Sous le capot.

01 — Le socle

Une donnée capturée une fois, au moment de l'acte.

Health4LL n'est pas un rapporteur branché sur des systèmes existants : c'est le système d'exécution. Les dossiers cliniques et les relations du parcours patient vivent dans une base graphe (Neo4j) — admissions, consultations, ordonnances, hospitalisations, examens sont des arêtes, pas des jointures. L'authentification, le stockage de fichiers chiffrés, la facturation, les résultats de laboratoire et l'ensemble du module logistique (catalogue, emplacements, lots, arrivages, transferts, ventes, mouvements de stock) vivent dans PostgreSQL.

La conséquence importante n'est pas le choix des moteurs : c'est la provenance. Les chiffres arrivent déjà rapprochés parce qu'ils ont été produits par des transactions que l'hôpital ne peut pas se permettre de rater — une vente de pharmacie, une déduction de lot, un encaissement — et non ressaisis après coup pour alimenter un rapport.

02 — Le parcours

Du patient à la ligne de facture.

1. 01

   Admission & laboratoire

   Création du dossier, prescription d'examens sur le catalogue de l'hôpital, recherche insensible aux accents (unaccent), file d'attente mise à jour en direct.

2. 02

   Opérations laboratoire

   Les réactifs sont déduits du stock à la validation, par lot, selon les protocoles configurés. Réconciliation physique et traçabilité conservées.

3. 03

   Pharmacie

   Dispensation reliée au lot exact. Le stock se décrémente par une procédure serveur transactionnelle, pas par une écriture cliente.

4. 04

   Facturation & caisse

   Chaque acte génère sa ligne. Encaissement, remises, prises en charge, créances et rétrocessions sont des écritures, pas des champs libres.

5. 05

   Analyse

   L'ensemble converge vers des agrégats déterministes — le rapport quotidien les envoie sans aucune génération de texte, Medici les lit pour répondre.

03 — Fiabilité

Idempotence, hors-ligne, permissions.

Opérations idempotentes

Les ventes et les factures portent une clé d'idempotence : un double-clic ou un retry réseau ne créent pas une seconde écriture. Elles ne passent pas par la file hors-ligne.

File hors-ligne

Les requêtes éligibles — la note de suivi et les constantes d'un patient hospitalisé — sont mises en file dans le navigateur et rejouées au retour du réseau. L'argent et le stock restent volontairement en ligne uniquement : une écriture financière rejouée à l'aveugle est pire qu'une écriture refusée.

RBAC serveur

Chaque route protégée vérifie l'identité, puis la permission, côté serveur. Les permissions sont portées par des rôles, pas par des personnes. L'interface masque, le serveur refuse.

Plans d'abonnement

Le plan de l'établissement s'applique après le contrôle des rôles et ne peut que restreindre.

Journal d'audit

Les actes destructeurs enregistrent un instantané établi côté serveur de ce qui a été détruit, et non ce que la requête affirme. Les lignes d'audit sont protégées contre la suppression.

04 — Medici

Un analyste agentique, en lecture seule par construction.

Medici n'est pas un chatbot qui devine. Le serveur expose au modèle plus de vingt outils en lecture seule ; le modèle choisit lesquels appeler, lit les agrégats renvoyés sur les seules données de l'établissement, raisonne dessus, puis écrit sa réponse au fil de l'eau. Une même question peut enchaîner plusieurs appels — le modèle décide lui-même quand il a réuni assez de preuves. Chaque appel d'outil est journalisé côté serveur.

L'identifiant de l'établissement est scellé côté serveur depuis le jeton de connexion : le modèle ne le voit jamais, ne peut rien écrire, et ne peut atteindre aucun autre établissement. Le cloisonnement ne repose pas sur la bonne conduite du modèle : il est imposé par le serveur. Les outils n'exposent aucun dossier clinique : uniquement des agrégats financiers.

Medici distingue les flux d'une période des soldes à un instant T, et veille à ne pas compter deux fois le même argent. Si une donnée n'est pas couverte par un outil, il le dit plutôt que d'inventer.

Ce que les outils savent lire

Vue d'ensemble financière

Chiffre d'affaires, encaissements, sorties et net ; créances et dettes ; valeur du stock.

Trésorerie & prévision

Entrées et sorties par mode de paiement, solde net, rapprochement de caisse.

Facturation & attribution

Chiffre d'affaires, encaissé et restant dû, par service.

Balance âgée

Créances et dettes ventilées par ancienneté.

Détail des dépenses

Sorties par catégorie et par mode de paiement, avec leur motif.

Stock & marge

Inventaire valorisé, lots qui périment, marge par lot.

Points d'attention proactifs

Le serveur calcule d'abord un dossier de preuves déterministe, puis un appel structuré au modèle le classe par gravité. Chaque constat porte un titre, le chiffre, la preuve et une action.

05 — La suite

Le moteur est général.

Le motif est réutilisable : des outils serveur en lecture seule, chacun cloisonné sur l'identifiant de l'établissement. Ajouter un domaine, c'est ajouter un outil — pas reconstruire la confiance.