A IA que lê as conversas dos meus pacientes é segura em LGPD e quem controla esses dados?

"A IA que lê as conversas dos meus pacientes é segura em LGPD e quem controla esses dados?"

Essa é a pergunta certa pra fazer antes de assinar, não depois.

Você está prestes a colocar uma ferramenta lendo conversas sobre dor, exame, tratamento e orçamento dos seus pacientes. Isso é dado sensível de saúde. E a responsabilidade legal continua sendo da clínica.

A boa notícia: uma IA de atendimento pode ser totalmente segura em LGPD. A má notícia: só se você contratar do jeito certo. A diferença entre as duas mora no contrato, na base legal e em onde o dado fica.

Quem decide isso é você, o controlador. Não o fornecedor.

Importante: isto é orientação geral, não consultoria jurídica. A LGPD tem nuances e a sua clínica pode ter obrigações específicas. Para adequação formal, consulte um profissional de proteção de dados ou o seu jurídico.

Neste guia você vai ver:

• Por que a conversa do paciente é dado sensível de saúde
• Quem é o controlador e quem é o operador quando você usa IA
• Por que terceirizar não transfere a sua responsabilidade
• A base legal correta (e o mito do consentimento)
• O contrato, a transferência internacional e o risco de treino de modelo
• O checklist e as perguntas pra fazer ao fornecedor antes de assinar

A conversa do paciente é dado sensível: por que isso muda tudo

Antes de avaliar a IA, entenda o que ela está tratando. Não é dado comum.

A LGPD, Lei 13.709/2018, no Art. 5, II, define dado pessoal sensível incluindo expressamente o dado referente à saúde. E o que é uma conversa de WhatsApp em que o paciente descreve uma dor, relata um exame ou pergunta sobre um procedimento? É dado de saúde.

Pensa assim: a mensagem "estou com o dente muito sensível e quero saber sobre canal" não é um dado de contato qualquer. É informação sobre a saúde de uma pessoa identificada. Isso entra na categoria de proteção reforçada da lei.

O que muda na prática:

• Dado sensível tem base legal própria (não é a mesma de um dado comum).
• O vazamento ou uso indevido causa dano maior, então a régua de segurança é mais alta.
• Todo mundo que toca esse dado entra na cadeia de responsabilidade, inclusive a IA.

Lembre: a conversa do paciente não é "só um lead". É dado de saúde sensível protegido por lei. Toda decisão sobre a IA de atendimento parte daí.

Quem é o controlador e quem é o operador

Aqui está o conceito que responde metade da sua pergunta: quem controla os dados.

A LGPD separa dois papéis. O controlador (Art. 5, VI) é a pessoa a quem competem as decisões sobre o tratamento dos dados. O operador (Art. 5, VII) é quem realiza o tratamento em nome do controlador.

Aplicado à sua clínica:

• A clínica é a controladora. Você decide coletar a conversa, pra que ela serve e como é tratada.
• A fornecedora da IA é a operadora. Ela processa as conversas em seu nome, seguindo as suas instruções.

Isso responde a dúvida de "quem é o dono dos dados". Os dados são tratados sob a sua responsabilidade e a seu serviço, não passam a ser do fornecedor. O fornecedor é um prestador que opera o dado, não um novo dono dele.

A OAB de Campinas, em artigo sobre LGPD aplicada às clínicas, reforça exatamente isso: a clínica é a controladora e os sistemas terceirizados são operadores.

Por isso o controle precisa ser contratual e real: o fornecedor opera, mas você manda. Se não manda, tem um problema.

Terceirizar o atendimento não transfere a responsabilidade

Esse é o ponto que mais surpreende dono de clínica, e o mais perigoso de ignorar.

Muita gente acha que, ao contratar uma IA, "passou o problema" pra fornecedora. Errado. O Art. 42 da LGPD estabelece que o controlador OU o operador que causar dano em violação à lei é obrigado a repará-lo.

Traduzindo: você não terceiriza a responsabilidade junto com o atendimento. Se a ferramenta vazar dado de paciente, a clínica responde, sozinha ou junto com o operador.

Isso não é motivo pra não usar IA. É motivo pra escolher bem e contratar certo. Quem entende que continua responsável faz as perguntas certas antes de assinar, em vez de descobrir depois.

A mesma lógica vale pra qualquer operador da clínica: a agência, o CRM, o software de gestão. Todos tratam dado em seu nome, e a responsabilidade pela escolha é sua. É o mesmo raciocínio do nosso guia de LGPD na clínica odontológica.

