LGPD e inteligência artificial: o que definir antes de usar IA na empresa

Existe uma diferença grande entre a empresa que implantou IA e a empresa onde a IA simplesmente apareceu. No segundo caso, colaboradores começaram a usar ferramentas por conta própria para resolver o dia a dia — e ninguém definiu o que pode ou não ser colado nessas ferramentas.

Isso tem nome no mercado: uso não governado. E é um risco de proteção de dados que a maioria das empresas ainda não endereçou.

O que a LGPD exige quando há IA no meio

A Lei Geral de Proteção de Dados não proíbe usar inteligência artificial. Ela exige que o tratamento de dado pessoal tenha base legal, finalidade definida e transparência — e isso vale igual quando quem processa o dado é um modelo de IA.

Na prática, três perguntas precisam ter resposta escrita:

1. Qual dado pessoal entra na ferramenta? Nome, telefone, histórico de compra, conteúdo de conversa.
2. Para quê? A finalidade precisa ser específica. "Melhorar o atendimento" é vago demais.
3. Onde esse dado vai parar? Fornecedor, país de armazenamento, prazo de retenção.

Decisões que precisam ser tomadas antes da primeira implantação

Quais dados podem sair da empresa

Defina uma lista curta e clara. Por exemplo: conteúdo de conversa de atendimento pode; documento de identidade de cliente não pode; dado de saúde não pode em hipótese nenhuma sem análise específica.

Quem tem acesso ao que o agente registra

Um agente de atendimento guarda histórico de conversa. Isso é base de dados pessoais. Quem na empresa pode consultar, exportar e apagar precisa estar definido.

Por quanto tempo o histórico fica

Guardar para sempre não é postura defensável. Defina prazo de retenção compatível com a finalidade e implemente o descarte.

O que acontece quando o titular pede

A lei dá ao titular o direito de pedir acesso, correção e exclusão dos seus dados. Se um cliente pedir para apagar tudo, sua empresa precisa conseguir fazer isso — inclusive no histórico do agente.

O aviso ao cliente

Quando um agente de IA atende, o cliente deve saber. Além de ser a postura correta, esconder gera desconfiança no momento em que a pessoa percebe — e ela costuma perceber.

Uma frase na abertura da conversa resolve: informar que o atendimento é feito com apoio de inteligência artificial e que, a qualquer momento, a pessoa pode pedir para falar com um humano. Esse "pedir para falar com humano" precisa funcionar de verdade.

Política de uso de IA para a equipe

Documento de uma página, escrito em linguagem simples, cobrindo:

• Quais ferramentas de IA são autorizadas na empresa
• Que tipo de informação nunca deve ser colada nelas
• Que conteúdo gerado por IA precisa de revisão humana antes de ir para o cliente
• Para quem perguntar em caso de dúvida

Política que ninguém leu não protege ninguém. Vale mais uma página que a equipe entende do que quinze que ficam num servidor.

Um roteiro mínimo

1. Levante quais ferramentas de IA já são usadas na empresa hoje, oficialmente ou não
2. Classifique os dados que circulam: o que é pessoal, o que é sensível, o que é público
3. Defina a lista do que pode e do que não pode entrar em ferramenta de IA
4. Atualize o aviso de privacidade do site e dos canais de atendimento
5. Escreva a política de uso e apresente para a equipe — não só envie por e-mail
6. Revise a cada seis meses, porque as ferramentas mudam rápido

Nenhum desses passos exige orçamento grande. Exige decisão — e é por isso que costumam ficar para depois.