AI Act e RGPD: o que a lei exige a uma clínica com um assistente de IA a atender pacientes

Em que categoria de risco do AI Act cai um assistente que marca consultas?

Em princípio, fica fora do risco elevado. Um assistente que atende chamadas e WhatsApp para marcar, confirmar e remarcar consultas não consta da lista do anexo III do Regulamento (UE) 2024/1689 e não é um dispositivo médico. A obrigação que lhe cabe é a de transparência do artigo 50.º: dizer ao paciente que está a falar com uma IA.

O artigo 6.º do AI Act prevê duas vias para um sistema ser de risco elevado. A primeira é ser um produto, ou o componente de segurança de um produto, abrangido pela legislação do anexo I e sujeito a avaliação de conformidade por terceiros. É por aqui que entram os dispositivos médicos. A segunda é fazer uma das tarefas do anexo III. Na saúde, o ponto 5, alínea d), fala de sistemas "concebidos para avaliar e classificar chamadas de emergência" e de "sistemas de triagem de pacientes dos sistemas de cuidados de saúde de emergência". Marcar uma higiene oral para quinta às 15h não é nenhuma das duas coisas.

Também não é um dispositivo médico. O Regulamento (UE) 2017/745 só trata um software como dispositivo médico quando o fabricante o destina a fins médicos, como diagnóstico, prevenção, monitorização, previsão, prognóstico ou tratamento. O considerando 19 é explícito: o software de uso geral, "mesmo quando utilizado num contexto de saúde", não é um dispositivo médico. Uma agenda que fala cabe aqui.

Onde fica a fronteira

A fronteira passa no momento em que o assistente usa o que o paciente descreve para decidir alguma coisa clínica. Perguntar sintomas e classificar a urgência, dizer que uma dor "pode esperar" ou ordenar a lista de espera pela gravidade é triagem. Feita por software destinado a isso, pode transformá-lo num dispositivo médico (e, por essa via, num sistema de risco elevado do anexo I) ou pô-lo no ponto 5, alínea d), do anexo III, se servir cuidados de urgência. Esta leitura é nossa e depende da finalidade que o fornecedor declara. A regra prática é mais simples: um assistente de marcações não faz triagem.

Para quem fique do lado errado da fronteira, as obrigações de risco elevado foram adiadas pelo Regulamento (UE) 2026/1744, o "Omnibus Digital" da IA, em vigor desde 27 de julho de 2026. Aplicam-se a partir de 2 de dezembro de 2027 aos sistemas do anexo III e de 2 de agosto de 2028 aos do anexo I. O adiamento não tocou no artigo 50.º.

O que exige o artigo 50.º do AI Act e desde quando se aplica?

Desde 2 de agosto de 2026, um sistema de IA que fala diretamente com pessoas tem de as informar de que estão a interagir com uma IA, de forma clara e o mais tardar na primeira interação. A única exceção é quando isso é óbvio para uma pessoa razoavelmente informada. Ao telefone, com uma voz natural, não é óbvio.

Em rigor, a obrigação do n.º 1 recai sobre o fornecedor do sistema (o "prestador", na versão portuguesa do regulamento): é ele que o tem de conceber assim. A clínica é o "responsável pela implantação". Na prática, a clínica também responde, porque o artigo 13.º do RGPD já a obriga a explicar ao paciente como trata os dados dele e porque é o nome dela que aparece na chamada. Escolha um fornecedor que faça o aviso de origem e nunca peça para o tirar.

As orientações da Comissão Europeia sobre o artigo 50.º, de 20 de julho de 2026, dão exemplos concretos. Ao telefone, pedem uma frase falada no início da interação, com lembretes em conversas longas. Num chat, a saudação da primeira mensagem. Um som ou um tom distintivo, sozinho, não chega. E recomendam adaptar o aviso a idosos e a pessoas com deficiência, o que numa clínica está longe de ser um caso raro.

Clínica Sorriso, boa tarde. Fala o assistente virtual da clínica, um sistema de inteligência artificial. Posso marcar, confirmar ou remarcar a sua consulta. Se preferir falar com a receção, diga "receção".

