--- title: "IA e LGPD no atendimento: cuidados com dados de clientes ao usar inteligência artificial" description: "Usar IA no atendimento é compatível com a LGPD, desde que a empresa saiba quais dados a IA recebe, tenha base legal para cada finalidade, avise o cliente, contrate fornecedores com cláusulas de proteção e mantenha um humano disponível para revisar decisões." url: "https://haxys.com.br/blog/ia-e-lgpd-no-atendimento" author: "Equipe Haxys" date: "2026-10-21T19:50:28.591Z" category: "Inteligência artificial" tags: - "lgpd" - "inteligência artificial" - "proteção de dados" - "atendimento" - "whatsapp" - "privacidade" - "dados sensíveis" --- # IA e LGPD no atendimento: cuidados com dados de clientes ao usar inteligência artificial *Usar IA no atendimento é compatível com a LGPD, desde que a empresa saiba quais dados a IA recebe, tenha base legal para cada finalidade, avise o cliente, contrate fornecedores com cláusulas de proteção e mantenha um humano disponível para revisar decisões.* Colocar inteligência artificial no atendimento significa que as conversas com seus clientes passam a ser lidas, resumidas e respondidas por um sistema. Nessas conversas há nome, telefone, endereço, CPF, detalhes de compra e, em alguns negócios, informações de saúde. Tudo isso é dado pessoal, e o uso dele é regido pela Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018). A boa notícia: a LGPD não proíbe usar IA. Ela exige que a empresa saiba o que está fazendo com os dados, tenha um motivo legal para cada uso, seja transparente com o cliente e proteja as informações. Este guia traduz essas exigências em cuidados práticos para quem atende pelo WhatsApp, pelo site ou por qualquer outro canal com apoio de IA. *Este artigo é informativo e não substitui a orientação de um advogado especializado em proteção de dados.* ## A resposta curta Para usar IA no atendimento dentro da LGPD: 1. **Saiba quais dados a IA recebe** e corte o que não for necessário. 2. **Tenha uma base legal para cada finalidade:** responder o cliente é uma coisa; usar as conversas para outros fins é outra. 3. **Avise o cliente** de que há IA no atendimento e atualize a política de privacidade. 4. **Contrate fornecedores com regras claras:** uso dos dados só para o serviço, segurança, local de armazenamento e exclusão. 5. **Redobre o cuidado com dados sensíveis**, como saúde. 6. **Mantenha um humano disponível** para revisar decisões e atender pedidos do cliente. ## Quem responde pelos dados quando a IA atende A LGPD define papéis, e eles importam na hora de usar IA: - **Controlador** é quem toma as decisões sobre o uso dos dados. Quando a sua empresa decide usar IA para atender clientes, ela é a controladora. - **Operador** é quem trata os dados em nome do controlador. A plataforma de atendimento e o fornecedor de IA costumam estar nesse papel. Pela lei, o operador deve seguir as instruções do controlador. Na prática, isso quer dizer que a responsabilidade não passa para o fornecedor só porque a IA é dele. Se a IA expõe um dado ou responde algo que não devia, quem precisa prestar contas ao cliente é a sua empresa. Por isso o contrato e a configuração da ferramenta são decisões de quem contrata, não detalhes técnicos. ## Cuidado 1: saiba quais dados a IA recebe Um dos princípios da LGPD é a **necessidade**: tratar só os dados indispensáveis para a finalidade. Antes de ligar qualquer IA ao atendimento, responda: - A IA lê a conversa inteira ou só as mensagens novas? - Ela tem acesso ao cadastro completo do cliente, ao histórico de compras, a documentos e áudios? - O que fica guardado depois que a conversa termina, e por quanto tempo? Se a IA só precisa responder perguntas sobre horários, preços e agendamento, ela não precisa enxergar CPF, dados financeiros ou histórico clínico. Quanto menos dado circula, menor o risco. ### O risco mais comum: a IA "por fora" O vazamento mais frequente não vem do sistema oficial. Vem do funcionário que copia a conversa de um cliente e cola numa ferramenta de IA gratuita, no próprio