Como usar IA no atendimento sem violar a LGPD?

O que muda quando entra IA

A LGPD não trata IA como categoria à parte: o que ela regula é o tratamento de dado pessoal, e o assistente virtual trata dado o tempo todo — nome, telefone, endereço, histórico de compra, às vezes dado sensível como saúde. A diferença é que o volume cresce, o registro é automático e o dado passa por terceiros (provedor da IA, plataforma de WhatsApp, CRM). Isso amplia a superfície de responsabilidade, não cria uma exceção.

• Mapear que dados o atendimento coleta hoje
• Identificar se há dado sensível envolvido (saúde, biometria, financeiro)
• Listar por quais fornecedores esses dados passam
• Definir por quanto tempo cada tipo de dado fica armazenado

Transparência: o cliente precisa saber

Esconder que o atendimento é automatizado não traz vantagem e cria risco. A boa prática é simples: informar no início da conversa que o cliente fala com um assistente virtual, deixar claro que ele pode pedir uma pessoa a qualquer momento, e ter política de privacidade acessível explicando o que é coletado e para quê — em linguagem que o cliente entenda.

• Aviso de atendimento automatizado na primeira mensagem
• Opção explícita de falar com atendente humano
• Política de privacidade linkada e atualizada
• Canal para o titular pedir acesso, correção ou exclusão dos dados
• Responsável nomeado para responder essas solicitações

Base legal e finalidade

Cada dado coletado precisa de uma finalidade e de uma base legal. Atender uma solicitação do próprio cliente geralmente se sustenta por execução de contrato ou procedimento preliminar. Usar aquele contato depois para marketing é outra finalidade — e normalmente exige consentimento específico. Misturar as duas coisas é o erro mais comum e o mais fácil de evitar.

• Separar dado coletado para atender de dado usado para marketing
• Pedir consentimento específico para envio de campanha
• Registrar quando e como o consentimento foi dado
• Oferecer descadastramento simples em toda comunicação
• Não reaproveitar base antiga sem verificar a origem

Minimização e retenção

Assistente virtual tende a coletar mais do que precisa, porque perguntar é barato. Cada campo a mais é risco a mais em caso de vazamento. Colete o necessário para resolver o atendimento, evite pedir documento sem motivo, e defina prazo de descarte — conversa de atendimento não precisa ficar guardada para sempre.

• Revisar quais perguntas o agente faz e cortar as desnecessárias
• Não pedir CPF, documento ou dado de saúde sem finalidade clara
• Definir prazo de retenção por tipo de dado
• Restringir quem da equipe acessa o histórico completo
• Usar acesso individual, não conta compartilhada

Decisão automatizada exige revisão humana

A LGPD garante ao titular o direito de pedir revisão de decisão tomada apenas por tratamento automatizado quando ela afeta seus interesses. Em pequena empresa isso aparece em situações concretas: recusar orçamento, negar prazo, classificar cliente como inadimplente, priorizar ou descartar lead. Nesses pontos, o agente pode sugerir — quem decide é uma pessoa.

• Listar quais decisões o sistema toma sozinho hoje
• Definir quais delas precisam de aprovação humana
• Registrar o critério usado, para poder explicar depois
• Ter caminho claro para o cliente contestar

O fornecedor também é sua responsabilidade

Contratar uma ferramenta não transfere a responsabilidade: perante o cliente, quem responde é a empresa. Antes de ligar qualquer solução de IA, verifique onde os dados ficam, se são usados para treinar modelo, quem tem acesso, o que acontece no encerramento do contrato e se existe contrato de tratamento de dados. Fiscalização sobre uso de IA e dados pessoais entrou na pauta prioritária da autoridade de proteção de dados — improviso aqui sai caro.

• Contrato ou termo cobrindo tratamento de dados com o fornecedor
• Verificar se as conversas são usadas para treinar modelos
• Confirmar onde os dados são armazenados e por quanto tempo
• Garantir exportação e exclusão dos dados ao encerrar o contrato
• Preferir fornecedores que documentam segurança e conformidade

Como a Avila Ops implanta

A Avila Ops configura automação e agentes de IA já com o básico de conformidade resolvido: aviso de atendimento automatizado, política de privacidade publicada, coleta mínima, controle de acesso ao histórico, regra de transferência para humano e registro do que foi decidido. Isso não substitui orientação jurídica, mas evita que a empresa precise desmontar a operação depois para se adequar.