A violação do artigo 50.º pode dar coimas até 15 milhões de euros ou 3% do volume de negócios anual mundial (artigo 99.º, n.º 4, alínea g)). Nas PME aplica-se o mais baixo dos dois valores (n.º 6). Em Portugal ainda falta o diploma que define quem aplica estas coimas, como explicamos mais abaixo.

A clínica tem de dar formação em IA à equipa?

Tem de tomar medidas para isso. O artigo 4.º do AI Act, aplicável desde 2 de fevereiro de 2025, obriga quem usa sistemas de IA a promover a literacia em IA das pessoas que os operam. Desde 27 de julho de 2026 a redação é mais leve: não exige um nível específico a cada pessoa nem certificado.

A versão original pedia que as empresas garantissem "um nível suficiente" de literacia. O Omnibus Digital substituiu o artigo: os prestadores e os responsáveis pela implantação "adotam medidas para promover a literacia no domínio da IA" do pessoal, tendo em conta o contexto de utilização e as pessoas afetadas, e a obrigação "não exige" um nível específico. As perguntas e respostas da Comissão sobre literacia em IA acrescentam que não é preciso certificado e que chega um registo interno do que foi feito.

Numa clínica com um assistente de marcações, isto resolve-se numa sessão curta com quem está na receção. O que o assistente faz sozinho e o que passa à equipa. Onde aparecem os pedidos encaminhados e quem os trata. Porque é que um modelo de linguagem pode inventar uma resposta com toda a confiança, e o que fazer quando isso acontece. Aproveite para falar do ChatGPT que a equipa já usa para escrever mensagens, que também conta. Guarde uma folha com a data, os temas e os nomes.

A clínica pode gravar e transcrever as chamadas que a IA atende?

Pode, com regras. Gravar chamadas para prova de uma transação ou de comunicações da relação contratual só é admitido pela Lei n.º 41/2004 se a pessoa for informada e der consentimento, e a CNPD repetiu-o em janeiro de 2026. Transcrever o pedido para o registar na agenda é um tratamento de dados sujeito às regras gerais do RGPD.

O n.º 3 do artigo 4.º da Lei n.º 41/2004 diz que a lei não impede as gravações feitas "para o efeito de prova de uma transação comercial nem de qualquer outra comunicação feita no âmbito de uma relação contratual, desde que o titular dos dados tenha sido disso informado e dado o seu consentimento". No Parecer 2026/6, aprovado a 27 de janeiro de 2026, a CNPD lembrou que nem um dever legal de gravar dispensa esse consentimento prévio.

Gravar o áudio e guardar uma transcrição são coisas diferentes, e convém saber qual das duas o seu fornecedor faz. O assistente tem de ouvir e converter a voz em texto para perceber o pedido. Guardar o ficheiro de áudio durante meses já é uma escolha. A nossa leitura: se a clínica guarda gravações, aplica-se a Lei n.º 41/2004, e o paciente tem de ser avisado no início e poder recusar sem perder a marcação. Se guarda só a transcrição e o registo da marcação, valem as regras do RGPD e a base legal é a prestação dos cuidados que o paciente pediu. Este é um ponto para validar com o encarregado de proteção de dados.

Quanto tempo se podem guardar gravações e transcrições

Nem o RGPD nem a Lei n.º 41/2004 fixam um prazo para as gravações de uma clínica. O RGPD pede que os dados só se guardem durante o tempo necessário à finalidade (artigo 5.º, n.º 1, alínea e)). A referência portuguesa mais concreta são duas deliberações da CNPD anteriores ao RGPD. A Deliberação n.º 629/2010 apontava um máximo de 90 dias para gravações de prova contratual e de 30 dias para monitorização da qualidade do atendimento. A Deliberação n.º 1039/2017 alargou os prazos de prova nos contratos à distância e nos de comunicações eletrónicas. Foram feitas ao abrigo da lei de proteção de dados de 1998 e não falam de clínicas, por isso servem de bitola e não de regra. Defina um prazo, escreva porquê e confirme que o fornecedor apaga mesmo.

