Agente de IA com dado sensível: o que a LGPD exige da plataforma (saúde e jurídico)?

Quando o agente de IA atende paciente numa clínica ou cliente num escritório, ele está tratando dado pessoal sensível — e a LGPD muda as regras do jogo. A pergunta certa antes de assinar com qualquer plataforma deixa de ser "funciona?" e passa a ser "como protege e quem responde se vazar?". Esse texto é o checklist que você precisa pra essa segunda pergunta.

O que muda quando o dado tratado é sensível?

A LGPD divide os dados em duas grandes categorias — pessoais e sensíveis. Sensível é o que pode gerar discriminação: saúde, origem racial, convicção religiosa, dado biométrico, vida sexual, dado de criança. E o tratamento de sensível exige base legal mais restrita (art. 11) — em regra, consentimento específico e destacado do titular, ou hipóteses muito amarradas como tutela da saúde e cumprimento de obrigação legal.

Na prática, isso significa que o agente que conversa com paciente no WhatsApp da clínica, ou o agente que recebe documento do cliente no escritório de advocacia, está num regime jurídico mais apertado do que um chatbot de e-commerce. E a responsabilidade primeira é do controlador — ou seja, do seu negócio — não da plataforma.

• Saúde: queixa, sintoma, diagnóstico, exame, medicação, histórico clínico — tudo sensível.
• Jurídico: segredo de cliente protegido pelo Estatuto da OAB, somado a dado pessoal de partes processuais, prontuário e laudo anexado ao processo.
• Contábil: na maior parte, dado pessoal comum — mas vira sensível quando entra folha com afastamento médico, dependente menor ou origem do colaborador.

Quais cuidados a LGPD exige especificamente do fornecedor da plataforma?

O fornecedor da plataforma é o operador, na linguagem da LGPD. Ele executa o tratamento em nome de quem contrata. Isso obriga uma série de cláusulas técnicas e contratuais — sem as quais o controlador (você) fica exposto, mesmo que tenha agido de boa-fé.

• Criptografia em repouso e em trânsito — dado parado no banco e dado viajando entre o WhatsApp e a plataforma.
• Segregação por empresa — o dado de uma clínica nunca pode ser acessado por outra que use a mesma plataforma.
• Controle de acesso por papel — quem da operação enxerga o quê, com log de auditoria.
• Retenção e descarte programados — o dado é apagado quando a finalidade se exaure, não quando alguém lembrar.
• Sub-operadores listados — se a plataforma contrata um provedor de modelo (Claude, GPT, Gemini, etc.) por baixo, isso precisa estar no contrato com você.

Como funciona o consentimento quando o agente atende no WhatsApp?

O consentimento da LGPD precisa ser livre, informado, inequívoco e específico. Num agente de WhatsApp, isso vira uma mensagem inicial clara: quem está do outro lado é uma IA, qual a finalidade do tratamento, quais dados serão coletados, por quanto tempo ficam guardados, e como o titular pode revogar. Sem isso, o consentimento é frágil — e a ANPD já sinalizou que pop-ups e textos genéricos não bastam.

Para a clínica, o melhor é combinar duas bases legais: consentimento específico pra interação com a IA, e tutela da saúde pro tratamento do dado clínico que dali sair. Para o escritório, normalmente é execução de contrato (o cliente já contratou serviço advocatício) somado a consentimento específico pra usar IA no caso.

O que pedir no contrato antes de assinar?

O contrato com a plataforma — DPA, Data Processing Agreement, ou "adendo de proteção de dados" em português — é o documento que blinda você. Sem ele, é palavra contra palavra. Pedir cada um dos itens abaixo, por escrito, antes de assinar.