A base legal correta: tutela da saúde, não só consentimento

Agora o mito que mais atrapalha: a ideia de que tudo na LGPD se resolve com consentimento.

Não se resolve. Pra dado de saúde, existe base legal específica que muitas vezes é melhor que o consentimento.

O Art. 11, II, f da LGPD autoriza o tratamento de dado de saúde para tutela da saúde, exclusivamente em procedimento realizado por profissionais da área da saúde ou entidades sanitárias, sem depender de consentimento como base única.

O que isso significa pra você:

• Quando a IA atende um paciente, qualifica a demanda e encaminha pra avaliação, o tratamento do dado pode se apoiar na tutela da saúde, não num "aceito os termos" genérico.
• A base legal certa torna o uso mais sólido, não menos. Consentimento pode ser revogado a qualquer momento; a tutela da saúde é uma base própria do contexto clínico.
• Errar a base legal é o equívoco silencioso mais comum: clínica que apoia tudo em consentimento fica frágil quando o paciente revoga.

Lembre: atender o paciente tem base legal própria (tutela da saúde). Você não precisa tratar a IA de atendimento como se dependesse só de um botão de "concordo".

Quando o consentimento É necessário: marketing e finalidade acessória

A tutela da saúde cobre o atendimento. Não cobre tudo. Aqui entra a linha que separa o uso seguro do uso arriscado.

O consentimento expresso volta a ser necessário quando a finalidade muda:

• Marketing. Usar o contato e o histórico da conversa pra disparar campanha, promoção ou reativação publicitária é outra finalidade. Pede opt-in claro e separado.
• Finalidade acessória. Qualquer uso fora de atender aquele paciente naquele contexto clínico (analisar, perfilar pra venda, compartilhar com terceiros) sai da tutela da saúde.

O erro clássico: a IA atende o paciente sob tutela da saúde, e depois a clínica reaproveita aquelas conversas pra mandar oferta de clareamento sem nunca ter pedido autorização de marketing. São duas finalidades, duas bases legais.

Mantenha a separação limpa: atendimento numa base, marketing em outra. Se quiser usar a base de pacientes pra campanha, peça o consentimento de marketing de forma destacada. É o mesmo princípio que aplicamos ao usar IA pra reativar pacientes inativos.

O contrato de tratamento de dados (DPA) com o fornecedor

Falamos que o controle precisa ser contratual. Agora o documento que materializa isso.

O contrato de tratamento de dados (também chamado de DPA, Data Processing Agreement) é o instrumento que define o que o operador pode e não pode fazer com os dados dos seus pacientes. Sem ele, você terceirizou dado sensível na base da confiança, e a responsabilidade do Art. 42 continua sua.

O que um bom contrato com o fornecedor da IA precisa deixar claro:

1. Finalidade restrita. A fornecedora só trata as conversas pra atender a sua clínica, nada além.
2. Proibição de uso secundário. Os dados não viram insumo de outro produto, não são vendidos, não treinam modelo (mais sobre isso adiante).
3. Segurança da informação. Medidas técnicas e organizacionais pra proteger o dado sensível.
4. Devolução e exclusão. Ao fim do contrato, os dados voltam pra você ou são eliminados, comprovadamente.
5. Notificação de incidente. A fornecedora avisa a clínica em caso de vazamento, pra você poder agir e, se for o caso, comunicar a ANPD.
6. Subcontratados. Quem mais toca o dado (nuvem, telefonia, modelo de IA) e sob quais garantias.

Sem contrato escrito, você não tem como provar nem exigir nada disso. O DPA não é burocracia: é o que dá ao controlador o controle real que a lei presume que ele tem.

Onde os dados ficam: servidores no exterior e transferência internacional

Uma pergunta que quase ninguém faz e que importa muito: onde, fisicamente, as conversas dos seus pacientes são armazenadas e processadas?

Muitas ferramentas de IA rodam em infraestrutura de nuvem com servidores fora do Brasil, e o próprio modelo de linguagem pode ser processado no exterior. Quando o dado de saúde do seu paciente sai do país, isso é transferência internacional de dados, e a LGPD tem regras próprias pra isso.

O que você precisa saber, sem entrar no jurídico fino:

• Transferência internacional de dado sensível não é proibida, mas exige garantias (cláusulas contratuais, nível de proteção adequado, base legal).
• Você precisa saber se acontece. "Não sei onde fica" é uma resposta que te deixa exposto.
• O contrato deve descrever onde o dado é armazenado e processado e quais salvaguardas existem na transferência.

