LGPD e IA no atendimento

“O preço por token pode enganar; o risco também aparece quando a empresa não sabe o que acontece com a conversa do cliente.”

Automatizar o atendimento com inteligência artificial só cria valor quando o pequeno negócio reduz o trabalho repetitivo sem ampliar, ao mesmo tempo, a quantidade de dados pessoais expostos. A decisão central não é escolher o robô que responde mais depressa. É limitar o que ele pode receber, definir quais respostas exigem uma pessoa e conseguir provar, depois, por que cada informação entrou no fluxo.

Essa tese aparece nos casos de empresas que já usam IA no WhatsApp e também na orientação regulatória brasileira. A Lei Geral de Proteção de Dados (LGPD) alcança o tratamento feito nos meios digitais e exige finalidade, necessidade, transparência, segurança e responsabilização. A ANPD, ao discutir inteligência artificial e decisões automatizadas, destacou ainda a necessidade de critérios claros e possibilidade de revisão quando o sistema afetar os interesses do titular.

Para o dono de uma loja, clínica, escola ou prestadora de serviços, isso muda o cálculo do investimento. O ganho não deve ser medido só pela mensalidade da ferramenta ou pelo preço de entrada e saída de tokens. É preciso colocar na conta o tempo poupado, o custo de revisar respostas, o risco de um vazamento, a dependência do fornecedor e a capacidade de recuperar as conversas caso o serviço seja encerrado.

A Bordinhon Móveis usa IA para filtrar 15 a 20 contatos por dia

Um caso concreto ajuda a separar promessa de operação. A Bordinhon Móveis, loja de móveis de Rodeiro, em Minas Gerais, é administrada pelo casal Bruno e Priscila Bordinhon. Segundo o relato publicado pelo WhatsApp Business, a empresa passou a usar o Meta Business Agent para responder conversas de novos clientes, coletar informações, sugerir itens do catálogo e encaminhar ao time comercial os contatos que exigiam acompanhamento direto.

Em fevereiro de 2026, o agente administrava de 15 a 20 contatos de clientes por dia. A loja tinha mais de 100 variações de produtos no catálogo, e os funcionários podiam entrar na conversa quando surgiam situações complexas, como uma cotação de frete. O dado é um relato da própria empresa divulgado pelo fornecedor da solução, não uma medição independente. Ainda assim, ele mostra um desenho operacional importante: a IA faz a triagem e a equipe mantém a decisão em casos que dependem de contexto.

Há uma conta simples que ajuda a dimensionar o fluxo. Se a faixa diária informada pela Bordinhon se mantivesse durante 30 dias, o agente lidaria com aproximadamente 450 a 600 contatos no mês. Essa é uma estimativa aritmética, não um volume mensal declarado pela loja. Mesmo no limite inferior, a automação teria de processar cerca de 15 conversas por dia sem confundir preço, material, disponibilidade e entrega. Por isso, a qualidade do catálogo e as regras de transferência são tão importantes quanto o modelo usado.

O caso também expõe o limite da automação. A empresa não entregou à IA a decisão final sobre toda a venda. Quando o assunto envolvia frete complexo, uma pessoa assumia a conversa. Para uma pequena operação, esse limite é mais seguro do que tentar automatizar o atendimento inteiro: perguntas previsíveis entram no fluxo; exceções, reclamações e situações com potencial de prejuízo chegam a um responsável.

A LGPD exige finalidade antes da escolha da ferramenta

O artigo 1º da LGPD afirma que a lei protege os direitos fundamentais de liberdade e privacidade no tratamento de dados pessoais, inclusive nos meios digitais. O artigo 6º lista princípios que orientam a operação, entre eles finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção e responsabilização.

Esses princípios funcionam como uma ordem de trabalho. Primeiro, a empresa descreve o que pretende fazer. Depois, verifica quais campos são necessários para cumprir esse objetivo. Só então escolhe o sistema e configura o acesso. Começar pela demonstração do fornecedor costuma inverter essa ordem: a ferramenta chega com muitas permissões, e o negócio tenta descobrir depois por que recebeu cada dado.

Uma pergunta sobre o horário de funcionamento pode ser respondida com informações públicas. Para localizar um pedido, talvez bastem o número da compra e um identificador criado para o atendimento. Nome completo, documento, endereço, histórico de compras e dados de pagamento podem ser desnecessários naquele momento. Enviar tudo porque a integração permite aumenta a superfície de risco sem melhorar necessariamente a resposta.