celular, para pedir ajuda com a resposta. Esses dados saem do controle da empresa, podem ficar armazenados fora do país e, dependendo das configurações da ferramenta, podem ser usados para treinar modelos. Combine com a equipe quais ferramentas são permitidas e ofereça uma alternativa aprovada. O artigo sobre [como começar a usar IA na empresa](/blog/como-comecar-a-usar-ia-na-empresa) trata desse ponto. ## Cuidado 2: uma base legal para cada finalidade A LGPD só permite tratar dados pessoais em hipóteses previstas na lei, chamadas bases legais. São dez no artigo 7º. Para o atendimento, as mais usadas são: | Finalidade | Base legal mais comum | |---|---| | Responder dúvidas, fazer orçamento ou atender um pedido do cliente | Execução de contrato ou de procedimentos preliminares, a pedido do titular | | Retomar contato com quem pediu orçamento e não respondeu | Legítimo interesse, com avaliação de que não prevalecem os direitos do cliente, ou consentimento | | Enviar ofertas e campanhas | Consentimento ou legítimo interesse, conforme o caso; no WhatsApp, a Meta também exige que o cliente tenha aceitado receber mensagens | | Usar as conversas para avaliar ou melhorar o atendimento | Nova finalidade: precisa de base legal própria e transparência; anonimizar reduz o risco | O ponto central é o princípio da **finalidade**: o dado coletado para responder um orçamento não vira, automaticamente, matéria-prima para qualquer outro uso. Se a empresa quer usar as conversas para outros fins, precisa avaliar a base legal desse novo uso e informar o cliente. Para campanhas pelo WhatsApp, veja também o artigo sobre [disparos em massa no WhatsApp](/blog/disparos-em-massa-no-whatsapp). ## Cuidado 3: transparência com o cliente A transparência é outro princípio da LGPD. No atendimento com IA, ela se traduz em três atitudes: 1. **Avise que há IA no atendimento.** Uma frase na primeira resposta resolve: o cliente sabe com quem fala e que pode pedir uma pessoa. 2. **Atualize a política de privacidade.** Ela deve dizer que o atendimento usa IA, para quê, quais tipos de fornecedores recebem os dados e como o cliente exerce seus direitos. 3. **Não finja ser humano.** Uma IA que se apresenta com nome de pessoa e nega ser automatizada quebra a confiança e a transparência. ## Cuidado 4: escolha e contrate bem o fornecedor de IA Como a sua empresa é a controladora, as perguntas abaixo precisam de resposta antes de contratar: - **Os dados das conversas são usados para treinar modelos do fornecedor?** O ideal é que não sejam, e que isso esteja no contrato. - **Onde os dados ficam armazenados?** Se forem para fora do Brasil, há transferência internacional, que a LGPD só permite em casos previstos, como países com proteção adequada ou contratos com cláusulas-padrão aprovadas pela autoridade. - **Quem tem acesso?** Controle de usuários, permissões por função e registro de quem viu o quê. - **Por quanto tempo os dados ficam guardados e como são apagados?** Inclusive os registros internos da IA. - **Há outros fornecedores na cadeia?** Muitas plataformas usam serviços de terceiros. Você precisa saber quais. - **Como o fornecedor avisa sobre incidentes?** E em quanto tempo. Contrato bem feito define o fornecedor como operador, limita o uso dos dados às suas instruções e prevê segurança, sigilo, exclusão ao fim do contrato e apoio para atender os pedidos dos clientes. ## Cuidado 5: dados sensíveis, como saúde, pedem cuidado redobrado A LGPD chama de **dados sensíveis** as informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, saúde, vida sexual, dados genéticos e biométricos. Eles só podem ser tratados nas hipóteses do artigo 11, mais restritas que as do artigo 7º. Para clínicas e consultórios, isso muda a configuração da IA: - A IA da recepção pode agendar, confirmar e orientar sobre preparo sem precisar ler prontuários. - Dados de saúde tratados para o próprio atendimento se apoiam na tutela da saúde, em procedimento feito por profissionais ou serviços de saúde. Usar esses dados para marketing é outra finalidade