Colocar inteligência artificial no atendimento significa que as conversas com seus clientes passam a ser lidas, resumidas e respondidas por um sistema. Nessas conversas há nome, telefone, endereço, CPF, detalhes de compra e, em alguns negócios, informações de saúde. Tudo isso é dado pessoal, e o uso dele é regido pela Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).
A boa notícia: a LGPD não proíbe usar IA. Ela exige que a empresa saiba o que está fazendo com os dados, tenha um motivo legal para cada uso, seja transparente com o cliente e proteja as informações. Este guia traduz essas exigências em cuidados práticos para quem atende pelo WhatsApp, pelo site ou por qualquer outro canal com apoio de IA.
Este artigo é informativo e não substitui a orientação de um advogado especializado em proteção de dados.
A resposta curta
Para usar IA no atendimento dentro da LGPD:
- Saiba quais dados a IA recebe e corte o que não for necessário.
- Tenha uma base legal para cada finalidade: responder o cliente é uma coisa; usar as conversas para outros fins é outra.
- Avise o cliente de que há IA no atendimento e atualize a política de privacidade.
- Contrate fornecedores com regras claras: uso dos dados só para o serviço, segurança, local de armazenamento e exclusão.
- Redobre o cuidado com dados sensíveis, como saúde.
- Mantenha um humano disponível para revisar decisões e atender pedidos do cliente.
Quem responde pelos dados quando a IA atende
A LGPD define papéis, e eles importam na hora de usar IA:
- Controlador é quem toma as decisões sobre o uso dos dados. Quando a sua empresa decide usar IA para atender clientes, ela é a controladora.
- Operador é quem trata os dados em nome do controlador. A plataforma de atendimento e o fornecedor de IA costumam estar nesse papel.
Pela lei, o operador deve seguir as instruções do controlador. Na prática, isso quer dizer que a responsabilidade não passa para o fornecedor só porque a IA é dele. Se a IA expõe um dado ou responde algo que não devia, quem precisa prestar contas ao cliente é a sua empresa. Por isso o contrato e a configuração da ferramenta são decisões de quem contrata, não detalhes técnicos.
Cuidado 1: saiba quais dados a IA recebe
Um dos princípios da LGPD é a necessidade: tratar só os dados indispensáveis para a finalidade. Antes de ligar qualquer IA ao atendimento, responda:
- A IA lê a conversa inteira ou só as mensagens novas?
- Ela tem acesso ao cadastro completo do cliente, ao histórico de compras, a documentos e áudios?
- O que fica guardado depois que a conversa termina, e por quanto tempo?
Se a IA só precisa responder perguntas sobre horários, preços e agendamento, ela não precisa enxergar CPF, dados financeiros ou histórico clínico. Quanto menos dado circula, menor o risco.
O risco mais comum: a IA "por fora"
O vazamento mais frequente não vem do sistema oficial. Vem do funcionário que copia a conversa de um cliente e cola numa ferramenta de IA gratuita, no próprio celular, para pedir ajuda com a resposta. Esses dados saem do controle da empresa, podem ficar armazenados fora do país e, dependendo das configurações da ferramenta, podem ser usados para treinar modelos. Combine com a equipe quais ferramentas são permitidas e ofereça uma alternativa aprovada. O artigo sobre como começar a usar IA na empresa trata desse ponto.
Cuidado 2: uma base legal para cada finalidade
A LGPD só permite tratar dados pessoais em hipóteses previstas na lei, chamadas bases legais. São dez no artigo 7º. Para o atendimento, as mais usadas são:
| Finalidade | Base legal mais comum |
|---|---|
| Responder dúvidas, fazer orçamento ou atender um pedido do cliente | Execução de contrato ou de procedimentos preliminares, a pedido do titular |
| Retomar contato com quem pediu orçamento e não respondeu | Legítimo interesse, com avaliação de que não prevalecem os direitos do cliente, ou consentimento |
| Enviar ofertas e campanhas | Consentimento ou legítimo interesse, conforme o caso; no WhatsApp, a Meta também exige que o cliente tenha aceitado receber mensagens |
| Usar as conversas para avaliar ou melhorar o atendimento | Nova finalidade: precisa de base legal própria e transparência; anonimizar reduz o risco |
O ponto central é o princípio da finalidade: o dado coletado para responder um orçamento não vira, automaticamente, matéria-prima para qualquer outro uso. Se a empresa quer usar as conversas para outros fins, precisa avaliar a base legal desse novo uso e informar o cliente. Para campanhas pelo WhatsApp, veja também o artigo sobre disparos em massa no WhatsApp.
