O que a lei brasileira já exige de uma clínica que usa IA para atender paciente no WhatsApp?

"O que a lei brasileira já exige de uma clínica que usa IA para atender paciente no WhatsApp?"

A pergunta parece jurídica. Ela é operacional.

Sua IA responde o paciente às 22h, pergunta o que ele está sentindo, guarda a resposta, classifica o caso e marca a avaliação. Nada disso está num limbo legal esperando o Congresso votar.

O Brasil ainda não tem uma lei específica de inteligência artificial em vigor. Mas já tem cinco camadas de norma que alcançam essa conversa hoje, e nenhuma delas foi escrita pensando em robô.

É esse o ponto que a maioria dos donos de clínica erra: eles procuram "a lei de IA", não acham, e concluem que estão livres. Estão sob a LGPD, sob o conselho profissional, sob o Código de Defesa do Consumidor, sob a lei do prontuário e sob a política do próprio WhatsApp, todas ao mesmo tempo.

Neste guia você vai ver:

• Por que a conversa da sua clínica é dado pessoal sensível de saúde, e o que isso muda
• Qual é a base legal correta (e por que "tutela da saúde" quase nunca serve)
• O que o contrato com o fornecedor da IA precisa ter para você não responder sozinho
• O que o CFO já regulou, o que ele ainda não regulou, e por que o CFM virou o parâmetro
• Quando a conversa do WhatsApp vira prontuário e quando ela é só registro comercial
• Um checklist do que precisa ficar documentado para provar boa-fé numa fiscalização

A resposta curta: cinco camadas de norma, não uma lei de IA

Antes de descer no detalhe, fixe o mapa. Sua IA de atendimento não está sob uma norma. Está sob um empilhamento.

Camada	Norma que vale hoje	O que ela cobra da sua clínica
Proteção de dados	LGPD (Lei 13.709/2018)	Base legal, contrato de operador, segurança, direitos do paciente, aviso de incidente
Conselho profissional	Resolução CFO-278/2025, Código de Ética Odontológica (CFO-118/2012), Resolução CFO-91/2009	Ato de teleodontologia é do cirurgião-dentista, sigilo, prontuário
Relação de consumo	Código de Defesa do Consumidor (Lei 8.078/1990)	Informação clara, oferta que vincula, responsabilidade objetiva por serviço defeituoso
Plataforma	WhatsApp Business Messaging Policy (Meta)	Opt-in prévio, restrição de informação de saúde, perfil identificado
Guarda de documento	Lei 13.787/2018 e Resolução CFO-91/2009	Prontuário digitalizado, integridade, guarda mínima de 20 anos

E existe uma sexta camada que ainda não vale: o Marco Legal da Inteligência Artificial, o PL 2338/2023, que já passou pelo Senado e segue na Câmara dos Deputados.

O que isso significa na prática? Que a pergunta certa não é "posso usar IA?". É "sob qual base legal, com qual contrato e com qual registro?".

Por que a conversa do WhatsApp é dado pessoal sensível de saúde

Comece pela classificação, porque tudo depende dela.

A LGPD define dado pessoal sensível como o dado referente à saúde, entre outras categorias, quando vinculado a uma pessoa natural. É o que está no art. 5º, II do texto atualizado da Lei 13.709/2018.

Repare no que a sua IA faz num atendimento comum de clínica odontológica:

• Pergunta qual é a queixa ("dor no dente do siso", "meu implante está mole")
• Recebe foto da boca do paciente
• Registra medicação em uso, diabetes, gestação, uso de anticoagulante
• Anota histórico de tratamento anterior e o que ficou pendente
• Classifica o caso por urgência

Cada um desses itens é dado de saúde vinculado a uma pessoa identificada pelo número de telefone. A conversa inteira vira um banco de dado sensível.

E aqui está a virada que muda a régua: dado sensível não é "dado comum com mais cuidado". Ele tem um regime próprio, com hipóteses de tratamento fechadas no art. 11, mais estreitas que as do art. 7º que você usa para o lead comum.

Lembre: o cadastro de um lead de tráfego é dado pessoal. A partir da primeira frase em que o paciente diz o que está sentindo, a mesma conversa passa a ser dado sensível de saúde, e as regras trocam no meio do caminho. Para o recorte só de leads, veja o que a LGPD exige da clínica nos dados de leads e pacientes.

