LGPD e agentes de IA no atendimento: o que garantir antes de ligar o bot

A empresa que contrata o atendimento continua sendo a controladora dos dados. O fornecedor da automação é operador. Antes de ligar o bot, é preciso ter aviso de privacidade atualizado, contrato com termo de processamento, controle sobre onde os dados ficam e um caminho claro para exclusão a pedido do titular.

Quando o atendimento passa a ser feito por um agente conversacional, nada muda na estrutura de responsabilidade da LGPD. E é justamente por isso que muita gente erra. A tentação é achar que “é a IA que está atendendo”. Perante a lei, é a sua empresa.

Quem é o quê nessa relação

A empresa que atende os clientes decide por que e como os dados são tratados, então ela é a controladora. Quem construiu e mantém a automação trata os dados em nome dela, então é a operadora. O fornecedor do modelo de linguagem entra como suboperador, e isso precisa estar declarado em algum lugar.

A consequência prática aparece rápido. Se um cliente pedir exclusão dos dados ou reclamar do tratamento, quem responde é a empresa contratante. Ela precisa ter como cumprir o pedido, o que significa ter acesso e controle sobre a base, sem depender da boa vontade de um fornecedor.

A base legal costuma ser mais simples do que parece

Quando o cliente inicia a conversa pedindo um atendimento, o tratamento dos dados necessários para responder se apoia na execução de contrato ou em procedimentos preliminares a ele. Você não precisa pedir consentimento formal para responder a quem perguntou o preço de um serviço.

O cuidado está nos usos adicionais. Usar aquele contato para disparo de marketing depois, enriquecer cadastro, ou treinar modelo com o conteúdo das conversas. Esses usos têm base legal própria e alguns exigem consentimento específico. É aqui que se cria problema, não no atendimento em si.

Dado sensível pede atenção redobrada

Clínica é o caso mais evidente. Uma mensagem como “preciso remarcar minha sessão de fisioterapia” contém dado de saúde, que tem proteção reforçada. Isso não impede a automação, mas exige alguns cuidados:

• Coletar o mínimo necessário. O agente não precisa perguntar diagnóstico para marcar horário.
• Restringir quem enxerga a conversa dentro da empresa, com contas individuais e registro de acesso.
• Definir por quanto tempo o histórico fica guardado e apagar quando o prazo vence, automaticamente.

O que precisa estar no contrato com o fornecedor

Peça e confira:

1. Termo de processamento de dados, deixando explícito que a contratante é controladora e o fornecedor é operador, com a finalidade descrita.
2. Lista de suboperadores. Qual provedor de modelo de linguagem, qual hospedagem, qual provedor de mensageria.
3. Onde os dados ficam e o que acontece com eles no encerramento do contrato, incluindo exportação e prazo de eliminação.
4. Compromisso de não usar os dados para treinar modelos. Os provedores corporativos oferecem essa garantia nos planos de API. Confirme que ela está sendo usada.
5. Procedimento de incidente. Quem avisa quem, em quanto tempo, e quem comunica a autoridade e os titulares se for o caso.

O aviso ao cliente é simples e obrigatório

São duas coisas. A pessoa precisa saber que está falando com um sistema automatizado e precisa ter um caminho para falar com um humano. Uma linha na primeira mensagem resolve o primeiro ponto. Um “atendente” que realmente funcione resolve o segundo.

Além disso, o aviso de privacidade da empresa precisa mencionar o atendimento automatizado por WhatsApp, quais dados são tratados e por quanto tempo. É atualização de meia página, e é o que costuma estar faltando.

Checagem antes de ligar

• Aviso de privacidade atualizado e acessível.
• Contrato com termo de processamento assinado.
• Acesso ao painel com conta individual por pessoa, sem senha compartilhada.
• Prazo de retenção definido e rotina de exclusão funcionando.
• Caminho testado para atender pedido de exclusão de um titular.
• Backup com restauração testada, porque perder dados de clientes também é incidente.
• Transbordo para humano funcionando e visível.

Automatizar bem melhora a conformidade

Vale dizer o outro lado dessa história. O cenário anterior, com conversas no celular pessoal de cada funcionário, sem registro, sem controle de acesso, sem prazo de retenção e saindo da empresa junto com quem pede demissão, é bem pior do ponto de vista de proteção de dados.

Um atendimento centralizado, com contas individuais, registro de acesso, retenção definida e exclusão automatizada, é mais fácil de auditar e de defender. Automação feita direito é ganho de conformidade, não risco novo.