Cuidado 3: transparência com o cliente
A transparência é outro princípio da LGPD. No atendimento com IA, ela se traduz em três atitudes:
- Avise que há IA no atendimento. Uma frase na primeira resposta resolve: o cliente sabe com quem fala e que pode pedir uma pessoa.
- Atualize a política de privacidade. Ela deve dizer que o atendimento usa IA, para quê, quais tipos de fornecedores recebem os dados e como o cliente exerce seus direitos.
- Não finja ser humano. Uma IA que se apresenta com nome de pessoa e nega ser automatizada quebra a confiança e a transparência.
Cuidado 4: escolha e contrate bem o fornecedor de IA
Como a sua empresa é a controladora, as perguntas abaixo precisam de resposta antes de contratar:
- Os dados das conversas são usados para treinar modelos do fornecedor? O ideal é que não sejam, e que isso esteja no contrato.
- Onde os dados ficam armazenados? Se forem para fora do Brasil, há transferência internacional, que a LGPD só permite em casos previstos, como países com proteção adequada ou contratos com cláusulas-padrão aprovadas pela autoridade.
- Quem tem acesso? Controle de usuários, permissões por função e registro de quem viu o quê.
- Por quanto tempo os dados ficam guardados e como são apagados? Inclusive os registros internos da IA.
- Há outros fornecedores na cadeia? Muitas plataformas usam serviços de terceiros. Você precisa saber quais.
- Como o fornecedor avisa sobre incidentes? E em quanto tempo.
Contrato bem feito define o fornecedor como operador, limita o uso dos dados às suas instruções e prevê segurança, sigilo, exclusão ao fim do contrato e apoio para atender os pedidos dos clientes.
Cuidado 5: dados sensíveis, como saúde, pedem cuidado redobrado
A LGPD chama de dados sensíveis as informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, saúde, vida sexual, dados genéticos e biométricos. Eles só podem ser tratados nas hipóteses do artigo 11, mais restritas que as do artigo 7º.
Para clínicas e consultórios, isso muda a configuração da IA:
- A IA da recepção pode agendar, confirmar e orientar sobre preparo sem precisar ler prontuários.
- Dados de saúde tratados para o próprio atendimento se apoiam na tutela da saúde, em procedimento feito por profissionais ou serviços de saúde. Usar esses dados para marketing é outra finalidade e, em regra, exige consentimento específico e destacado.
- Sintomas, diagnósticos e dúvidas clínicas devem ir para um profissional, não para respostas automáticas.
Além da LGPD, valem as regras de sigilo e ética de cada conselho profissional. O artigo sobre WhatsApp na clínica mostra como organizar recepção e agenda com esses limites.
Cuidado 6: decisões automáticas e revisão humana
O artigo 20 da LGPD dá ao cliente o direito de pedir a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as que definem seu perfil de consumo e de crédito. O controlador também deve explicar, quando solicitado, os critérios usados.
No atendimento, isso aparece quando a IA:
- descarta um lead como "não qualificado" e ninguém mais fala com ele;
- recusa uma condição de pagamento ou um pedido;
- classifica clientes em perfis que mudam o tratamento que recebem.
A saída é desenhar o atendimento com passagem para um humano: a IA tria, organiza e responde o que é simples; decisões que afetam o cliente têm revisão de uma pessoa, e o cliente pode pedi-la. O artigo sobre IA no atendimento pelo WhatsApp mostra onde essa fronteira costuma ficar, e o comparativo entre chatbot e agente de IA ajuda a escolher o tipo de automação.
Cuidado 7: os direitos do cliente valem também para a IA
O artigo 18 da LGPD garante ao cliente, entre outros, o direito de confirmar se a empresa trata seus dados, acessá-los, corrigi-los, pedir a eliminação de dados desnecessários ou tratados com consentimento, saber com quem foram compartilhados e revogar o consentimento.
