LGPD e IA no atendimento: o que revisar antes de ligar o agente
A LGPD não proíbe usar IA no atendimento, mas exige base legal para tratar o dado do cliente, transparência sobre quem (ou o quê) está respondendo, prazo definido de guarda da conversa e um contrato claro com o fornecedor da IA, especialmente quando o modelo é de terceiro.
Monte o seu agente e veja ele respondendo com as informações do seu negócio.
Criar meu agente de graça Montar é livre, sem cadastro e sem cartão.O que você vai encontrar neste artigo
Em resumo
- IA no atendimento é permitida se houver base legal e transparência com o titular
- Decisões que negam algo ao cliente (crédito, vaga, cobertura) precisam de revisão humana
- Modelo de terceiro (OpenAI, Google) exige contrato de operador e regras de transferência internacional
O que a lgpd diz sobre uso de inteligência artificial em dados pessoais
A Lei 13.709/2018 (LGPD) não tem um capítulo específico para inteligência artificial. Ela trata o dado processado por um agente de IA do mesmo jeito que trataria uma planilha ou um sistema de CRM: existe uma finalidade, uma base legal e um responsável por aquele tratamento. A tecnologia usada não muda a régua.
O ponto que mais aparece quando o assunto é IA é o Artigo 20, sobre decisões automatizadas. Ele dá ao titular do dado o direito de pedir informações sobre os critérios usados quando uma decisão que o afeta é tomada de forma automatizada — não só em atendimento. Isso já é regra em casos como score de crédito automatizado em fintechs e triagem de currículo por IA em processos seletivos de RH, dois usos de IA que não têm nada a ver com chatbot ou WhatsApp.
Há também um projeto de lei específico sobre IA em tramitação no Congresso, que deve detalhar mais regras para sistemas automatizados. Até virar lei, quem usa IA continua regido pela LGPD como está hoje.
Quando a lgpd exige que uma pessoa revise a decisão da IA
A lei não obriga, em todo caso, que um humano confira cada resposta da IA. Mas o titular pode solicitar revisão quando a decisão automatizada afeta seus interesses de forma relevante — negar um serviço, recusar uma cobertura, descartar um candidato. Nesses casos, a boa prática (e cada vez mais a expectativa regulatória) é manter uma pessoa capaz de explicar e, se necessário, reverter o que a IA decidiu.
Existe também a categoria de dado sensível (Art. 5º, II): saúde, orientação sexual, dado biométrico. Uma clínica de psicologia que usa IA para triagem inicial de pacientes, por exemplo, não deve deixar a máquina sozinha decidindo o que fazer diante de um relato de risco — isso precisa ir para um humano imediatamente, e o consentimento para tratar esse tipo de dado precisa ser específico, não genérico.
Regra prática: se a resposta da IA pode negar algo importante ao cliente ou envolve dado de saúde, alguém da equipe revisa antes ou logo depois — não deixe a decisão só com a máquina.
Meu agente de IA no WhatsApp precisa avisar que é um robô
Sim, e não é só boa educação: é aplicação direta do princípio da transparência da LGPD (Art. 6º, VI), que exige informação clara sobre como o dado do cliente está sendo tratado. Um cliente que conversa achando que fala com uma pessoa e depois descobre que era um sistema automatizado tem motivo legítimo para reclamar — e isso também esbarra em expectativa de defesa do consumidor.
- Comece a conversa deixando claro que quem responde é um assistente automatizado
- Diga como e quando o cliente pode pedir para falar com uma pessoa
- Evite nome ou avatar humano para o agente se ele não vai avisar isso em algum momento da conversa
- Documente esse aviso no fluxo — é o primeiro item que um auditor de LGPD pede para ver
Quanto tempo posso guardar a conversa do cliente com a IA
A LGPD não dá um número fixo de dias ou anos. A regra (Art. 15 e 16) é: guarde o dado só pelo tempo necessário para a finalidade que justificou a coleta, depois elimine ou anonimize, exceto quando houver obrigação legal de manter (documento fiscal, processo judicial em curso, prontuário sujeito a norma de conselho profissional).
| Situação | O que revisar |
|---|---|
| Conversa virou orçamento fechado | Guardar pelo prazo que a obrigação fiscal do seu setor exigir |
| Lead que nunca respondeu | Definir prazo curto de retenção e apagar depois |
| Atendimento de saúde (clínica, consultório) | Seguir prazo de guarda definido pelo conselho profissional, não o prazo padrão comercial |
| Cliente pede exclusão dos dados | Ter processo para apagar a conversa e confirmar ao titular |
O que muda quando o modelo de IA usado é de outra empresa (openai, Google etc)
Quando você usa um modelo de terceiro para responder o cliente, sua empresa é a controladora do dado e o fornecedor de IA é o operador (Art. 39 e 42). Isso significa que, se o dado vazar no lado do fornecedor, a responsabilidade perante o titular ainda recai sobre a sua empresa, não só sobre a fornecedora de IA.
Como boa parte desses modelos processa dado em servidor fora do Brasil, entra em jogo o Artigo 33, sobre transferência internacional. A ANPD já publicou orientações e modelos de cláusula contratual para esse tipo de transferência — o fornecedor sério tem isso pronto para assinar.
- Pergunte onde o dado é processado e armazenado
- Peça o contrato de operador de dados, não só o termo de uso genérico
- Confirme se a conversa do seu cliente é usada para treinar o modelo geral do fornecedor — se for, isso precisa estar declarado e, idealmente, ser desativável
- Verifique se dá para apagar o histórico de um cliente específico sob pedido
O que revisar antes de ligar um agente de IA no atendimento
Antes de ativar qualquer agente, vale passar por uma checagem simples — leva algumas horas, não dias, e evita retrabalho depois.
- Defina a base legal do tratamento (execução de contrato, legítimo interesse ou consentimento, conforme o caso)
- Escreva a mensagem de abertura avisando que é um atendimento automatizado
- Fixe um prazo de retenção da conversa e um processo para apagar sob pedido
- Leia o contrato do fornecedor de IA e confirme se ele age como operador de dados
- Nomeie um encarregado (pode ser você mesmo, em empresa pequena) para responder pedidos de titular
- Liste quais decisões a IA pode tomar sozinha e quais precisam passar por um humano antes de sair
Leia também
Perguntas frequentes
- A LGPD proíbe usar IA para atender clientes?
- Não. A lei permite, desde que o tratamento tenha base legal definida, transparência com o titular e um responsável identificado pelo processo.
- Preciso pedir consentimento para usar chatbot de IA no atendimento?
- Nem sempre. Se o atendimento é parte da execução de um contrato ou pedido do próprio cliente, outras bases legais como execução de contrato ou legítimo interesse podem se aplicar, sem precisar de consentimento explícito para cada mensagem.
- Quem responde se a IA vazar dado do cliente?
- A empresa que contratou a IA, como controladora do dado, responde perante o titular — mesmo que a falha tenha ocorrido no sistema do fornecedor.
- Preciso ter um encarregado (DPO) só porque uso IA no atendimento?
- A LGPD já exige a indicação de um encarregado independentemente de usar IA ou não; em empresa pequena, essa pessoa costuma ser o próprio dono ou gestor do negócio.
