IA no atendimento e LGPD: o que a empresa precisa garantir

Quem atende pelo WhatsApp recebe, todo dia, nome, telefone, CPF, endereço, foto de documento, comprovante de pagamento e às vezes informação de saúde. Tudo isso já estava na conversa antes de qualquer IA. Quando a empresa coloca uma IA para ler e sugerir respostas, a pergunta natural é: o que muda com a LGPD?

A resposta curta é que a responsabilidade continua sendo da empresa. A IA é uma ferramenta que trata os dados em nome dela, e a lei não deixa de valer porque quem leu a mensagem foi um sistema. Neste artigo explicamos, na perspectiva da empresa pequena, quais cuidados práticos fazem diferença. Não é orientação jurídica: para o seu caso específico, converse com quem cuida dessa parte na empresa.

O que a LGPD diz que importa para o atendimento

A Lei Geral de Proteção de Dados, Lei 13.709 de 2018, trata do uso de dados pessoais de pessoas naturais. Segundo a Autoridade Nacional de Proteção de Dados (ANPD), dado pessoal é a informação relacionada a uma pessoa natural identificada ou identificável. Numa conversa de atendimento, isso inclui praticamente tudo: o número, o nome, o histórico de compras, o que o cliente contou.

Alguns pontos da lei pesam mais no dia a dia do atendimento:

• Dado sensível. A lei separa uma categoria com proteção maior: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização, dados de saúde ou vida sexual, dados genéticos ou biométricos. Clínica, laboratório e academia recebem esse tipo de informação pelo WhatsApp o tempo todo.
• Direitos do titular. O cliente pode pedir confirmação de que a empresa tem dados dele, acesso, correção, eliminação, portabilidade e revogação do consentimento, entre outros.
• Decisão automatizada. O titular pode pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses dele.
• Incidente de segurança. A lei prevê a comunicação à ANPD quando ocorre incidente de segurança envolvendo dados pessoais.

Nada disso é novo por causa da IA. O que a IA faz é tornar a pergunta mais visível: se antes as conversas ficavam no celular de um atendente, agora elas passam por um sistema, e a empresa precisa saber o que esse sistema faz com elas.

Cinco perguntas para fazer antes de colocar IA no WhatsApp

Antes de escolher qualquer ferramenta de atendimento com IA, vale ter resposta clara para estas perguntas. Se o fornecedor não souber responder, isso já diz muito.

1. Onde as conversas ficam guardadas e quem pode ver?

A empresa precisa saber se os dados dela ficam separados dos de outras empresas e quem, do lado do fornecedor e do lado dela, tem acesso. Dentro do time, também importa: cada pessoa entra com o próprio login ou todo mundo usa a mesma senha?

2. Por quanto tempo as conversas são guardadas?

Guardar tudo para sempre "porque pode ser útil" é o contrário do que a lei pede. O ideal é a empresa definir um prazo que faça sentido para o negócio dela e o sistema apagar o que passou desse prazo.

3. Dá para atender um pedido do cliente sobre os dados dele?

Se o cliente pedir "quero ver o que vocês têm sobre mim" ou "quero que apaguem meus dados", alguém na empresa precisa conseguir localizar tudo daquele contato e exportar ou apagar, sem caçar conversa por conversa.

4. A IA decide alguma coisa sozinha?

Aqui está o ponto mais delicado. Uma IA que só sugere texto é uma coisa. Uma IA que cancela pedido, nega reembolso ou altera cadastro sem ninguém olhar é outra. Quanto mais a decisão sai das mãos de uma pessoa, mais a empresa precisa estar preparada para explicar e revisar o que foi feito.

5. O que a IA aprende fica com quem?

Quando a empresa ensina a IA sobre os produtos e as regras dela, é bom saber se esse conhecimento fica guardado na conta da empresa e se ela consegue ver e editar o que foi ensinado. Falamos mais sobre isso em o que uma IA de atendimento precisa saber sobre a sua empresa.

Cuidados práticos na rotina do time

Mesmo com a ferramenta certa, boa parte da proteção depende de hábito. Algumas práticas simples:

• Pedir só o necessário. Se para localizar o pedido basta o número dele, não peça CPF, endereço e data de nascimento "por garantia".
• Não copiar dado de cliente para fora do sistema. Print de conversa em grupo de funcionários, planilha solta no computador pessoal, encaminhar documento para o próprio celular: é por aí que dado vaza.
• Cuidado redobrado com anexos. Foto de documento, receita, exame e comprovante são os arquivos mais sensíveis que chegam no WhatsApp. Vale combinar quem pode abrir e o que acontece com eles depois. Áudio também carrega muita coisa; tratamos disso em áudio no atendimento.
• Registrar quem fez o quê. Quando várias pessoas atendem pelo mesmo número, saber quem aprovou cada resposta ajuda a corrigir erro e a responder se alguém perguntar.
• Ter um caminho para o pedido do titular. Defina quem recebe e atende pedidos de acesso ou eliminação de dados, para que não se percam no meio das outras mensagens.
• Publicar a política de privacidade. O cliente tem o direito de saber, de forma clara, como os dados dele são usados.

Por que a aprovação humana ajuda também aqui

Quando o assunto é dado pessoal, ter uma pessoa no circuito não serve só para acertar o tom. Ela é a última barreira antes de algo sair errado: uma resposta que expõe informação de outro cliente, uma confirmação de dado para quem não provou ser o titular, uma ação na conta que ninguém autorizou.

No modelo em que a IA prepara e uma pessoa aprova, a decisão que afeta o cliente continua sendo humana. Isso não resolve sozinho todas as obrigações da lei, mas reduz muito o espaço para a situação de "o sistema decidiu e ninguém viu".

Como o Piloto Humano trata os dados

No nosso caso, a aprovação manual é o padrão: o copiloto deixa a resposta pronta e uma pessoa aprova antes de sair. O envio automático é opcional e só para faixas seguras; ação na conta do cliente, cliente não identificado, dinheiro e pedido de humano nunca saem sozinhos, e qualquer ação na conta só acontece com o "Sim" de alguém no painel.

Sobre os dados: cada empresa tem uma conta isolada, ela escolhe o prazo de guarda das conversas e consegue exportar e apagar os dados de um contato quando ele pede. Cada pessoa do time entra com o próprio login, e fica registrado quem aprovou o quê. Os Termos e a Política de Privacidade estão publicados no site.

Ainda assim, a ferramenta não substitui a parte que é da empresa: saber por que coleta cada dado, orientar o time e ter alguém responsável pelo assunto. A IA ajuda a atender melhor; cuidar dos dados do cliente continua sendo decisão de gente.