TRANSPARÊNCIA E CLASSIFICAÇÃO DE RISCO DAS FUNCIONALIDADES DE IA

Versão 2026-11-03 · Vigente desde 3 de novembro de 2026. Versões anteriores estão disponíveis mediante solicitação ao suporte (hello@oasismed.com.br). Este documento cumpre a Cláusula 12.7 dos Termos de Uso e o dever de transparência da Resolução CFM nº 2.454/2026, que normatiza o uso de inteligência artificial na medicina e entra em vigor em 26 de agosto de 2026 (art. 23), alcançando inclusive os sistemas já em operação (art. 21). Ele descreve como cada funcionalidade de IA do Oasis Med funciona, suas limitações conhecidas, a classificação de risco que atribuímos a cada uma, o que informamos ao paciente, o que fazemos com os dados dele antes de qualquer processamento externo, quais indicadores de desempenho publicamos e por onde relatar uma falha de IA. Ele cobre a Plataforma por assinatura; os assistentes de WhatsApp contratados à parte (Cláusula 2.2 dos Termos de Uso) não estão descritos aqui.

1. PRINCÍPIOS

1.1. A decisão clínica é sempre humana. Toda saída de IA no Oasis Med é um insumo de trabalho para o médico, nunca um ato médico. A Plataforma não comunica diagnósticos, prognósticos ou condutas a pacientes, não prescreve e não decide.

1.2. Todo documento gerado pela Plataforma constitui minuta, que só adquire valor clínico ou legal após revisão, edição (quando necessária) e assunção de responsabilidade pelo médico assistente (Termos, Cláusula 12.2).

1.3. Modelos de linguagem podem errar, inclusive de forma convincente (“alucinação”). As mitigações descritas abaixo existem porque assumimos essa limitação como premissa de projeto, não como exceção.

2. TECNOLOGIAS UTILIZADAS

2.1. Modelos de linguagem de grande porte (LLMs) da Anthropic (família Claude), acessados via AWS Bedrock; modelos de outros fornecedores executados pela própria AWS na região de São Paulo, nas funções que tenham sido validadas com eles (ver 2.1.1 e 4.1); transcrição de fala da AWS Transcribe (português brasileiro, com vocabulário customizado de medicamentos); modelos de recuperação semântica (embeddings e reranking) da Cohere, via AWS Bedrock. Os fornecedores estão contratualmente impedidos de usar os dados enviados para treinar seus modelos. O tratamento de dados pessoais é descrito na Política de Privacidade.

2.1.1. Divisão de trabalho entre os modelos. Nem toda tarefa de IA da Plataforma exige um modelo de ponta. Tarefas organizacionais, como dar título a uma conversa ou extrair um trecho curto de um texto, podem ser atendidas por um modelo menor, com as mesmas garantias, no perfil e no país indicados na Seção 4.1. A decisão sobre o tipo de documento a que um pedido pertence também pode usar um modelo menor, mas não é tarefa mecânica: um erro ali troca o formulário ou deixa um item de fora, e por isso ela integra a geração de documentos (item 5.2), com a classificação e as salvaguardas dela. Tudo o que tem conteúdo clínico denso, isto é, a minuta de documento, o resumo da consulta e as respostas do Chat Médico, permanece nos modelos principais. Essa divisão é configurada tarefa a tarefa e registrada por mensagem (ver 2.2). Trocar o modelo de uma tarefa é decisão manual da Oasis Med, registrada no histórico de versões das instruções (item 7.1), e a nossa regra é só fazer a troca depois de comparação lado a lado, em bancada de testes daquela tarefa, demonstrando que a qualidade não regride; a Plataforma ainda não bloqueia tecnicamente uma troca feita sem essa comparação. Para o paciente e para o médico, nada muda no que a Plataforma faz nem em quem responde pela decisão clínica, que é sempre o médico.

2.2. Rastreabilidade. Cada resposta do Chat Médico registra o modelo utilizado e a versão de cada instrução de sistema (prompt) aplicada. Cada documento gerado registra o modelo, a versão do prompt, o canal e o momento da geração; o resumo automático de consulta registra o modelo empregado, mas ainda não registra a versão do prompt usada. Documentos e resumos recebem no próprio corpo a marcação visível de que foram produzidos com apoio de IA, que acompanha o documento em qualquer exportação (PDF, impressão, cópia ou e-mail). É a trilha exigida pela Res. CFM 2.454/2026 para sistemas em operação.

