LGPD e agente de IA no atendimento: guia prático para proteger os dados dos clientes

Se você tem uma empresa e atende e agenda clientes pelo WhatsApp, colocar um agente de IA para responder é um passo natural. O que muita gente esquece é que o tema LGPD agente de IA atendimento começa já na primeira mensagem. A boa notícia é que os cuidados são poucos, e dá para encaixá-los na rotina sem complicação.

Este guia foi escrito para dono de pequeno negócio: sem juridiquês, com checklist em ordem e modelos de mensagem para copiar. Ele não substitui orientação jurídica, que vale especialmente para clínicas e consultórios.

Por que a LGPD vale para o seu agente de IA no atendimento (mesmo numa pequena empresa)

A LGPD (Lei 13.709/2018) vale para todas as empresas que usam chatbots para coletar, armazenar ou tratar dados pessoais, das grandes às pequenas e médias. Ela entrou em vigor em agosto de 2020. Não existe "pequeno demais" para ficar de fora.

Que dados um agente de atendimento coleta sem você perceber

No WhatsApp, o agente já recebe o telefone do cliente na primeira mensagem, antes de a conversa começar de verdade. Se ele consulta o CRM, passa a tratar nome, e-mail e histórico de compras, que também são dados pessoais.

Numa única conversa, um agente pode coletar nome, telefone, CPF, e-mail e endereço. Em clínicas, pode ainda tratar dados sensíveis, como diagnósticos.

E não é só o que o cliente digita. IP, cookie de identificação, geolocalização e identificadores de dispositivo também contam como dado pessoal quando permitem chegar a uma pessoa.

A ANPD já está de olho em IA

Em dezembro de 2025, a Resolução CD/ANPD nº 30 criou o Mapa de Temas Prioritários 2026-2027. A fiscalização terá quatro focos, e dois deles interessam a quem atende cliente: direitos dos titulares e inteligência artificial com tecnologias emergentes.

No eixo de IA, a ANPD vai avaliar a transparência, ou seja, se o titular sabe que está falando com uma IA.

Em fevereiro de 2026, a Lei 15.352 transformou a ANPD em agência reguladora. Os direitos dos titulares (art. 18) e a revisão de decisões automatizadas (art. 20) continuam valendo como antes. Ou seja, as regras para quem atende cliente não mudaram, e cumpri-las é bem mais simples do que parece.

Base legal: nem tudo precisa de consentimento

Um erro comum é achar que tudo no atendimento exige consentimento. Não é bem assim. A base legal depende da finalidade, e separar atendimento de marketing resolve a maior parte da confusão.

Atendimento e agendamento

Defina com seu jurídico a base legal adequada para cada finalidade de atendimento e agendamento, e separe atendimento de marketing (para campanhas, obtenha consentimento específico e registre-o).

Marketing e campanhas

Para campanhas, o caminho muda. Peça consentimento específico, registre quando e como ele foi dado e ofereça um descadastramento simples. Algumas práticas ajudam:

• Separe os dados usados no atendimento dos usados em marketing.
• Não reaproveite bases antigas sem checar a origem.
• Guarde o registro do consentimento, com data e canal.

Essas são práticas sugeridas para o uso de IA no atendimento. Dados de saúde seguem regras mais restritas, e a base certa depende do caso. Nessas situações, vale conversar com um advogado.

O que o agente deve e não deve perguntar no agendamento

O princípio é simples: corte as perguntas desnecessárias. Quanto menos dado o agente coleta, menos você precisa proteger. Para marcar horário, geralmente bastam nome, contato, serviço, data e hora.

Clínicas e consultórios: cuidado com sintomas e motivo da consulta

Sintomas e diagnóstico são dados sensíveis. Evite que o agente peça isso por texto. Deixe esse assunto para a consulta ou para um atendente humano.

Salões e serviços: o mínimo necessário

Veja a diferença entre um roteiro enxuto e um com excesso de perguntas, no exemplo de um salão:

Enxuto: "Qual serviço você quer? Qual dia e horário prefere? Posso confirmar no nome de quem?"

Com excesso: "Qual seu CPF? Data de nascimento completa? Endereço? Tem alguma condição de saúde? Qual cartão vai usar?"

O segundo roteiro pede dados que o agendamento não precisa. Cada dado a mais é um risco a mais, sem ganho para o cliente.

CPF e dados de pagamento

Peça CPF só quando houver motivo real, como convênio ou nota fiscal. E nunca peça os dados completos do cartão no chat. Se precisar cobrar, direcione para um meio de pagamento próprio para isso.

Checklist em ordem para colocar o agente no ar com segurança

São passos rápidos, que cabem no dia a dia do atendimento. Siga na ordem.

Antes de ligar o agente

• Revise o que o agente vai acessar. Conectar fontes de conhecimento inteiras, como um site do SharePoint, sem revisar o conteúdo é um caminho comum para problemas.
• Se você tem encarregado (DPO), ele deve participar desde o desenho do caso de uso.
• Defina uma pessoa responsável pelos pedidos dos titulares.

