1. Dado pessoal
Nome, telefone e conversa de cliente são dados pessoais. Dado de saúde é dado sensível (LGPD, Lei 13.709/2018, art. 5º, II): numa clínica, quase toda mensagem de paciente é sensível.
Dado sensível só pode ser tratado nas hipóteses do art. 11, como consentimento específico e destacado. E a pessoa pode pedir revisão humana de decisão tomada só por máquina (art. 20).
2. Pequeno porte
A Resolução CD/ANPD nº 2/2022 simplifica obrigações para microempresa e empresa de pequeno porte: registro simplificado (art. 9º), encarregado dispensado se houver canal para o titular (art. 11) e prazos em dobro (art. 14).
Mas quem faz tratamento de alto risco perde essas simplificações (art. 3º). Alto risco = um critério geral (larga escala ou afetar direitos de forma significativa) e um específico, como tecnologia nova ou dado sensível (art. 4º). IA lendo mensagem de paciente pode chegar lá: confirme com um especialista antes de recomendar.
3. WhatsApp: custo
Desde 01/07/2025 a Meta cobra a API do WhatsApp Business por mensagem entregue, com tarifa por categoria (marketing, utilidade, autenticação, serviço) e por país; as mensagens de serviço têm uma faixa gratuita por mês. Confira a tabela atual antes de estimar custo.
Mensagem livre só dentro de 24 horas depois que o cliente escreveu; fora disso, só modelo aprovado. E só se manda mensagem para quem aceitou receber.
4. WhatsApp: IA
Desde 15/01/2026 os termos da API proíbem chatbot de IA de uso geral (um assistente aberto, tipo conversa livre com um modelo) como função principal.
IA de atendimento, agendamento, pedido e venda do próprio negócio continua permitida. Quem decide o que é "principal" é a Meta, então o escopo do assistente precisa ser o negócio, não conversa sobre qualquer assunto.
Canal oficial ou nãoFerramenta que conecta ao WhatsApp sem ser a API oficial da Meta (ou um provedor oficial, isto é, empresa parceira autorizada pela Meta) vai contra os termos de uso do WhatsApp, e o número da empresa pode ser bloqueado. Não recomende. No diagnóstico, marque o canal como oficial ou não oficial e, se for não oficial, escreva esse risco.