LGPD e IA: o que a empresa precisa garantir

Todo agente de IA que atende cliente lida com dado pessoal: nome, telefone, endereço, histórico de compra. Isso coloca a automação diretamente dentro do escopo da LGPD, a Lei Geral de Proteção de Dados. Ignorar esse ponto na hora de implantar IA não é só um risco jurídico, é um risco de confiança com o próprio cliente. Este artigo explica, de forma direta, o que a empresa precisa garantir.

Boa parte dos empresários trata LGPD como um problema jurídico distante, algo para o advogado resolver depois. Quando a empresa começa a usar agentes de IA, esse tema deixa de ser distante: passa a fazer parte do desenho técnico do próprio agente, desde o primeiro dia.

Por que a LGPD se aplica a agentes de IA

A LGPD regula qualquer tratamento de dado pessoal, e tratamento inclui coletar, armazenar, consultar e usar essa informação para tomar decisão, que é exatamente o que um agente de IA faz ao qualificar um lead ou responder um cliente. Não importa se quem processa o dado é uma pessoa ou um agente automatizado, a responsabilidade sobre como esse dado é tratado continua sendo da empresa.

Vale pensar em situações comuns do dia a dia: uma imobiliária cujo agente de IA responde no WhatsApp e pede o CPF do interessado para gerar uma proposta, ou uma escola de idiomas cujo agente consulta o histórico financeiro do aluno para negociar uma pendência. Em ambos os casos, o agente está tratando dado pessoal exatamente como um funcionário trataria, e a empresa responde por isso da mesma forma.

Os princípios que mais pesam para IA

• Finalidade: o dado só pode ser usado para o propósito informado ao cliente, não para qualquer coisa que o agente decidir fazer com ele.
• Necessidade: o agente deve acessar só o dado que o processo exige, nada além disso.
• Transparência: o cliente tem direito de saber que dados são coletados e como são usados.
• Segurança: os dados precisam estar protegidos contra acesso indevido, tanto técnico quanto humano.

O que a empresa precisa garantir na prática

• Um mapeamento claro de quais dados pessoais o agente de IA coleta e consulta em cada etapa do processo.
• Definição de quem, dentro e fora da empresa, tem acesso a esses dados, incluindo o fornecedor da tecnologia.
• Um prazo definido de retenção, ou seja, por quanto tempo esses dados ficam guardados antes de serem descartados.
• Um canal para o cliente pedir acesso, correção ou exclusão dos seus próprios dados.
• Registro do que o agente fez com cada dado, para conseguir responder a uma eventual auditoria ou solicitação.

Dados sensíveis e IA: cuidado redobrado

A LGPD trata como dado sensível informação como saúde, dado financeiro detalhado e outras categorias que exigem cuidado extra. Se o processo automatizado por um agente de IA envolve algum desses dados, como um agente de cobrança que lida com informação financeira do cliente, a regra é clara: quanto mais sensível o dado, mais restrito deve ser o acesso e mais forte precisa ser a segurança em volta dele.

Uma clínica que usa um agente de IA para confirmar consultas, por exemplo, lida com dado de saúde só de existir a consulta agendada, mesmo sem falar do diagnóstico. Nesse caso, vale limitar o que o agente vê: ele precisa saber o horário e o nome do paciente para confirmar a consulta, mas não precisa ter acesso ao prontuário completo para cumprir essa tarefa específica.

O papel do consentimento e da base legal

Nem todo uso de dado exige consentimento explícito do cliente, a LGPD prevê outras bases legais, como a execução de um contrato ou o interesse legítimo da empresa. O que não pode faltar é clareza sobre qual base legal justifica cada uso de dado pelo agente de IA. Um agente de vendas que consulta o CRM para atender um cliente que já é da base, por exemplo, normalmente se apoia na relação contratual existente, não em um novo consentimento a cada conversa.

O que fazer em caso de incidente

Nenhum sistema é livre de risco. Ter um plano definido antes de um incidente acontecer, como um acesso indevido ou um vazamento, é parte de agir com responsabilidade sob a LGPD. Esse plano deve incluir como identificar o problema rapidamente, como conter o impacto, e como comunicar aos afetados e às autoridades competentes dentro do prazo exigido pela lei.

Um exemplo prático de preparo: se o agente de IA de uma loja para de responder corretamente e passa a misturar dados de clientes diferentes na mesma conversa, a empresa precisa saber, sem precisar procurar, quem tem autoridade para desligar o agente na hora, quem avisa os clientes afetados e em quanto tempo isso precisa acontecer. Ter essa resposta pronta antes do problema aparecer é o que diferencia um incidente contido de uma crise maior.

Responsabilidade compartilhada entre empresa e fornecedor

Essa divisão precisa estar escrita em contrato, não assumida por padrão. Empresa e fornecedor devem deixar claro, por escrito, quem cuida de cada parte antes do agente entrar em operação.

A KortX estrutura a camada de dados de cada ecossistema com governança sob a LGPD desde o início, com ingestão organizada via ERPs e APIs legadas e armazenamento adequado, não como um ajuste feito depois que o agente já está no ar. Se a sua empresa quer automatizar sem abrir mão de segurança jurídica, o diagnóstico gratuito da KortX já mapeia esse ponto junto com o restante do processo.