LGPD e secretária virtual com IA: perguntas para a implantação
Antes de ativar uma secretária virtual com IA, a clínica precisa responder a perguntas sobre quais dados a assistente coleta, para que finalidade, quem acessa, onde ficam guardados e o que o fornecedor faz com eles. Como dado de saúde é sensível pela LGPD, a regra é coletar o mínimo para o atendimento administrativo e encaminhar o resto à equipe.
Este artigo não substitui orientação jurídica. Ele organiza as perguntas que a gestão da clínica deve levar para a reunião com o fornecedor, com o advogado e com a própria recepção.
Por que a IA no atendimento muda a conversa sobre LGPD
A Lei Geral de Proteção de Dados define dado pessoal sensível incluindo o "dado referente à saúde" (art. 5º, II) e estabelece princípios como finalidade, necessidade, transparência e segurança (art. 6º) (Lei nº 13.709/2018). Na recepção tradicional, a atendente já lida com esses dados. A diferença com a IA é de escala e de rastro: toda mensagem fica registrada, a assistente responde de madrugada sem supervisão direta e o conteúdo passa por sistemas de terceiros.
Um exemplo comum em clínica de fisioterapia: o paciente escreve "tenho hérnia de disco L4-L5, fiz cirurgia em março e o médico pediu 20 sessões, vocês atendem pelo plano?". Ele mesmo entregou dados de saúde sem ninguém pedir. A secretária de IA não pode impedir isso, mas pode evitar pedir mais detalhes, focar no que é administrativo (plano aceito, disponibilidade, documento necessário) e não repetir a informação clínica em mensagens seguintes.
Perguntas que a clínica responde internamente
Estas decisões são da clínica, não do fornecedor. Convém registrá-las por escrito.
- Qual é a finalidade da secretária de IA? Agendar, informar serviços, confirmar consultas, qualificar interesse? Cada finalidade justifica um conjunto diferente de dados.
- Quais dados ela pode pedir? Nome, telefone, tipo de atendimento procurado, preferência de horário e convênio costumam bastar. Data de nascimento e CPF só se forem realmente necessários naquela etapa.
- O que ela nunca deve pedir? Sintomas detalhados, exames, fotos de lesões, histórico de medicamentos.
- Quem da equipe vê as conversas? Recepção, comercial, profissionais de saúde, gestão? Todos precisam de acesso a tudo?
- Por quanto tempo as conversas ficam guardadas? E o que acontece com o histórico de quem nunca virou paciente?
- Como o paciente pede acesso, correção ou exclusão dos dados? Quem responde e em quanto tempo?
- Como a assistente se apresenta? O paciente sabe que conversa com uma IA e que pode pedir uma pessoa?
Perguntas para fazer ao fornecedor
Leve esta lista para a demonstração de qualquer plataforma:
- Em qual papel a empresa atua no tratamento: operador da clínica ou também controlador de algum dado?
- As conversas dos pacientes são usadas para treinar modelos de IA de outros clientes ou de terceiros?
- Quais subcontratados recebem os dados (provedor de nuvem, provedor do modelo de IA) e em que país ficam os servidores?
- Como funcionam controle de acesso por usuário, registro de quem visualizou conversas e autenticação?
- Existe registro das operações de tratamento, como pede o art. 37 da LGPD?
- Como a clínica exporta ou apaga os dados de um paciente quando ele solicita?
- O que acontece com os dados se a clínica cancelar o contrato?
- Como a ferramenta lida com decisões automatizadas? O art. 20 da LGPD garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.
Sobre esse último ponto, uma secretária administrativa bem configurada não deveria tomar decisões que afetam o paciente sem intervenção humana, como negar atendimento ou classificar alguém como "não prioritário". Se o fornecedor oferece esse tipo de triagem automática, a clínica precisa entender exatamente como ela funciona.
