Dr. Musheer Ahmed, PhD, Fundador e CEO da Codoxo – Série de Entrevistas

Dr. Musheer Ahmed, PhD, Fundador e CEO da Codoxo, é um tecnólogo e empreendedor focado em aplicar inteligência artificial para resolver ineficiências sistêmicas na saúde. Ele fundou a Codoxo com base em pesquisas desenvolvidas durante seu PhD no Georgia Institute of Technology, onde construiu as bases de uma abordagem de IA patenteada para detectar fraude, desperdício e abuso em reclamações médicas. Sob sua liderança, a empresa cresceu e se tornou uma provedora de soluções de integridade de pagamento impulsionadas por IA, ajudando organizações de saúde a identificar riscos mais cedo e mudar de auditorias reativas para contenção de custos proativa. Sua experiência anterior em inteligência de segurança na VeriSign (VRSN ), onde trabalhou na identificação de ameaças cibernéticas emergentes e vulnerabilidades, moldou seu foco em usar análise avançada e aprendizado de máquina para descobrir padrões ocultos em ambientes de dados complexos.

Codoxo é uma empresa de saúde de IA focada em reduzir ineficiências e custos desnecessários em todo o sistema de saúde por meio de sua Plataforma de IA Forense. A plataforma usa algoritmos patenteados e aprendizado de máquina para analisar vastos volumes de dados de reclamações, identificando comportamentos suspeitos, anomalias de faturamento e padrões de fraude emergentes mais cedo do que os sistemas tradicionais. Ao permitir que pagadores de saúde, agências governamentais e gestores de benefícios farmacêuticos intervenham antes ou durante o processo de reclamação, a Codoxo muda a indústria em direção à integridade de pagamento proativa, em vez de recuperação retrospectiva. Sua plataforma de contenção de custos unificada mais ampla integra mineração de dados, educação de provedores, fluxos de trabalho de auditoria e gerenciamento de casos, ajudando organizações a melhorar a precisão, reduzir pagamentos excessivos e otimizar operações, enquanto aborda uma estimativa de centenas de bilhões de dólares perdidos anualmente devido a fraude, desperdício e abuso.

Você fundou a Codoxo após pesquisar detecção de fraude de saúde durante seu PhD no Georgia Tech. O que o convenceu de que a IA poderia mudar fundamentalmente a forma como a fraude, o desperdício e o abuso são detectados nos sistemas de saúde?

Eu me convenci não por um momento específico, mas ao confrontar como a abordagem existente estava falhando. A fraude de saúde nos EUA representa cerca de US$ 330 bilhões perdidos anualmente. Isso é mais do que qualquer outra forma de fraude de seguro no país combinada, e ainda assim os métodos de detecção dominantes só podiam capturar o que haviam sido treinados para procurar. Mesmo quando a IA entrou em cena, a maioria das abordagens era reativa, correspondendo a esquemas de fraude conhecidos em vez de surfar os desconhecidos. O momento que cristalizou isso para mim foi quando percebi que a fraude não é um problema estático. Atores ruins se adaptam. Eles aprendem o que dispara uma bandeira e roteiam ao redor. Um sistema construído em regras fixas está, por definição, sempre atrasado.

O que a IA oferece é a capacidade de surfar padrões que ninguém pensou em programar antecipadamente. Durante meu trabalho de dissertação no Georgia Tech, eu estava construindo modelos que podiam olhar para a história completa de reclamações de um provedor, identificar anomalias comportamentais e conectar sinais que um analista humano ou um mecanismo de regras nunca linkaria. O grupo consultivo JASON, que aconselha o governo dos EUA sobre ciência e tecnologia, reconheceu esse trabalho como abordando lacunas reais na forma como os dados de saúde estavam sendo usados para integridade de pagamento. Esse reconhecimento me disse que o problema era sério o suficiente para construir uma empresa em torno.

A convicção central que me impulsionou então é a mesma que impulsiona o que estamos construindo na Codoxo agora: os dados de reclamações de saúde contêm o sinal que você precisa para capturar a fraude, mas você só pode extraí-lo com uma IA que possa olhar para a imagem completa, rapidamente e com precisão, em vez de verificar caixas.

A fraude de saúde tem sido um problema de bilhões de dólares por muito tempo, mas a IA gerativa parece estar acelerando-a dramaticamente. Como a ascensão de ferramentas capazes de produzir documentação clínica convincente e imagens diagnósticas mudou o cenário de ameaças para seguradoras de saúde e equipes de integridade de pagamento?