Qual é a base legal correta: consentimento ou tutela da saúde?

Este é o erro número um que eu vejo em clínica que já implantou IA. O fornecedor diz "estamos amparados pela tutela da saúde" e ninguém confere o texto.

Confira o texto.

A LGPD admite tratar dado sensível sem consentimento quando for indispensável para a "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária", conforme o art. 11, II, f da Lei 13.709/2018.

Leia de novo a palavra "exclusivamente". E depois "em procedimento realizado por profissionais de saúde".

Uma conversa de captação, qualificação e agendamento não é procedimento realizado por profissional de saúde. É atendimento comercial que coleta dado clínico pelo caminho. Encaixar isso na alínea f é forçar a hipótese.

A base que sustenta a operação é a outra:

"I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;"

São três exigências dentro de uma frase curta, e cada uma derruba uma prática comum:

1. Específico: consentimento para tratar dado de saúde, não o aceite genérico do cadastro.
2. Destacado: separado do resto, não escondido no meio dos termos de uso.
3. Para finalidades específicas: a finalidade tem que estar escrita. "Melhorar nossos serviços" não é finalidade.

Traduzindo para a sua operação: se o paciente entra pelo anúncio, cai no WhatsApp e a IA já pergunta o que ele sente, o pedido de consentimento precisa acontecer antes da coleta clínica, dentro da própria conversa, com registro de quando ele aceitou.

E tem um detalhe que quase ninguém implementa: consentimento se revoga. O art. 18, IX da LGPD dá ao titular o direito de revogar o consentimento a qualquer momento. Sua operação precisa saber o que fazer quando ele revoga.

A vedação que pega clínica em rede: compartilhar dado de saúde por vantagem econômica

Esta é curta e é dura.

O art. 11, §4º da LGPD veda a comunicação ou o uso compartilhado, entre controladores, de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, com exceções ligadas à prestação de serviços de saúde. O texto está no mesmo dispositivo da Lei 13.709/2018.

Onde isso morde uma clínica que usa IA:

• Passar a base de conversas para um parceiro comercial (financeira, plano, laboratório) para ele ofertar algo.
• Enviar dado clínico para um grupo de clínicas que não é o mesmo controlador.
• Permitir que o fornecedor da IA use a sua base de conversas para treinar produto que ele vende para outros, como controlador dele.

Esse último ponto é o que mais escapa, porque parece detalhe técnico. Não é. É definição de quem controla o dado e para quê. Se o seu fornecedor trata a base como ativo dele, você não tem operador: você tem um segundo controlador usando dado sensível de saúde do seu paciente.

Controlador, operador e encarregado: quem é quem na sua clínica

A LGPD organiza responsabilidade por papel, e o dono de clínica precisa saber em qual papel ele está antes de discutir contrato.

Papel	Quem é, na prática	O que a LGPD cobra
Controlador	A clínica, que decide para que a conversa serve e como	Base legal, atendimento ao titular, segurança, aviso de incidente, indicar encarregado
Operador	O fornecedor da IA, que trata em nome da clínica	Tratar apenas segundo as instruções do controlador (art. 39)
Encarregado	Pessoa indicada pela clínica	Ser canal com pacientes e ANPD e orientar a equipe (art. 41)

As definições estão no art. 5º, VI, VII e VIII da lei. Três consequências práticas saem daí:

1. A clínica não terceiriza a responsabilidade. Você é controlador porque você decide a finalidade. Contratar um fornecedor não transfere isso.

2. O fornecedor precisa de instrução por escrito. O art. 39 diz que o operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, "que verificará a observância das próprias instruções". Ou seja: a lei espera que você fiscalize, não só contrate.

3. O encarregado precisa existir e aparecer. O art. 41, §1º manda divulgar publicamente a identidade e o contato do encarregado, "preferencialmente no sítio eletrônico do controlador". Uma linha no rodapé do site com um e-mail que alguém lê resolve.

Se você quer entender melhor a divisão de titularidade da conversa entre clínica e fornecedor, o recorte completo está em quem controla os dados da conversa entre IA e paciente.

O contrato com o fornecedor: as cláusulas que decidem quem paga a conta

Aqui está a parte que dói no bolso.