Mapa mínimo de dados da secretária de IA
Uma tabela simples ajuda a enxergar o que circula. Este é um modelo para preencher com a realidade da clínica:
| Dado | Por que é coletado | Quem acessa | Quando é descartado ou revisado |
|---|---|---|---|
| Nome e telefone | Identificar e responder o contato | Recepção, secretária de IA | Definir prazo para contatos que não agendaram |
| Tipo de atendimento procurado | Direcionar para o profissional certo | Recepção | Junto com o histórico do contato |
| Preferência de horário | Oferecer agenda | Recepção, secretária de IA | Após o agendamento |
| Convênio ou forma de pagamento | Informar condições administrativas | Recepção, financeiro | Conforme política da clínica |
| Informação de saúde enviada espontaneamente | Não é coletada de propósito | Somente quem precisa para o atendimento | Avaliar com orientação jurídica |
A última linha é a mais delicada. Defina com a equipe o que fazer quando o paciente envia exame, foto ou relato detalhado pelo chat: quem assume, onde a informação deve ficar e o que não deve ser replicado.
Clínicas pequenas têm regras simplificadas?
Em parte. A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para agentes de tratamento de pequeno porte, como microempresas e empresas de pequeno porte. Ela dispensa a indicação de encarregado, desde que exista um canal de comunicação com o titular, e permite registro simplificado das operações e política de segurança simplificada (ANPD, Resolução nº 2/2022).
Há uma ressalva importante para saúde. O regime simplificado não vale para quem realiza tratamento de alto risco. Pela resolução, alto risco exige ao mesmo tempo um critério geral (como larga escala ou tratamento que possa afetar significativamente direitos) e um critério específico (como uso de dados sensíveis ou de dados de crianças e idosos). Uma clínica pequena que trata dados de saúde precisa avaliar com cuidado se se enquadra.
A ANPD também publicou um guia orientativo de segurança da informação para agentes de pequeno porte, com checklist de medidas e modelo de registro das operações de tratamento (ANPD, guia para pequeno porte). É um bom ponto de partida para quem não tem equipe de TI.
Modelo de apresentação transparente
A transparência começa na primeira mensagem. Um exemplo para adaptar:
Olá! Sou a assistente virtual da [clínica]. Posso ajudar com horários, serviços e informações sobre atendimento. Para dúvidas sobre saúde ou casos específicos, encaminho você para nossa equipe. Se preferir falar com uma pessoa, é só pedir.
E uma resposta para quando o paciente envia dados clínicos sem ser solicitado:
Obrigada por explicar. Para orientações sobre o seu caso, quem pode ajudar é o profissional na consulta. Aqui consigo ver horários disponíveis e as condições do seu plano. Quer que eu verifique?
A segunda mensagem não repete o diagnóstico, não comenta a condição e devolve a conversa para o que é administrativo.
Levar as perguntas para a demonstração
O Vog Med oferece secretária de IA com transferência para a equipe, sem tomar decisões clínicas, integrada ao CRM para clínicas e à agenda. Questões sobre papéis no tratamento, armazenamento e controle de acesso devem ser feitas diretamente na demonstração e no contrato, com apoio de quem cuida da parte jurídica da clínica. Para um panorama mais amplo do tema, o artigo sobre LGPD no atendimento digital de clínicas complementa este roteiro.
Perguntas frequentes
A secretária de IA pode perguntar ao paciente qual é o problema de saúde dele?
Pode haver necessidade de saber o tipo de atendimento procurado, mas detalhar sintomas e histórico não é papel do primeiro contato administrativo. Pelo princípio da necessidade da LGPD, colete só o mínimo para agendar. Informações clínicas ficam para o profissional, no ambiente adequado, com as bases legais definidas pela clínica.
Quem é o controlador dos dados quando a clínica usa uma plataforma com IA?
Em geral, a clínica decide para que os dados são usados, o que a aproxima do papel de controlador definido no art. 5º da LGPD. O fornecedor que trata dados em nome dela tende a atuar como operador. A definição concreta depende do contrato e da operação, por isso vale análise jurídica.
Clínica pequena precisa nomear encarregado de dados?
A Resolução CD/ANPD nº 2/2022 dispensa agentes de tratamento de pequeno porte de indicar encarregado, desde que mantenham um canal de comunicação com o titular. A dispensa não vale para quem realiza tratamento de alto risco, conceito que considera, entre outros critérios, o uso de dados sensíveis combinado a larga escala.