Quando o tratamento se apoia em legítimo interesse, a própria lei determina que sejam tratados somente os dados estritamente necessários para a finalidade pretendida e que sejam adotadas medidas de transparência. A base legal não é um selo permanente para qualquer uso futuro. Ela precisa ser analisada em relação ao fluxo real, às expectativas do cliente e ao impacto da operação.

O cliente precisa saber quem trata a conversa e por quanto tempo

O artigo 9º da LGPD prevê informações claras sobre finalidade, forma e duração do tratamento, identificação do controlador, uso compartilhado, responsabilidades dos agentes e direitos do titular. Em um atendimento automatizado, isso exige mais do que uma frase dizendo que existe um robô.

A empresa precisa conseguir responder perguntas práticas. A conversa fica armazenada no sistema do próprio negócio ou na plataforma contratada? Por quanto tempo? O fornecedor usa o conteúdo para treinar modelos? Há suboperadores? Quem pode exportar o histórico? Como o cliente pede acesso, correção ou eliminação quando esse direito for aplicável? Em caso de incidente, quem comunica o fato e qual é o prazo interno para a resposta?

A transparência também deve aparecer no momento da interação. O cliente pode ser informado de que está falando com automação e receber uma saída simples para o atendimento humano. Essa saída precisa funcionar de verdade. Um botão que retorna ao mesmo robô não oferece controle; apenas prolonga a frustração.

O fornecedor pode prometer que os dados não serão usados para treinamento, mas a promessa deve estar no contrato, na configuração e no registro da operação. A equipe também precisa saber quando a regra mudou. Um produto de IA pode alterar política de retenção, subcontratados ou recursos de análise sem que a interface deixe isso evidente para o pequeno negócio.

Uma decisão automatizada exige revisão quando afeta o cliente

Atender uma dúvida de prazo é diferente de negar crédito, bloquear uma conta ou definir o perfil de consumo de uma pessoa. A página da ANPD sobre a tomada de subsídios de inteligência artificial registra que o artigo 20 da LGPD trata da revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular. O texto também menciona o fornecimento de informações claras e adequadas sobre critérios e procedimentos utilizados.

O atendimento de uma pequena empresa pode parecer simples, mas a conversa às vezes produz efeitos comerciais. Um sistema pode classificar um contato como pouco promissor, encaminhar uma reclamação para uma fila lenta, negar uma condição ou sugerir que alguém não atende ao perfil da loja. Se essa classificação muda a oportunidade do cliente, o negócio precisa identificar o critério, monitorar erros e preservar uma rota de revisão.

A regra prática é reservar decisão humana para casos de maior impacto. Cobrança contestada, pedido de cancelamento, dados sensíveis, ameaça de ação judicial, acidente, problema de saúde ou suspeita de fraude não devem depender de uma resposta generativa sem supervisão. A IA pode organizar a informação e sugerir próximos passos, mas a responsabilidade pelo tratamento continua com os agentes definidos no fluxo.

Isso não elimina a utilidade da automação. Ao contrário, deixa a ferramenta concentrada no trabalho em que ela é mais previsível: encontrar uma política atualizada, consultar um catálogo, coletar dados mínimos e fazer o encaminhamento correto.

A segurança precisa ser configurada no produto e no processo

A LGPD determina que os sistemas sejam estruturados para atender requisitos de segurança, boas práticas, governança e princípios gerais da lei. O artigo 46 exige medidas técnicas e administrativas contra acessos não autorizados, perda, alteração, comunicação ou difusão indevida. A obrigação alcança quem participa das fases do tratamento e permanece mesmo depois que a operação termina.

Na prática, o primeiro controle é o acesso mínimo. O bot que responde sobre estoque não precisa consultar toda a base de clientes. O atendente que acompanha uma troca não precisa baixar o histórico completo de vendas. A conta de teste não deve enxergar a produção. Perfis diferentes, autenticação forte e registro de exportações ajudam a descobrir quem acessou o quê.

O segundo controle é a qualidade da base de respostas. Um catálogo antigo pode gerar uma venda com preço errado; uma política de troca desatualizada pode produzir uma promessa que a empresa não consegue cumprir. Toda alteração relevante precisa ter responsável, data e revisão. O sistema deve ser testado com perguntas ambíguas, tentativas de obter dados de terceiros e solicitações que exigem encaminhamento humano.