e, em regra, exige consentimento específico e destacado. - Sintomas, diagnósticos e dúvidas clínicas devem ir para um profissional, não para respostas automáticas. Além da LGPD, valem as regras de sigilo e ética de cada conselho profissional. O artigo sobre [WhatsApp na clínica](/blog/whatsapp-na-clinica-recepcao-agenda-retorno) mostra como organizar recepção e agenda com esses limites. ## Cuidado 6: decisões automáticas e revisão humana O artigo 20 da LGPD dá ao cliente o direito de pedir a revisão de decisões tomadas **unicamente** com base em tratamento automatizado que afetem seus interesses, incluindo as que definem seu perfil de consumo e de crédito. O controlador também deve explicar, quando solicitado, os critérios usados. No atendimento, isso aparece quando a IA: - descarta um lead como "não qualificado" e ninguém mais fala com ele; - recusa uma condição de pagamento ou um pedido; - classifica clientes em perfis que mudam o tratamento que recebem. A saída é desenhar o atendimento com passagem para um humano: a IA tria, organiza e responde o que é simples; decisões que afetam o cliente têm revisão de uma pessoa, e o cliente pode pedi-la. O artigo sobre [IA no atendimento pelo WhatsApp](/blog/ia-no-atendimento-pelo-whatsapp) mostra onde essa fronteira costuma ficar, e o comparativo entre [chatbot e agente de IA](/blog/chatbot-ou-agente-de-ia-diferenca) ajuda a escolher o tipo de automação. ## Cuidado 7: os direitos do cliente valem também para a IA O artigo 18 da LGPD garante ao cliente, entre outros, o direito de confirmar se a empresa trata seus dados, acessá-los, corrigi-los, pedir a eliminação de dados desnecessários ou tratados com consentimento, saber com quem foram compartilhados e revogar o consentimento. Quando há IA no atendimento, um pedido de acesso ou de exclusão precisa alcançar também as conversas guardadas na plataforma e os registros do fornecedor. Isso só funciona se a empresa souber onde esses dados estão, o que nos leva de volta ao cuidado 1. Defina também um canal para esses pedidos. A LGPD prevê o encarregado de dados como canal de comunicação com os clientes e com a autoridade; a ANPD, órgão que fiscaliza a lei, dispensa agentes de pequeno porte de indicar um encarregado, mas não do dever de manter um canal para o titular. ## Cuidado 8: segurança e plano para incidentes A LGPD exige medidas de segurança técnicas e administrativas para proteger os dados contra acessos não autorizados, perdas e vazamentos. No atendimento com IA, o básico inclui: - login individual para cada atendente, sem senha compartilhada; - permissões por função: quem é da recepção não vê o que é do financeiro; - números de WhatsApp da empresa, e não celulares pessoais com conversas de clientes; - histórico de ações, para saber quem acessou e alterou o quê; - prazo definido para guardar conversas e rotina para apagá-las. Se acontecer um incidente que possa trazer risco ou dano relevante aos clientes, a empresa deve comunicar a ANPD e os clientes afetados. Pelo regulamento da ANPD, a comunicação à autoridade deve ser feita em até três dias úteis a partir do momento em que a empresa toma conhecimento de que o incidente afetou dados pessoais. Ter um plano escrito antes do problema faz diferença. ### E as sanções? As sanções da LGPD vão de advertência a multa de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração, além de medidas como bloqueio ou eliminação dos dados envolvidos e suspensão do tratamento. Para a maioria das empresas, porém, o prejuízo mais imediato de um vazamento é a perda de confiança dos clientes. ## E a lei específica de inteligência artificial? O Brasil discute um marco legal para a inteligência artificial, o Projeto de Lei nº 2.338/2023, aprovado pelo Senado em dezembro de 2024 e, até a publicação deste artigo, ainda em análise na Câmara dos Deputados. Enquanto ele não vira lei, a LGPD já vale integralmente para qualquer IA que trate dados pessoais. Quem organizar o atendimento pelos cuidados acima estará bem posicionado para o que vier. ## Checklist