE, esperas de farmácia. Traz o método A3, Lean e os cinco porquês, e separa com clareza o que é leitura do dado do que é sugestão de prática. Ele nunca inventa número e recusa qualquer dado individual de paciente.

  • Contexto PHI-free por construção: só agregados dos read-models
  • Blindagem OWASP LLM01: dados e histórico são conteúdo não-confiável
  • Se o dado não está no painel, ele diz que não está — não estima
Copiloto A3C · gestão
Sem dado de paciente
Por que a ocupação caiu na terça?
Nas janelas da tarde, as paradas por farmácia concentraram o tempo parado. Método A3: investigue a etapa de validação primeiro.
Só indicadores agregados · nunca inventa números · recusa dado individual
Privacidade na base

A IA não abre uma exceção na privacidade. Ela obedece à mesma.

Local-first

Por padrão o provider é local: extração, transcrição e geração acontecem no servidor. Nenhum byte clínico sai.

Egress fail-closed

Para usar nuvem, a cadeia de gates precisa estar satisfeita — teto do módulo, consentimento da org, autorização contratual. Na dúvida, bloqueia.

Guarda determinística

A tarja de PII e o status diagnóstico são regra no código, bloqueantes. O modelo é assistivo; nunca é ele quem decide o que pode sair.

Áudio nunca egressa

No prontuário, transcrição e diarização são sempre locais. Só as etapas de texto podem, sob guarda, ir à nuvem — mascaradas.

Humano valida

A IA produz rascunho. O profissional confirma — e, nas medicações, item a item. A formalização não acontece sem essa etapa.

Rastreável

Toda saída para IA passa por um único choke point, com log de egress. O que saiu, quando e sob qual base fica registrado.

O vendor de nuvem é a OpenAI, sob base contratual, e é usado apenas quando os gates autorizam. Dado de paciente é dado pessoal sensível (LGPD, art. 5º, II) — e a arquitetura trata assim, em repouso, em trânsito, em uso e no prompt.

Outros módulos

A plataforma inteira, por setor.

● Contato

Pronto para enxergar a operação?

30 minutos. Uma conversa sobre a sua sala e o seu fluxo. Saímos da chamada com um diagnóstico inicial e os próximos passos por escrito — software, processos e treinamento.

Sem SDR · você fala com a equipe fundadora e com a i-OMT

Ao enviar, você concorda com o tratamento dos dados conforme a Política de Privacidade.