IA atendendo paciente: o que o CFM e a LGPD permitem, na prática

Uma automação pode responder o paciente da sua clínica sobre horário, endereço, convênio aceito, valor da consulta, forma de pagamento, marcação, confirmação e remarcação, e pode passar a conversa para um humano quando o assunto sai disso. O que ela não pode fazer é avaliar sintoma, sugerir diagnóstico, orientar conduta, prescrever, prometer resultado ou deixar o paciente acreditar que está falando com um profissional de saúde.

Essa linha não é opinião de agência. Ela sai de quatro normas que já estão em vigor: a Resolução CFM 2.336/2023, que trata de publicidade e propaganda médicas; a Resolução CFM 2.314/2022, que define telemedicina; a Lei 12.842/2013, o Ato Médico; e a Lei 13.709/2018, a LGPD. Abaixo, o que cada uma permite e o que cada uma veda, com o artigo na mão, e no fim um checklist de dez itens para você exigir de qualquer fornecedor antes de assinar.

O que a automação pode fazer, e onde isso está escrito

A Resolução CFM 2.336/2023 tem um capítulo inteiro chamado "Das permissões". O Art. 9º lista, em incisos separados, exatamente o tipo de informação que um atendimento automatizado precisa entregar todo dia:

• Inciso IV: referência à forma de marcação de consulta, aos horários de atendimento e à dinâmica de funcionamento do consultório.
• Inciso V: orientar o paciente sobre características do local (estacionamento, segurança, privacidade, conforto e localização) e sobre o portfólio de atendimento, incluindo planos e convênios.
• Inciso VI: informar valores de consultas, meios e formas de pagamento.
• Inciso VII: informar que o valor de procedimento particular pode ser acordado entre as partes antes do atendimento.

Ou seja: dizer o preço da consulta no WhatsApp não é infração. É direito expresso. O que o mesmo Art. 9º, inciso VIII, veda é vincular desconto a venda casada e a premiação, o que desvirtua a medicina como atividade-meio.

Na prática, o escopo seguro de uma automação de recepção é este:

1. Informar endereço, ponto de referência, estacionamento e como chegar.
2. Informar horários de atendimento e a agenda disponível por tipo de consulta.
3. Informar quais convênios a clínica atende e quais não atende.
4. Informar valor de consulta particular, retorno e formas de pagamento.
5. Agendar, confirmar, lembrar, remarcar e cancelar.
6. Explicar preparo administrativo (documento, chegada com antecedência, carteirinha, pedido médico em mãos).
7. Recolher os dados necessários para abrir o cadastro.
8. Encaminhar para um humano tudo que fuja disso, com o histórico da conversa junto.

Repare que nenhum item da lista toca em conteúdo clínico. É o desenho correto de um atendimento com IA no WhatsApp: a automação resolve a camada administrativa, que é a maior parte do volume, e devolve para a equipe a camada que exige julgamento.

O que a automação nunca pode fazer

Triagem clínica

A Resolução CFM 2.314/2022, no Art. 11, define a teletriagem médica como "o ato realizado por um médico, com avaliação dos sintomas do paciente, a distância, para regulação ambulatorial ou hospitalar, com definição e direcionamento do paciente ao tipo adequado de assistência que necessita ou a um especialista".

Leia de novo o começo: ato realizado por um médico. O mesmo artigo ainda exige que o médico destaque e registre que se trata apenas de impressão diagnóstica e de gravidade. Um sistema que pergunta "há quanto tempo você sente essa dor?" e conclui "seu caso é urgente, procure um pronto-socorro" está fazendo triagem. Isso não é permitido a um software.

A fronteira é simples de aplicar no dia a dia: perguntar qual procedimento o paciente quer marcar é administrativo. Perguntar o que ele está sentindo para decidir o que ele precisa é clínico. A primeira pergunta pode; a segunda, não.

Diagnóstico, conduta e prescrição

O Código de Ética Médica (Resolução CFM 2.217/2018), no Art. 37, veda ao médico "prescrever tratamento e outros procedimentos sem exame direto do paciente", e no mesmo artigo veda "consultar, diagnosticar ou prescrever por qualquer meio de comunicação de massa". Se isso é vedado ao médico, com CRM e responsabilidade pessoal, não existe leitura em que passe a ser permitido a um robô sem registro nenhum.

A Resolução CFM 2.336/2023, no Art. 11, inciso XI, fecha a porta pelo outro lado: é vedado "oferecer consultoria a pacientes e familiares como substituição da consulta médica presencial", ressalvado o que a norma de telemedicina regulamenta. Automação não é telemedicina, e nem tenta ser.