Isso mudou de forma fundamental, e a indústria ainda não absorveu completamente o quão significativa é essa mudança. O modelo antigo de fraude de documentação exigia esforço manual. Um ator ruim cometendo fraude tinha que fabricar notas uma a uma, alterar imagens individualmente e criar registros que fossem plausíveis o suficiente para sobreviver a uma revisão. Essa fricção criou um teto natural para a escala de qualquer esquema.

A IA gerativa removeu esse teto. Hoje, qualquer pessoa pode pedir a um modelo de linguagem grande para produzir 50 notas de sessão de terapia para tratamento de ansiedade e recebê-las em menos de cinco minutos. Essas notas usarão terminologia clínica apropriada, seguirão uma estrutura narrativa plausível e parecerão consistentes internamente. A maioria dos sistemas de detecção de fraude nunca foi projetada para avaliar se um documento é autêntico ou sintético. Eles foram projetados para verificar se os códigos de faturamento foram aplicados corretamente, sinalizar padrões conhecidos e corresponder a assinaturas de fraude existentes. Então, a documentação sintética passa direto, mesmo por alguns sistemas que alegam ter um componente de IA.

Também vimos isso com imagens diagnósticas. Um único raio-X legítimo pode ser usado como semente para dezenas de variações geradas por IA, cada uma submetida sob um paciente fabricado diferente. Um sistema sem capacidade de comparação de imagens vê 50 casos únicos, mas a realidade é um exame real e 49 duplicatas sintéticas. O cenário de ameaças mudou de atores ruins isolados para pessoas que podem executar esquemas escaláveis e repetíveis com quase nenhuma expertise técnica necessária.

Muitos sistemas tradicionais de detecção de fraude dependem de modelos baseados em regras e revisão manual. Por que essas abordagens estão se tornando cada vez mais ineficazes ao lidar com registros médicos gerados por IA ou imagens diagnósticas manipuladas?

A maioria das abordagens de detecção de fraude, seja baseada em regras ou em IA de gerações anteriores, opera com uma suposição fundamentalmente falha no momento: que toda documentação que entra no sistema foi criada por um humano seguindo processos clínicos normais. Uma vez que essa suposição se quebra, a abordagem de detecção toda se quebra com ela.

Um mecanismo de regras pode sinalizar uma combinação de códigos impossível, um provedor faturando mais horas do que existem em um dia ou um procedimento realizado em um paciente falecido. Essas são todas capturas reais e úteis. No entanto, a lógica baseada em regras não pode olhar para uma nota de progresso e determinar se foi escrita por um clínico que realmente viu um paciente ou gerada por um modelo de IA que nunca praticou medicina. As duas saídas podem ser estruturalmente idênticas.

A revisão manual tem o mesmo teto. Estudos mostram que apenas cerca de 34% das pessoas podem identificar um deepfake, mesmo quando foram informadas de que um está presente e estão ativamente procurando por ele. Um investigador da SIU revisando um monte de notas de progresso não tem treinamento forense especializado para detectar texto sintético, não tem ferramentas de comparação de imagens para detectar varreduras clonadas e não tem horas suficientes no dia para realizar esse nível de escrutínio em cada reclamação. O problema de volume sozinho torna a revisão manual abrangente impossível, e isso já era verdade antes da IA gerativa começar a acelerar o volume e a sofisticação da documentação fraudulenta.

Há também uma ameaça emergente que acho subestimada: o que os pesquisadores chamam de motores de deepfake trojanos. Esses são agentes semelhantes a vírus projetados especificamente para neutralizar software de detecção, trabalhando por meio de táticas como derailment de análise de imagem ou reengenharia de prompt maliciosa. Então, a dinâmica adversária não é apenas fraudadores gerando fakes melhores. Em alguns casos, eles estão ativamente tentando quebrar as ferramentas que estão sendo construídas para capturá-los. Essa dinâmica de corrida armamentista é parte do porquê as abordagens de detecção estáticas, seja baseada em regras ou um modelo de IA que não foi projetado para atualizar, sempre ficarão atrás. A defesa precisa ser tão adaptável quanto o ataque.

A Codoxo lançou recentemente a Detecção de Deepfake para abordar esse risco emergente. Em alto nível, como a tecnologia analisa a documentação médica e imagens para determinar se o conteúdo pode ter sido gerado ou manipulado por IA?

