A Autoridade Nacional de Proteção de Dados (ANPD) incluiu sistemas de inteligência artificial entre os quatro eixos prioritários de fiscalização para o biênio 2026-2027, com previsão de cerca de 20 ações voltadas ao tema. A multa da LGPD pode chegar a 2% do faturamento anual da empresa, limitada a R$ 50 milhões por infração — e o ponto mais vulnerável costuma ser o próprio agente de IA que atende o cliente no WhatsApp.
Se sua empresa já usa ou está estudando usar um agente de IA para atender clientes, existe uma pergunta que poucos empresários brasileiros fazem antes de contratar a solução: para onde vai o CPF, o endereço, o número do pedido ou até o print de um boleto que o cliente manda durante a conversa? Na correria de colocar o atendimento automatizado no ar, essa etapa costuma ficar em segundo plano — até um vazamento acontecer.
Estudos recentes sobre o uso de IA generativa em empresas mostram que 77% dos usuários colam dados diretamente em consultas a chatbots e assistentes, e 22% dessas colagens incluem informação pessoal identificável ou dado de cartão de pagamento. Levantamentos do setor também apontam que a empresa média já registra mais de 200 incidentes de violação de política de dados ligados a IA por mês — número que mais que dobrou em relação ao ano anterior.
Por que um agente de IA no atendimento pode vazar dado protegido pela LGPD?
A LGPD (Lei 13.709/2018) se aplica a qualquer tratamento de dado pessoal feito por uma empresa, seja por humano ou por sistema automatizado. Isso significa que, se o agente de IA da sua empresa coleta, armazena, consulta ou processa qualquer informação que identifique uma pessoa — nome, CPF, telefone, endereço, foto de documento —, a lei incide integralmente sobre essa operação, do mesmo jeito que incidiria se fosse um atendente humano.
O risco aparece em pontos que passam despercebidos na hora de contratar uma ferramenta de IA para o WhatsApp:
- Histórico de conversa guardado sem prazo definido, acumulando dado sensível de clientes que já nem compram mais da empresa.
- Print de documento enviado pelo cliente (RG, comprovante de endereço, cartão) ficando salvo sem controle de acesso.
- Uso de ferramentas de IA generativa genéricas, fora da plataforma oficial da empresa, para “ajudar” a responder um cliente — o chamado shadow AI.
- Falta de contrato claro com o fornecedor da IA sobre onde o dado é processado e por quanto tempo é retido.
Quanto custa não ter esse cuidado?
Além da sanção administrativa de até 2% do faturamento anual (limitada a R$ 50 milhões por infração), prevista na própria LGPD, há um custo menos falado: o dano à confiança do cliente. Uma empresa que atende por WhatsApp com IA e tem um vazamento de conversa — ou usa dado do cliente para uma finalidade que ele não autorizou — perde algo mais difícil de recuperar do que uma multa: a disposição do cliente de continuar mandando informação por ali.
Com a ANPD priorizando IA como eixo de fiscalização em 2026-2027, a chance de uma reclamação de cliente virar investigação formal também aumenta — o que torna a prevenção mais barata do que lidar com o problema depois de instalado.
Como configurar um agente de IA de atendimento sem risco de vazamento?
Pense numa loja de eletrodomésticos em Uberlândia (MG) que usa um agente de IA no WhatsApp para tirar dúvida sobre pedido e agendar entrega. Antes de colocar o agente no ar, a equipe de tecnologia responsável definiu: quais dados o agente pode pedir (número do pedido, CEP para entrega), por quanto tempo a conversa fica armazenada, e que nenhum print de documento deve ser solicitado por ali — se for necessário, o cliente é direcionado a um canal mais controlado. O resultado é um atendimento rápido que já nasce dentro da política de dados da empresa, em vez de precisar ser ajustado depois de um incidente.
Esse tipo de configuração não exige uma equipe jurídica grande: exige decisão tomada antes de ligar o agente, não depois.
Prática arriscada x prática segura no atendimento com IA
| Situação | Prática arriscada | Prática segura |
|---|---|---|
| Retenção de conversa | Guardada sem prazo definido | Prazo definido e documentado, com exclusão automática |
| Documento do cliente | Recebido e salvo livremente pelo WhatsApp | Direcionado a canal específico, com acesso controlado |
| Ferramenta usada | IA genérica externa, sem contrato com a empresa | Plataforma oficial, com contrato de tratamento de dados |
| Acesso ao histórico | Toda a equipe acessa qualquer conversa | Acesso restrito por função, com registro de quem consultou |
Quais os primeiros passos para adequar o atendimento com IA à LGPD?
- Mapeie o que o agente coleta hoje: nome, telefone, endereço, dado de pagamento, histórico de compra.
- Defina prazo de retenção para conversas e documentos recebidos, com exclusão automática ao final do prazo.
- Restrinja quem acessa o histórico de conversas dentro da empresa, por função e necessidade real.
- Formalize com o fornecedor da IA onde o dado é processado e por quanto tempo fica retido.
- Oriente a equipe a nunca colar dado de cliente em ferramentas de IA genéricas fora da plataforma oficial da empresa.
Perguntas frequentes sobre vazamento de dados no atendimento com IA
A LGPD se aplica a um agente de IA no WhatsApp da empresa?
Sim. A LGPD se aplica a qualquer tratamento de dado pessoal feito pela empresa, independentemente de ser um humano ou um sistema automatizado que está conversando com o cliente.
Qual o valor máximo da multa por vazamento de dado com IA?
A sanção administrativa pode chegar a 2% do faturamento anual da empresa no Brasil, limitada a R$ 50 milhões por infração, conforme previsto na LGPD.
Print de documento enviado pelo cliente no WhatsApp é considerado dado pessoal?
Sim. Documentos como RG, CPF ou comprovante de endereço enviados por foto contêm dado pessoal e precisam do mesmo cuidado de armazenamento e acesso que qualquer outro dado sensível tratado pela empresa.
O que é shadow AI e por que isso aumenta o risco de vazamento?
Shadow AI é o uso de ferramentas de inteligência artificial fora do controle oficial da empresa, muitas vezes pelos próprios funcionários, para agilizar uma resposta. Como esse uso não passa pelo contrato nem pela política de dados da empresa, o dado do cliente pode acabar processado por um serviço sem nenhuma garantia formal.
Por quanto tempo a empresa pode guardar a conversa do cliente com o agente de IA?
A LGPD não fixa um prazo único para todo tipo de dado, mas exige que a retenção tenha uma finalidade definida e não se estenda além do necessário. Cada empresa deve documentar esse prazo e aplicá-lo de forma consistente.
Pequenas empresas também são fiscalizadas pela ANPD?
Sim. A LGPD não isenta empresas pequenas ou médias, embora a fiscalização costume ser proporcional ao porte e ao volume de dados tratados. Ainda assim, o risco de reclamação de um cliente individual existe para negócios de qualquer tamanho.
Automatizar o atendimento com IA continua sendo uma vantagem competitiva real para empresas brasileiras — o problema nunca é a tecnologia em si, e sim ligá-la sem definir antes o que acontece com o dado do cliente. Se você quer revisar como sua empresa trata esses dados antes de escalar o atendimento com IA, chame a gente no WhatsApp e vamos conversar sobre o seu caso. Você também pode conhecer mais sobre as soluções da NexusAI em nexusai.com.br.
