IA de atendimento é segura? LGPD e dados de pacientes

A IA de atendimento pode ser usada com segurança em uma clínica, desde que a clínica cumpra as regras da Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018), escolha um fornecedor que trate os dados com transparência e proteção, e defina limites claros para o que a IA faz. Dados de saúde são considerados sensíveis pela lei, o que exige mais cuidado do que o de um cadastro comum. Este guia explica, em linguagem simples, o que muda quando o atendimento no WhatsApp passa a envolver uma IA, o que exigir do fornecedor e quais boas práticas adotar.

Aviso: este texto tem caráter informativo e não constitui aconselhamento jurídico. Cada clínica tem particularidades, e a adequação à LGPD deve ser avaliada com apoio de profissional especializado, como advogado ou consultor em proteção de dados.

O que a LGPD diz sobre dados de saúde

A LGPD define como dado pessoal sensível, entre outros, o dado referente à saúde, à vida sexual, à origem racial ou étnica e à biometria (art. 5, inciso II). Em uma clínica, isso inclui informações como procedimento de interesse, queixas, histórico clínico, fotos de tratamento e exames. Quando um paciente escreve "estou com dor no dente há três dias" no WhatsApp, ele já está compartilhando um dado de saúde.

A lei também estabelece princípios que valem para todo tratamento de dados (art. 6), entre eles finalidade, adequação, necessidade, transparência, segurança e prevenção. Na prática, a clínica deve coletar apenas o que precisa, para um propósito claro, informar o paciente e proteger o que guarda.

Quem é quem: controlador e operador

Na linguagem da LGPD, o controlador é quem decide como e para que os dados serão tratados, e o operador é quem trata os dados em nome do controlador. Ao contratar uma IA de atendimento, a clínica normalmente atua como controladora e o fornecedor como operador, mas essa classificação depende do caso concreto. A Autoridade Nacional de Proteção de Dados (ANPD) publica um guia orientativo sobre agentes de tratamento e encarregado que ajuda a entender esses papéis.

O operador deve tratar os dados segundo as instruções do controlador (art. 39). Além disso, a lei prevê que controlador e operador podem responder pelos danos causados por violação à legislação de proteção de dados (art. 42). Ou seja, contratar um fornecedor não transfere para ele toda a responsabilidade da clínica.

Base legal: consentimento não é a única porta

Todo tratamento precisa de uma base legal. Para dados pessoais em geral, o art. 7 lista hipóteses como consentimento, execução de contrato, cumprimento de obrigação legal, legítimo interesse e a tutela da saúde. Para dados sensíveis, o art. 11 traz regras próprias: o tratamento pode ocorrer com consentimento específico e destacado do titular para finalidades específicas, ou, sem consentimento, nas hipóteses previstas, entre elas a tutela da saúde, exclusivamente em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

O que isso significa para o atendimento comercial no WhatsApp? Que a escolha da base legal para cada etapa merece análise cuidadosa. Responder a uma pergunta sobre preço de um procedimento é diferente de armazenar um histórico clínico. Por isso a recomendação é que a clínica, com apoio jurídico, mapeie quais dados circulam em cada etapa e qual base legal sustenta cada uma. Quando o consentimento for a base escolhida, ele precisa ser específico e destacado para o caso de dados sensíveis, e não uma aceitação genérica.

Transparência com o paciente

O paciente tem direito de saber que dados são coletados, para quê e com quem são compartilhados. Em um atendimento com IA, uma boa prática é informar logo no início da conversa que o atendimento é feito por uma assistente virtual e indicar onde está a política de privacidade da clínica. Isso reduz mal-entendidos e demonstra seriedade.

Também é importante oferecer um caminho para o paciente falar com uma pessoa e para exercer seus direitos, como solicitar informações sobre os dados que a clínica mantém sobre ele.

O que exigir do fornecedor de IA

Antes de contratar, faça estas perguntas e peça as respostas por escrito, de preferência no contrato.

1. Papéis definidos. O contrato deixa claro quem é controlador e quem é operador?
2. Finalidade restrita. Os dados da clínica são usados apenas para prestar o serviço contratado? Pergunte diretamente se são usados para treinar modelos de IA de terceiros ou para outros fins.
3. Segurança. Quais medidas técnicas e administrativas protegem os dados? A LGPD exige medidas de segurança contra acessos não autorizados e situações acidentais ou ilícitas de perda, alteração ou vazamento (art. 46). Pergunte sobre controle de acesso, criptografia e registro de acessos.
4. Local de armazenamento. Onde os dados ficam guardados e se há transferência para outros países. A LGPD tem regras específicas para transferência internacional.
5. Subcontratados. Quais outros fornecedores (por exemplo, provedores de nuvem ou de modelos de linguagem) têm acesso aos dados?
6. Incidentes. Qual é o procedimento e o prazo para avisar a clínica em caso de incidente de segurança? A lei prevê que o controlador comunique a ANPD e o titular quando houver risco ou dano relevante (art. 48), então a clínica precisa saber rapidamente se algo acontecer.
7. Registro das operações. A lei prevê que controlador e operador mantenham registro das operações de tratamento (art. 37). Pergunte como isso é feito.
8. Retenção e exclusão. Por quanto tempo as conversas são guardadas e como os dados são apagados ou devolvidos ao final do contrato?
9. Direitos do titular. O fornecedor apoia a clínica quando um paciente pede acesso, correção ou exclusão de dados?
10. Encarregado. Existe um contato responsável por proteção de dados no fornecedor?