O art. 42, §1º, I da LGPD estabelece que o operador responde solidariamente pelos danos quando descumpre as obrigações da legislação de proteção de dados ou quando não segue as instruções lícitas do controlador, hipótese em que ele se equipara ao controlador.

Leia o inverso dessa frase: se não existe instrução escrita, não existe instrução descumprida. Sem contrato de operador detalhado, você fica sozinho na conta.

Cláusulas mínimas para exigir antes de assinar:

1. Qualificação expressa das partes como controlador (clínica) e operador (fornecedor).
2. Finalidade fechada: para que o fornecedor pode usar a conversa, e a vedação de usar para qualquer outra coisa.
3. Proibição de uso da base para treinar modelo comercializado a terceiros, salvo autorização específica e com dado anonimizado.
4. Subcontratação declarada: quais subprocessadores existem (provedor de nuvem, provedor do modelo, provedor da API do WhatsApp) e o dever de avisar antes de trocar.
5. Local de armazenamento: onde a conversa fica, e o que acontece se houver transferência internacional.
6. Medidas de segurança compatíveis com o art. 46, com detalhamento e não apenas a promessa genérica.
7. Prazo de comunicação de incidente ao controlador, curto o bastante para você cumprir o art. 48.
8. Trilha de auditoria e log de acesso disponíveis para a clínica.
9. Suporte documentado ao atendimento de direitos do titular (acesso, correção, eliminação, portabilidade).
10. Devolução e eliminação ao fim do contrato, com prazo, formato e comprovante.

O item 10 é o mais esquecido e o mais caro. Quem já trocou de fornecedor sabe: se a saída não está escrita, o histórico vira refém. Esse ponto tem um artigo dedicado em troca de fornecedor de IA e o que acontece com o histórico.

Lembre: contrato de operador não é papelada de compliance. É o documento que decide se, num incidente, a clínica responde sozinha ou divide a responsabilidade com quem opera a tecnologia.

Os direitos do paciente que a sua operação precisa conseguir cumprir

O art. 18 da LGPD lista direitos que o titular exerce a qualquer momento, mediante requisição. Entre eles: confirmação da existência de tratamento, acesso aos dados, correção, anonimização ou eliminação de dado desnecessário ou excessivo, portabilidade, informação sobre compartilhamento e revogação do consentimento.

O teste é simples e quase nenhuma clínica passa. Responda agora, sem consultar o fornecedor:

• Um paciente pede cópia de tudo que a clínica tem sobre ele. Em quanto tempo você entrega o histórico do WhatsApp?
• Um paciente pede a eliminação dos dados dele. Você consegue apagar sem quebrar a obrigação de guarda do prontuário?
• Um paciente revoga o consentimento. A IA para de abordar, ou o disparo de reativação continua saindo?

Se a resposta depende de abrir um chamado com o fornecedor e esperar, você não tem processo, tem sorte.

Art. 20: o direito de revisão de decisão automatizada (e onde sua IA decide sozinha)

Este é o artigo que fala diretamente com a IA, e quase ninguém aplica na odontologia.

O art. 20 da LGPD dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito.

Onde a sua operação toma decisão unicamente automatizada:

• Triagem por urgência: a IA decide quem é encaixe de emergência e quem espera.
• Priorização de fila: a IA decide quem recebe retorno primeiro.
• Qualificação de lead: a IA decide quem é "paciente potencial" e quem é descartado do funil.
• Roteamento por unidade ou especialidade: a IA decide para onde o paciente vai.

Nenhuma dessas decisões é inofensiva do ponto de vista do titular. A que mais expõe a clínica é a triagem, porque ela toca gravidade clínica.

A blindagem prática tem três peças: regra escrita do que a IA pode decidir sozinha, gatilho de escalonamento para humano em qualquer sinal clínico, e registro de quem revisou. O desenho desses gatilhos está detalhado em quando a IA precisa passar o atendimento para um humano.

E aqui entra um dado da nossa operação que explica a urgência disso. Segundo dados internos da Odonto Results, 46,0% dos leads de clínica odontológica chegam fora do horário comercial. Base: 16.719 leads com primeira mensagem no WhatsApp. Janela: 25 de março a 25 de agosto de 2026.

Quase metade das conversas começa quando não há nenhum profissional olhando. É exatamente nessa faixa que a decisão automatizada acontece sem revisão humana simultânea, e é por isso que a regra escrita precisa existir antes, não depois.

