Em 2026 a Autoridade Nacional de Proteção de Dados (ANPD) deixou de ser um órgão tímido. Consolidada como agência reguladora com autonomia técnica, orçamentária e quadro próprio de especialistas, a ANPD intensificou a fiscalização, e a Inteligência Artificial generativa está no topo da lista de prioridades: junto com dados biométricos e interações com menores de idade, o uso de IA generativa é hoje um dos alvos prioritários das ações de fiscalização anunciadas para o biênio 2026-2027.
Para executivos de CX, CS, Atendimento, Operações, Tecnologia e Marketing, isso significa que a conversa sobre LGPD no atendimento deixou de ser só jurídica. Toda iniciativa de personalização, automação ou IA generativa aplicada à jornada do cliente hoje nasce sob exigência de conformidade, com multas que podem chegar a 2% do faturamento da empresa no Brasil, limitadas a R$ 50 milhões por infração. Este guia explica o que é LGPD aplicada ao atendimento, o cenário brasileiro em 2026, como implementar um programa de governança de dados, erros comuns, indicadores e tendências para 2027.
O que é
LGPD atendimento é a aplicação prática da Lei Geral de Proteção de Dados (Lei 13.709/2018) aos processos de relacionamento com o cliente: coleta, armazenamento, uso e compartilhamento de dados pessoais em canais de atendimento, CRM, chatbots, IA conversacional e qualquer ferramenta que trate dados durante a jornada do cliente.
Na prática, isso cobre desde a base legal usada para tratar um dado (consentimento, execução de contrato, legítimo interesse), passando pela transparência sobre como a IA generativa usa esse dado para personalizar respostas, até a existência de um Encarregado de Dados (DPO) e de canais de atendimento a titulares que funcionem de verdade — a ANPD concluiu recentemente um ciclo nacional de monitoramento justamente para verificar se as empresas têm DPO nomeado e canais de contato em conformidade.
Cenário brasileiro em 2026
O cenário regulatório brasileiro em 2026 é de convergência entre duas frentes. De um lado, a LGPD já consolidada, com a ANPD operando como agência reguladora de fato e aplicando multas diárias — instrumento introduzido em 2025 para casos de descumprimento de medidas cautelares em processos administrativos. De outro, o Marco Legal da IA (PL 2338/2023): aprovado por unanimidade no Senado em dezembro de 2024, o projeto tramita na Câmara dos Deputados desde março de 2025 e ainda precisa retornar ao Senado antes da sanção presidencial, mas já é tratado por setores regulados e empresas intensivas em dados como parâmetro regulatório inevitável.
O PL 2338 adota o modelo de classificação por risco do AI Act europeu, cria o Sistema Nacional de Regulação e Governança de IA (SIA) e prevê sanções de até R$ 50 milhões por infração — valor que se soma, não substitui, às sanções já previstas na LGPD. Para empresas que usam IA generativa no atendimento, a mensagem prática é clara: 2026 é o ano de arrumar a casa antes que a fiscalização sobre IA se intensifique a partir de 2027.
Um requisito que já vem sendo cobrado pela ANPD em 2026 merece atenção redobrada de quem lidera CX e Atendimento: a exigência de que projetos de IA tenham um ciclo de vida do dado documentado e auditável, com política de privacidade que descreva o produto real — se a empresa usa IA, coleta dados biométricos (como reconhecimento de voz em URA) ou transfere dados para o exterior (comum em ferramentas de IA generativa hospedadas fora do Brasil), tudo isso precisa estar descrito de forma clara e acessível ao titular.
Benefícios
Tratar LGPD e governança de dados como projeto estratégico, e não só como obrigação jurídica, traz benefícios diretos para CX. Primeiro, confiança: clientes que percebem transparência no uso de seus dados tendem a fornecer informações mais completas e precisas, o que melhora a qualidade da personalização sem depender de dados obtidos de forma obscura. Segundo, redução de risco financeiro e reputacional: com multas de até 2% do faturamento e multas diárias por descumprimento de cautelares, o custo de um incidente de privacidade hoje supera em muito o investimento em governança preventiva.
Terceiro, e menos óbvio: um programa de governança de dados bem estruturado é também um acelerador de IA. Empresas com ciclo de vida do dado documentado, mapeado e auditável conseguem treinar e ajustar modelos de IA generativa com mais segurança e velocidade, porque já sabem exatamente quais dados podem ser usados, para qual finalidade e com qual base legal — o que reduz retrabalho jurídico em cada nova iniciativa de personalização ou automação.
Como implementar
Estruturar a conformidade de LGPD no atendimento, já pensando na chegada do Marco Legal da IA, passa por seis etapas práticas:
- Nomear e divulgar o Encarregado de Dados (DPO). Além de nomear, garanta que o canal de contato do DPO esteja visível e funcional — é um dos itens que a ANPD já fiscaliza ativamente.
- Mapear o ciclo de vida do dado em cada ferramenta de atendimento. Documente que dado é coletado, onde é armazenado, por quanto tempo, quem acessa e para qual finalidade — incluindo chatbots, IA conversacional, CRM e gravações de atendimento.
