IA e LGPD no atendimento: o que cuidar ao usar IA com clientes

O que muda quando a IA atende o cliente

LGPD é a Lei Geral de Proteção de Dados, que regula como empresas e outras organizações tratam dados pessoais de pessoas físicas. Quando uma IA atende no WhatsApp, ela lê, grava e responde com nome, telefone e o que o cliente contar na conversa.

Isso é tratamento de dado pessoal, e as regras valem do mesmo jeito que para um atendente humano. Para o que a regulação da IA acrescenta, veja marco legal da IA e o atendimento.

A diferença é o volume e a velocidade. A IA conversa com muita gente ao mesmo tempo, então um descuido de configuração se repete em escala. Por isso o cuidado entra no desenho do atendimento, e não depois. Se a dúvida é sobre gravar reuniões com cliente dentro da LGPD, o assunto tem um guia à parte.

Quais dados passam pelo atendimento?

Mapear dados é listar o que o atendimento coleta, por que coleta, onde guarda e quem acessa. É o primeiro passo porque ninguém protege o que não sabe que tem.

Esta página trata do que a IA lê e responde na conversa. O lado do cadastro, ou seja, o que guardar no CRM, por quanto tempo e quem acessa, está em LGPD no CRM.

Qual base legal e qual finalidade usar?

Base legal é a hipótese da LGPD que autoriza a empresa a tratar um dado, como a execução de um contrato (ou dos passos antes dele, a pedido do cliente), o consentimento, o cumprimento de obrigação legal ou o legítimo interesse. Finalidade é o uso para o qual o dado foi coletado. Os dois precisam estar claros e registrados.

• Use o dado só para a finalidade informada. Dado coletado para agendar atendimento não vira lista de campanha sem base adequada.
• Registre, no CRM, de onde veio o contato e o que ele autorizou.
• Para mensagens ativas, como campanhas, respeite a escolha do cliente de não receber e, na API oficial, colete o opt-in conforme a política da Meta. Os textos para pedir e registrar essa permissão estão em opt-in no WhatsApp, e o planejamento da campanha em campanha de WhatsApp marketing.

Até onde a IA pode ir com dado sensível?

Minimização significa que a IA recebe e guarda apenas o dado indispensável para a tarefa. Se a resposta não depende de um documento ou de um detalhe de saúde, esse dado não deve entrar no fluxo do modelo.

Em segmentos como clínicas, isso pede cuidado extra. O agente pode agendar, informar horários e coletar o básico, e deixar o conteúdo clínico para a equipe. A regra de bolso é: se a pergunta é sensível, a IA acolhe, registra o mínimo e passa para uma pessoa.

O mesmo cuidado aparece em outros negócios: o dado de saúde no consultório, o sigilo no atendimento do escritório e a renda e as dívidas do cliente de crédito e financeira. Nesses casos, a IA agenda e qualifica, e o detalhe fica com uma pessoa da equipe.

Como ser transparente e respeitar os direitos do titular?

Transparência é o cliente saber que fala com um atendimento automatizado e como a empresa usa os dados dele. Os direitos do titular, de forma geral, incluem saber o que a empresa guarda, corrigir dados e pedir a eliminação quando cabível. Um modelo de aviso de privacidade no WhatsApp ajuda a dizer isso na primeira mensagem.

• A primeira mensagem identifica o atendimento como automatizado.
• Há sempre um caminho para falar com uma pessoa.
• Existe um canal conhecido para o cliente pedir informações sobre os dados dele.
• O time sabe a quem encaminhar esse tipo de pedido, e o CRM permite localizar e ajustar o cadastro.

Na prática, quase tudo isso cabe na primeira mensagem do agente. Adapte o modelo abaixo ao tom da sua empresa e peça ao jurídico para revisar o texto final.

PRIMEIRA MENSAGEM DO ATENDIMENTO COM IA
Olá! Aqui é o assistente virtual da [Empresa Exemplo, fictícia]. Sou um atendimento automatizado e posso ajudar com horários, valores e agendamento.
Se preferir falar com uma pessoa, escreva "atendente" a qualquer momento.
Esta conversa fica registrada para darmos continuidade ao seu atendimento. Como tratamos seus dados: [link da política de privacidade]

PEDIDO DE CONSENTIMENTO (só quando a base legal for o consentimento, como para receber novidades)
Podemos enviar novidades e ofertas por este WhatsApp? Você pode cancelar quando quiser respondendo "parar".
[Sim, quero receber]   [Não, obrigado]

RESPOSTA A QUEM PEDE "PARAR"
Pronto, você não vai mais receber nossas novidades por aqui. Se precisar de atendimento, é só chamar.

PEDIDO SOBRE OS PRÓPRIOS DADOS
Recebemos seu pedido sobre os seus dados. Uma pessoa da nossa equipe vai responder por este canal até [prazo combinado internamente].

Fornecedores, segurança e o que fazer se algo der errado

Ao usar IA, a empresa passa a depender de fornecedores de CRM, de WhatsApp e de modelos. Todos entram na sua cadeia de tratamento de dados, então vale conferir contrato, local de armazenamento, controle de acesso e se as conversas são usadas para treinar modelos.

• Prefira o canal oficial. A API oficial do WhatsApp (WhatsApp Business Platform, da Meta) traz regras claras de uso, e a diferença para o modelo não oficial está em API oficial ou não oficial.
• Limite o acesso ao CRM: cada pessoa vê só o que precisa, até onde o sistema permitir.
• Remova no mesmo dia o acesso de quem sai da equipe e troque senhas que eram compartilhadas.
• Evite pedir dado sensível por mensagem quando existir um caminho mais seguro.

Plano para incidente é o combinado de quem faz o quê quando uma conversa expõe um dado ou a IA responde algo indevido. Ter isso escrito antes poupa tempo e evita decisões no susto.

• Defina quem é o responsável por receber o alerta, dentro e fora do horário comercial.
• Tenha como pausar o agente rapidamente, sem depender de quem o configurou.
• Guarde o registro da conversa para entender o que aconteceu.
• Corrija a causa, anote a mudança e teste antes de religar.
• Avalie com o jurídico se o incidente precisa ser comunicado à ANPD (Autoridade Nacional de Proteção de Dados) e aos clientes afetados, como a LGPD prevê para casos de risco ou dano relevante.

Como implementar com cuidado, passo a passo?

1. 1
   Mapeie os dados

   O que o atendimento coleta, por que coleta, onde fica e quem acessa.

2. 2
   Defina base legal e finalidade

   Registre o motivo de cada tratamento e use o dado só para ele.

3. 3
   Reduza o que vai ao modelo

   Envie à IA só o que a tarefa exige e deixe dado sensível com uma pessoa.

4. 4
   Avise e ofereça saída

   Identifique o atendimento como automatizado e dê o caminho para um atendente.

5. 5
   Revise fornecedores e acessos

   Contrato, armazenamento, perfis de acesso e revisão periódica das conversas.

Para ver o conjunto, leia as boas práticas de IA no atendimento e os planos de implementação.