Segurança, incidente e sanção: o que o art. 46, o art. 48 e o art. 52 cobram

O art. 46 exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Para um histórico de conversas de pacientes, "medidas aptas" tem tradução concreta:

• Criptografia em trânsito e em repouso do histórico armazenado.
• Controle de acesso por perfil: a recepcionista não precisa ver a base inteira.
• Trilha de auditoria: quem abriu qual conversa, quando, de onde.
• Encerramento de acesso na saída de qualquer pessoa da equipe, no mesmo dia.
• Segregação por unidade, quando a clínica tem mais de um endereço.

Quando algo dá errado, entra o art. 48: o controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Note quem comunica: o controlador, ou seja, a clínica. Não o fornecedor.

E a régua de consequência está no art. 52 da Lei 13.709/2018, que prevê advertência, multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no último exercício, excluídos os tributos, limitada no total a R$ 50 milhões por infração, além de multa diária, publicização da infração e bloqueio ou eliminação dos dados.

Para uma clínica de porte, o teto em reais não é a parte que assusta. A parte que assusta é o percentual sobre o faturamento, porque ele escala junto com o seu tamanho.

O que o CFO já regulou: Resolução CFO-278/2025 e a teleodontologia

Agora a camada do conselho, que é a que mais confunde.

A Resolução CFO-278/2025, de 25 de novembro de 2025, dispõe sobre o exercício da Teleodontologia. Ela define teleodontologia como o exercício da Odontologia mediado por tecnologias digitais de informação e comunicação, e lista as modalidades reconhecidas.

Modalidade	O que é	Toca a sua IA de WhatsApp?
Teleorientação	Conscientização sobre bem-estar, cuidados em saúde bucal e prevenção, direcionada ao cidadão	Sim, quando a IA orienta cuidado
Teletriagem	Interação remota para determinar prioridade e tipo de atendimento pela gravidade	Sim, quando a IA prioriza urgência
Teleconsulta	Consulta remota com troca de informações clínicas, laboratoriais e de imagens	Sim, se a IA discute caso clínico
Telemonitoramento	Acompanhamento remoto sob orientação e supervisão do cirurgião-dentista	Sim, em pós-operatório automatizado
Telerregulação	Controle e priorização do acesso e dos fluxos assistenciais	Sim, em roteamento de agenda clínica
Teleconsultoria, telediagnóstico, teleinterconsulta, teleducação, telerastreio	Modalidades entre profissionais, laudo, ensino e rastreio	Em geral não, no fluxo comercial

E vem o artigo que decide tudo. O art. 3º da resolução é literal: "A teleodontologia deverá ser exercida exclusivamente pelo cirurgião-dentista", com exceção pontual para técnicos em saúde bucal em ações de teleducação, sob supervisão direta.

O que isso significa para uma IA de atendimento? Que existe uma linha, e ela é nítida:

• Do lado comercial (endereço, horário, formas de pagamento, agenda, confirmação, reativação): a IA opera livremente.
• Do lado clínico (orientar conduta, avaliar gravidade, opinar sobre caso, monitorar pós-operatório): é ato de teleodontologia, e ato de teleodontologia é do cirurgião-dentista.

A resolução também exige, no art. 5º, que o paciente seja informado previamente sobre as limitações do teleatendimento e receba o Termo de Consentimento Livre e Esclarecido, que pode ser manifestado por meio eletrônico, gravação ou outro registro digital que assegure autenticidade, integridade e rastreabilidade.

O CFO não tem resolução de IA. Por que o CFM virou o parâmetro

Aqui está a lacuna real, e vale dizer com honestidade: não existe hoje resolução do Conselho Federal de Odontologia específica sobre inteligência artificial. A CFO-278/2025 regula teleodontologia, não IA.

A medicina saiu na frente. A Resolução CFM nº 2.454, de 11 de fevereiro de 2026, normatiza o uso da inteligência artificial na medicina. Ela não obriga o cirurgião-dentista, mas é o parâmetro mais próximo que existe, e é razoável esperar que um conselho de odontologia caminhe na mesma direção.