1. Definição clara dos papéis: você é controlador, a plataforma é operadora.
2. Finalidade exata do tratamento — pra que vão usar o dado, e nada além disso.
3. Lista de sub-operadores (provedores de modelo, infra, mensageria) e mecanismo de aviso quando mudar.
4. Base legal contratualmente aceita pra cada tipo de dado (sensível inclusive).
5. Tempo de retenção e procedimento de descarte verificável.
6. Cláusula explícita proibindo uso dos seus dados pra treinamento de modelo — incluindo os sub-operadores.
7. Regime de incidente: prazo de notificação ao controlador (idealmente 24h-48h) e cooperação com a ANPD.
8. Direitos do titular: atendimento dos pedidos de acesso, correção e exclusão dentro do prazo da LGPD.
9. DPO ou encarregado nomeado nos dois lados, com canal direto de contato.
10. Hipótese de auditoria — você tem direito a pedir relatório, e em certos cenários, auditoria técnica.

Onde a Elohia se encaixa

A Elohia foi desenhada como operadora pra clientes que tratam dado sensível — clínicas, escritórios, consultorias regulamentadas. Na prática isso vira capacidade técnica e cláusulas contratuais embutidas no padrão, não em planos premium.

• Ambiente dedicado por empresa: cada cliente tem o próprio espaço lógico, com dado isolado dos demais.
• Criptografia em repouso e em trânsito como default, não como upsell.
• DPA padrão pronto pra assinatura, com sub-operadores listados e cláusula explícita de não-uso para treinamento.
• Retenção configurável por tipo de dado — conversa, anexo, transcrição de áudio cada um com sua regra.
• Log de auditoria por agente: quem da equipe acessou, quando, e o que viu.
• Encarregado nomeado e canal de contato pra exercício de direitos dos titulares.

Onde a Elohia NÃO resolve sozinha: a base legal precisa ser definida por você e seu jurídico — a plataforma não decide se você opera por consentimento ou por tutela da saúde. E a Resolução CFM 2.454/2026 obriga supervisão humana qualificada no exercício médico, então o agente faz a triagem e a comunicação, mas a decisão clínica continua com o profissional.

Se você está avaliando plataforma agora, comece pelos dois posts relacionados: como escolher plataforma de agentes de IA e agente de IA para advocacia ou agente de IA para clínicas e consultórios. E veja como a Elohia se conecta à sua vertical em /solucoes/clinica-medica, /solucoes/clinica-odontologica e /solucoes/advocacia.

Perguntas frequentes

Posso usar agente de IA com dado de paciente ou cliente sem violar a LGPD?

Pode, desde que exista base legal — geralmente consentimento específico e destacado, ou execução de contrato, ou tutela da saúde — e que a plataforma assuma contratualmente o papel de operadora, com DPA, criptografia em repouso e trânsito, e segregação de dados por empresa.

O agente pode gravar e transcrever conversa de paciente ou cliente?

Pode, com aviso prévio, finalidade declarada e base legal. O áudio e a transcrição passam a ser dado sensível e seguem as mesmas exigências de armazenamento, retenção e descarte do prontuário ou do dossiê do cliente.

O dado tratado pelo agente vai parar no treinamento do modelo de IA?

Não deveria. Exija contratualmente que a plataforma desabilite o uso dos seus dados para treinamento e que repasse a mesma cláusula aos sub-operadores (provedores de modelo que ela contratar). Sem essa cláusula explícita, assuma que pode vazar pro modelo.

Se vazar, quem responde — eu ou a plataforma?

Os dois, em níveis diferentes. Você é o controlador — decide finalidade e meios. A plataforma é operadora — executa em seu nome. A LGPD prevê responsabilidade solidária quando a operadora descumpre o que foi contratado ou as instruções do controlador.

O que pedir no contrato (DPA) antes de assinar com fornecedor de agente de IA?

Finalidade explícita, lista de sub-operadores, base legal aceita, prazo de retenção e procedimento de descarte, criptografia em repouso e trânsito, segregação de dados por cliente, regime de notificação de incidente em até 48h, cláusula proibindo uso pra treinamento e DPO nomeado de ambos os lados.