O terceiro controle é a continuidade. A empresa deve manter cópia das regras, dos documentos utilizados e dos registros necessários para explicar o atendimento. Se o fornecedor sair do mercado, mudar o preço ou bloquear a conta, o negócio precisa conseguir reconstruir o fluxo em outra solução. Dependência sem plano de saída transforma uma economia de curto prazo em risco operacional.

Uma pequena empresa precisa medir o ganho sem esconder o custo

O Sebrae apresenta a inteligência artificial para pequenos negócios como recurso aplicável ao marketing, ao atendimento, à organização e à rotina. A orientação é útil porque desloca a conversa da ferramenta para o processo. Antes de contratar, o dono deve escolher uma tarefa delimitada, levantar o tempo gasto hoje e definir qual resultado será acompanhado.

Uma métrica pode ser o número de contatos resolvidos sem intervenção humana. Outra pode medir o tempo até a primeira resposta. Também vale acompanhar reabertura de chamados, reclamações sobre respostas erradas, transferências para pessoas e conversões que tiveram participação do bot. O indicador precisa mostrar qualidade, não somente velocidade.

O estudo de caso sobre chatbots em três instituições brasileiras de ensino superior, publicado pela International Journal of Innovation no repositório da USP, descreveu bots disponíveis 24 horas por dia, redução de chamadas ao call center e atendimento de demandas reprimidas. O artigo também registra que o estudo analisou instituições de ensino e foi baseado em entrevistas e documentos de gestão. Portanto, seus resultados ajudam a entender um contexto específico; não autorizam prometer o mesmo efeito para toda loja ou serviço.

A diferença entre medir e fazer propaganda está na transparência da comparação. Se o negócio afirma que ganhou tempo, deve registrar o período anterior, a tarefa observada, o volume de contatos e a forma de cálculo. Se afirma que reduziu custo, precisa incluir licença, integração, revisão, treinamento e horas da equipe. Uma planilha simples evita que a percepção de novidade seja confundida com retorno.

O fornecedor precisa responder cinco perguntas antes do contrato

O preço de tokens é somente uma parte do custo de uma aplicação. A reportagem da Exame, citada no material original, explica que o custo depende de variáveis como tokens de entrada e saída. Para a empresa pequena, a comparação deve incluir também armazenamento, integração, suporte, exportação, segurança e migração.

• Quais dados entram no modelo e quais ficam fora?
• O conteúdo das conversas é usado para treinamento ou avaliação?
• Quais empresas têm acesso aos dados como suboperadoras?
• Como funciona a exclusão, a exportação e a resposta a incidentes?
• Em quais situações a conversa é transferida para uma pessoa?

As respostas devem ser guardadas junto do contrato e comparadas com a configuração efetiva. Se a plataforma não explicar retenção, suboperadores ou saída dos dados em linguagem compreensível, o problema não é só jurídico. É um sinal de que o negócio pode não conseguir operar nem defender a decisão quando surgir uma reclamação.

O dono do negócio pode começar na segunda-feira com um fluxo de uma página

Na segunda-feira, escolha uma única tarefa repetitiva, como responder prazo de entrega, informar horário ou localizar um pedido. Faça uma tabela com cinco colunas: pergunta do cliente, dado mínimo exigido, resposta permitida, situação que exige humano e prazo de retenção. Preencha 20 perguntas reais retiradas do atendimento, removendo nomes, documentos e números de pedido antes de testar a ferramenta.

Em seguida, faça um piloto com acesso restrito e prazo definido. Meça durante uma semana quantas conversas entraram, quantas foram resolvidas pelo bot, quantas precisaram de pessoa e quantas tiveram erro. Revise cada erro, atualize a base de respostas e suspenda o fluxo se aparecer vazamento, promessa comercial indevida ou classificação sem explicação.

Antes de liberar o atendimento, publique um aviso curto sobre a automação, identifique o responsável pelo tratamento, registre a política de retenção e teste o caminho humano. Esse conjunto é pequeno o suficiente para uma microempresa executar e concreto o suficiente para produzir evidência. Se a ferramenta não passar por essa prova, trocar o fornecedor é mais barato do que escalar um problema invisível.

Fontes consultadas

• Planalto, Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018
• ANPD, Tomada de Subsídios: Inteligência Artificial e Revisão de Decisões Automatizadas
• WhatsApp Business, caso Bordinhon Móveis
• WhatsApp Business, caso Miss Bonita Lingerie
• Sebrae, Inteligência Artificial para pequenos negócios
• International Journal of Innovation, estudo sobre chatbots em instituições de ensino superior, repositório USP
• Exame, custo de aplicações de inteligência artificial e tokens