Quatro definições dessa resolução que eu recomendo adotar como política interna desde já:

1. A decisão é sempre humana. O art. 18, §2º diz que a decisão sobre diagnóstico, prognóstico, prescrição ou qualquer ato médico caberá sempre ao médico, que pode acolher ou rejeitar as sugestões da IA conforme seu julgamento.
2. O paciente tem direito de saber. O art. 5º, §1º garante ao paciente o direito de ser informado, de forma clara e acessível, quando a IA for utilizada como apoio relevante em seu cuidado, diagnóstico ou tratamento.
3. Comunicar diagnóstico não se delega. O art. 5º, §2º veda delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem a devida mediação humana.
4. O uso da IA entra no registro. O art. 4º, V estabelece o dever de registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão.

A resolução também exige que o profissional zele pela confidencialidade e segurança dos dados usados pela IA e veda usar sistemas que não garantam padrões mínimos de segurança compatíveis com dados pessoais sensíveis.

Lembre: adotar a régua do CFM antes de o CFO publicar a dele não é excesso de zelo. É a diferença entre chegar numa fiscalização com política escrita e chegar improvisando defesa.

Sigilo profissional e o "auxiliar" que é software

O Código de Ética Odontológica, aprovado pela Resolução CFO-118/2012 e em vigor desde 1º de janeiro de 2013, trata o sigilo profissional como dever, e esse dever não para no cirurgião-dentista: alcança a orientação de quem trabalha ao lado dele. Negligenciar a orientação dos colaboradores quanto ao sigilo é falha do profissional, não do colaborador.

Agora faça a transposição que quase ninguém faz.

Se a clínica responde eticamente quando um auxiliar humano extrapola a função, o que acontece quando o "auxiliar" é um software que atende sozinho às 2h da manhã?

A Consolidação das Normas para Procedimentos nos Conselhos de Odontologia dá a chave. O art. 4º, §7º estabelece que responderá eticamente perante o Conselho Regional o cirurgião-dentista que, tendo técnico em saúde bucal ou auxiliar em saúde bucal sob sua supervisão, permitir que eles, sob qualquer forma, extrapolem suas funções específicas. E o art. 21 veda ao auxiliar em saúde bucal exercer a atividade de forma autônoma ou prestar assistência, direta ou indiretamente, a paciente sem a indispensável supervisão do cirurgião-dentista ou do técnico em saúde bucal.

A lógica é a mesma, e ela é boa notícia para quem organiza a operação:

• Software não tem inscrição em conselho, então ele nunca pratica ato privativo por conta própria.
• Quem responde pelo que o software fez é o profissional responsável técnico da clínica.
• Por isso a delimitação do que a IA pode dizer precisa ser explícita, testada e documentada.

Um bom teste de escopo: se a frase que a IA vai enviar não poderia ser dita por uma recepcionista sem formação clínica, ela não sai sem a revisão de um profissional.

Código de Defesa do Consumidor: o que a IA escreve vira contrato

Muita clínica trata a conversa como bate-papo. O CDC trata como oferta.

Três artigos decidem o jogo, e todos estão no texto compilado da Lei 8.078/1990:

Art. 6º, III: é direito básico do consumidor a informação adequada e clara sobre os diferentes produtos e serviços, com especificação correta de quantidade, características, composição, qualidade, tributos incidentes e preço, bem como sobre os riscos que apresentem.

Art. 30: toda informação ou publicidade suficientemente precisa, veiculada por qualquer forma ou meio de comunicação, obriga o fornecedor que a fizer veicular e integra o contrato que vier a ser celebrado.

Art. 14: o fornecedor de serviços responde, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos relativos à prestação dos serviços, bem como por informações insuficientes ou inadequadas sobre sua fruição e riscos.

Junte os três e o resultado é direto: se a sua IA disser um valor, um prazo, uma condição de parcelamento ou uma promessa de resultado, isso integra o contrato. A responsabilidade é objetiva, ou seja, não adianta alegar que o modelo alucinou.

O que fazer com isso na operação:

1. Trave o que a IA pode afirmar sobre preço e prazo. Faixa aberta gera oferta que vincula.
2. Proíba promessa de resultado clínico. "Vai ficar perfeito" é informação inadequada sobre serviço de saúde.
3. Guarde o histórico. Numa disputa, a conversa é a prova do que foi ofertado, e ela funciona nos dois sentidos.