3. O PACIENTE: INFORMAÇÃO PRÉVIA E DIREITO DE RECUSA

3.1. Informação prévia (art. 5º, §1º). Antes da primeira gravação de cada paciente, a Plataforma apresenta ao médico um passo de informação prévia, com o texto pronto para ser dito: "Nesta consulta vou usar um assistente de inteligência artificial que escuta a nossa conversa e me ajuda a escrever as anotações e os documentos; ele também pode me sugerir perguntas durante o atendimento. Quem decide o diagnóstico e o tratamento sou eu: a inteligência artificial me apoia, mas não substitui a minha avaliação. O áudio é apagado em até sete dias; fica registrado o texto, sob meu sigilo profissional. Para produzir esse texto, o conteúdo da consulta, com o seu nome, passa por provedores de inteligência artificial que podem estar fora do Brasil, com contrato de proteção de dados. Se preferir que eu não use esse apoio, é só me dizer." O texto reforça que a inteligência artificial apoia o médico e não substitui a decisão dele, como pede o art. 11 da Res. CFM 2.454/2026. Até a data de vigência desta versão, a Plataforma exibiu o texto da versão 2026-08-20, que dizia, na frase sobre os provedores, "Para gerar o texto, trechos sem o seu nome passam por provedores de inteligência artificial fora do Brasil"; essa frase não descrevia a formatação, o resumo e a geração de documentos, que seguem sem a substituição de identificadores (item 4.2.1). O texto é afirmativo, não termina em pergunta, porque cumpre o dever de informar (art. 9º da LGPD e art. 5º, §1º, da Res. CFM 2.454/2026) e não condiciona o tratamento de dados a consentimento (ver 3.2); a recusa tem botão próprio na mesma tela. O médico registra que informou, por qual meio (verbalmente, por escrito ou de outra forma) e a quem: ao próprio paciente ou ao responsável legal, quando se trate de menor ou de paciente que não possa receber a informação diretamente (art. 14 da LGPD). Ficam gravados a data, o autor do registro e a versão do texto que foi lido ao paciente, para que o registro prove o que foi dito, e não apenas que algo foi dito.

3.2. Dois eixos que não se confundem. Quando a tela fala em "consentimento", trata do eixo da Resolução CFM nº 2.454/2026: o paciente consente com o uso de inteligência artificial no seu cuidado e pode recusá-lo a qualquer tempo (art. 5º, §3º; ver 3.3). Não se trata de consentimento como base legal de tratamento de dados: essa base é a tutela da saúde por profissional habilitado (art. 11, II, "f", da LGPD), que não depende de consentimento e não é revogável. A distinção tem consequência prática: registrada a recusa, a Plataforma bloqueia no servidor, dali em diante, a gravação, a transcrição, a formatação e o resumo pré-consulta daquele paciente, e mostra a recusa na ficha do paciente e na tela de transcrição; nas demais funções, como a geração de documentos e o Chat Médico, cabe ao médico não usar a IA com esse paciente. A recusa não apaga o prontuário já produzido, cuja guarda é obrigatória por vinte anos (Lei nº 13.787/2018). O que a tela cumpre, portanto, é o dever de informar (art. 9º da LGPD e art. 5º, §1º, da Res. CFM 2.454/2026) e o registro da decisão do paciente quanto ao uso de IA.

3.3. Recusa informada (art. 5º, §3º). O paciente pode recusar o uso de sistemas de inteligência artificial no seu cuidado, e a Plataforma respeita essa recusa em software, não apenas em política: registrada a recusa, a gravação e a transcrição ficam bloqueadas no servidor para aquele paciente, em todos os caminhos de envio de áudio, e o bloqueio só é levantado por revisão explícita no cadastro. A opção fica na mesma tela da informação prévia e com o mesmo destaque das demais, porque é um direito do paciente, não um caminho de exceção.

3.4. A recusa vale daqui para a frente. Ela não apaga o prontuário já produzido, que permanece sob a guarda obrigatória da Lei nº 13.787/2018, e não se confunde com os direitos do titular previstos na LGPD, descritos na Política de Privacidade.