Contrato, registo e avaliação de impacto

O fornecedor do assistente trata dados por conta da clínica, por isso é subcontratante, e o artigo 28.º do RGPD exige um contrato escrito: instruções da clínica, confidencialidade, segurança, apoio nos pedidos dos pacientes, apagamento no fim do serviço e a lista de subcontratantes ulteriores (quem fornece o modelo de linguagem, a telefonia e, no WhatsApp, a Meta). O tratamento entra no registo de atividades do artigo 30.º.

Falta a avaliação de impacto. A lista da CNPD de tratamentos sujeitos a avaliação de impacto (Regulamento n.º 798/2018) inclui, no ponto 9, o tratamento de dados do artigo 9.º do RGPD "com utilização de novas tecnologias ou nova utilização de tecnologias já existentes". Um assistente de IA que pode ouvir dados de saúde cabe nessa descrição, na nossa leitura. Peça ao fornecedor a informação técnica de que precisa para a fazer.

O que muda quando o paciente fala de saúde ao assistente?

Muda a categoria dos dados. "Dói-me o dente desde ontem" é um dado de saúde, categoria especial do artigo 9.º do RGPD. A clínica pode tratá-lo ao abrigo do n.º 2, alínea h), porque presta cuidados de saúde sob sigilo profissional. O assistente deve recolher só o necessário para marcar e deixar o resto para a equipa.

O n.º 3 do artigo 9.º liga essa exceção ao sigilo: os dados são tratados "por ou sob a responsabilidade de um profissional sujeito à obrigação de sigilo profissional", ou por alguém com um dever de confidencialidade equivalente. É mais uma razão para o contrato com o fornecedor ter uma cláusula de confidencialidade a sério. O lado do WhatsApp (número da clínica, API, lembretes) já o tratámos em WhatsApp para clínicas: o que o RGPD permite. Ao telefone vale o mesmo princípio.

Na configuração, isto traduz-se em perguntas fechadas. "É primeira consulta ou seguimento?" e "Que tipo de consulta pretende?" chegam para marcar. O assistente não precisa de perguntar sintomas e não deve pedir pormenores que o paciente não ofereceu. Se o paciente os conta por iniciativa própria, ficam no registo que a equipa vê e o assistente não faz mais nada com eles.

O que um assistente de IA nunca deve fazer numa clínica?

Nunca deve dar conselhos clínicos nem decidir se um caso é urgente. Perante sinais de emergência, encaminha logo para o 112. Perante dúvidas de saúde não urgentes fora de horas, para a linha SNS 24 (808 24 24 24). Também não deve fingir que é uma pessoa, inventar respostas ou recusar um paciente sem intervenção humana.

• Aconselhamento clínico. Nada de "tome um ibuprofeno" nem de "é normal doer depois de um implante". A pergunta passa à equipa clínica, com o contacto do paciente.
• Triagem. O assistente não decide que um caso pode esperar. O SNS 24 manda ligar para o 112 em situações graves ou de risco de vida e dá como exemplos dor no peito, dificuldade em respirar, suspeita de AVC e hemorragias abundantes. Se o paciente descreve algo assim, a resposta é uma só: "Ligue já para o 112."
• Fingir que é humano. Se o paciente perguntar "estou a falar com uma pessoa?", a resposta é a verdade, seguida da oferta de passar à receção.
• Inventar. Quando não sabe um preço, um seguro ou um horário, diz que vai passar o pedido à receção.
• Decidir sozinho o que afeta o paciente. Recusar uma marcação ou tirar alguém da lista de espera sem uma pessoa ver pode cair no artigo 22.º do RGPD, que limita as decisões exclusivamente automatizadas com efeitos significativos.

Convém ter clara uma distinção. Mandar ligar para o 112 sempre que o paciente descreve um sinal de alarme é uma regra de segurança, a mesma que se dá a qualquer rececionista no primeiro dia. Triagem seria o contrário: o sistema concluir que um caso não é grave e marcá-lo para daqui a três dias. A primeira protege o paciente e a clínica. A segunda é a que empurra o sistema para outra categoria do AI Act.

Quem fiscaliza o AI Act e o RGPD em Portugal?