Publicidade: o que a IA promete no WhatsApp também é publicidade

O CDC diz, no art. 36, que a publicidade deve ser veiculada de tal forma que o consumidor, fácil e imediatamente, a identifique como tal, e obriga o fornecedor a manter em seu poder os dados fáticos, técnicos e científicos que dão sustentação à mensagem. O art. 37 proíbe toda publicidade enganosa ou abusiva, incluindo a enganosidade por omissão.

Some a camada do conselho: a Consolidação das Normas registra, no art. 4º, §5º, que o anúncio e a publicidade são permitidos, respeitadas as disposições do Código de Ética Odontológica, que tem capítulo próprio sobre anúncio, propaganda e publicidade.

Na prática, a mensagem automática da sua clínica está sujeita às mesmas regras do anúncio pago. Três armadilhas comuns:

• Antes e depois enviado pela IA sem os cuidados que o Código de Ética exige.
• Comparação com concorrente gerada pelo modelo em resposta a "por que vocês são melhores?".
• Promessa de tratamento sem dor, sem risco ou com prazo garantido, que é enganosa por omissão do risco.

A blindagem é chata e funciona: biblioteca de respostas aprovadas para tudo que envolve promessa, e bloqueio de geração livre nesses temas.

As regras do próprio WhatsApp, que valem mesmo sem lei

Esta camada não é lei brasileira, mas derruba a operação mais rápido que qualquer processo: quem descumpre perde o número.

A WhatsApp Business Messaging Policy traz três exigências que atingem diretamente uma clínica:

1. Opt-in prévio. A política diz que você só pode contatar pessoas no WhatsApp se elas tiverem fornecido o número de telefone e se você tiver recebido permissão de opt-in confirmando que desejam receber mensagens ou chamadas suas. Lista comprada e importação de base antiga violam isso na origem.

2. Restrição a informação de saúde e telemedicina. A política determina não usar o WhatsApp para telemedicina ou para enviar ou solicitar qualquer informação relacionada à saúde quando a regulação aplicável proibir a distribuição dessa informação para sistemas que não atendem a requisitos reforçados de tratamento de dados de saúde. É o ponto que exige do dono de clínica uma decisão consciente sobre o quanto a IA pergunta.

3. Perfil identificado e nenhuma confusão sobre a natureza do negócio. A política manda manter um perfil do WhatsApp Business com informação de contato de suporte e ao menos um entre e-mail, site ou telefone, com tudo atualizado, e proíbe se passar por outro negócio ou enganar clientes sobre a natureza do seu negócio. Ela também proíbe confundir, enganar ou surpreender pessoas com suas comunicações.

Repare no encaixe: a mesma política que exige opt-in também exige que você não engane sobre a natureza do negócio. É daí que sai a próxima pergunta.

A IA precisa dizer que é uma IA?

Resposta honesta: não existe hoje um artigo de lei brasileira que diga, com essas palavras, que o robô da clínica precisa se identificar como robô. Quem afirma o contrário está citando algo que ainda não está em vigor.

Mas o dever se forma pela soma de quatro normas que já valem:

1. LGPD, art. 6º, VI: princípio da transparência, que garante ao titular informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e sobre os agentes de tratamento.
2. LGPD, art. 9º: direito de acesso facilitado às informações sobre o tratamento, incluindo finalidade específica, forma e duração, identificação do controlador e responsabilidades dos agentes.
3. CDC, art. 6º, III: informação adequada e clara sobre o serviço.
4. WhatsApp Business Messaging Policy: proibição de enganar o cliente sobre a natureza do negócio.

E, no lado do conselho, a Resolução CFM nº 2.454/2026 já garante ao paciente o direito de ser informado quando a IA for usada como apoio relevante em seu cuidado.

Minha recomendação prática, que custa uma linha de configuração: a IA se identifica na primeira mensagem, com nome e natureza ("assistente virtual da clínica"), e informa que um profissional assume quando o assunto for clínico. Isso resolve as quatro camadas de uma vez e derruba a objeção antes de ela virar reclamação.

Prontuário: quando a conversa vira documento de guarda obrigatória

Esta seção separa duas coisas que costumam andar juntas na cabeça do dono de clínica.