4. O QUE SAI DA PLATAFORMA: A FRONTEIRA DE DADOS PESSOAIS

4.1. O armazenamento, o processamento primário e a transcrição de áudio ocorrem no Brasil (AWS, região de São Paulo), de onde partem também as chamadas aos modelos de inteligência artificial. O alcance da inferência varia conforme a etapa e o modelo: a geração de texto com modelos da Anthropic usa perfil de inferência de alcance global da Amazon Bedrock, de modo que a requisição pode ser atendida por qualquer região comercial da AWS no mundo, escolhida pelo provedor conforme a capacidade disponível, sem que possamos fixar a região previamente, porque esses modelos não são oferecidos com processamento restrito à região do Brasil; os modelos de outros fornecedores executados pela própria AWS na região de São Paulo, adotados nas funções validadas com eles, processam no Brasil; o cálculo de vetores de busca e a reordenação de trechos recuperados (Cohere) ocorrem em infraestrutura da AWS nos Estados Unidos, e, na reindexação em lote do acervo, o cálculo de vetores usa perfil de alcance global. Em todos os casos o tratamento permanece dentro da infraestrutura da AWS. O processamento fora do Brasil é transferência internacional de dados pessoais e é tratado como tal na Política de Privacidade (Seção 7) e no DPA (Cláusula 9).

4.2. No Chat Médico, no cálculo de vetores de busca, na reordenação de trechos, na indexação dos documentos do paciente e nas buscas externas, a Plataforma substitui os identificadores do paciente por marcadores antes do envio (nome, CPF, CNS, data de nascimento, telefone, e-mail e endereço, a mesma lista da Seção 4.4.1 da Política de Privacidade e da Cláusula 9.3 do DPA). A correspondência entre marcador e dado real fica conosco, e o texto volta a exibir os dados verdadeiros apenas dentro da Plataforma.

4.2.1. Na formatação e no resumo da transcrição e na geração das minutas de documentos, o texto segue para o provedor de inferência com os dados de identificação do paciente, porque o nome e os demais dados dele integram o documento produzido e são necessários a essa finalidade. Preferimos registrar essa distinção a descrever a substituição como se alcançasse tudo. Nesses caminhos valem as mesmas garantias contratuais: uso exclusivo para produzir a resposta solicitada, proibição de treinamento e não retenção do conteúdo pelo provedor, com a ressalva da guarda para detecção de abuso descrita na Seção 7.4 da Política de Privacidade.

4.3. A substituição do item 4.2 é pseudonimização, não anonimização (art. 13, §4º, da LGPD): como a correspondência é conservada, o conteúdo enviado permanece dado pessoal e permanece protegido pela Política de Privacidade. A medida reduz a exposição sobre texto clínico livre; não a elimina, e não é apresentada como se eliminasse.

4.4. Na busca na internet e em bases de literatura científica, os provedores recebem apenas o texto da consulta, já substituído. Não recebem prontuário, documentos do paciente, transcrições, anexos nem o histórico da conversa.

4.5. O áudio do atendimento é eliminado de forma automatizada após a transcrição, com prazo-limite de sete dias na infraestrutura de armazenamento. Os fornecedores de IA estão contratualmente impedidos de usar o conteúdo para treinar seus modelos, e a Oasis Med não treina modelos com conteúdo clínico: para melhorar o produto usamos apenas metadados de uso e indicadores agregados, apurados sem extrair texto clínico.

4.6. Dados usados em validação e testes (art. 6º, §2º, da Res. CFM 2.454/2026). Para validar e aprimorar as funcionalidades de IA da Plataforma usamos casos de teste sintéticos e consultas e documentos produzidos pela equipe da Oasis Med para esse fim. Para monitorar uma funcionalidade já em operação, a equipe pode também revisar saídas geradas sobre registros reais de pacientes, somente sob instrução do controlador (o médico ou a instituição que contrata) e no limite necessário a essa revisão, como a conferência dos primeiros resumos pré-consulta contra a lista de expressões proibidas. Nenhum dado de cliente é usado para validar ou aprimorar modelos sem base legal e aviso prévio ao controlador.

