Da LGPD ao artigo 20: governança de decisões automatizadas de IA no atendimento
O que é
Quando a LGPD entrou em vigor, boa parte das empresas de atendimento tratou o tema como um problema de segurança da informação: criptografar dados, restringir acessos, documentar consentimentos. Com a chegada de agentes de IA capazes de decidir sozinhos o que oferecer, negar ou escalar em uma conversa com o cliente, esse enquadramento se tornou insuficiente. A lei já previa, desde o início, um direito específico para esse cenário: o artigo 20 garante ao titular a possibilidade de solicitar revisão de decisões tomadas exclusivamente por tratamento automatizado. O que mudou em 2026 é que esse direito deixou de ser teórico.
Governança de IA no atendimento, nesse sentido, não é um projeto de compliance adicional, mas a resposta a uma pergunta muito concreta: quando um bot nega um reembolso, aplica um desconto diferente para dois clientes parecidos ou recusa uma renegociação, a empresa consegue explicar por quê? Se a resposta depende de investigar logs manualmente por horas, a governança ainda não existe na prática, por mais que exista no papel.
Cenário brasileiro em 2026
A Autoridade Nacional de Proteção de Dados incluiu inteligência artificial entre os eixos prioritários de fiscalização para o biênio 2026-2027, depois de conduzir, entre o fim de 2024 e o início de 2025, uma tomada de subsídios voltada especificamente para IA e revisão de decisões automatizadas. Esse movimento sinaliza algo que muitas operações de atendimento ainda não internalizaram: a fiscalização deixou de mirar apenas vazamento de dados e passou a mirar também a lógica das decisões tomadas por sistemas automatizados.
Entre as zonas que a ANPD tem tratado como prioritárias estão três elementos que raramente aparecem juntos na mesma equipe: um aviso de privacidade específico para IA, que explique com clareza a existência de decisão automatizada, os dados usados e o canal de contato com o encarregado; uma trilha de auditoria que registre não apenas o acesso a dados, mas a recomendação gerada e a decisão que ela influenciou; e uma matriz de riscos que classifique ocorrências como discriminação algorítmica, alucinação e memorização involuntária de dados pessoais, problemas que um sistema tradicional de segurança da informação simplesmente não foi desenhado para capturar.
Vale registrar que agentes de IA introduzem, ao mesmo tempo, dois elementos que a LGPD trata com atenção redobrada: a decisão automatizada em si e, frequentemente, a transferência de dados para provedores terceiros de modelo, o que amplia a superfície de risco além do que a maioria dos times jurídicos já mapeou para os sistemas tradicionais de atendimento.
Benefícios
Organizações que tratam a governança de IA como parte estrutural do atendimento, e não como camada de compliance sobreposta ao final do projeto, ganham algo que raramente aparece nos indicadores de produtividade, mas pesa muito quando um problema aparece: a capacidade de responder rapidamente a uma fiscalização ou a uma reclamação de cliente sobre uma decisão automatizada, sem precisar reconstruir a lógica do zero.
Há também um benefício menos óbvio sobre a qualidade do próprio sistema. Times que precisam explicar as decisões de um agente de IA tendem a identificar mais cedo padrões problemáticos, como respostas diferentes para perfis de cliente que deveriam ser tratados de forma equivalente, exatamente porque a exigência de explicabilidade os obriga a examinar o comportamento do modelo com mais rigor do que examinariam apenas olhando métricas agregadas de satisfação.
Do ponto de vista comercial, a capacidade de demonstrar controle sobre decisões automatizadas também se torna, cada vez mais, um diferencial em negociações com clientes corporativos e parceiros que exigem evidência de maturidade em proteção de dados antes de fechar contratos, um requisito que tende a se espalhar de setores regulados para o mercado como um todo.
Como implementar
O ponto de partida costuma ser mapear, sem otimismo, todas as decisões que o sistema de atendimento já toma de forma automatizada, ainda que a equipe não as tenha formalmente rotulado como tal. Sugestão de desconto, priorização de fila, recusa automática de determinado tipo de solicitação: qualquer um desses pontos se enquadra na definição de decisão automatizada relevante para a LGPD, mesmo quando o time responsável nunca parou para nomeá-los dessa forma.
Identificadas essas decisões, o passo seguinte é garantir que cada uma delas gere um registro mínimo capaz de sustentar uma explicação posterior: quais dados foram considerados, qual foi a recomendação do modelo e, quando aplicável, qual foi a decisão final tomada por um humano ou pelo próprio sistema. Sem esse registro, o direito de revisão previsto no artigo 20 se torna impossível de atender na prática, ainda que a empresa declare formalmente respeitá-lo.
A etapa mais frequentemente adiada é a criação de um canal efetivo de revisão humana, acessível ao cliente sem que ele precise insistir repetidamente para encontrar alguém disposto a reexaminar a decisão. Por fim, convém tratar a matriz de riscos de IA como documento vivo, revisado à medida que o sistema aprende novos padrões de comportamento, e não como um exercício único produzido antes do lançamento e esquecido depois.
Erros mais comuns
Um erro recorrente é presumir que, por já cumprir requisitos tradicionais de segurança da informação, criptografia, controle de acesso, backup, a empresa também está em conformidade quanto à IA, quando na verdade a exigência de explicabilidade de decisões automatizadas é uma dimensão diferente da proteção de dados, pouco coberta por controles de segurança convencionais.