Não é necessariamente um problema o dado rodar no exterior. O problema é não saber, não ter no contrato e não ter garantia. Pergunte. Coloque no papel.

A IA usa as conversas pra treinar o modelo? Por que isso é decisivo

Se você fizer uma única pergunta técnica ao fornecedor, faça esta.

Modelos de IA podem ser aprimorados com os dados que processam. Se a fornecedora usa as conversas dos seus pacientes pra treinar ou melhorar o modelo dela, o dado de saúde dos seus pacientes vira insumo de um produto, e potencialmente pode influenciar respostas a outros clientes.

Por que isso é grave em dado sensível:

• Treinar modelo é uma finalidade diferente de atender o seu paciente. Sai da tutela da saúde e não tem base legal só por estar no termo de uso.
• Dado que entra em treino é difícil de "tirar" depois. O direito de exclusão do paciente fica comprometido.
• É exatamente o tipo de uso secundário que o contrato (DPA) deve proibir.

A resposta segura do fornecedor é clara: as conversas dos seus pacientes não são usadas pra treinar modelo, ficam restritas ao propósito de atender a sua clínica e não saem dessa finalidade.

Lembre: "a IA aprende com as conversas" pode soar como qualidade, mas em dado de saúde é bandeira vermelha. Exija por contrato que as conversas dos seus pacientes não treinem modelo.

Encarregado (DPO) e Relatório de Impacto (RIPD)

Clínica que trata dado sensível em escala tem duas figuras a considerar. Usar IA torna as duas mais relevantes, porque aumenta o volume e a sensibilidade do que é tratado.

Encarregado (DPO). O Art. 5, VIII da LGPD define o encarregado como a pessoa indicada pelo controlador e operador pra atuar como canal de comunicação entre controlador, titulares e a ANPD. Para a OAB de Campinas, a nomeação de encarregado é obrigatória em clínicas de saúde, por tratarem dados que afetam significativamente direitos dos pacientes.

Relatório de Impacto (RIPD). É o documento que descreve o tratamento de dados sensíveis e os riscos, com as medidas pra mitigá-los. Tratamento de dado de saúde por uma ferramenta automatizada é justamente o cenário em que esse relatório faz sentido, pra demonstrar que a clínica avaliou os riscos antes de implementar.

Não precisa virar departamento jurídico. Precisa ter um responsável nomeado e ter pensado, por escrito, no risco de colocar IA lendo conversa de paciente.

Sigilo profissional e a guarda do prontuário

Tem uma camada além da LGPD que o dentista conhece bem: o sigilo profissional e o prontuário. A IA não te dispensa de nenhum dos dois.

A conversa do paciente, quando vira registro clínico, se conecta ao prontuário, e o prontuário tem regra própria de guarda. A Lei 13.787/2018, no Art. 6, fixa prazo mínimo de 20 anos a partir do último registro pra guarda do prontuário do paciente (em papel ou digitalizado) antes de poder ser eliminado.

E o Conselho Federal de Odontologia, no Manual do Prontuário do Paciente em Odontologia, trata o prontuário como documento sigiloso e exige:

• Observância da LGPD (Lei 13.709/2018).
• Sigilo e confidencialidade, com anonimização quando aplicável.
• Que o paciente seja informado sobre a forma de arquivo e guarda.
• Que sistemas digitais garantam níveis adequados de segurança da informação.

Ou seja: a ferramenta que processa e guarda conversa de paciente entra no mesmo padrão de sigilo e segurança que o CFO exige do prontuário digital. Isso reforça a importância de proteger os dados da clínica contra vazamento.

As sanções da ANPD: o que está em jogo

Pra dimensionar o risco, vale saber o que a autoridade pode aplicar. Não é simbólico.

Segundo a própria ANPD, no regulamento de dosimetria (publicado em fevereiro de 2023), as sanções por infração à LGPD incluem:

Sanção	O que é
Advertência	Aviso com prazo pra correção
Multa simples	Até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração
Multa diária	Valor por dia até a regularização
Publicização da infração	A infração é tornada pública
Bloqueio dos dados	Os dados ficam suspensos até regularizar
Eliminação dos dados	Os dados precisam ser apagados
Suspensão / proibição do tratamento	Parcial ou total

O teto de multa (Art. 52, II da LGPD) é de até 2% do faturamento da empresa no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração.