5. CLASSIFICAÇÃO DE RISCO POR FUNCIONALIDADE

Adotamos a gradação da Res. CFM 2.454/2026 (baixo, médio e alto; o art. 13 menciona também "inaceitável", que o Anexo II não define) e os fatores do art. 12, parágrafo único: impacto potencial nos direitos e na saúde do paciente, criticidade do contexto de uso, complexidade e grau de autonomia, finalidade pretendida e finalidades potenciais, nível de intervenção humana no resultado e quantidade e sensibilidade dos dados. Pelo Anexo II, é de risco alto o sistema que influencia diretamente decisões médicas críticas ou executa ações automatizadas com consequências clínicas relevantes. Nenhuma funcionalidade da Plataforma executa ação clínica automatizada, e todas as que apoiam decisão clínica dependem da revisão do médico antes de produzir efeito; por isso as classificamos, no máximo, como de risco médio. Esta é a nossa classificação, como desenvolvedora; a avaliação preliminar exigida pelo art. 12 cabe à instituição ou ao médico que contrata.

5.1. Transcrição de consulta: risco MÉDIO. O que faz: converte o áudio da consulta em texto com identificação de falantes e o formata. Vale para a consulta presencial e para a teleconsulta cujo áudio é captado pela extensão de navegador (Política de Privacidade, Seção 5.8), que é canal desta mesma funcionalidade. Limitações: termos raros, sotaques e sobreposição de vozes podem gerar erros de transcrição; a formatação usa LLM. Mitigações:

  • a. grifos de revisão: termos clinicamente sensíveis (medicamentos, doses, diagnósticos, exames, valores de laboratório) são destacados para conferência manual;
  • b. barreira de conferência: a geração dos documentos clínicos da consulta fica bloqueada no servidor até que o médico marque a transcrição como revisada. É uma declaração do médico, não uma prova de leitura, mas o bloqueio é técnico e vale para a geração de documentos a partir de consulta transcrita, em todos os canais (web, celular e Chat Médico); a revisão de uma minuta já gerada não passa por ele;
  • c. vocabulário customizado de medicamentos na transcrição.

5.2. Geração de documentos clínicos: risco MÉDIO. O que faz: elabora minutas (anamnese, evolução, receitas, atestados, laudos, encaminhamentos e outros) a partir da transcrição revisada, do contexto escrito e dos dados do paciente. Quando o médico faz um pedido livre, um modelo decide o tipo de cada documento pedido, separa os itens e aponta os que ficaram de fora; essa decisão é parte desta funcionalidade (item 2.1.1). Limitações: pode omitir, generalizar ou inferir indevidamente conteúdo, e a decisão sobre o tipo pode errar o formulário; a qualidade depende do material de origem. Mitigações:

  • a. identidade do paciente resolvida sempre do cadastro, nunca do texto;
  • b. confirmação explícita antes de gerar e barreira de conferência da transcrição (item 5.1);
  • c. aviso quando o conteúdo de origem não tem teor clínico;
  • d. quando um pedido reúne itens de documentos diferentes, o que ficou de fora é listado explicitamente ao médico;
  • e. a minuta não sugere exames, medicamentos ou condutas por iniciativa própria. O código CID que sai no documento vem do cadastro do paciente, do código que o médico ditou ou, quando o médico o pede por escrito e não há código de origem, da proposta do item 5.2.1; no atestado e no relatório, a inclusão depende ainda de o contexto da consulta registrar a concordância expressa do paciente. Como a Res. CFM nº 2.381/2024 (art. 5º, §§3º e 4º) só admite o diagnóstico no atestado por solicitação do paciente, justa causa ou dever legal, com a concordância expressa no documento, cabe ao médico conferir essa condição antes de assinar;
  • f. todo documento é editável e é minuta até o médico assumir.

5.2.1. Código CID proposto a pedido do médico: risco MÉDIO. O que faz: quando o médico pede o CID por escrito (no pedido, nas observações ou na nota da consulta) e não há, para o diagnóstico daquele documento, código no cadastro nem código ditado, o modelo escolhe o código CID-10 cuja descrição oficial corresponde ao que o registro documenta, preferindo o código genérico ao específico que acrescentaria o que o registro não diz. A Plataforma confere que o código existe na tabela oficial e o imprime com a descrição oficial. Limitações: a conferência prova que o código existe, não que é o correto, e um código existente e errado sai impresso; na minuta, o código proposto não aparece marcado como proposta. Mitigações:

  • a. só a pedido escrito do médico; pedido feito apenas em voz, durante a consulta, não abre esta via;
  • b. código inexistente é apagado, e a descrição impressa é sempre a oficial;
  • c. o médico revisa e pode trocar ou retirar o código antes de emitir.