de IA e LGPD no atendimento - Mapa de quais dados a IA recebe, onde ficam e por quanto tempo. - Acesso da IA limitado ao necessário para cada tarefa. - Regra interna sobre ferramentas de IA permitidas e proibidas. - Base legal definida para cada finalidade de uso das conversas. - Aviso ao cliente de que há IA no atendimento, com opção de falar com uma pessoa. - Política de privacidade atualizada citando o uso de IA. - Contrato com o fornecedor: uso só para o serviço, sem treino de modelos com seus dados, local de armazenamento, segurança, exclusão e aviso de incidentes. - Configuração específica para dados sensíveis, se houver. - Passagem para humano em decisões que afetam o cliente. - Canal para pedidos de acesso, correção e exclusão, alcançando também as conversas da IA. - Logins individuais, permissões por função e histórico de ações. - Plano de resposta a incidentes, com prazos. ## Como a Haxys trata dados no atendimento com IA O Haxys Hub foi desenhado para que a IA trabalhe dentro de uma operação controlada. O atendimento roda no WhatsApp oficial, com várias linhas e atendentes no mesmo lugar, cada um com o próprio acesso. Cada empresa tem ambiente, limites e usuários separados, e as ações ficam registradas com histórico. Os agentes de IA fazem a triagem e respondem as perguntas frequentes, e passam a conversa para um atendente humano quando o assunto exige. Para clínicas e consultórios, o Haxys Core guarda dados clínicos e fotos de pacientes com armazenamento protegido e criptografado, e controla o acesso a prontuários e dados sensíveis com regras alinhadas à LGPD. Se você quer usar IA no atendimento sem perder o controle sobre os dados dos seus clientes, [solicite uma demonstração do Haxys Hub](/solucoes/haxys-hub). Se a sua empresa é da área da saúde, [conheça o Haxys Core](/solucoes/haxys-core). ## Perguntas frequentes ### Posso usar IA para atender clientes pelo WhatsApp sem pedir consentimento? Em muitos casos, sim. Responder dúvidas, fazer orçamentos e atender pedidos do próprio cliente costuma se apoiar na execução de contrato ou de procedimentos preliminares, a pedido do titular, sem exigir consentimento. Ainda assim, é preciso avisar que há IA no atendimento e respeitar os demais princípios da LGPD. Outros usos, como campanhas, podem exigir outra base legal. ### Preciso avisar o cliente que ele está falando com uma IA? A LGPD tem a transparência como princípio, e a prática mais segura é avisar na primeira resposta que o atendimento usa IA e que o cliente pode pedir para falar com uma pessoa. A política de privacidade também deve mencionar o uso de IA. ### Quem é responsável se a IA vazar dados de um cliente? A empresa que decidiu usar a IA é a controladora dos dados e responde perante o cliente e a ANPD. O fornecedor, como operador, também tem obrigações e deve seguir as instruções do controlador. Por isso o contrato com o fornecedor e a configuração da ferramenta são decisões importantes. ### Funcionários podem colar conversas de clientes no ChatGPT ou em outra IA gratuita? É um dos maiores riscos. Os dados saem do controle da empresa, podem ficar armazenados fora do país e, dependendo das configurações da ferramenta, ser usados para treinar modelos. Defina por escrito quais ferramentas são permitidas e ofereça uma alternativa aprovada pela empresa. ### Clínicas podem usar IA no atendimento de pacientes? Podem, com cuidado redobrado, porque dados de saúde são sensíveis pela LGPD. A IA pode agendar, confirmar e orientar sobre preparo sem acessar prontuários. Dúvidas clínicas devem ir para um profissional, e usar dados de saúde para marketing exige, em regra, consentimento específico e destacado. Valem também as regras de sigilo do conselho profissional. ### Já existe uma lei de inteligência artificial no Brasil? O marco legal da IA, o Projeto de Lei nº 2.338/2023, foi aprovado pelo Senado em dezembro de 2024 e, até a publicação deste artigo, estava em análise na Câmara dos Deputados. Enquanto isso, a LGPD já se aplica a qualquer IA que trate dados pessoais.