LGPD e chatbot com IA: checklist para pequenas e médias empresas

Aviso importante: este texto é informativo e geral. Não é aconselhamento jurídico e não substitui a análise de um advogado ou de um encarregado de dados (DPO) sobre o seu caso, o seu setor e a sua operação.

Por que a LGPD importa para quem usa chatbot com IA?#

A Lei Geral de Proteção de Dados (Lei 13.709/2018) regula o tratamento de dados pessoais, isto é, qualquer informação ligada a uma pessoa identificada ou identificável. Um chatbot de atendimento está cheio deles: nome, telefone, e-mail, endereço, o conteúdo das mensagens, áudios, histórico de compras, fotos e, dependendo do negócio, até dados de saúde.

Isso não significa que automatizar o atendimento seja arriscado por si só. Significa que a automação precisa ser desenhada com as regras em mente. Se você ainda está conhecendo o assunto, o guia completo de chatbot com IA no WhatsApp explica como esses agentes funcionam.

Quais conceitos da LGPD você precisa conhecer?#

Checklist: o que fazer antes de ligar o chatbot#

1. Mapeie os dados#

• Quais dados o chatbot coleta (nome, telefone, e-mail, mensagens, áudios, imagens, documentos)?
• Onde ficam guardados (plataforma, CRM, planilhas, e-mail)?
• Quem tem acesso?
• Algum dado sensível é tratado (por exemplo, saúde)?

2. Defina finalidade e base legal para cada uso#

• Para que cada dado é usado (atender, agendar, cobrar, fazer marketing, melhorar o atendimento)?
• Qual a base legal de cada finalidade?
• O que depende de consentimento (comunicações de marketing, em geral) está separado do que não depende?

3. Seja transparente com o cliente#

• A saudação informa que a conversa é com um assistente virtual?
• Há um link para a política de privacidade, em linguagem clara?
• O cliente sabe como falar com uma pessoa?
• O uso previsto dos dados está informado (finalidade, compartilhamento, prazo)?

4. Colete o mínimo necessário#

• O agente pede apenas os dados necessários ao próximo passo?
• Documentos e dados sensíveis só são pedidos quando indispensáveis?
• Há orientação para o cliente não enviar dados desnecessários na conversa (como senha ou número de cartão)?

5. Cuide do consentimento e das mensagens ativas#

• Mensagens iniciadas pela empresa (promoções, lembretes, campanhas) têm base legal e respeitam as regras do WhatsApp?
• Existe um jeito simples de parar de receber (descadastro)?
• O pedido de descadastro é respeitado em todos os canais?

6. Ofereça canal para os direitos do titular#

Os titulares podem solicitar, entre outros, a confirmação de tratamento, acesso, correção, anonimização ou eliminação, portabilidade e informação sobre compartilhamento.

• Há um e-mail ou formulário para receber pedidos?
• Alguém é responsável por responder dentro dos prazos legais?
• É possível localizar, exportar e excluir ou anonimizar o histórico de uma pessoa nos sistemas que você usa?

7. Proteja os dados#

• Acesso por usuário e senha individuais, com permissões por função?
• Autenticação reforçada para quem acessa o painel?
• Contas de ex-funcionários desativadas?
• Exportação de contatos restrita a quem precisa?
• Registro de quem viu, alterou ou exportou dados?

8. Defina por quanto tempo guarda#

• Existe prazo de retenção para conversas e dados de contato?
• Há obrigações legais de guarda (fiscais, contratuais) que precisam ser respeitadas?
• Dados que perderam a finalidade são apagados ou anonimizados?

9. Revise os fornecedores#

• Existe contrato ou termo com a plataforma de atendimento e com o provedor de IA?
• Você sabe onde os dados são processados e se há transferência internacional?
• O fornecedor usa as conversas para treinar modelos? Por quanto tempo guarda?
• Há lista de suboperadores (outros fornecedores que acessam os dados)?
• Como o fornecedor comunica incidentes de segurança?

10. Prepare-se para incidentes e para pessoas#

• Há um plano para responder a vazamentos ou acessos indevidos?
• A equipe foi treinada sobre o que pode e o que não pode ser feito com dados de clientes?
• Alguém é o ponto de contato (encarregado) para o tema?