5.3. Chat Médico (apoio informacional à decisão): risco MÉDIO. O que faz: responde perguntas clínicas com busca em literatura científica (PubMed, Europe PMC, LILACS/SciELO e outras fontes), nos documentos e anexos do paciente selecionados pelo médico e/ou na web, com citações. A resposta pode trazer gráficos: séries de valores, inclusive valores extraídos de laudos do paciente, e o valor de um exame do paciente desenhado sobre faixas de referência, cada faixa com um nível de uma escala fechada que vai de ótimo a crítico, com as faixas, a meta e o rótulo de situação escritos pelo modelo. Limitações: pode citar de memória artigos que não estavam nas fontes recuperadas ou atribuir a um artigo afirmação que ele não sustenta; no gráfico, um valor pode ter sido extraído errado do laudo, e as faixas de referência e o rótulo de situação podem não ser os do laboratório nem os adequados àquele paciente. Mitigações:

  • a. verificação automática de citações: referências não confirmadas recebem selo visível ("Fora das fontes consultadas" ou "Atribuição não confirmada");
  • b. preprints são sinalizados;
  • c. o nível de rigor de evidência é controlável pelo médico;
  • d. aviso fixo na tela de que as respostas são apoio informacional;
  • e. rastreabilidade de modelo e prompts por mensagem;
  • f. no gráfico, a cor de cada faixa sai da escala fechada da Plataforma, nunca do modelo; nas séries, cada valor pode trazer o documento de onde saiu; a leitura do gráfico é do médico, que confere o valor com o laudo.

5.3.1. Consultas do assistente aos seus dados e aos catálogos oficiais: risco BAIXO; consulta de bulas: risco MÉDIO. O que faz: a pedido do médico, em linguagem natural, o assistente lê e relata dados que já são dele: a agenda de compromissos (um dia, um período, por nome ou por texto, e quanto dela está tomada), o cadastro dos seus pacientes, as consultas que atendeu ou tem marcadas, e, para o paciente já aberto na conversa, a linha do tempo e a lista de documentos já emitidos. Consulta também catálogos oficiais e públicos: as bulas registradas na ANVISA, o catálogo TUSS da ANS e a Classificação Internacional de Doenças. A consulta às bulas é classificada como de risco MÉDIO, como o Chat Médico (item 5.3), porque a informação de dose, indicação e contraindicação pode influenciar diretamente a prescrição; as demais consultas deste item são de risco BAIXO.

O assistente não alcança nada que o médico já não alcance: cada consulta é feita com as credenciais dele, e por isso as mesmas permissões da tela valem aqui — a agenda de um colega, por exemplo, aparece sem o nome do paciente. Para o paciente aberto, o assistente lê metadado (que documento, de que tipo, quando), nunca o conteúdo dos documentos, e não consulta o histórico de nenhum outro paciente. Limitações: relata o que está registrado na Plataforma, e só. Os compromissos importados do Google Agenda aparecem ao médico no cartão da agenda, mas nenhum dado deles é enviado ao modelo — nem horário, nem título, nem descrição —, e por isso o assistente não os considera ao responder; ele avisa que esses compromissos estão no cartão. Mitigações:

  • a. os nomes de pacientes que voltam de uma consulta são substituídos por marcadores antes de qualquer envio ao modelo — o médico lê o nome na tela, o modelo não o recebe (item 4.2);
  • b. o resultado é exibido num cartão montado pela Plataforma a partir do dado consultado, não pelo modelo: se o texto da resposta divergir do cartão, é o cartão que está certo;
  • c. a funcionalidade pode ser desligada por completo, e o assistente volta a responder sem acesso a esses dados.

5.3.2. Propostas de agendamento pelo assistente: risco BAIXO. O que faz: a pedido do médico ("marque com o paciente X na segunda às 17h"), o assistente mostra o que aconteceria — o horário, a duração e o conflito, se houver — e o médico confirma num clique.

