A LGPD não fala de IA, e é justamente por isso que ela se aplica inteira. A lei protege o dado pessoal em qualquer tratamento, e colar informação de cliente em uma ferramenta é tratamento. A responsabilidade continua sendo da sua empresa.
O princípio que resolve a maioria das dúvidas
Quem coleta o dado responde por ele. Não importa se a ferramenta é gratuita, estrangeira ou famosa: se o dado é do seu cliente, o responsável é o seu negócio.
Isso muda a pergunta que você deve fazer. Não é "essa ferramenta é confiável?", é "eu preciso mesmo colocar esse dado aqui?". Na maioria das vezes, a resposta é não.
O que conta como dado pessoal
- Nome, telefone, e-mail e endereço.
- CPF, RG e demais documentos.
- Foto e áudio em que a pessoa é identificável.
- Informação financeira ligada a uma pessoa.
- Qualquer conjunto que, combinado, permita identificar alguém.
Além desses, existem os dados sensíveis, com proteção reforçada: saúde, biometria, dado genético, origem racial, religião, opinião política e vida sexual. Em clínica, quase tudo que o paciente conta cai nessa categoria.
As quatro regras práticas
- Minimize. Só colete e só use o que a tarefa exige de fato.
- Anonimize antes de usar. Troque nome por "cliente A". Na quase totalidade dos casos, a resposta é igualmente útil.
- Informe a finalidade. A pessoa precisa saber para que o dado está sendo pedido.
- Controle o acesso. Histórico em ambiente da empresa, com acesso identificado, não no celular pessoal de quem atende.
Quando você pode tratar o dado
A LGPD exige uma base legal. Para negócio pequeno, três aparecem quase sempre.
Execução de contrato. Você precisa do endereço para entregar, do telefone para atender. É a base mais comum e não exige consentimento separado.
Legítimo interesse. Cobre situações como atender quem procurou você, com limites e sem abusar.
Consentimento. Necessário para o que foge da relação, como enviar promoção para quem não pediu. Precisa ser livre, informado e revogável.
O que muda com atendimento automatizado
Três pontos merecem atenção quando um sistema atende no seu lugar.
- Ele deve coletar só o necessário, e não puxar conversa pedindo mais do que precisa.
- O histórico precisa ficar em ambiente controlado e com acesso rastreável.
- Pedido de descadastro ou de exclusão deve ser respeitado imediatamente.
Os direitos que o cliente pode exercer
Ele pode pedir confirmação de que você trata dados dele, acesso a esses dados, correção, exclusão e informação sobre com quem você compartilhou.
Na prática, você precisa de um canal para receber esses pedidos e de alguém responsável por respondê-los. Em negócio pequeno, costuma ser o próprio dono, e isso é aceitável desde que exista de verdade.
Checklist para começar hoje
- Liste onde estão os dados de clientes hoje.
- Defina o que ninguém pode colar em ferramenta aberta.
- Adote a anonimização como padrão.
- Crie um canal simples de contato para pedidos do titular.
- Escreva em uma página as regras de uso de IA da casa.
O modelo dessa última está em política de uso de IA na empresa. Este texto é orientação prática e não substitui a análise de um advogado para o seu caso.
Quer colocar a IA para trabalhar no seu negócio?
Eu ajudo pequeno negócio a usar IA no atendimento, no conteúdo e na rotina, sem enrolação e sem promessa mágica. Me chama que a gente vê o que faz sentido no seu caso.
Falar no WhatsAppPerguntas frequentes
Posso usar ChatGPT com dados de clientes?
O caminho seguro é não colar dado identificado. Substitua nome, telefone e documento por referências genéricas. Quando o dado real for indispensável, use ferramenta contratada pela empresa e com política de dados clara.
Preciso avisar o cliente que uso IA?
A lei não exige um aviso específico sobre IA no atendimento comum. O que ela exige é transparência sobre o tratamento dos dados: para que servem e por quanto tempo ficam.
Quem responde se a ferramenta vazar dados?
A sua empresa responde perante o titular, por ser quem coletou. Isso não impede acionar o fornecedor depois, mas a primeira responsabilidade é sua.
Empresa pequena precisa de encarregado de dados?
A ANPD adotou tratamento simplificado para agentes de pequeno porte, mas ter um responsável identificado continua sendo boa prática e facilita atender pedidos.