A Lei 13.787/2018 dispõe sobre a digitalização e o uso de sistemas informatizados para guarda, armazenamento e manuseio de prontuário de paciente. Ela é explícita em três pontos:

• O processo de digitalização deve usar certificado digital emitido no âmbito da ICP-Brasil ou outro padrão legalmente aceito (art. 2º, §2º).
• Os meios de armazenamento devem proteger os documentos do acesso, uso, alteração, reprodução e destruição não autorizados (art. 4º).
• Só depois de decorrido o prazo mínimo de 20 anos a partir do último registro os prontuários em papel e os digitalizados poderão ser eliminados (art. 6º).

No lado do conselho, a Resolução CFO-91/2009 aprova as normas técnicas sobre digitalização e uso de sistemas informatizados para guarda e manuseio dos documentos dos prontuários, quanto aos requisitos de segurança em documentos eletrônicos em saúde. E a CFO-278/2025 reforça, no art. 8º, que a elaboração e a manutenção de prontuário legível e atualizado são indispensáveis, físico ou digital, com conservação obrigatória conforme a legislação vigente, e garante ao paciente o direito de solicitar e receber cópia dos seus dados.

Então: toda conversa de WhatsApp é prontuário? Não. Use esta separação.

O que acontece na conversa	Natureza	Consequência prática
Endereço, horário, forma de pagamento, agendamento, confirmação	Registro comercial e de atendimento	Guarda pelo tempo necessário à finalidade, sob a lógica do art. 16 da LGPD
Queixa, sintoma, histórico, medicação, foto da boca	Dado clínico do paciente	Entra na lógica de prontuário e de sigilo profissional
Triagem que classifica gravidade ou prioridade	Teletriagem, modalidade de teleodontologia	Ato exclusivo do cirurgião-dentista (CFO-278/2025, art. 3º)
Orientação de conduta, cuidado ou pós-operatório	Teleorientação ou telemonitoramento	Exige profissional, consentimento informado e registro

A regra de bolso que eu daria para uma clínica de porte: o que for clínico sai do WhatsApp e entra no prontuário do sistema de gestão, com referência ao atendimento. A conversa fica como registro de origem, não como repositório clínico.

O conflito prático de prazos: art. 16 da LGPD contra os 20 anos do prontuário

Aqui aparece uma contradição aparente que trava muita clínica na hora de escrever a política de retenção.

O art. 16 da LGPD determina que os dados pessoais serão eliminados após o término de seu tratamento, autorizada a conservação para finalidades específicas, entre elas o cumprimento de obrigação legal ou regulatória pelo controlador.

A Lei 13.787/2018 exige guarda mínima de 20 anos do prontuário, a partir do último registro.

As duas convivem, e a chave está justamente naquele inciso I do art. 16. O que é prontuário fica pelos 20 anos, porque existe obrigação legal. O que não é prontuário não herda esse prazo por conveniência.

Na prática, escreva uma tabela de retenção com três faixas:

1. Conteúdo clínico e prontuário: guarda mínima de 20 anos a partir do último registro, com integridade protegida.
2. Registro comercial da conversa (agendamento, confirmação, negociação): prazo definido pela finalidade e por prazos legais aplicáveis, escrito e justificado.
3. Lead que nunca virou paciente: prazo curto e eliminação automática, porque não há obrigação legal que sustente guarda longa.

Sem essa tabela, a clínica cai num dos dois extremos: apaga o que deveria guardar, ou guarda tudo para sempre e amplia a superfície de um vazamento.

O que muda quando o Marco Legal da IA virar lei

O PL 2338/2023, o Marco Legal da Inteligência Artificial, de autoria do senador Rodrigo Pacheco, foi aprovado pelo Plenário do Senado e remetido à Câmara dos Deputados, onde segue em tramitação, aguardando parecer.

Ou seja: ele ainda não obriga a sua clínica a nada. Quem vende consultoria dizendo que "a lei de IA já exige X" está antecipando.

O que vale é preparar a operação para a direção que o texto aponta, porque ela é a mesma da LGPD e da resolução do CFM:

• Classificação de sistemas por nível de risco, com deveres maiores para uso em saúde.
• Transparência sobre estar interagindo com um sistema de IA.
• Governança e documentação do que o sistema faz e de como foi testado.
• Supervisão humana em decisões que afetam direitos.

Quem já organizou base legal, contrato de operador, gatilho de escalonamento humano e registro de decisão não vai precisar refazer nada quando o marco entrar em vigor. Vai precisar apenas comprovar.