O assistente não agenda, não remarca e não cancela nada. A Plataforma simula a operação com as mesmas regras da tela de Agenda e desfaz a simulação; a gravação só existe depois do clique do médico, e é feita pelo mesmo caminho de sempre. Agendar é ato administrativo: quem, quando e por quanto tempo são escolhas de organização do trabalho, não decisão clínica. Limitações: a interpretação do pedido pode não ser a pretendida — por isso a confirmação existe. Mitigações:

  • a. nenhuma alteração é gravada sem o clique de confirmação;
  • b. o horário é calculado pela Plataforma no fuso da clínica, nunca pelo modelo, para que o compromisso não caia numa hora diferente da que o médico leu;
  • c. o que a simulação recusa (horário ocupado, permissão ausente) é mostrado com o motivo, e nesse caso não há botão de confirmar;
  • d. a funcionalidade pode ser desligada sem afetar as demais.

5.3.3. Consulta agregada do registro clínico: risco MÉDIO. O que faz: a pedido do médico, lista quais dos seus pacientes têm um diagnóstico, uma medida ou um escore registrado, com o valor e a data de cada registro.

É uma listagem do que o próprio médico registrou, reunida sob demanda — o mesmo que ele veria abrindo cada ficha. A Plataforma não calcula média, não classifica risco, não compara períodos e não aponta tendência, e a leitura desses registros permanece inteiramente do médico. Limitações: mostra apenas o que foi registrado de forma estruturada na Plataforma; um dado escrito em texto livre não aparece. Mitigações:

  • a. restrita aos pacientes sob responsabilidade do próprio médico, verificada antes de qualquer leitura;
  • b. sem execução automática, sem periodicidade e sem alerta — a consulta existe porque o médico perguntou, e nada é reexecutado ou observado no tempo;
  • c. os nomes atravessam a mesma substituição do item 4.2 antes de qualquer envio ao modelo;
  • d. interruptor próprio, independente das demais funcionalidades do assistente.

5.4. Resumo automático de consulta: risco MÉDIO. Minuta de resumo gerada logo após a transcrição, antes da conferência da transcrição pelo médico; regenerável e editável, e revisada pelo médico como qualquer minuta.

5.4.1. Resumo pré-consulta: risco MÉDIO. O que faz: antes de um novo atendimento, sempre a partir de um gesto do médico — abrir o resumo do paciente ou iniciar um atendimento com ele —, e nunca em segundo plano nem por agendamento, organiza em texto curto o que a equipe de cuidado já registrou daquele paciente na Plataforma (resumos e notas de consultas anteriores, documentos emitidos, anexos, registros clínicos estruturados e o padrão de comparecimento), na ordem em que o médico costuma precisar ler. É apoio de leitura, não documento: não é exportável como documento, não entra no prontuário e é regenerado a cada uso. Limitações: pode omitir um registro relevante ou resumir de forma imprecisa; não vê o que não foi registrado na Plataforma. Mitigações:

  • a. cada afirmação traz a fonte (a consulta, o documento ou o registro de origem, com data), e o texto sem fonte é descartado antes de chegar ao médico;
  • b. o resumo só agrega e organiza o que foi registrado: não sugere exames, medicamentos ou condutas, não classifica risco nem aponta tendência (item 6);
  • c. o nome e os dados de identificação do paciente não são enviados ao modelo; a recusa de IA registrada pelo paciente (item 3.3) bloqueia a geração;
  • d. aviso fixo de IA na tela, revisão obrigatória pelo médico e avaliação (útil / com problemas) registrada a cada resumo.

5.5. Ditado por voz e busca de literatura: risco BAIXO. Conversão de fala em texto para campos de entrada (revisável na hora) e recuperação/ordenação de artigos científicos (não produz conteúdo clínico, apenas localiza fontes).

5.6. Grifos de revisão: mitigação (risco BAIXO). Funcionalidade cujo propósito é reduzir o risco das demais: marca automaticamente os termos mais suscetíveis a erro de IA para direcionar a revisão humana. Pode deixar de marcar um termo relevante; a responsabilidade de revisão integral permanece com o médico.

