Segurança de dados em agentes de IA: 10 perguntas para fazer antes de contratar

Um agente de IA no WhatsApp conversa com os seus clientes todos os dias. Isso significa que nomes, telefones, pedidos, às vezes dados de saúde ou financeiros passam pela plataforma. Antes de contratar, vale tratar a segurança de dados com o mesmo cuidado que o preço e os recursos.

Estas são as 10 perguntas que todo fornecedor de agente de IA deveria responder com clareza.

1. Onde as conversas ficam armazenadas?

Pergunte em que infraestrutura os dados ficam, em que país e por quanto tempo. Se houver transferência internacional de dados, a LGPD tem regras específicas para isso.

2. Por quanto tempo os dados são guardados e como apagar?

Deve existir um prazo de retenção e um jeito de apagar ou exportar as conversas, inclusive quando um cliente pedir a eliminação dos dados dele.

3. As conversas são usadas para treinar modelos de IA?

Uma das perguntas mais importantes. Saiba se as conversas dos seus clientes são usadas para treinar modelos do fornecedor ou de terceiros, e se isso pode ser desligado.

4. Quem, do lado do fornecedor, consegue ler as conversas?

O acesso deve ser restrito, registrado e justificado, por exemplo para suporte quando a sua empresa pede.

5. Quem, do seu lado, consegue ler as conversas?

A plataforma deve permitir usuários individuais e permissões: cada atendente vê o que precisa, o gestor vê tudo, e quem sai da empresa perde o acesso na hora. Senha compartilhada é um risco.

6. Os dados estão protegidos em trânsito e armazenados?

Pergunte sobre criptografia na comunicação e no armazenamento, e sobre como os segredos de acesso (como tokens do WhatsApp) são guardados.

7. Quais terceiros participam?

Provedores de nuvem, de IA e de envio de mensagens são suboperadores. O fornecedor deve dizer quais são e garantir que eles seguem regras equivalentes de segurança.

8. O que acontece em caso de incidente?

Qual o prazo para o fornecedor avisar a sua empresa? Quem conduz a investigação? Lembre que, pela regulamentação da ANPD, incidentes com risco relevante aos titulares precisam ser comunicados à autoridade e aos afetados em prazo curto. Veja LGPD no atendimento por WhatsApp.

9. O agente pode ser enganado para revelar informações?

Agentes de IA podem receber mensagens criadas para fazê-los sair do roteiro. Pergunte como o fornecedor limita o que o agente pode fazer e responder, e se ele tem acesso apenas às informações necessárias.

10. O que está no contrato?

Segurança precisa estar por escrito: responsabilidades de cada parte, prazo de aviso de incidente, suboperadores, devolução e eliminação dos dados no fim do contrato.

Boas práticas do lado da sua empresa

• Não coloque no agente informações que ele não precisa: senhas, dados internos sensíveis, condições confidenciais.
• Use usuários individuais e revise os acessos todo mês.
• Ative a verificação em duas etapas em todas as contas ligadas ao WhatsApp e à Meta.
• Treine a equipe contra golpes. Veja golpes no WhatsApp: como proteger a sua empresa.
• Revise as conversas periodicamente para identificar comportamentos estranhos do agente.

Sinais de alerta

• O fornecedor não sabe dizer onde os dados ficam.
• Não existe opção de apagar conversas.
• Todo mundo do time entra com o mesmo login.
• O contrato não fala de dados nem de incidentes.
• A ferramenta usa o WhatsApp sem a API oficial da Meta.

Perguntas frequentes

Agentes de IA são seguros para atender clientes?

Podem ser, desde que o fornecedor tenha boas práticas de segurança, a empresa controle os acessos e o agente receba só as informações necessárias.

A IA pode vazar dados de um cliente para outro?

Esse é um dos riscos que o fornecedor precisa controlar, separando os dados de cada organização e limitando o que o agente consulta em cada conversa.

Quem é responsável pelos dados: a empresa ou o fornecedor?

Pela LGPD, a empresa é a controladora e o fornecedor é o operador; os dois têm responsabilidades. O contrato deve deixar isso claro.

Preciso de uma auditoria antes de contratar?

Para empresas pequenas, as 10 perguntas acima já cobrem o essencial. Operações maiores ou com dados sensíveis podem precisar de uma avaliação mais formal.