ChatGPT e dados de alunos: o que o personal trainer precisa saber

Como a autorização funciona

O padrão usado é o OAuth, o mesmo mecanismo de "entrar com" que você já usa em dezenas de serviços — e a característica que importa é onde o login acontece: no site da plataforma, não dentro do chat. No caso do CoachPilot, você clica em adicionar o plugin, a tela do CoachPilot abre, você entra com o seu e-mail e senha e autoriza.

O que o ChatGPT recebe não é a sua senha: é um token com o escopo que você concedeu, que pode ser revogado depois sem trocar senha nenhuma. Tecnicamente, o CoachPilot usa OAuth 2.1 com PKCE, código de autorização de uso único e refresh token rotativo.

Regra prática para avaliar qualquer plataforma: se alguém pedir para você digitar a senha do seu sistema dentro do chat, ou colar uma chave de acesso permanente, o desenho está errado.

Leitura e escrita são permissões diferentes

A separação entre consultar e alterar é a decisão de segurança mais importante que você toma, e ela deve ser sua — não um pacote único que vem ligado.

No CoachPilot, a tela de consentimento oferece duas opções: somente leitura, ou leitura com escrita de treinos. A leitura alcança alunos, anamnese, avaliações, sessões, evolução por exercício, agenda e pendências. A escrita alcança exclusivamente programa de treino: aplicar, atualizar e desfazer.

A recomendação para o primeiro contato é começar por somente leitura. Você descobre em uma semana se as respostas batem com o seu registro, e libera a escrita depois — revogando e reautorizando em Configurações → Conexões.

Isolamento entre contas

Um sistema multiusuário precisa garantir que a conexão de um personal jamais alcance o dado de outro. Isso parece óbvio e é onde mora o risco mais sério de sistemas conectados a IA.

O motivo é específico e vale entender: a IA lê texto escrito por outras pessoas — anamnese preenchida pelo aluno, relato de dor, observação em uma sessão. Se a identificação da conta fosse um parâmetro que o modelo preenche, bastaria alguém escrever uma instrução dentro de um campo de texto para tentar redirecionar o acesso. No CoachPilot, o identificador do personal vem sempre do token de autorização e nunca de um argumento preenchido pelo modelo, e todo pedido sobre um aluno passa pela mesma verificação de propriedade que o portal usa. Texto escrito por aluno é tratado como dado, nunca como instrução.

O que acontece quando a IA escreve

Escrita sem rastro é o que transforma uma ferramenta útil em um problema. Cinco garantias que valem exigir de qualquer plataforma — e que são as do CoachPilot:

• Snapshot antes de cada alteração, que é o que torna o desfazer possível.
• Desfazer por 7 dias, pelo portal ou pedindo na própria conversa.
• Notificação no portal a cada alteração, com o resumo do que mudou.
• Idempotência: pedido repetido não duplica a gravação.
• Registro de auditoria de toda escrita.

Os limites que não são configuráveis

Tão importante quanto o que a IA pode fazer é o que ela não pode fazer em hipótese alguma — inclusive por escolha sua. No CoachPilot, estes limites não são ajustáveis nem pelo personal nem pela IA:

• Não existe excluir aluno nem apagar histórico. A operação simplesmente não existe.
• Não existe alterar plano, assinatura, cobrança ou qualquer dado financeiro.
• Não existe escrita em massa: cada programa é aplicado a um aluno por vez, para que o desfazer também seja individual.
• Não existe gravar programa com erro semântico: a validação roda antes da gravação e recusa explicando o que corrigir.
• Restrições de anamnese e dores relatadas são invioláveis: nenhuma proposta passa por cima delas.

Como revogar

Em Configurações → Conexões, no portal, a qualquer momento e com efeito imediato. A revogação corta o acesso daquela conexão sem afetar as outras nem os dados já gravados.

Vale revisar essa lista de vez em quando, como você faria com os aplicativos conectados à sua conta de e-mail. Conexão que você não usa há meses é superfície de risco sem contrapartida.

A parte da LGPD que quase ninguém escreve

Anamnese, avaliação física, foto de evolução e relato de dor são dados pessoais sensíveis de saúde na definição da LGPD. Consultá-los por meio de uma IA externa envia essa informação ao provedor daquela IA, tipicamente no exterior — o que configura transferência internacional de dado pessoal sensível.

