LGPD e IA no atendimento da clínica: cuidados com dado de paciente

O dado que o paciente manda pelo WhatsApp é dado sensível?

A Lei Geral de Proteção de Dados (Lei 13.709/2018) define como dado pessoal sensível o dado referente à saúde (art. 5º, II). Nome e telefone, sozinhos, são dados pessoais comuns. Mas a conversa de uma clínica quase sempre revela saúde: a especialidade procurada, um sintoma, um exame. A lei aplica as regras dos dados sensíveis a qualquer tratamento que revele dado sensível e possa causar dano ao titular (art. 11, §1º).

Qual base legal vale para o atendimento?

Para dado sensível, a LGPD admite o consentimento específico e destacado, para finalidades específicas (art. 11, I), e algumas hipóteses sem consentimento, entre elas a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde ou serviços de saúde (art. 11, II, f).

Essa hipótese cobre o cuidado com o paciente. Ela não cobre automaticamente uma mensagem promocional, que é outra finalidade. Quem define a base legal de cada finalidade é o consultório, com apoio jurídico, e a regra prática é não misturar: o que serve ao atendimento não vira lista de divulgação.

O que a IA pode coletar do paciente?

O mínimo necessário para a finalidade. A LGPD exige finalidade específica (art. 6º, I) e limita o tratamento ao mínimo necessário (art. 6º, III). Para marcar consulta, bastam nome, contato, tipo de consulta e se é particular ou convênio.

Relato clínico, foto de lesão, exame e laudo não precisam passar pelo agente. Escreva no roteiro o que ele diz quando o paciente envia esse material: que o assunto será tratado na consulta e que a equipe retornará. Isso protege o paciente e reduz o que o consultório precisa guardar.

Onde os dados ficam e quem acessa?

A LGPD pede medidas de segurança técnicas e administrativas contra acessos não autorizados e perda (art. 6º, VII, e art. 46). A Resolução CFM nº 2.454/2026 veda ao médico usar sistemas de IA que não garantam padrões mínimos de segurança compatíveis com dados pessoais sensíveis (art. 6º, §3º).

Na prática, peça ao fornecedor por escrito: onde as conversas são processadas e guardadas, quem da equipe dele tem acesso, por quanto tempo ficam armazenadas, se as conversas são usadas para treinar modelos e como o consultório recupera ou apaga os dados no fim do contrato. Se o processamento ocorrer fora do país, a transferência internacional só é permitida nas hipóteses do art. 33 da LGPD.

Dentro da clínica, use acesso por pessoa, senha própria e cancelamento do acesso de quem sai.

O paciente precisa saber que está falando com uma IA?

Sim. A Resolução CFM 2.454/2026 diz que qualquer utilização de IA deve ser comunicada e explicada ao paciente (art. 11) e que ele tem direito de ser informado quando a IA for apoio relevante no seu cuidado (art. 5º, §1º). A LGPD pede transparência com informações claras sobre o tratamento (art. 6º, VI).

A LGPD também garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses (art. 20). Por isso, o paciente deve poder falar com uma pessoa a qualquer momento. Coloque o aviso na primeira mensagem e a política de privacidade com contato no site.

O que fazer se houver um vazamento?

A lei manda o controlador comunicar à autoridade nacional e ao titular o incidente de segurança que possa acarretar risco ou dano relevante (art. 48). Por isso, tenha um plano simples: quem decide, quem fala com o fornecedor, quem avisa o paciente.

Mantenha também o registro das operações de tratamento (art. 37) e defina quem responde pelo canal de comunicação com o titular, o encarregado (art. 41). Como essas obrigações se aplicam ao porte da sua clínica é pergunta para o seu advogado.

Qual é o checklist mínimo antes de ligar a IA?

1. Base legal definida para cada finalidade. 2. Lista do que o agente coleta e do que ele nunca pede. 3. Aviso de assistente virtual na primeira mensagem. 4. Contrato com o fornecedor que diga onde ficam os dados e se há treinamento de modelo. 5. Acesso por pessoa, com senha própria. 6. Plano de resposta a incidente. 7. Caminho para falar com uma pessoa.

Os detalhes do que o agente faz estão em agente de IA para clínica. A SVI monta o agente de IA no WhatsApp para clínicas com esses itens no escopo, e o tráfego pago para médicos e clínicas não coleta dado clínico do paciente.