5.7. Perguntas sugeridas durante a consulta: risco MÉDIO. O que faz: durante a gravação da consulta, quando o médico aciona o comando "Sugestão de perguntas ao paciente", a Plataforma sugere perguntas de anamnese sobre dados que ainda não constam do registro, a partir do que já foi dito. No primeiro uso, pede permissão ao médico, que pode recusar e desligar a função. Ao aceitar, o médico recebe uma primeira pergunta, de caráter mais geral, elaborada com o que a consulta trouxe até aquele momento. Quando a consulta é transcrita por blocos, as sugestões usam apenas os trechos já transcritos, sem nenhuma transcrição adicional, e o Caderno Médico informa até que ponto da consulta elas consideraram. Limitações: pode deixar de sugerir uma pergunta relevante ou sugerir uma irrelevante, e a revisão acontece no tempo da própria consulta. Na transcrição por blocos, o que foi dito depois do último trecho transcrito ainda não é considerado, e a sugestão pode repetir algo já perguntado nesse intervalo. Mitigações:

  • a. nada é gerado sem um ato do médico: o comando ou a aceitação da permissão, que já pede a primeira pergunta;
  • b. a redação é sempre de pergunta: o servidor descarta a sugestão que não termine em ponto de interrogação ou que use, por uma lista fechada de termos, linguagem de hipótese, suspeita ou diagnóstico, de prescrição, dose ou posologia, de pedido de exame, de tratamento, conduta ou recomendação, de encaminhamento ou de código CID. A lista não barra nomes de doenças, exames ou medicamentos: uma pergunta como "Já fez ecocardiograma?" pode ser exibida, e cabe ao médico decidir se a faz. A justificativa curta que pode acompanhar a pergunta não passa por essa lista, só pela conferência de identificadores da alínea "c";
  • c. os identificadores do paciente são retirados do texto antes do envio ao modelo; a sugestão que traga o nome do paciente ou sequência longa de números é descartada, e a justificativa que os traga é retirada;
  • d. as perguntas não entram nos documentos gerados.

5.8. Criação e aprimoramento de modelos de documento: risco BAIXO. O que faz: a pedido do médico, cria um modelo de documento a partir de uma orientação escrita ou aprimora um modelo existente. Trabalha sobre o texto do modelo e a orientação do médico; a Plataforma não lhe envia dados de paciente. Limitações: pode propor estrutura inadequada ou texto padrão que o médico não quer, e o modelo criado ou aprimorado é salvo e passa a ser usado assim que é gerado. Mitigações: o novo modelo aparece na tela para o médico revisar, é editável e pode ser restaurado ao modelo padrão a qualquer tempo; as minutas geradas a partir dele seguem as salvaguardas do item 5.2, inclusive a revisão de cada minuta pelo médico antes de assinar.

5.9. Escores da edição Cardio: risco MÉDIO, por cautela. O que faz: na edição Cardio, quando o médico abre a calculadora e preenche os campos, a Plataforma calcula o CHA₂DS₂-VA ou o HAS-BLED, ou classifica a insuficiência cardíaca pela fração de ejeção informada (FEVE), e mostra o resultado, a faixa publicada e a referência da diretriz. É cálculo determinístico, por regra fixa, sem modelo de linguagem, sem leitura do registro do paciente e sem alerta. Fica na borda da definição de sistema de IA da Resolução (Anexo I); classificamos como risco médio por cautela, porque a faixa informa decisões clínicas importantes, como a de anticoagular, sem executá-las. Limitações: o resultado depende do que o médico preenche; a classificação pela FEVE considera só a fração de ejeção, e a diretriz exige outros critérios para a insuficiência cardíaca com fração de ejeção preservada; a faixa é a da publicação de referência e não recomenda conduta. Mitigações: o médico aciona, preenche e lê o resultado; cada escore tem testes de mesa contra a publicação de referência, e cada resultado gravado guarda a versão do cálculo usada.

6. O QUE A IA DO OASIS MED NÃO FAZ

6.1. Não comunica diagnóstico, prognóstico ou conduta a pacientes.

6.2. Não emite, assina ou transmite documentos sem ação do médico.

6.3. Não decide sobre tratamento, triagem clínica ou priorização de pacientes de forma autônoma.

6.4. Não sugere exames, medicamentos ou condutas por iniciativa própria nas minutas de documentos.

6.5. Não substitui o julgamento do profissional e não deve ser usada como única fonte para decisão clínica.

7. GOVERNANÇA E MELHORIA CONTÍNUA

7.1. Instruções de sistema (prompts) são versionadas, com trilha de alteração e possibilidade de reversão ao padrão publicado.

7.2. Monitoramos indicadores de qualidade em produção (taxas de fallback, citações não verificadas, avaliações dos médicos) com alertas operacionais.

