Seu agente de IA conversa com clientes no WhatsApp, lê documentos e grava informações no CRM. Você saberia responder, hoje, qual é a base legal para cada um desses tratamentos? A relação entre LGPD e inteligência artificial deixou de ser tema só de grandes empresas: qualquer PME que coloca um agente para atender, qualificar leads ou analisar documentos está tratando dados pessoais em escala, muitas vezes com fornecedores fora do Brasil. Este checklist organiza o que verificar antes e depois de colocar o agente no ar, em linguagem de gestão.
Este conteúdo é informativo e não substitui a análise de um profissional jurídico. Normas e orientações da ANPD evoluem; confira as condições vigentes para o seu caso.
Onde a LGPD encontra os agentes de IA
A Lei Geral de Proteção de Dados (Lei 13.709/2018) não fala em "agentes de IA", mas se aplica a eles integralmente, porque eles coletam, armazenam, analisam e compartilham dados pessoais. Os pontos de contato mais comuns:
- Conversas: nome, telefone, e-mail, CPF e o que mais o cliente escrever, inclusive informações que você não pediu.
- Documentos: contratos, comprovantes e fichas enviados para análise.
- Enriquecimento e perfil: cruzamento de dados para classificar leads ou priorizar atendimento.
- Decisões automatizadas: aprovar, recusar, precificar ou priorizar com base na análise da IA.
- Fornecedores: provedor do modelo de IA, hospedagem, plataforma de mensagens, CRM.
Quando entram dados sensíveis (saúde, biometria, religião, entre outros), as exigências ficam mais rígidas, e as hipóteses de tratamento são mais restritas.
Checklist de LGPD para inteligência artificial antes de ir ao ar
1. Mapeie os dados e a finalidade
Liste quais dados o agente coleta, para quê, onde ficam e por quanto tempo. A finalidade precisa ser específica: "atender pedidos de orçamento" é finalidade; "melhorar a experiência" não é.
2. Defina a base legal de cada tratamento
A LGPD prevê bases como execução de contrato ou de procedimentos preliminares, legítimo interesse, cumprimento de obrigação legal e consentimento. Atender quem pediu um orçamento tende a se apoiar em procedimentos preliminares a um contrato; usar a conversa para campanhas de marketing é outra finalidade e pede outra análise. Se a base for legítimo interesse, documente a avaliação de equilíbrio entre o interesse da empresa e as expectativas do titular.
3. Aplique minimização
O agente deve pedir apenas o necessário. Se o CPF não é usado no atendimento, não peça. Configure também o que fazer com dados que o cliente envia sem ser solicitado, como fotos de documentos no meio de uma dúvida simples.
4. Seja transparente
Informe que o atendimento é feito por um assistente virtual, disponibilize a política de privacidade e explique, de forma simples, como os dados são usados. Um link na primeira mensagem já resolve boa parte disso.
5. Avalie fornecedores e transferência internacional
Muitos modelos de IA são processados fora do Brasil, o que configura transferência internacional de dados. A ANPD regulamentou esse tema, incluindo cláusulas-padrão contratuais. Verifique nos contratos e termos de cada fornecedor:
- se os dados enviados são usados para treinar modelos (e como desativar isso);
- por quanto tempo ficam retidos;
- onde são processados e quais garantias contratuais existem;
- quais medidas de segurança são adotadas.
6. Avalie a necessidade de um relatório de impacto
Tratamentos com dados sensíveis, decisões automatizadas relevantes ou monitoramento em larga escala pedem um Relatório de Impacto à Proteção de Dados (RIPD). Mesmo quando não obrigatório, o exercício ajuda a identificar riscos cedo.
Checklist durante a operação do agente
Conformidade não termina no lançamento. A tabela resume o que manter em dia:
| Item | Pergunta de controle | Evidência esperada |
|---|---|---|
| Direitos do titular | O cliente consegue pedir acesso, correção ou exclusão dos dados? | Canal definido e procedimento documentado |
| Decisões automatizadas | Existe revisão quando a IA decide algo que afeta o cliente? | Fluxo de revisão e registro dos critérios |
| Retenção | Conversas antigas são apagadas ou anonimizadas no prazo definido? | Rotina automática de descarte |
| Acesso interno | Só quem precisa vê as conversas e os dados? | Perfis de acesso e registros de uso |
| Segurança | Credenciais, APIs e bancos estão protegidos? | Chaves rotacionadas, criptografia, backups |
| Incidentes | Há plano para vazamento ou uso indevido? | Plano de resposta e responsáveis nomeados |
| Registro de operações | O tratamento está documentado? | Inventário de dados atualizado |
Atenção ao artigo 20
A LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, e de receber informações sobre os critérios usados. Se o agente recusa crédito, reprova cadastro ou define preço, desenhe desde o início como essa revisão acontece e quem a faz.
Incidentes
Um agente mal configurado pode revelar dados de um cliente para outro, por exemplo ao buscar o pedido pelo nome em vez de um identificador seguro. Incidentes que possam gerar risco ou dano relevante aos titulares devem ser comunicados à ANPD e aos afetados em prazo curto definido em regulamento. Ter o plano pronto evita improviso.
O que acompanhar em 2026
- Marco legal da IA: o projeto de lei que regula a inteligência artificial no Brasil (PL 2338/2023) avançou no Congresso e pode trazer obrigações adicionais, especialmente para sistemas de alto risco. Acompanhe a tramitação e o texto vigente.
- Orientações da ANPD: a autoridade tem publicado guias e conduzido iniciativas sobre IA e proteção de dados. Vale acompanhar as publicações oficiais.
- Regime simplificado: a ANPD prevê regras mais simples para agentes de tratamento de pequeno porte, mas elas não se aplicam a todos os casos, por exemplo quando há tratamento de alto risco. Confirme se a sua empresa se enquadra.
- Sanções: as penalidades da LGPD incluem advertência, multas que podem chegar a 2% do faturamento no Brasil, limitadas a R$ 50 milhões por infração, e até a suspensão do tratamento.
Um bom desenho técnico facilita a conformidade: dados centralizados em um CRM com IA bem configurado são mais fáceis de consultar, corrigir e apagar do que informações espalhadas em planilhas e celulares.
Perguntas frequentes
Preciso de consentimento para usar um agente de IA no atendimento?
Nem sempre. Dependendo da finalidade, outras bases legais, como procedimentos preliminares a um contrato, podem ser adequadas. O importante é definir e documentar a base de cada tratamento.
Posso usar modelos de IA de empresas estrangeiras?
Pode, desde que a transferência internacional esteja amparada nas hipóteses da LGPD e nas regras da ANPD, com contratos e garantias adequados.
Pequenas empresas também precisam seguir a LGPD?
Sim. Existe um regime simplificado para agentes de pequeno porte, mas os princípios, os direitos dos titulares e a segurança dos dados continuam valendo.
Conclusão
LGPD e agentes de IA convivem bem quando a privacidade entra no projeto desde o desenho: finalidade clara, dados mínimos, fornecedores avaliados, transparência e um caminho para o cliente exercer seus direitos. Deixar para depois costuma custar mais caro.
A Stratia cria agentes de IA sob medida com privacidade e segurança como requisitos de projeto, e trabalha em conjunto com a assessoria jurídica do cliente. Solicite um diagnóstico gratuito ou fale com a nossa equipe.