Por Que o Setor de Saúde Tem Regras Específicas
Dados de saúde são classificados pela LGPD (Lei 13.709/2018) como dados pessoais sensíveis no artigo 11, ao lado de dados biométricos, raciais e de orientação sexual. Isso significa que o tratamento exige consentimento específico e destacado, ou enquadramento em uma das hipóteses legais do Art.11, II — como tutela da saúde por profissional de saúde.
O Conselho Federal de Medicina (CFM), por sua vez, tem resoluções específicas sobre telemedicina e uso de tecnologia no exercício da medicina — sendo a mais relevante a Resolução CFM nº 2.314/2022 , que regula a telemedicina, e as orientações sobre prontuário eletrônico (Res. 1.821/2007).
Ignorar esse framework regulatório coloca a clínica em risco de multas da ANPD (até 2% do faturamento, limitado a R$50 milhões por infração) e processos no CFM.
O Que Você Pode Automatizar Sem Risco Jurídico
Há um conjunto de automações que não envolvem dados sensíveis de saúde e podem ser implementadas imediatamente:
Confirmação e Reagendamento de Consultas
Uma automação via WhatsApp que envia confirmação de consulta 24h e 2h antes, pergunta se o paciente confirmará ou precisará reagendar — e integra a resposta direto ao sistema de agenda. Não há dado sensível envolvido: apenas nome, data, hora e número de telefone.
Pesquisa de Satisfação Pós-Consulta (NPS)
Envio automático de NPS 4 horas após o atendimento via WhatsApp. A nota e o comentário são dados pessoais comuns (não sensíveis), processados com base legítima no interesse legítimo do controlador ou consentimento. O NPS alimenta o Looker Studio em tempo real.
Lembretes de Retorno e Aniversário
Lembretes para pacientes que devem retornar em 30, 60 ou 90 dias, e mensagens de aniversário — tudo baseado em data e nome, sem dado de saúde.
Triagem por Especialidade no WhatsApp
Um chatbot que pergunta “Qual tipo de atendimento você procura?” com opções como Clínica Geral, Ortopedia, Pediatria — e direciona o paciente para o fluxo de agendamento correto. Desde que o chatbot não registre queixas clínicas ou informações sobre condições de saúde , está dentro do permitido.
O Que Exige Cuidado Jurídico Específico
Triagem Clínica por IA
Se o chatbot coletou sintomas para direcionar atendimento, estamos no território de dado sensível. É necessário: (a) consentimento específico e granular, (b) política de privacidade atualizada com finalidade declarada, (c) Data Processing Agreement (DPA) com o fornecedor da IA, e (d) registro de atividades de tratamento (RIPD) conforme Art. 37 da LGPD.
Prontuário Eletrônico com IA
Qualquer sistema que use IA para sugerir CIDs, anamneses ou resumos de prontuário deve estar hospedado em servidor nacional ou com garantias equivalentes de proteção de dados. O CFM exige que prontuários sejam armazenados por pelo menos 20 anos (adultos) ou até 5 anos após atingir a maioridade (menores).
Integração com LLMs Externos
Enviar dados de pacientes para APIs externas (OpenAI, Google, Anthropic) requer análise: esses dados precisam ser anonimizados antes do envio, ou o fornecedor deve ser um suboperador com DPA vigente que garanta não treinamento com seus dados.
“A questão não é se sua clínica pode usar IA — é se está usando com proteção adequada aos dados dos seus pacientes. São obrigações complementares, não excludentes.”
Framework de Implementação Segura em 5 Etapas
-
Mapeamento de Dados: identificar quais dados cada automação coleta, processa e armazena. Separar dados comuns de sensíveis desde o início.
-
Base Legal Correta: cada tratamento precisa de uma base legal do Art. 11 da LGPD. Para triagem clínica: consentimento ou tutela da saúde por profissional habilitado.
-
Política de Privacidade Atualizada: declarar finalidade, base legal, prazo de retenção, direitos do titular e contato do DPO (encarregado).
-
DPA com Fornecedores: n8n (self-hosted elimina esse risco), Evolution API, provedor de nuvem — todos os suboperadores precisam de contrato de suboperação.
-
Consentimento Granular: banner ou mensagem de consentimento específico antes de qualquer coleta de dado sensível, com opt-out facilitado.
Tecnologia Recomendada Para Saúde
-
Agendamento: Doctoralia, Nuvem Fiscal ou sistema próprio com API — com n8n integrando ao WhatsApp
-
WhatsApp API: Evolution API self-hosted (dados ficam no seu servidor)
-
Automação: n8n self-hosted (VPS nacional) — auditoria completa de cada workflow
-
Armazenamento: PostgreSQL em VPS nacional ou Supabase (plano Enterprise com DPA)
Quer implementar IA no atendimento da sua clínica com segurança jurídica? A Alfa10x entrega o projeto completo com documentação de conformidade LGPD incluída.