Boas práticas dentro da clínica

Parte da segurança depende do que a clínica faz, não apenas do fornecedor.

• Colete o mínimo necessário. Pelo princípio da necessidade, a IA de atendimento não precisa pedir histórico clínico detalhado para informar um preço ou marcar uma avaliação. Oriente o paciente a tratar questões clínicas diretamente com o profissional.
• Defina o que a IA não faz. Diagnóstico, prescrição e orientação clínica ficam com o profissional de saúde. Configure a IA para encaminhar esses assuntos para a equipe.
• Cuide do conteúdo da base de conhecimento. Cadastre preços, procedimentos e regras. Evite incluir dados pessoais de pacientes na base usada para respostas gerais.
• Controle quem acessa as conversas. Limite o acesso aos atendimentos a quem precisa, use senhas fortes e remova acessos de ex-funcionários.
• Proteja o aparelho e a conta de WhatsApp. Ative a verificação em duas etapas e evite que o celular da clínica seja usado para fins pessoais.
• Treine a equipe. Secretárias e profissionais precisam saber o que podem pedir por mensagem, o que não devem enviar e como agir diante de um incidente.
• Mantenha documentação. Registre quais dados são tratados, para qual finalidade, com quem são compartilhados e por quanto tempo.
• Tenha um plano para incidentes. Defina quem decide, quem comunica o paciente e a ANPD e como a clínica reage.
• Revise periodicamente. Reavalie os fornecedores e os processos pelo menos uma vez ao ano ou quando algo mudar.

Riscos específicos de IA no atendimento

Além dos riscos comuns de qualquer sistema, a IA traz alguns pontos próprios. O primeiro é a resposta incorreta: uma IA mal alimentada pode informar preço ou regra errada. Por isso a base de conhecimento precisa ser revisada e atualizada. O segundo é o excesso de coleta: se a conversa estimula o paciente a enviar exames ou fotos sem necessidade, o volume de dados sensíveis aumenta sem benefício. O terceiro é o uso dos dados para finalidades que o paciente não esperava, como treinar modelos. Por isso a pergunta sobre finalidade ao fornecedor é tão importante.

Uma IA que responde com base apenas nos dados cadastrados pela clínica, em vez de improvisar, ajuda a reduzir o primeiro risco, mas não elimina a necessidade de revisão humana periódica.

Onde a Twenny entra

A Twenny é uma IA de atendimento comercial no WhatsApp que responde com base nos dados cadastrados pela própria clínica, como preços, procedimentos, regras e tom de voz, mantém o histórico das conversas e pode ser usada quando a equipe não está online. O foco do atendimento é comercial: informar e conduzir o paciente até o agendamento, deixando as questões clínicas para o profissional.

Para avaliar qualquer fornecedor de IA, inclusive a Twenny, use a lista da seção anterior e solicite as respostas sobre tratamento de dados, segurança, armazenamento e retenção diretamente à equipe, para constarem na contratação. Essa postura protege a clínica independentemente da ferramenta escolhida.

Perguntas frequentes

Preciso de consentimento do paciente para usar IA no atendimento?

Depende da base legal aplicável a cada tratamento de dados, e a análise varia conforme o caso. A LGPD admite outras bases além do consentimento, e para dados sensíveis o art. 11 traz regras específicas. Peça orientação jurídica para definir o desenho adequado à sua clínica.

A clínica é responsável se o fornecedor vazar dados?

A LGPD prevê responsabilidade de controladores e operadores por danos decorrentes de violações (art. 42), com hipóteses e limites definidos na lei. Por isso é importante escolher bem o fornecedor, formalizar as obrigações em contrato e manter as próprias práticas de segurança.

A IA pode dar orientação clínica ao paciente?

O ideal é que não. Diagnóstico e orientação de tratamento cabem ao profissional de saúde. Configure a IA para informar sobre serviços, preços e agendamento e para encaminhar dúvidas clínicas à equipe.

Conversas de WhatsApp podem ser usadas como prontuário?

As regras de prontuário são definidas pelos conselhos profissionais de cada área, como odontologia e medicina. Consulte a norma do seu conselho e o seu assessor jurídico antes de usar conversas com essa finalidade.

Próximo passo

Se você quer conhecer uma IA de atendimento comercial que trabalha com os dados da sua clínica e conversar sobre o tratamento de dados, acesse twennyia.com.br.

Fontes

• Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018 (arts. 5, 6, 7, 11, 37, 39, 42, 46 e 48): planalto.gov.br
• Autoridade Nacional de Proteção de Dados (ANPD), página oficial: gov.br/anpd
• ANPD, Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado: gov.br/anpd (PDF)

Este conteúdo é informativo e não substitui consultoria jurídica.