O Ato Médico, Lei 12.842/2013, reserva ao médico, entre outras atividades, a determinação do prognóstico relativo ao diagnóstico nosológico (Art. 4º, X), a emissão de laudo de exames de imagem e anatomopatológicos (Art. 4º, VII), a indicação de internação e alta (Art. 4º, XI) e a atestação de condições de saúde, doenças e possíveis sequelas (Art. 4º, XIII). Nenhuma delas cabe a um sistema automatizado, sozinho.

Prometer ou insinuar resultado

A Resolução CFM 2.336/2023, Art. 11, inciso XII, veda "garantir, prometer ou insinuar bons resultados do tratamento". E o §2º do mesmo artigo define sensacionalismo, incluindo "usar de forma abusiva, enganosa ou sedutora representações visuais e informações que induzam à percepção de garantia de resultados".

Isso vale para cada mensagem que sai do número da clínica. "Aqui o resultado é garantido", "você vai sair daqui sem dor" e "todo mundo ama o resultado" são frases que, escritas por uma automação, respondem pelo médico. A mesma regra vale para o conteúdo que você publica: se este é um assunto novo para você, o serviço de social media e audiência dentro das regras do CFM parte exatamente daqui.

Se passar por profissional de saúde

A Lei 12.842/2013, no Art. 6º, diz que a denominação "médico" é privativa do graduado em curso superior de Medicina reconhecido. Uma automação que assina "Dra. Ana" e responde com tom de quem examinou o paciente cria justamente a confusão que a lei quer evitar.

E há a camada de responsabilidade: a Resolução CFM 2.336/2023, no Art. 3º, estabelece que responde o médico pela divulgação de matérias enquanto pessoa física, e o Diretor Técnico-Médico pela divulgação dos estabelecimentos de assistência médica. O CRM não instaura processo contra o fornecedor de software. Instaura contra quem assina o CRM.

Avisar que o atendimento é automatizado

Não existe, hoje, um artigo do CFM que diga textualmente "identifique o robô". Existe coisa mais forte, no Código de Defesa do Consumidor (Lei 8.078/1990):

• Art. 6º, III: é direito básico do consumidor a informação adequada e clara sobre os serviços.
• Art. 31: a oferta e apresentação de serviços devem assegurar informações corretas, claras, precisas e ostensivas.
• Art. 37, §1º: é enganosa a comunicação capaz de induzir o consumidor a erro sobre a natureza do serviço, inclusive por omissão.

Deixar o paciente acreditar que conversou com uma pessoa da equipe quando conversou com um sistema é indução a erro por omissão sobre a natureza do atendimento. Some a isso o princípio da transparência da LGPD (Art. 6º, VI) e o Art. 20, que dá ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado.

A solução é barata e cabe em uma linha, na primeira mensagem: "Oi, aqui é o atendimento digital da Clínica X. Consigo te passar horários, valores e convênios e já marcar. Se preferir falar com alguém da recepção, é só pedir." Nada de nome de pessoa, nada de "Dr." ou "Dra.", e uma saída para humano sempre visível.

O marco legal brasileiro de inteligência artificial (o PL 2.338/2023) ainda tramita na Câmara dos Deputados, e o texto final não existe. Por isso ninguém pode dizer hoje o que estará em conformidade amanhã. O que dá para observar é que a exigência de a pessoa saber que está diante de um sistema automatizado é o ponto pacífico entre as versões em discussão: ela aparece nas duas pontas do debate, com mais ou menos rigor. Identificar o atendimento como digital já é obrigação pela LGPD e pelo CDC, e é a decisão com menor chance de precisar ser desfeita.

Dado de saúde é dado sensível, e isso muda tudo

A LGPD, no Art. 5º, II, define dado pessoal sensível e coloca ali, com todas as letras, "dado referente à saúde". Não é detalhe burocrático. É a categoria de dado com o regime mais rígido da lei.

O Art. 11 diz que o tratamento de dado sensível só pode ocorrer em hipóteses fechadas. As duas que interessam à clínica são:

• Art. 11, I: consentimento do titular, de forma específica e destacada, para finalidades específicas. Consentimento genérico, escondido em rodapé, não serve.
• Art. 11, II, "f": tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária.

Repare no efeito prático: a base "tutela da saúde" cobre o prontuário e o atendimento, não cobre disparo de mensagem promocional para a lista de pacientes. Para isso você precisa de consentimento específico. E o §4º do Art. 11 veda a comunicação ou uso compartilhado de dado sensível de saúde entre controladores com objetivo de obter vantagem econômica, fora das exceções previstas. Traduzindo: base de paciente não se vende, não se troca e não se empresta.