Outro erro comum é reduzir a governança de IA a uma política interna sem mecanismo prático de execução: existe um documento assinado pela diretoria, mas nenhum sistema de fato registra as decisões do agente com detalhamento suficiente para sustentar uma resposta a um titular de dados. Também é frequente que o canal de revisão humana exista formalmente, mas na prática seja de difícil acesso, o que expõe a empresa tanto a risco regulatório quanto a desgaste de reputação quando um cliente relata publicamente a dificuldade de contestar uma decisão automatizada.
Indicadores para acompanhar
Um indicador direto é o tempo médio entre a solicitação de revisão humana feita por um cliente e a resposta efetiva a essa solicitação, que revela se o direito previsto no artigo 20 da LGPD está sendo cumprido na prática, não apenas no papel. Vale acompanhar também a proporção de decisões automatizadas que possuem registro completo o suficiente para gerar uma explicação em caso de auditoria ou reclamação.
Do lado de risco, o número de ocorrências identificadas pela matriz de riscos de IA, discriminação algorítmica, alucinação, vazamento de dados via prompt, e o tempo até a correção de cada uma delas ajudam a medir se a governança está funcionando como processo contínuo ou apenas como formalidade documental revisada uma vez por ano.
Casos de mercado
Setores mais expostos a fiscalização, como serviços financeiros e planos de saúde, têm sido os primeiros a estruturar comitês formais de governança de IA para o atendimento, com participação conjunta de áreas jurídica, de dados e de operações, reconhecendo que decisões sobre crédito, cobertura e negociação de dívidas estão entre as mais sensíveis do ponto de vista de discriminação algorítmica.
Empresas de varejo e telecomunicações, por lidarem com volume muito maior de interações automatizadas de menor criticidade individual, têm adotado abordagem diferente: investem em trilhas de auditoria automatizadas e amostragem estatística de decisões para identificar padrões problemáticos, já que a revisão manual de cada interação seria inviável na escala em que operam.
Tendências para 2027
Com a IA formalmente entre as prioridades de fiscalização da ANPD, é razoável esperar que 2027 traga os primeiros casos concretos de aplicação de sanções ou determinações específicas envolvendo decisões automatizadas em atendimento, o que deve funcionar como referência prática para o mercado, hoje ainda orientado majoritariamente por interpretação preventiva da lei.
Também é provável que ferramentas de explicabilidade de modelos, hoje concentradas em times técnicos avançados, se tornem mais acessíveis a operações de atendimento de porte médio, reduzindo o custo de implementar trilhas de auditoria robustas e tornando a conformidade menos dependente de equipes especializadas de ciência de dados.
FAQ
Toda decisão tomada por um bot de atendimento é uma “decisão automatizada” para efeitos da LGPD?
Não necessariamente todas, mas qualquer decisão que afete o titular de dados sem intervenção humana direta, como recusa de solicitação, sugestão de valor ou priorização de atendimento, tende a se enquadrar nessa definição e merece tratamento cuidadoso.
O cliente pode pedir para um humano revisar a decisão de um agente de IA?
Sim. O artigo 20 da LGPD garante esse direito de revisão, e empresas que não conseguem viabilizá-lo na prática estão expostas tanto a risco regulatório quanto a desgaste de confiança do cliente.
Qual a diferença entre segurança da informação e governança de IA?
Segurança da informação protege os dados contra acesso indevido. Governança de IA trata de como as decisões automatizadas são tomadas, registradas e explicadas, uma dimensão distinta que exige controles próprios.
Empresas menores também precisam se preocupar com isso?
Sim, especialmente à medida que ferramentas de IA se tornam mais acessíveis. O porte da empresa não isenta a obrigação legal, ainda que a forma de implementar a governança possa variar conforme a escala da operação.
Síntese
A governança de IA no atendimento deixou de ser uma discussão antecipatória para se tornar um eixo declarado de fiscalização da ANPD, o que muda o cálculo de risco para qualquer empresa brasileira que já delega decisões a sistemas automatizados sem uma trilha de auditoria capaz de sustentar uma explicação. O desafio real não está em redigir uma política de governança, tarefa relativamente simples, mas em construir os mecanismos operacionais que tornam essa política verificável: registro das decisões, canal efetivo de revisão humana e uma matriz de riscos revisada com a mesma frequência com que o próprio modelo aprende novos padrões de comportamento.
Sobre Euriale Voidela
Euriale Voidela é CEO e fundadora da Customer Centric Consulting, editora-chefe do Portal Customer e presidente da AIESC. Com mais de 27 anos de experiência em Customer Experience e Customer Success, já apoiou mais de 100 projetos e operações e é autora de 5 livros sobre CX & CS.
Sobre a Customer Centric Consulting
A Customer Centric Consulting é uma consultoria especializada em Customer Experience, Customer Success e gestão centrada no cliente, atuando da estratégia à execução para transformar experiência do cliente em resultado de negócio. Saiba mais em customercentric.com.br.
Leia também no Portal Customer
- Customer Experience em números: 40 estatísticas que mostram o futuro da experiência do cliente
- Guia Completo sobre LGPD e atendimento
- Guia Completo sobre churn preditivo
- Guia Completo sobre ROI de CX
- Guia Completo sobre autoatendimento inteligente