No RGPD, a CNPD. No AI Act, a fiscalização cabe a uma autoridade nacional de fiscalização do mercado. O Governo anunciou em setembro de 2025 que seria a ANACOM, mas a 3 de novembro de 2026 não encontrámos no Diário da República o diploma que a designa nem o que fixa o regime de coimas.

A Agenda Nacional de Inteligência Artificial, aprovada pela Resolução do Conselho de Ministros n.º 2/2026, previa para o primeiro semestre de 2026 a "definição das autoridades competentes, do modelo de coordenação e do quadro sancionatório". O regulamento europeu aplica-se diretamente na mesma. Sem o diploma nacional fica por esclarecer, na prática, quem abre um processo por falta de aviso numa chamada. Quando for publicado, atualizamos este artigo.

Há ainda as autoridades de proteção dos direitos fundamentais do artigo 77.º, que Portugal comunicou à Comissão Europeia. A Entidade Reguladora da Saúde é uma delas. Estas entidades podem pedir documentação sobre sistemas de risco elevado do anexo III, o que não se aplica a um assistente de marcações bem configurado.

Que obrigações se aplicam à clínica e desde quando?

A tabela junta as obrigações deste artigo, o diploma onde estão, a data a partir da qual se aplicam e o que a clínica faz em concreto. As datas do AI Act já incluem as alterações do Regulamento (UE) 2026/1744. As do RGPD contam desde 25 de maio de 2018, quando o regulamento passou a aplicar-se.

Como é que a Loominary cumpre estas regras?

O assistente virtual da Loominary é um agente de IA feito à medida de cada clínica, com os tratamentos e os horários dela. Apresenta-se como assistente virtual da clínica logo na primeira frase ou mensagem. Passa à equipa as perguntas clínicas, as reclamações e as situações delicadas. A Loominary trata os dados como subcontratante, com contrato de tratamento de dados.

Não dá diagnósticos nem conselhos clínicos e, quando não sabe uma resposta, diz que vai pedir à receção em vez de improvisar. Não toma decisões com efeitos significativos sobre o paciente sem supervisão humana, e há sempre forma de passar a uma pessoa da clínica, como está nos nossos termos e condições. No WhatsApp usa a API oficial com o número da clínica. Os subcontratantes e as garantias estão na política de privacidade. Se a dúvida seguinte é se um assistente substitui alguém na receção, comparámos a rececionista virtual com IA e a humana.

O que deve a clínica verificar antes de pôr um assistente de IA a atender?

Antes de o assistente atender o primeiro paciente, confirme com o fornecedor e com o encarregado de proteção de dados os pontos desta lista. Cada um corresponde a uma obrigação explicada acima. Se algum ficar sem resposta clara, resolva-o antes de ligar o sistema: acertar a configuração no início custa menos do que corrigi-la com pacientes já atendidos.

1. A primeira frase da chamada e a primeira mensagem de WhatsApp dizem que é um sistema de inteligência artificial, de forma que um paciente de 80 anos perceba.
2. Há uma palavra ou uma opção para falar com uma pessoa, e fora de horas fica pelo menos um pedido de contacto.
3. O fornecedor assinou o contrato do artigo 28.º, com a lista de subcontratantes ulteriores e o local onde os dados são tratados.
4. Sabe se o sistema grava áudio, guarda transcrições ou só o resumo da marcação, e quem na clínica tem acesso a cada coisa.
5. Se há gravação, o paciente é avisado no início e pode recusar sem perder a marcação.
6. Há um prazo de conservação escrito para gravações e transcrições, e o fornecedor apaga no fim.
7. O assistente só pergunta o necessário para marcar e não faz perguntas sobre sintomas.
8. Perante sinais de emergência, a instrução é uma só: 112. Dúvidas de saúde não urgentes vão para a equipa ou para o SNS 24 (808 24 24 24).
9. A política de privacidade da clínica menciona o assistente, a finalidade, a base legal e o fornecedor.
10. O tratamento está no registo de atividades e a avaliação de impacto está feita.
11. A receção teve uma sessão sobre o assistente e há registo dela.