Quando há IA no atendimento, um pedido de acesso ou de exclusão precisa alcançar também as conversas guardadas na plataforma e os registros do fornecedor. Isso só funciona se a empresa souber onde esses dados estão, o que nos leva de volta ao cuidado 1.
Defina também um canal para esses pedidos. A LGPD prevê o encarregado de dados como canal de comunicação com os clientes e com a autoridade; a ANPD, órgão que fiscaliza a lei, dispensa agentes de pequeno porte de indicar um encarregado, mas não do dever de manter um canal para o titular.
Cuidado 8: segurança e plano para incidentes
A LGPD exige medidas de segurança técnicas e administrativas para proteger os dados contra acessos não autorizados, perdas e vazamentos. No atendimento com IA, o básico inclui:
- login individual para cada atendente, sem senha compartilhada;
- permissões por função: quem é da recepção não vê o que é do financeiro;
- números de WhatsApp da empresa, e não celulares pessoais com conversas de clientes;
- histórico de ações, para saber quem acessou e alterou o quê;
- prazo definido para guardar conversas e rotina para apagá-las.
Se acontecer um incidente que possa trazer risco ou dano relevante aos clientes, a empresa deve comunicar a ANPD e os clientes afetados. Pelo regulamento da ANPD, a comunicação à autoridade deve ser feita em até três dias úteis a partir do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais. Ter um plano escrito antes do problema faz diferença.
E as sanções?
As sanções da LGPD vão de advertência a multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de medidas como bloqueio ou eliminação dos dados envolvidos e suspensão do tratamento. Para a maioria das empresas, porém, o prejuízo mais imediato de um vazamento é a perda de confiança dos clientes.
E a lei específica de inteligência artificial?
O Brasil discute um marco legal para a inteligência artificial, o Projeto de Lei nº 2.338/2023, aprovado pelo Senado em dezembro de 2024 e, até a publicação deste artigo, ainda em análise na Câmara dos Deputados. Enquanto ele não vira lei, a LGPD já vale integralmente para qualquer IA que trate dados pessoais. Quem organizar o atendimento pelos cuidados acima estará bem posicionado para o que vier.
Checklist de IA e LGPD no atendimento
- Mapa de quais dados a IA recebe, onde ficam e por quanto tempo.
- Acesso da IA limitado ao necessário para cada tarefa.
- Regra interna sobre ferramentas de IA permitidas e proibidas.
- Base legal definida para cada finalidade de uso das conversas.
- Aviso ao cliente de que há IA no atendimento, com opção de falar com uma pessoa.
- Política de privacidade atualizada citando o uso de IA.
- Contrato com o fornecedor: uso só para o serviço, sem treino de modelos com seus dados, local de armazenamento, segurança, exclusão e aviso de incidentes.
- Configuração específica para dados sensíveis, se houver.
- Passagem para humano em decisões que afetam o cliente.
- Canal para pedidos de acesso, correção e exclusão, alcançando também as conversas da IA.
- Logins individuais, permissões por função e histórico de ações.
- Plano de resposta a incidentes, com prazos.
Como a Haxys trata dados no atendimento com IA
O Haxys Hub foi desenhado para que a IA trabalhe dentro de uma operação controlada. O atendimento roda no WhatsApp oficial, com várias linhas e atendentes no mesmo lugar, cada um com o próprio acesso. Cada empresa tem ambiente, limites e usuários separados, e as ações ficam registradas com histórico. Os agentes de IA fazem a triagem e respondem as perguntas frequentes, e passam a conversa para um atendente humano quando o assunto exige.
Para clínicas e consultórios, o Haxys Core guarda dados clínicos e fotos de pacientes com armazenamento protegido e criptografado, e controla o acesso a prontuários e dados sensíveis com regras alinhadas à LGPD.
Se você quer usar IA no atendimento sem perder o controle sobre os dados dos seus clientes, solicite uma demonstração do Haxys Hub. Se a sua empresa é da área da saúde, conheça o Haxys Core.
