Pode usar IA no WhatsApp da clínica dentro da LGPD, mas dado de saúde é dado sensível (art. 11) e pede mais cuidado. A clínica continua responsável como controladora; o fornecedor da IA atua como operador e precisa provar como protege, separa e apaga os dados. Valide o contrato com o seu jurídico.
A pergunta aparece em quase toda reunião com dono de clínica: dá para colocar IA no WhatsApp da clínica e continuar em dia com a LGPD? Dá. Mas é preciso entender por que a conversa com um paciente não é igual à conversa de uma loja, quem responde pelo quê e o que cobrar do fornecedor antes de assinar.
Este guia é informativo. Ele organiza o que a lei diz e o que vale perguntar, mas não substitui a análise do seu jurídico ou do encarregado de dados da clínica.
Por que dado de saúde é diferente
A Lei Geral de Proteção de Dados (Lei 13.709/2018) separa os dados pessoais comuns (nome, telefone, e-mail) dos dados pessoais sensíveis. Dado referente à saúde está nessa segunda lista, ao lado de dados genéticos, biométricos e de origem racial, por exemplo.
O artigo 11 da lei trata exatamente do tratamento de dados sensíveis e é mais restrito que a regra geral. Na prática, para a clínica isso significa:
- Toda informação de saúde que o paciente manda no WhatsApp é sensível. Uma foto do dente, um “estou com dor desde ontem”, o nome de um remédio.
- É preciso ter uma base legal específica para tratar esses dados. A lei prevê o consentimento específico e destacado e algumas hipóteses sem consentimento, como a tutela da saúde em procedimento feito por profissionais de saúde. Qual se aplica a cada uso é uma decisão jurídica.
- O cuidado com segurança precisa ser proporcional. Dado sensível vazado gera dano maior, e a cobrança também é maior.
Uma conversa de agendamento costuma começar com dado comum e, em duas mensagens, já tem dado de saúde. Por isso o atendimento por IA precisa ser pensado desde o início como tratamento de dado sensível.
Controlador e operador: quem é quem
A LGPD define dois papéis que ajudam a organizar as responsabilidades:
- Controlador é quem decide por que e como os dados são tratados. No atendimento da clínica, a clínica é a controladora. É ela quem define que o WhatsApp serve para agendar, lembrar consultas, cobrar parcelas ou mandar campanhas.
- Operador é quem trata os dados em nome do controlador, seguindo as instruções dele. O fornecedor da IA é, em regra, operador. Ele executa o que a clínica configurou.
Contratar uma IA não transfere a responsabilidade da clínica. O que muda é que agora existe um terceiro com acesso aos dados, e esse terceiro precisa estar amarrado por contrato, com regras claras de segurança, sigilo e eliminação.
A lei também pede que o controlador indique um encarregado (o DPO), a pessoa de contato com os titulares e com a autoridade. A Autoridade Nacional de Proteção de Dados (ANPD) publica orientações e regras sobre esse e outros temas, inclusive para agentes de pequeno porte.
O que a IA deve e não deve fazer com o dado
Além da lei, há o bom senso clínico. Uma assistente de atendimento bem configurada:
- Usa o dado só para a finalidade combinada. Se o paciente contou que está com dor para pedir um encaixe, essa informação serve para priorizar o atendimento e avisar a equipe, não para virar público de anúncio.
- Não dá diagnóstico nem indica medicamento. Isso é papel do profissional, não do atendimento.
- Passa para a equipe quando o assunto é sensível, como dor forte, urgência ou dúvida clínica, e fica em silêncio enquanto a equipe atende.
- Para de mandar mensagens para quem pede. Sem insistência.
Essas regras estão descritas na seção de segurança e privacidade da Recepção IA, que também explica por que cada clínica tem servidor próprio, sem misturar dados de pacientes entre clientes.
Checklist: o que exigir do fornecedor de IA
Antes de contratar, peça respostas por escrito. Se o fornecedor não souber responder, isso já é uma resposta.
- Onde os dados ficam guardados? Em servidor exclusivo da clínica ou compartilhado com outras empresas? Em qual país?
- Quem tem acesso às conversas? Quais pessoas da equipe do fornecedor, em que situações e com registro desse acesso?
- Os dados são usados para treinar modelos de terceiros? A resposta esperada, para dado de saúde, é um “não” claro e por contrato.
- Existe backup? Ele é testado? Backup que nunca foi restaurado é só esperança.