Quais cuidados específicos a IA exige?#

Além do que vale para qualquer sistema, agentes de IA trazem pontos próprios:

• Entrada de dados livre. O cliente pode escrever qualquer coisa, inclusive dados que você não pediu. Oriente na saudação e evite guardar o que não é necessário.
• Conteúdo da base de conhecimento. A base do agente deve ser institucional (produtos, serviços, políticas), não conter dados pessoais de clientes. Veja como treinar um agente de IA com os dados da sua empresa.
• Decisões automatizadas. Se uma decisão que afeta o titular for tomada apenas por tratamento automatizado, a lei prevê o direito de solicitar revisão. Mantenha a possibilidade de revisão humana e a passagem para atendente.
• Respostas incorretas. Informação errada sobre preço ou condição pode gerar problemas com consumidores: veja como evitar que a IA invente preço e promessa.
• Registro e auditoria. Saber o que o agente respondeu e com base em quê ajuda a atender pedidos de titulares e a investigar incidentes.

E no site: cookies, rastreamento e formulários?#

Ao usar chat, formulários e ferramentas de medição no site, considere:

• Formulários com aviso de finalidade e, quando for o caso, caixa de consentimento, além de link para a política de privacidade.
• Rastreamento e cookies: informe o que é medido e por quê. Respeite sinais de privacidade do navegador e ofereça opções de consentimento quando a base legal exigir.
• Identificação de visitantes: limite-se ao necessário e evite coletar campos sensíveis.
• Landing pages com formulário: registre a origem e o consentimento junto ao contato. O guia criar site com IA trata de captação.

Saúde, estética e serviços regulados: atenção redobrada#

Dados de saúde são sensíveis e exigem base legal específica, finalidade clara e controle rígido de acesso. Em clínicas e consultórios, soma-se a isso o sigilo profissional e as regras dos conselhos. Veja um exemplo de aplicação em IA para clínicas: agendamento e menos faltas.

Que aviso curto de privacidade colocar no início da conversa?#

Um aviso objetivo, com link para a política completa, costuma ser suficiente na saudação. Modelo ilustrativo, que deve ser ajustado com seu jurídico:

Oi! Eu sou a assistente virtual da [Empresa]. Para te atender, vou usar as informações que você me enviar, como nome e contato, apenas para responder ao seu pedido e dar sequência ao atendimento. Você pode falar com uma pessoa a qualquer momento. Detalhes na nossa política de privacidade: [link].

Um bom aviso diz quem fala, para que os dados serão usados, como falar com uma pessoa e onde ler mais, sem juridiquês.

Quem deve cuidar do tema dentro da empresa?#

Em empresas pequenas, a proteção de dados costuma ficar sem dono. Defina:

• Um responsável (pode ser o dono ou alguém da gestão) que responde a pedidos de titulares e a dúvidas internas;
• Um canal de contato divulgado na política de privacidade;
• Uma revisão periódica (por exemplo, semestral) deste checklist;
• Apoio jurídico para decisões de base legal, contratos e incidentes.

Em muitos casos, a empresa precisa indicar um encarregado pelo tratamento de dados (DPO) e divulgar a identidade e o contato. A obrigatoriedade e o formato dependem da regulamentação e do porte da empresa: confirme com seu jurídico.

Como a SuplixIA se encaixa?#

A SuplixIA oferece recursos que ajudam a operar com mais controle: registro do que o agente respondeu, passagem para atendente com histórico, permissões por usuário, descadastro nas campanhas de e-mail e consentimento nos formulários de páginas criadas na plataforma. O rastreamento por pixel respeita o sinal de privacidade do navegador (Global Privacy Control) e tem opções de modo de consentimento. A conformidade, porém, depende de como a sua empresa usa a ferramenta e de decisões que são suas: finalidade, base legal, política de privacidade e prazos de guarda. Valide o uso com o seu responsável jurídico. Veja os planos.

Lembrete final: este conteúdo é educativo. Para decisões sobre a sua empresa, consulte um profissional especializado em proteção de dados.