LGPD no atendimento por WhatsApp com IA: o que a sua empresa precisa fazer

Cada conversa no WhatsApp da empresa tem dados pessoais: nome, telefone, endereço, às vezes CPF, informações de saúde ou de pagamento. Quando um agente de IA entra no atendimento, essas informações passam a ser tratadas também por uma plataforma. A LGPD (Lei 13.709/2018) vale para tudo isso.

Este guia resume o que a sua empresa precisa cuidar. Ele não substitui uma orientação jurídica, mas ajuda a fazer as perguntas certas.

Quem é quem na LGPD

• Titular: o cliente, dono dos dados.
• Controlador: a sua empresa, que decide para que os dados são usados.
• Operador: quem trata os dados em nome da empresa, como a plataforma de atendimento ou de IA.
• Encarregado (DPO): a pessoa ou empresa que faz a ponte entre a empresa, os titulares e a ANPD.

Mesmo usando um fornecedor, a responsabilidade principal pelo uso dos dados é da sua empresa.

1. Tenha uma base legal para cada uso

A LGPD exige um motivo legítimo para tratar dados. No atendimento, os mais comuns são:

• Execução de contrato ou de procedimentos preliminares: responder a quem pediu orçamento, agendar, entregar um pedido.
• Legítimo interesse: por exemplo, organizar o atendimento e melhorar o serviço, com equilíbrio com os direitos do cliente.
• Consentimento: para usos que dependem da vontade do cliente, como receber mensagens de marketing.

2. Seja transparente

• Informe que o atendimento pode ser feito por um assistente virtual.
• Explique, de forma simples, para que os dados serão usados.
• Deixe a política de privacidade acessível, com o link no perfil ou na primeira mensagem.

3. Colete o mínimo necessário

Peça só o que precisa para resolver o pedido. Se o agendamento não precisa de CPF, não peça CPF. Quanto menos dados, menor o risco.

4. Cuidado redobrado com dados sensíveis

Dados de saúde, religião, origem racial, biometria, entre outros, são dados sensíveis e têm regras mais rígidas. Clínicas, laboratórios e escritórios precisam de atenção especial. Veja também automação de WhatsApp para clínicas.

5. Garanta os direitos do cliente

O titular pode pedir, entre outros: confirmação de que a empresa tem os dados dele, acesso, correção, eliminação de dados desnecessários e informação sobre com quem eles foram compartilhados. Tenha um caminho simples para esses pedidos, e combine com o fornecedor como apagar ou exportar as conversas.

6. Respeite o "não quero mais"

Quem pediu para não receber mensagens de marketing precisa sair da lista na hora. Além de exigência legal, isso protege o número: bloqueios e denúncias derrubam a qualidade na Meta.

7. Escolha fornecedores com cuidado

Pergunte ao fornecedor de IA:

• onde os dados ficam armazenados e por quanto tempo;
• quem tem acesso às conversas;
• se as conversas são usadas para treinar modelos;
• quais subcontratados (suboperadores) participam;
• como ele avisa a sua empresa em caso de incidente.

Listamos mais perguntas em segurança de dados em agentes de IA. E formalize tudo em contrato.

8. Tenha um plano para incidentes

Vazamento ou acesso indevido que possa trazer risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos titulares afetados. A regulamentação da ANPD sobre incidentes (Resolução CD/ANPD nº 15/2024) prevê prazo de três dias úteis para a comunicação, contados do conhecimento do incidente. Defina antes quem decide, quem comunica e como.

Checklist rápido

• Base legal definida para atendimento e para marketing
• Aviso de assistente virtual e link da política de privacidade
• Coleta mínima de dados
• Regras para dados sensíveis
• Canal para pedidos dos titulares
• Opção de sair das mensagens de marketing
• Contrato com o fornecedor, com cláusulas de segurança
• Plano de resposta a incidentes

Perguntas frequentes

Usar IA no WhatsApp é permitido pela LGPD?

Sim. A LGPD não proíbe a tecnologia; ela exige base legal, transparência, segurança e respeito aos direitos dos titulares.

Preciso pedir consentimento para atender pelo WhatsApp?

Para responder a quem procurou a empresa, normalmente a base é a execução de contrato ou de procedimentos preliminares. Para marketing, o consentimento costuma ser o caminho mais seguro.

Quem responde se o fornecedor vazar os dados?

A empresa (controladora) e o fornecedor (operador) podem responder, conforme o caso. Por isso o contrato e a escolha do fornecedor importam tanto.

Preciso de um encarregado (DPO)?

A regra geral é ter um encarregado, com algumas flexibilizações para agentes de pequeno porte previstas pela ANPD. Vale confirmar o enquadramento da sua empresa.