O que precisa ficar documentado para provar boa-fé

Fiscalização não avalia intenção. Avalia documento. Este é o dossiê mínimo de uma clínica que usa IA no WhatsApp.

Documento	O que ele prova	Onde a norma cobra
Registro das operações de tratamento	Que você sabe quais dados trata, para quê e por quanto tempo	LGPD, art. 37
Aviso de privacidade da clínica	Finalidade, base legal, compartilhamento e direitos	LGPD, arts. 9º e 18
Prova do consentimento específico e destacado	Quando e como o paciente autorizou o dado sensível	LGPD, art. 11, I
Contrato de operador com o fornecedor da IA	Instruções lícitas dadas por escrito e fiscalizadas	LGPD, arts. 39 e 42, §1º
Indicação e divulgação do encarregado	Canal ativo com titular e ANPD	LGPD, art. 41
Política de escopo da IA e gatilhos de escalonamento	Que a decisão clínica permaneceu humana	LGPD, art. 20, e CFM nº 2.454/2026
Trilha de auditoria e controle de acesso	Que o histórico está protegido	LGPD, art. 46
Plano de resposta a incidente	Que existe prazo e responsável para comunicar	LGPD, art. 48
Tabela de retenção e eliminação	Que a guarda tem justificativa e prazo	LGPD, art. 16, e Lei 13.787/2018
Termo de consentimento do teleatendimento	Que o paciente foi informado das limitações	CFO-278/2025, art. 5º

Nenhum desses itens exige software novo. Exige decisão do dono e uma tarde de trabalho com quem cuida do jurídico.

Os seis erros que mais expõem a clínica hoje

Depois de olhar muitas operações de IA no WhatsApp, esses são os furos que se repetem:

1. Usar "tutela da saúde" como base legal de uma conversa comercial que não é procedimento realizado por profissional de saúde.
2. Consentimento embutido no cadastro, sem destaque e sem finalidade específica, o que contraria o texto do art. 11, I.
3. Contrato de fornecedor sem cláusula de operador, o que deixa a clínica sozinha na responsabilidade.
4. IA fazendo triagem clínica sem gatilho de escalonamento, o que atravessa o art. 3º da CFO-278/2025 e o art. 20 da LGPD ao mesmo tempo.
5. Base antiga importada para disparo, sem opt-in, contra a política do próprio WhatsApp.
6. Histórico guardado para sempre, sem tabela de retenção, ampliando o dano potencial de qualquer incidente.

Nenhum deles aparece no relatório de performance. Todos aparecem numa notificação.

Isso trava a operação? Não, se o desenho for feito antes

Vale encerrar a parte técnica com o contraponto honesto, porque conformidade mal desenhada de fato atrapalha a captação.

Segundo dados internos da Odonto Results, a IA de Agendamento responde o primeiro lead em 5,7 segundos na mediana. Base: 11.996 primeiras respostas da IA no WhatsApp. Janela: 25 de março a 25 de agosto de 2026.

Velocidade e conformidade não brigam, desde que o consentimento e o escopo estejam configurados no fluxo em vez de virarem um formulário no meio da conversa. O paciente responde uma pergunta clara de autorização e segue; o que muda é o que a IA pode fazer com a resposta dele, não o tempo que ela leva para responder.

O erro é tratar conformidade como camada de fricção adicionada depois. Quando ela é desenhada junto com o fluxo, o paciente nem percebe, e a clínica para de operar torcendo para nada acontecer.

Seu próximo passo

1. Classifique a sua conversa e escolha a base legal. Leia as últimas 20 conversas da sua IA e marque em que ponto entra dado de saúde. É esse ponto que define onde o consentimento específico e destacado precisa aparecer.
2. Abra o contrato do fornecedor e procure a palavra "operador". Se ela não estiver lá, junto com finalidade fechada, subcontratação, segurança, incidente e eliminação ao fim do contrato, você tem responsabilidade sem divisão.
3. Escreva a política de escopo da IA em uma página. O que ela pode responder sozinha, o que dispara humano na hora, e quem revisa. Depois teste com casos reais e guarde o registro.

Quer uma operação de IA no WhatsApp que traz paciente para a cadeira sem deixar a clínica exposta? Agende uma apresentação.