Mas repare: pra uma clínica, a sanção financeira muitas vezes nem é o pior. Publicização da infração e suspensão do tratamento atingem direto a reputação e a operação. Confiança é o ativo de uma clínica, e vazamento de dado de paciente queima isso de um jeito difícil de recuperar.

Os direitos do titular que a IA precisa respeitar

A LGPD dá direitos ao paciente (o titular). A sua IA e o seu contrato com a fornecedora precisam permitir que você atenda esses direitos. Se não permitem, você não tem como cumprir a lei.

Os principais, no contexto de IA de atendimento:

• Acesso. O paciente pode pedir os dados que você tem dele. Você precisa conseguir extrair.
• Exclusão. O paciente pode pedir a eliminação dos dados (respeitada a guarda obrigatória de prontuário). Você precisa conseguir apagar nos sistemas, inclusive na IA.
• Revisão de decisão automatizada (Art. 20). O titular tem direito a solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado. Se a IA, sozinha, decidir algo que afete o paciente, ele pode pedir revisão humana.

Esse último ponto é o mais ligado à IA: ela atende, mas decisão que afeta o paciente deve ter caminho de revisão humana. É um motivo a mais pra desenhar bem o handoff da IA pra um humano.

Checklist: como contratar uma IA de atendimento sem expor a clínica

Junte tudo num roteiro prático. Antes de implementar, garanta estes pontos.

1. Você é o controlador, e isso está claro. O contrato reconhece a clínica como controladora e a fornecedora como operadora.
2. Existe contrato de tratamento (DPA) assinado. Com finalidade restrita, segurança, exclusão e notificação de incidente.
3. A base legal do atendimento é a tutela da saúde, não um consentimento genérico que o paciente pode revogar e travar tudo.
4. O consentimento de marketing é separado. Usar a base pra campanha tem opt-in próprio.
5. As conversas não treinam modelo. Garantido por contrato.
6. Você sabe onde os dados ficam. Inclusive se há transferência internacional e quais garantias existem.
7. Você consegue acessar, exportar e excluir os dados quando o paciente pedir.
8. Há encarregado (DPO) nomeado e o risco foi avaliado por escrito.
9. O fornecedor segue o padrão de sigilo e segurança que o CFO exige do prontuário digital.

Marcou todos? A IA tende a ser segura. Faltou algum? Resolva antes de colocar pra rodar.

As perguntas pra fazer ao fornecedor antes de assinar

Leve estas perguntas pra reunião com qualquer fornecedor de IA. As respostas te dizem mais que qualquer apresentação comercial.

• Quem é o controlador e quem é o operador no nosso contrato? (A resposta certa: você controla, eles operam.)
• Vocês têm contrato de tratamento de dados (DPA)? Posso ver as cláusulas de segurança, exclusão e incidente?
• As conversas dos meus pacientes são usadas pra treinar ou melhorar o modelo de vocês? (A resposta segura é não.)
• Onde os dados são armazenados e processados? Há transferência pra fora do Brasil? Com quais garantias?
• Quem mais tem acesso aos dados? Quais subcontratados (nuvem, modelo, telefonia)?
• Como eu acesso, exporto e excluo os dados de um paciente que solicitar?
• O que acontece com os dados se eu encerrar o contrato? São devolvidos ou eliminados?
• Vocês me notificam em caso de vazamento? Em quanto tempo?

Fornecedor sério responde tudo isso com naturalidade e por escrito. Fornecedor que enrola, desconversa ou diz "deixa que a gente cuida" está te dizendo, sem dizer, que o risco vai ficar todo com você.

Lembre: a IA de atendimento pode ser perfeitamente segura em LGPD. O que separa o seguro do arriscado não é a tecnologia, é o contrato, a base legal e o controle que ficam com a clínica.

Seu próximo passo

1. Mapeie o que a sua IA (atual ou futura) trata e onde fica. Liste quais conversas ela lê, onde os dados são armazenados e quem tem acesso. Esse mapa revela o seu risco real.
2. Exija o contrato de tratamento e faça as perguntas-chave. Use o checklist e a lista de perguntas deste guia antes de assinar ou renovar. Controlador, DPA, treino de modelo e localização dos dados são inegociáveis.
3. Trabalhe com quem entende dado de paciente, não só tecnologia. A IA de atendimento certa respeita a tutela da saúde, mantém o controle com você e responde rápido sem expor a clínica. Veja como funciona no nosso guia de IA de atendimento.

Quer uma IA de atendimento que responde o paciente em segundos e mantém os dados sob o seu controle, com contrato e base legal corretos? Agende uma apresentação.