Na primeira mensagem

• Avise que o atendimento é automatizado.
• Informe que a conversa é processada e armazenada.
• Inclua o link da política de privacidade.

Quem conversa com um agente sem saber que é um sistema automatizado, ou que a conversa fica armazenada, não recebeu a informação básica que a LGPD exige.

Durante a conversa

• Ofereça de forma clara a opção de falar com um humano.
• Colete só o necessário para o pedido.

Depois do atendimento

• Decida por quanto tempo guardar o histórico e quando apagar.
• Mascare CPF e cartão nos registros.

Quer um atendente que responde e agenda sozinho? Crie o seu em minutos

Modelos de mensagem prontos para copiar e adaptar

Ajuste o tom à sua marca, mas mantenha a informação essencial.

Boas-vindas com aviso de IA e link de privacidade

Olá! Sou o assistente virtual da [empresa]. Este atendimento é automatizado e a conversa fica registrada para cuidarmos do seu pedido. Veja como tratamos seus dados: [link]. Quer falar com uma pessoa? Digite ATENDENTE.

Resposta a um pedido de exclusão de dados

Recebemos seu pedido para apagar seus dados. Vamos encaminhá-lo ao responsável da [empresa], que dará retorno pelo [canal]. Se preferir, você também pode usar este formulário: [link]. Posso ajudar em mais alguma coisa?

O art. 19 da LGPD define prazos para responder ao titular, então combine internamente quem responde e em quanto tempo. O próprio agente pode ser a primeira linha desses pedidos: coleta as informações iniciais, encaminha para o formulário certo e responde dúvidas frequentes, 24 horas por dia.

Passagem para um atendente humano

Certo, vou chamar um atendente da nossa equipe. Ele assume esta conversa em até [tempo]. Enquanto isso, não precisa repetir o que já contou.

Fornecedor do agente e provedor de IA: quem responde pelo quê

Quando o cliente não vê o que acontece por trás do agente, é fácil esquecer que há mais gente envolvida no tratamento dos dados.

Controlador e operador em palavras simples

Definam contratualmente quem atua como controlador e quem atua como operador em cada fluxo de dados, e registrem essa alocação de responsabilidades. A divisão exata de responsabilidades depende do contrato e do caso, então vale consultar um advogado.

O que exigir no contrato

Agentes de IA trazem dois pontos que a LGPD trata com atenção: decisões automatizadas e a transferência de dados para terceiros, como os provedores de LLM que processam as mensagens. Por isso, pergunte ao fornecedor:

• Onde os dados ficam armazenados?
• Por quanto tempo?
• As conversas são usadas para treinar modelos?
• Que medidas de segurança existem?
• Como vocês me avisam em caso de incidente?

Treinamento com conversas e transferência internacional

A ANPD já tem processos sobre o uso de dados pessoais para treinar sistemas de IA generativa. Pergunte ao fornecedor se há transferência internacional de dados (por exemplo, processamento fora do Brasil) e peça a resposta por escrito antes de contratar.

Decisões automatizadas, incidentes e multas: o que pode dar errado

Nada disso precisa assustar, mas é melhor saber de antemão onde estão os riscos.

Direito de revisão de decisões automatizadas

O art. 20 garante ao titular o direito de pedir a revisão de decisões tomadas unicamente por tratamento automatizado que afetem seus interesses. Por isso, mantenha um humano nas decisões relevantes, como recusar um agendamento ou um atendimento. O agente organiza e responde, e a decisão que pesa fica com uma pessoa.

Vazamento: prazo de 3 dias úteis

Incidentes de segurança relevantes devem ser comunicados à ANPD e aos titulares afetados em até 3 dias úteis. Confirme o prazo e as condições na Resolução CD/ANPD nº 15/2024 e tenha o contato do responsável à mão antes de precisar dele.

Sanções e o regime para pequenas empresas

As sanções administrativas passaram a valer em 1º de agosto de 2021. A LGPD prevê nove sanções, da advertência à proibição do tratamento de dados. A multa simples pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração (art. 52, II).

Para os pequenos, a ANPD tem a Resolução CD/ANPD nº 2/2022, que trata dos agentes de pequeno porte, e já publicou um guia de segurança da informação para esse público. Vale ler esse material com calma e ver como ele se aplica ao seu negócio.

Um alerta: nenhuma ferramenta garante "conformidade total" ou "100% de segurança". Desconfie de quem promete isso.

Conclusão: atendimento automatizado e LGPD andam juntos

Com aviso de IA na primeira mensagem, perguntas enxutas, um canal para os direitos do titular, a opção de falar com um humano e regras de retenção, o agente de IA cabe no atendimento e no agendamento sem complicação. A maior parte do trabalho é decisão de processo, não de tecnologia.

Em casos sensíveis, como saúde, procure orientação jurídica antes de colocar o agente no ar. Para quem quer começar com agentes de IA no atendimento, conheça a Nevox e dê o primeiro passo.

Fale com um especialista da Nevox