Usar IA em um pequeno negócio parece inofensivo: colar uma mensagem de cliente para o assistente resumir, pedir uma resposta, montar um relatório. Mas, no momento em que há nome, telefone, endereço, e-mail ou histórico de compra nessa conversa, a Lei Geral de Proteção de Dados entra em cena. A boa notícia é que, com alguns hábitos, dá para usar IA e continuar em conformidade.
Quando a LGPD entra na história
A LGPD (Lei 13.709/2018) se aplica a qualquer tratamento de dados pessoais, isto é, informações que identificam ou podem identificar uma pessoa: nome, CPF, telefone, e-mail, endereço, fotos, voz, histórico de compras, localização.
Tratamento é praticamente tudo o que se faz com o dado: coletar, guardar, consultar, enviar, analisar, apagar. Colar uma mensagem de cliente numa ferramenta de IA é tratamento. O mesmo vale para um robô de atendimento que registra conversas e para um sistema que sugere descontos com base no perfil do cliente.
Existem também os dados pessoais sensíveis, como saúde, origem racial ou étnica, religião, opinião política e biometria. Eles exigem mais cuidado, e o recomendado é não enviá-los a ferramentas sem base legal e segurança adequadas.
Os princípios que mais importam para quem usa IA
- Finalidade: use os dados só para o propósito informado ao cliente.
- Necessidade: use o mínimo de dados para atingir o objetivo. Se a IA não precisa do nome, não envie.
- Transparência: o cliente deve poder saber como os dados são usados.
- Segurança: proteja contra acessos indevidos e vazamentos.
- Prevenção: pense nos riscos antes de adotar a ferramenta.
- Não discriminação: não use dados para tratar pessoas de forma injusta.
- Responsabilização: o negócio deve conseguir mostrar o que faz para cumprir a lei.
Direitos do cliente que a IA não pode atropelar
A LGPD garante direitos aos titulares, entre eles:
- confirmar que há tratamento de seus dados e acessá-los;
- corrigir dados incompletos ou errados;
- pedir a eliminação de dados tratados com base em consentimento;
- saber com quem os dados foram compartilhados;
- revogar o consentimento;
- solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, como definição de perfil de consumo ou de crédito, e receber informações sobre os critérios usados.
Se uma IA decide algo que impacta o cliente (aprovar ou negar pedido, definir condições), tenha um canal para ele pedir revisão e uma pessoa capaz de reavaliar.
O que mudar na rotina
1. Mapeie onde a IA toca dados pessoais
Liste os usos: atendimento, e-mail, planilhas, cadastros, marketing, RH. Para cada um, anote que dados entram e em qual ferramenta.
2. Escolha ferramentas com critério
Leia a política de privacidade e os termos: os dados são usados para treinar modelos? Onde ficam armazenados? É possível desativar o treinamento? Há contrato empresarial? A ferramenta permite apagar o histórico?
3. Reduza e anonimize
Antes de enviar um texto, troque nomes e dados por marcações, como “Cliente A”, “[CPF]”, “[telefone]”. Muitas tarefas, como resumir uma reclamação ou melhorar a redação de uma resposta, funcionam sem os dados reais.
4. Atualize a política de privacidade
Informe, em linguagem simples, quais dados coleta, para que usa, se usa IA no atendimento ou em análises, com quem compartilha e como o cliente exerce seus direitos.
5. Avise quando houver robô
Quando um cliente conversa com um robô, informe isso. Ofereça sempre a opção de falar com uma pessoa. Veja os cuidados em IA no atendimento pelo WhatsApp.
6. Treine a equipe
A maioria dos problemas vem de atalhos de funcionários que colam listas de clientes em ferramentas pessoais. Defina uma regra simples e escrita: o que pode e o que não pode ir para a IA.
7. Tenha um plano para vazamentos
Se houver incidente, é preciso agir rápido. O texto vazamento de dados: o que fazer traz o caminho do lado do cidadão, e vale conhecer também as obrigações do negócio com um profissional.
Um mini-checklist para antes de usar IA com dados de clientes
- Preciso mesmo enviar dados pessoais? Dá para anonimizar?
- A ferramenta é empresarial ou pessoal? O que ela faz com o conteúdo?
- Os dados são sensíveis? Se sim, não envie sem orientação.
- O cliente foi informado do uso na política de privacidade?
- Há alguém responsável por revisar o que a IA produz?
- Os acessos e contas da equipe estão organizados, com senhas fortes e autenticação em duas etapas?
- Sei como apagar dados quando o cliente pedir?
O papel da ANPD e as sanções
A Autoridade Nacional de Proteção de Dados (ANPD) fiscaliza e orienta sobre a LGPD. As sanções vão de advertência e publicização da infração até multas e bloqueio ou eliminação de dados. Para a maioria dos pequenos negócios, o risco maior não é a multa em si, mas a perda de confiança dos clientes depois de um vazamento ou uso indevido.
O que fazer ainda hoje
Escolha um uso de IA que você já faz e aplique três passos: tire os dados pessoais do texto antes de enviar, confira nas configurações se o histórico e o treinamento podem ser desativados e escreva uma regra de uma linha para a equipe. Para aprofundar a parte de segurança, leia é seguro colocar dados de clientes em ferramentas de IA? e acompanhe as mudanças de regras em regulação da IA no Brasil.