Isso exige consentimento específico do aluno para essa finalidade. Não basta o aceite genérico dos seus termos de serviço nem uma cláusula sobre "uso de tecnologia": consentimento para dado sensível precisa ser destacado e específico quanto à finalidade. Na prática, significa incluir no seu contrato de prestação de serviço uma cláusula que explique que os dados de saúde dele podem ser processados por um assistente de IA de terceiro, para qual finalidade, e que ele pode recusar.

A hipótese está descrita nos termos de uso e na política de privacidade do CoachPilot. Mas a relação com o aluno é sua: o consentimento dele é obtido por você, e a responsabilidade de obtê-lo também. Quem não quiser essa transmissão simplesmente não conecta e segue usando o portal normalmente — a conexão é um caminho a mais, nunca um substituto obrigatório.

Onde fica a responsabilidade profissional

Prescrição de exercício é ato profissional exercido sob a sua responsabilidade técnica e o seu registro no CREF. Uma IA pode produzir a estrutura e digitar, mas quem responde pelo treino é você — o que significa que a revisão não é formalidade, é a etapa em que a sua responsabilidade se exerce.

Decisão com sinal de alerta continua fora: dor recente, lesão em investigação, retorno de afastamento longo, resultado de avaliação fora do esperado. Nesses casos a IA serve para organizar informação, não para escolher a conduta, e o encaminhamento a outro profissional de saúde é decisão humana.

Não há, até setembro de 2026, norma do CONFEF/CREF específica sobre uso de IA na prescrição. O posicionamento seguro é o mesmo de qualquer ferramenta: ela produz, você decide e assina.

Checklist antes de conectar qualquer sistema a uma IA

Oito perguntas que valem para qualquer plataforma, não só para esta. Se alguma delas não tiver resposta clara na documentação pública, ela é a pergunta a fazer antes de autorizar:

• O login acontece no site da plataforma, e não dentro do chat?
• Eu escolho entre somente consultar e também alterar?
• A conexão alcança apenas os dados da minha conta?
• Toda alteração me avisa, mostra o que mudou e pode ser desfeita?
• A revogação é imediata e está em um lugar que eu encontro?
• Existe uma lista pública do que a IA não pode fazer?
• Os termos dizem explicitamente o que acontece com dado de saúde do meu aluno?
• O consentimento que eu obtenho do meu aluno cobre essa finalidade?

A ficha técnica completa

Tudo o que está descrito aqui em prosa está listado item a item, com changelog e data de atualização, em documentação da integração com o ChatGPT. É a página feita para ser consultada e citada, incluindo por quem precisa auditar a decisão antes de aprová-la.

Perguntas frequentes

É seguro conectar meu sistema de alunos ao ChatGPT?

Não existe segurança absoluta, e desconfie de quem prometer. O que existe é desenho explícito: login no site da plataforma e não no chat, permissão escolhida por você entre ler e alterar, acesso restrito à sua conta, notificação e desfazer em toda alteração, revogação imediata e lista pública do que a IA não pode fazer. Se uma plataforma não oferece esses seis itens, a pergunta continua aberta.

Minha senha vai para o ChatGPT?

Não, quando a autorização é feita por OAuth. Você faz login na tela da própria plataforma e o ChatGPT recebe apenas um token com o escopo concedido, revogável depois sem troca de senha.

O ChatGPT consegue ver os alunos de outro personal?

No CoachPilot, nunca: cada autorização alcança somente os dados da conta que a concedeu, e a identificação do personal vem do token, não de um argumento que o modelo preenche. Isso importa porque a IA lê texto escrito por alunos, que é tratado como dado e nunca como instrução.

Preciso do consentimento do aluno para usar IA com os dados dele?

Sim, quando os dados incluem anamnese, avaliação física, foto de evolução ou relato de dor — que são dados sensíveis de saúde pela LGPD. Consultá-los por uma IA externa configura transferência internacional de dado sensível e exige consentimento específico para essa finalidade, e não apenas o aceite genérico dos seus termos.

A IA consegue apagar meus dados?

No CoachPilot, não: excluir aluno e apagar histórico não existem como operação, com nenhuma permissão. A escrita alcança apenas programa de treino, um aluno por vez, com notificação e desfazer por 7 dias.

Como revogo o acesso do ChatGPT aos meus dados?

Em Configurações → Conexões, no portal, a qualquer momento e com efeito imediato. A revogação corta o acesso daquela conexão sem afetar as outras nem os dados já gravados.

Se eu não quiser conectar, perco alguma função?

Não. A conexão é um caminho a mais. Todo o sistema continua funcionando pelo portal, e o fluxo de montar treino por prompt e importar com um clique também continua disponível, sem enviar dado de aluno para IA nenhuma além do que você mesmo colar.