LGPD e IA no atendimento: o que garantir antes de colocar um agente no ar

Colocar um agente de IA para conversar com clientes significa tratar dados pessoais em escala: nomes, telefones, e-mails, histórico de compras e, às vezes, informações sensíveis. A Lei Geral de Proteção de Dados (LGPD) não proíbe nada disso — mas exige que seja feito com base legal, transparência e controle.

Este artigo é um guia prático para gestores, com os pontos que devem estar resolvidos antes de o agente ir ao ar. Ele não substitui a orientação do seu jurídico ou do encarregado de dados (DPO), mas organiza a conversa com eles.

1. Base legal: por que você pode tratar esses dados

Todo tratamento de dados pessoais precisa de uma base legal. No atendimento, as mais comuns são:

• Execução de contrato ou procedimentos preliminares: responder a quem pediu informação sobre um produto, agendar um serviço solicitado, atender um cliente.
• Legítimo interesse: por exemplo, registrar a conversa para melhorar o atendimento, desde que respeitadas as expectativas do titular.
• Consentimento: necessário em situações específicas, como envio de comunicações de marketing.

Responder quem chamou você no WhatsApp geralmente se apoia nas duas primeiras. Mandar promoções para essa pessoa depois é outra finalidade — e pede cuidado extra.

2. Consentimento para marketing

Aqui LGPD e regras do WhatsApp caminham juntas. Para enviar mensagens de marketing pelo WhatsApp:

• Peça aceite explícito, separado de outros termos. Uma caixa “aceito receber novidades pelo WhatsApp”, desmarcada por padrão, no formulário do site — ou uma pergunta clara na conversa.
• Registre quando e como o aceite foi dado.
• Ofereça saída fácil. Toda mensagem de marketing deve permitir que a pessoa deixe de receber.
• Use modelos de mensagem aprovados pela Meta para iniciar conversas de marketing.

Um contato que pediu orçamento não aceitou, automaticamente, receber campanhas.

3. Transparência: diga que é uma IA

A LGPD tem a transparência como princípio, e o bom senso vai na mesma direção: o cliente deve saber que está conversando com um assistente virtual. Na prática:

• Apresente o agente como assistente virtual na primeira mensagem (“Sou a Ana, assistente virtual da Clínica X”).
• Explique como falar com uma pessoa.
• Tenha a política de privacidade acessível (link no perfil do WhatsApp, no site e no widget).

4. O direito de não falar com a IA

Alguns clientes preferem atendimento humano — por desconforto, por necessidade ou por princípio. Respeitar isso é boa prática de atendimento e de privacidade. Na Vórtice, cada contato pode ser marcado com opt-out de IA: a partir daí, o agente não responde aquele contato, e as mensagens dele vão sempre para a equipe. Além disso, qualquer atendente pode assumir uma conversa a qualquer momento.

5. Minimização: peça só o necessário

Um dos princípios da LGPD é coletar apenas o necessário para a finalidade. Configure o agente para:

• Não pedir documentos (CPF, RG) se não forem necessários para aquela etapa.
• Não solicitar dados sensíveis (saúde, religião, biometria, etc.) sem necessidade clara e base legal adequada.
• Orientar o cliente a não enviar dados desnecessários (“não precisa me mandar foto do documento agora”).

6. Quem na equipe vê o quê

Controle de acesso é uma das medidas de segurança mais efetivas. Defina perfis por função:

• Atendimento: vê e assume conversas; não altera configurações.
• Comercial: conversas e funis; sem acesso a faturamento.
• Gestão: relatórios e configurações.

A plataforma da Vórtice trabalha com perfis de acesso por funcionalidade, e cada empresa tem seus dados isolados das demais. Revise os acessos sempre que alguém entrar ou sair da equipe.

7. A base de conhecimento também tem dados

Um cuidado esquecido: os documentos que você sobe para o agente consultar. Não coloque na base planilhas de clientes, contratos com dados pessoais ou informações internas que o agente não deveria repetir. A regra é simples: tudo o que está na base pode, em tese, aparecer numa resposta. Use coleções para separar conteúdos e limitar cada agente ao que ele precisa — explicamos isso em como o agente responde com base nos seus documentos.

8. Retenção e direitos do titular

• Defina por quanto tempo as conversas ficam guardadas e por quê (atendimento, obrigação legal, defesa em processos).
• Tenha um caminho para pedidos de titulares: acesso, correção, exclusão. Quem recebe? Em quanto tempo responde?
• Registre as atividades de tratamento que envolvem o atendimento com IA.

9. Fornecedores e transferência de dados

O atendimento com IA envolve fornecedores: a plataforma de atendimento, o provedor de IA, a Meta (WhatsApp). Verifique os contratos e termos, entenda onde os dados são processados e inclua essas informações na sua política de privacidade. Peça ao fornecedor da plataforma a documentação de segurança e de tratamento de dados.

Resumo

LGPD não é um obstáculo para usar IA no atendimento — é um roteiro para fazer isso bem. Base legal clara, consentimento para marketing, transparência sobre a IA, opção de atendimento humano, acesso controlado e base de conhecimento limpa resolvem a maior parte das preocupações.

Tem uma dúvida específica sobre como a plataforma lida com isso? Pergunte ao nosso agente no canto da tela, ou fale com um especialista.