O princípio de design central é que construímos a Detecção de Deepfake especificamente para documentação de saúde, e não adaptamos uma ferramenta de detecção de IA geral para um contexto clínico. Isso significa que os modelos são treinados em sinais específicos de saúde, e não adaptados de ferramentas construídas para outras indústrias ou casos de uso. Essa distinção é importante porque os sinais que indicam conteúdo sintético em um registro médico ou imagem diagnóstica são diferentes dos sinais relevantes em outros domínios.

Em alto nível, o sistema analisa a documentação médica e imagens ao lado do contexto completo da reclamação, e o faz em segundos. Quando um investigador da SIU carrega documentação suspeita, a IA executa a análise em várias dimensões simultaneamente. Ela procura indicadores de conteúdo sintético ou manipulado, verifica padrões de clonagem e duplicação na história de reclamações mais ampla do pagador e avalia a consistência comportamental entre a documentação e os padrões históricos do provedor.

Uma coisa digna de nota é a amplitude de formatos que o sistema pode trabalhar. Ele lida com documentos de texto em PDF, Word e XML, planilhas, imagens médicas e até mesmo notas manuscritas. Isso importa na prática porque a documentação fraudulenta não chega em um único formato organizado, e um sistema de detecção que cobre apenas parte do que as equipes da SIU recebem deixa lacunas que fraudadores sofisticados eventualmente encontrarão.

A partir de toda essa análise, o sistema gera uma pontuação de risco em uma escala de 0 a 100 com explicações detalhadas anexadas, para que o investigador entenda exatamente quais sinais impulsionaram a pontuação. O objetivo em cada etapa é produzir saídas ações em vez de apenas alertas, e fazer isso mais rápido e com maior precisão do que um sistema mais generalizado. A velocidade importa porque o único ponto de intervenção que muda significativamente a economia da fraude é antes que o pagamento seja feito.

Sua plataforma destaca capacidades como detecção de clonagem, identificação de geração parcial de IA e referenciamento comportamental contra a história de reclamações. Poderia nos levar por como esses sinais se combinam para produzir uma pontuação de risco significativa para os investigadores?

Cada uma dessas capacidades visa um padrão de fraude diferente, e a pontuação de risco reflete como elas interagem em um caso específico.

A detecção de clonagem e duplicação aborda o cenário em que um registro autêntico é replicado em vários pacientes fabricados. O que torna isso difícil de capturar sem IA é que as variações podem ser sutis o suficiente para que nenhum documento pareça suspeito em isolamento. O padrão só se torna visível quando você está comparando a população completa de reclamações. Nosso sistema pode surfar que um conjunto de registros que parecem únicos na superfície são na verdade derivados de uma fonte comum.

A detecção de geração parcial de IA é importante porque fraudadores sofisticados nem sempre fabricam registros inteiros do zero. Um padrão mais comum e difícil de capturar é a mistura, que significa pegar um registro de paciente legítimo e usar IA para adicionar serviços ou procedimentos adicionais fabricados. As seções autênticas fazem o documento parecer credível, mas as seções adicionadas representam reclamações por cuidados que nunca foram prestados. Nosso sistema é especificamente ajustado para encontrar essas instâncias.

O referenciamento comportamental conecta a documentação sendo revisada à história completa de reclamações do provedor. Se a documentação apresenta narrativas clínicas que são inconsistentes com como o provedor historicamente documentou casos semelhantes, ou se o volume e o padrão de registros de apoio mudam repentinamente em relação à linha de base, essas inconsistências são sinais. Por si só, nenhuma delas é conclusiva. Juntas, ponderadas e explicadas na saída da pontuação de risco, elas dão aos investigadores um ponto de partida significativo que levaria horas ou dias para desenvolver manualmente. O que torna isso diferente de um sistema que simplesmente sinaliza conteúdo gerado por IA é a combinação de sinais. A análise de conteúdo sozinha pode perder documentos mistos. A análise comportamental sozinha pode perder um fraudador de primeira viagem sem padrão anterior. É a interseção de todas as três camadas simultaneamente, processadas em segundos, que captura o que outros sistemas de IA não podem.

Do seu ponto de vista, quais são alguns dos esquemas de fraude de saúde mais preocupantes habilitados por deepfake que seguradoras e reguladores devem estar observando nos próximos anos?