7.3. Mantemos suítes de avaliação automatizadas (centenas de casos clínicos de teste) para medir regressões de qualidade antes de mudanças, incluindo testes que reprovam saídas com forma de hipótese diagnóstica ou de conduta não ditada pelo médico.

7.4. Este documento é revisado a cada mudança material nas funcionalidades de IA; a versão vigente e a data constam no topo.

8. INDICADORES E RELATÓRIOS

8.1. O que a norma pede. A Res. CFM 2.454/2026 exige que os sistemas de IA em uso na medicina tenham indicadores de acurácia, eficácia e segurança apresentados em linguagem simples (art. 1º, §2º e §3º) e que o médico ou a instituição que os contrata mantenha governança sobre eles, com relatórios de desempenho, limitações e vieses, monitoramento das saídas e acesso a esses relatórios, quando solicitado, dos Conselhos de Medicina, do Ministério Público e dos demais órgãos de fiscalização e entidades de defesa dos direitos dos pacientes (art. 14 e Anexo III, inclusive o item VIII). A obrigação é do médico; o insumo é nosso. Esta seção diz qual insumo entregamos.

8.2. Quais indicadores publicaremos. Para cada funcionalidade da Seção 5, publicaremos nesta página, em linguagem simples e com a metodologia de medição ao lado:

  • Transcrição: taxa de erro de transcrição, medida em suíte própria de áudios de consulta (gravados pela equipe interna, com vocabulário clínico em português brasileiro), com o número de casos e a data da medição;
  • Geração de documentos e Chat Médico: resultado da bateria de guardrails (casos de teste que verificam se a minuta omite, inventa ou extrapola conteúdo e se a resposta respeita os limites da Seção 6), com a proporção de casos aprovados por cenário;
  • Fronteira de dados: recall da substituição de identificadores (proporção dos identificadores presentes em texto de teste que a substituição de fato reconheceu), medido em corpus interno;
  • Operação: os indicadores de qualidade em produção já monitorados (item 7.2), em forma agregada.

8.3. Quando. Parte desses indicadores já é medida internamente e orienta as mudanças do produto (item 7.3): a bateria de guardrails da geração de documentos e do Chat Médico e, na fronteira de dados, a recuperação de trechos com o texto substituído e a contagem de identificadores residuais. A taxa de erro de transcrição em áudios de consulta e o recall da substituição de identificadores descritos no item 8.2 ainda não são medidos; a única medição interna de transcrição até aqui usa voz sintética. A primeira publicação está prevista para acompanhar a entrada do primeiro cliente externo na Plataforma, e será atualizada a cada revisão material das funcionalidades de IA. Até lá, esta página não exibe números, para não apresentar como indicador público uma medição ainda interna; o médico que precisar dos valores para o seu dossiê de avaliação (arts. 12 e 13 e Anexo II da Res. 2.454/2026) pode solicitá-los pelo canal da Seção 10.

8.4. Relatórios ao médico e à instituição. Mediante solicitação pelo canal da Seção 10, fornecemos ao Cliente os indicadores já medidos internamente para cada funcionalidade (item 8.3), as limitações conhecidas descritas na Seção 5 e a trilha de rastreabilidade por mensagem e por documento (item 2.2). Os relatórios periódicos de desempenho e de vieses previstos no Anexo III da Res. 2.454/2026 serão publicados com os indicadores (item 8.3). O Cliente pode repassar o que receber aos órgãos indicados no item 8.1, quando solicitado.

9. CANAL DE RELATO DE FALHA DE IA

9.1. Qualquer médico, paciente ou terceiro pode relatar uma falha, erro ou comportamento inesperado das funcionalidades de IA (art. 7º, §2º, da Res. CFM 2.454/2026) pelo e-mail hello@oasismed.com.br, com o assunto "Falha de IA". Pedimos que o relato descreva a funcionalidade, o que era esperado e o que ocorreu, sem incluir dados identificáveis de paciente no corpo do e-mail.

9.2. Respondemos em até 5 (cinco) dias com a confirmação do recebimento, a análise inicial e, quando cabível, a medida adotada. Falhas confirmadas alimentam as suítes de avaliação (item 7.3) e, quando materiais, esta página.

10. CONTATO

Dúvidas sobre este documento ou sobre o funcionamento das funcionalidades de IA: hello@oasismed.com.br. Assuntos de privacidade e proteção de dados: ver a Política de Privacidade (Encarregado/DPO lá indicado).