- Como é feito o apagamento quando o paciente pede ou quando o contrato termina?
- Existe registro do que a IA fez? Um histórico de ações, de preferência com possibilidade de desfazer, ajuda a clínica a responder questionamentos.
- Como funciona o pedido de saída? Quem pede para parar sai de todas as listas automaticamente?
- Formulários coletam consentimento? Se a clínica capta pacientes por anúncio, o formulário deve registrar o aceite e para qual finalidade.
- O que acontece em caso de incidente? Em quanto tempo o fornecedor avisa a clínica e como ajuda na comunicação exigida pela lei?
- O contrato tem cláusula de proteção de dados que define os papéis de controlador e operador e as obrigações de cada um?
Leve esse checklist para a reunião e depois peça ao seu jurídico para revisar o contrato com base nas respostas.
Cuidados no dia a dia da clínica
A LGPD não é só tecnologia. Alguns hábitos simples reduzem risco:
- Perfis de acesso separados. Recepção não precisa ver tudo o que o administrador vê. Um painel com perfis de admin e recepção ajuda nisso.
- Celular pessoal não é ferramenta de atendimento. Conversa com paciente no aparelho de um funcionário sai do controle da clínica quando ele sai da empresa.
- Campanhas com cuidado redobrado. Antes de usar a base para uma ação de campanhas e reativação, confirme a base legal e garanta o botão de saída. O guia sobre como reativar pacientes parados mostra como fazer isso com respeito.
- Cobrança discreta. Lembrete de parcela nunca deve expor o paciente a terceiros. Há modelos no guia de lembrete de parcela atrasada.
- Política de privacidade publicada e coerente com o que a clínica realmente faz. A da Recepção IA está em privacidade.
Também vale olhar as regras do WhatsApp
Além da lei, o canal tem regras próprias. A política do WhatsApp Business pede que a empresa tenha permissão para enviar mensagens e respeite pedidos de bloqueio ou saída. Ignorar isso pode levar à restrição do número, o que para uma clínica é parar a recepção.
Em resumo
- Dado de saúde é sensível pela LGPD e pede base legal específica e segurança à altura.
- A clínica é controladora e continua responsável; o fornecedor da IA é operador e precisa estar amarrado por contrato.
- Peça respostas por escrito sobre armazenamento, acesso, treino de modelos, backup, apagamento e incidentes.
- A IA não diagnostica, passa assuntos sensíveis para a equipe e respeita quem pede para parar.
- Valide tudo com o seu jurídico antes de colocar no ar.
Se quiser ver como isso fica na prática em cada especialidade, veja as páginas para clínicas odontológicas, clínicas médicas e clínicas de estética.
Perguntas frequentes
A LGPD proíbe usar inteligência artificial no atendimento da clínica?
Não. A lei não proíbe a tecnologia; ela exige que o tratamento de dados tenha uma base legal, finalidade clara, segurança e respeito aos direitos do paciente. O cuidado é maior porque dado de saúde é sensível.
Quem responde se houver vazamento: a clínica ou o fornecedor da IA?
Em regra, os dois podem ser cobrados, cada um no seu papel. A clínica, como controladora, decide o que fazer com os dados; o fornecedor, como operador, precisa seguir as instruções e as medidas de segurança combinadas. O contrato deve deixar isso escrito. Confirme os detalhes com o seu jurídico.
Preciso pedir consentimento do paciente para a IA responder no WhatsApp?
Depende da finalidade e da base legal escolhida pela clínica. Agendar uma consulta pedida pelo próprio paciente é diferente de mandar campanha de marketing. Essa definição é jurídica e deve ser validada com o advogado ou o encarregado de dados da clínica.
O paciente pode pedir para apagar a conversa com a IA?
A LGPD garante ao titular direitos como acesso, correção e eliminação de dados, com algumas exceções previstas na lei, como a guarda obrigatória de prontuário. O fornecedor precisa ter um caminho para atender esses pedidos quando a clínica solicitar.
O que fazer quando o paciente pede para não receber mais mensagens?
Parar de enviar, sempre. Além de ser uma obrigação de respeito ao paciente, as regras do próprio WhatsApp exigem que a empresa atenda pedidos de saída. O sistema deve registrar o pedido para que nenhuma campanha futura chegue a essa pessoa.
A Recepção IA atende o WhatsApp, agenda, lembra a consulta e chama a equipe quando o assunto é de gente.
Falar no WhatsApp