Os cenários que mais me preocupam são aqueles que combinam escala com plausibilidade de maneiras difíceis de rastrear, mesmo com detecção forte.

A saúde comportamental é uma vulnerabilidade real. A documentação para serviços de terapia é largamente narrativa, incluindo notas de sessão, planos de tratamento e resumos de progresso. Não há valores de laboratório para cross-referenciar, não há imagens para examinar. Um provedor fraudulento com acesso a um modelo de linguagem generalista pode gerar documentação de saúde comportamental clinicamente plausível em volume extraordinário, e a única maneira prática de detectá-lo é usar IA que possa avaliar se a documentação mostra as assinaturas linguísticas e estruturais de geração sintética.

A fraude de imagem diagnóstica é a outra área que sigo de perto. Ferramentas de IA gratuitas e acessíveis agora podem gerar variações de imagens médicas realistas a partir de uma única imagem de semente. À medida que essas ferramentas melhoram, as saídas sintéticas se tornarão mais difíceis de distinguir de varreduras autênticas sem detecção de propósito. Pagadores cujos fluxos de trabalho não têm capacidade de forense de imagem estão, a este ponto, operando com base na confiança de que as imagens que recebem são reais.

Há também uma preocupação emergente em torno de fraude de identidade e credenciamento, onde documentação gerada por IA suporta inscrição de provedor fraudulenta ou autorização prévia para serviços que nunca foram medicamente necessários. Esses esquemas são mais difíceis de detectar porque a fraude está embutida no processo de intake, e não nas próprias reclamações, e quando isso surge nos dados de faturamento, o dano já foi feito.

Reclamações de saúde frequentemente envolvem grandes volumes de documentação e evidências de apoio. Como um sistema de IA avalia essa informação rapidamente o suficiente para parar reclamações fraudulentas antes que o pagamento seja feito?

A velocidade é na verdade um requisito de design central, não um recurso desejável. A única maneira pela qual a Detecção de Deepfake é útil na prática é se ela opera na velocidade do pipeline de reclamações. Se a análise leva horas ou requer que um humano inicie uma fila de revisão, você já perdeu a janela de pré-pagamento, e está de volta ao trabalho de recuperação após o dinheiro ter deixado o sistema.

Nosso sistema é projetado para concluir a análise em segundos. Quando a documentação é submetida para revisão, a IA está executando sua avaliação em paralelo, em vez de sequencialmente. Análise de conteúdo sintético, verificações de duplicação e referenciamento comportamental estão acontecendo simultaneamente, em vez de em uma cadeia. A saída é uma pontuação de risco com explicações detalhadas, para que o investigador não precise interpretar sinais brutos. Eles recebem um resultado prioritizado e ação. A arquitetura paralela é parte do que nos permite fazer isso mais rápido e com maior precisão. Executar todas as três camadas de sinal simultaneamente significa que a pontuação de risco reflete a imagem completa de um caso, não apenas a primeira bandeira que surgir.

O ponto mais amplo aqui é que a mudança que estamos impulsionando em todo o trabalho da Codoxo, o que chamamos de Ponto Zero, é mover a intervenção de integridade de pagamento o mais para cima possível. Capturar uma reclamação fraudulenta antes do pagamento é dramaticamente mais eficiente do que recuperar um pagamento excessivo após o fato. A recuperação é cara, lenta e frequentemente incompleta. A prevenção na etapa de validação de documentação e evidência muda a economia de todo o problema.

Ferramentas de detecção de fraude devem ser explicáveis para investigadores, auditores e reguladores. Como você garante que as pontuações de risco geradas por IA possam ser entendidas e confiáveis por Unidades Especiais de Investigação e equipes de integridade de pagamento?

A explicabilidade não é opcional nesse domínio. Se um investigador da SIU vai agir com base em uma pontuação de risco, seja segurando uma reclamação, abrindo um caso ou construindo uma referência para processamento, eles precisam ser capazes de articular o que o sistema encontrou e por quê. Uma saída de caixa preta que diz “alto risco” não é uma ferramenta útil em um fluxo de trabalho que tem responsabilidade legal e regulatória anexada a ele.

Cada pontuação de risco que nosso sistema gera inclui indicadores de fraude específicos, que podem incluir os sinais que impulsionaram a pontuação, os padrões identificados e as inconsistências que foram superficiadas. O investigador pode seguir o raciocínio da pontuação até a evidência. Esse nível de especificidade é possível apenas porque a detecção subjacente é projetada especificamente para documentação de saúde.