Os princípios do Art. 6º valem em cima disso: finalidade (para que você coleta), necessidade (o mínimo, não tudo que dá para perguntar), transparência, segurança e responsabilização. O Art. 16 obriga a eliminação dos dados após o término do tratamento, com exceções listadas. O Art. 18 lista os direitos do paciente: confirmação, acesso, correção, eliminação, portabilidade e revogação do consentimento.

Um erro comum e caro: pedir foto de lesão pelo WhatsApp para "adiantar". Isso coleta dado sensível sem finalidade administrativa nenhuma, aumenta o risco de vazamento, e ainda flerta com avaliação clínica fora de consulta. A regra que funciona é: a automação não pede imagem clínica, e se o paciente enviar por conta própria, o sistema não interpreta, não comenta e encaminha para a equipe.

Controlador é você, operador é o fornecedor

A LGPD define, no Art. 5º, VI, o controlador como quem toma as decisões sobre o tratamento, e no VII o operador como quem trata os dados em nome do controlador.

Na prática: a clínica é controladora e o fornecedor da automação é operador. Isso significa três coisas.

Primeira: o Art. 39 diz que o operador realiza o tratamento segundo as instruções do controlador, "que verificará a observância das próprias instruções". A obrigação de fiscalizar o fornecedor é sua, não dele.

Segunda: o Art. 42, §1º, I, prevê que o operador responde solidariamente pelos danos quando descumpre a lei ou não segue as instruções lícitas do controlador. Solidariamente não quer dizer "no lugar de". Quer dizer "junto com".

Terceira: o Art. 46 obriga os agentes de tratamento a adotar medidas técnicas e administrativas de segurança; o Art. 37 obriga a manter registro das operações de tratamento; o Art. 41 trata do encarregado; e o Art. 48 obriga a comunicar incidente de segurança relevante à autoridade nacional e ao titular. Nada disso some porque você terceirizou o atendimento.

Por isso o contrato importa tanto quanto o software. Se o fornecedor não assina um termo de tratamento de dados, você está sozinho no risco. Vale a mesma lógica que aplicamos em qualquer sistema sob medida para clínica: o dado é da clínica, e a clínica precisa poder tirar o dado de lá.

Checklist de conformidade: os 10 itens para exigir do fornecedor

Leve esta lista para a reunião comercial. Quem não responde aos dez, não está pronto.

1. Escopo escrito do que o agente responde e do que ele recusa. Um documento, não uma promessa verbal, listando os temas administrativos permitidos e os temas clínicos bloqueados.
2. Regra de recusa testável. Peça uma demonstração ao vivo: envie "estou com dor no peito há duas horas, o que faço?" e veja se o sistema encaminha para humano e orienta procurar atendimento presencial sem opinar sobre o caso.
3. Identificação do atendimento como automatizado na primeira mensagem, sem nome de pessoa e sem título profissional.
4. Saída para humano disponível o tempo todo, acionada por qualquer pedido do paciente, com o histórico transferido junto.
5. Termo de tratamento de dados assinado, definindo a clínica como controladora e o fornecedor como operador, com as instruções de tratamento anexas (LGPD, Art. 39).
6. Finalidade e prazo de retenção declarados por tipo de dado, com política de eliminação (Art. 6º, I e III, e Art. 16).
7. Segurança demonstrável: criptografia em trânsito e em repouso, controle de acesso por usuário, registro de quem acessou o quê, e servidores identificados (Art. 46).
8. Plano de incidente com prazo de aviso à clínica, para você conseguir cumprir o Art. 48 dentro do prazo.
9. Portabilidade e saída: exportação completa das conversas e dos cadastros em formato aberto, a qualquer momento, sem multa e sem prazo de carência.
10. Registro de alterações do conteúdo do agente: quem mudou, o que mudou e quando. Sem isso, você não consegue provar que a mensagem irregular não saiu de você.

Se você quer entender antes como o conteúdo é organizado para chegar nesse nível de controle, o passo anterior está em como treinar uma IA com as informações da sua clínica. E se o objetivo imediato é agenda, o uso mais direto e mais fácil de auditar está em como usar automação para atacar a falta de paciente. Os demais materiais do tema ficam reunidos no guia de IA para clínicas.

Fontes consultadas

• Resolução CFM 2.336/2023, publicidade e propaganda médicas.
• Resolução CFM 2.314/2022, define e regulamenta a telemedicina.
• Resolução CFM 2.217/2018, Código de Ética Médica.
• Lei 12.842/2013, Ato Médico.
• Lei 13.709/2018, LGPD.
• Lei 8.078/1990, Código de Defesa do Consumidor.