Também construímos uma capacidade de prompt personalizado, que permite que os investigadores ajustem a análise para cenários de investigação específicos e padrões de fraude únicos. Isso é importante para a explicabilidade na prática, porque significa que o sistema não está executando uma análise de um tamanho que serve a todos e pedindo que os investigadores interpretem saídas genéricas. Eles podem moldar a investigação com base no que estão procurando em um caso específico, o que torna os resultados mais precisamente úteis e mais fáceis de explicar para auditores ou em procedimentos legais.

Do lado regulatório, OIG, CMS e agências estaduais estão aumentando a fiscalização sobre como as organizações usam IA na prevenção de fraude. Ser capaz de demonstrar que a metodologia de detecção é interpretável e auditável não é apenas uma boa prática, é um componente de implantação responsável que reduz o risco de conformidade.

À medida que a IA gerativa continua a melhorar, fraudadores provavelmente se tornarão mais sofisticados. Como a Codoxo projeta seus modelos para adaptar continuamente novas formas de documentação médica sintética?

O desafio é que a fraude é adversária por natureza. À medida que a detecção melhora, as táticas do outro lado evoluem. Qualquer sistema treinado uma vez e implantado sem atualização degrada ao longo do tempo, à medida que os fraudadores aprendem o que dispara e ajustam. Isso é o mesmo problema fundamental que torna qualquer abordagem de detecção estática inadequada, seja baseada em regras ou um modelo de IA que não foi projetado para atualizar. A sofisticação da ferramenta não importa se a arquitetura subjacente não pode acompanhar a ameaça.

Nossa abordagem é tratar a detecção como uma capacidade atualizada continuamente, em vez de um produto fixo. À medida que novos padrões de fraude surgem no sistema e à medida que as técnicas de geração de IA evoluem, esses padrões alimentam a melhoria do modelo. O sistema é projetado para melhorar na identificação da ameaça emergente, não apenas as ameaças que existiam no momento da implantação. Isso é importante, dado o ritmo em que a IA gerativa está avançando e a velocidade com que os fraudadores estão experimentando novas abordagens, incluindo algumas técnicas adversárias como motores de deepfake trojanos projetados para minar a detecção.

Isso será uma competição contínua. Não há um estado final resolvido. O compromisso que fizemos é manter as capacidades de detecção atuais com a ameaça, e nossa arquitetura agente é o que torna isso possível em escala.

Olhando para o futuro, você acredita que a detecção de deepfake se tornará um componente padrão da infraestrutura de saúde, semelhante à forma como os sistemas anti-lavagem de dinheiro operam nos serviços financeiros, ou a indústria precisará de abordagens completamente novas para confiança e verificação de dados médicos?

Acredito que a Detecção de Deepfake se tornará infraestrutura padrão, e o cronograma para isso é mais curto do que a maioria das pessoas na indústria espera. Antes que os quadros AML se tornassem padrão nos serviços financeiros, a indústria também dependia fortemente de detecção baseada em regras e revisão manual. A mudança aconteceu quando a ameaça atingiu uma escala que tornou a detecção reativa claramente inadequada, e quando o ambiente regulatório codificou a expectativa de que as instituições financeiras teriam controles sistemáticos e atualizados em vigor. A saúde está se aproximando de um ponto de inflexão semelhante.

O que já está acontecendo é que os pagadores que estão implantando a detecção de deepfake agora o estão fazendo porque a ameaça é real e presente, não porque a regulamentação exige. À medida que essas implantações iniciais geram evidências de perdas evitadas, e à medida que os esquemas de fraude gerados por IA se tornam mais visíveis em ações de aplicação da lei e relatórios públicos, a expectativa se espalhará por toda a indústria.

Olhando para o futuro, à medida que a IA gerativa continua a melhorar, a indústria pode precisar repensar como a autenticidade da documentação é estabelecida no ponto de criação, em vez de validada após o fato. Isso pode significar atestação criptográfica de registros clínicos no nível do EHR, verificação de identidade de provedor integrada ao fluxo de trabalho de documentação, ou outros mecanismos que tornam a origem de um documento rastreável de maneiras que atualmente não é. A detecção no nível da reclamação é uma resposta necessária à ameaça atual. Mas a solução durável pode exigir a construção de verificação mais profundamente na infraestrutura de como os registros médicos são criados e transmitidos.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Codoxo.