- Revisar a base legal de cada tratamento. Nem todo dado usado para personalização pode se apoiar em legítimo interesse; mapeie onde é necessário consentimento explícito, especialmente em uso de dados biométricos e treinamento de modelos de IA.
- Atualizar a política de privacidade para descrever o produto real. Se a empresa usa IA generativa, transfere dados para servidores fora do Brasil ou compartilha dados com parceiros, isso precisa estar explícito e em linguagem acessível.
- Classificar iniciativas de IA por nível de risco. Antecipe-se ao Marco Legal da IA aplicando, desde já, uma triagem interna de risco (excessivo, alto, baixo/moderado) para cada uso de IA no atendimento.
- Testar os canais de atendimento a titulares. Garanta que pedidos de acesso, correção ou exclusão de dados sejam respondidos dentro do prazo legal, com processo documentado.
Erros mais comuns
O erro mais frequente é tratar a LGPD como responsabilidade exclusiva do jurídico, sem envolver as áreas que efetivamente tratam o dado no dia a dia — CX, Atendimento e Tecnologia. O segundo é adotar ferramentas de IA generativa sem avaliar onde os dados são processados e armazenados, especialmente em soluções internacionais que podem envolver transferência internacional de dados sem a salvaguarda adequada. O terceiro é manter uma política de privacidade genérica, copiada de modelo, que não reflete o que a empresa realmente faz com os dados — prática que a ANPD já sinalizou como alvo de fiscalização. Por fim, muitas empresas nomeiam um DPO apenas no papel, sem canal de contato funcional nem processo real de resposta a titulares.
Indicadores para acompanhar
Um programa maduro de governança de dados no atendimento acompanha, no mínimo: tempo médio de resposta a solicitações de titulares (acesso, correção, exclusão); percentual de ferramentas de atendimento com ciclo de vida do dado documentado; número de incidentes de privacidade reportados e tempo de resposta a cada um; cobertura de treinamento em LGPD e uso responsável de IA entre times de atendimento; e resultado de auditorias internas sobre bases legais utilizadas em iniciativas de personalização e IA generativa.
Casos de mercado
Empresas brasileiras mais maduras em governança de dados aplicada a CX vêm adotando um padrão comum: comitês de privacidade e IA com representantes de jurídico, tecnologia e áreas de negócio, avaliação prévia de risco antes de qualquer novo caso de uso de IA generativa no atendimento, e auditorias periódicas do ciclo de vida do dado — não apenas no momento da implantação, mas de forma recorrente, à medida que novas funcionalidades de IA são adicionadas às ferramentas já em uso. O padrão de sucesso não está no tamanho da estrutura jurídica, mas na proximidade entre o time de dados e o time que efetivamente desenha a experiência do cliente.
Tendências para 2027
Para 2027, três movimentos devem se consolidar. Primeiro, a aprovação e sanção do Marco Legal da IA deve transformar a triagem de risco por caso de uso de IA em exigência formal, não apenas boa prática — e a ANPD já sinalizou concentração de ações de fiscalização sobre IA justamente a partir de 2027. Segundo, a integração entre governança de dados e governança de IA deixará de ser tratada em silos separados, com comitês únicos responsáveis por privacidade, segurança e uso responsável de IA. Terceiro, a transparência algorítmica — explicar ao cliente, de forma acessível, como e por que a IA chegou a determinada resposta ou recomendação — deve se tornar diferencial competitivo, não apenas exigência regulatória, na medida em que consumidores mais informados passam a valorizar marcas que oferecem esse nível de clareza.
FAQ
Quais empresas precisam se preocupar com LGPD no atendimento?
Todas as empresas que tratam dados pessoais de clientes brasileiros, independentemente do porte, estão sujeitas à LGPD — o que inclui praticamente qualquer operação de atendimento, CRM ou IA conversacional.
O Marco Legal da IA já está em vigor?
Não. O PL 2338/2023 foi aprovado no Senado em dezembro de 2024 e, em 2026, tramita na Câmara dos Deputados. Ainda precisa retornar ao Senado e passar por sanção presidencial antes de virar lei.
Quais são as multas previstas pela LGPD?
As multas da ANPD podem chegar a 2% do faturamento da empresa no Brasil, com limite de R$ 50 milhões por infração, além de multas diárias em casos de descumprimento de medidas cautelares.
IA generativa no atendimento é considerada de alto risco?
Depende do caso de uso. O Marco Legal da IA propõe classificação por nível de risco (excessivo, alto, baixo/moderado); usos que envolvem dados sensíveis ou decisões automatizadas relevantes tendem a ser classificados com risco mais alto.
O que a ANPD está fiscalizando com mais prioridade em 2026?
Uso de IA generativa, tratamento de dados biométricos e interações com público menor de idade estão entre os alvos prioritários de fiscalização anunciados pela ANPD para 2026-2027.
Conclusão
A convergência entre a LGPD já consolidada e o avanço do Marco Legal da IA torna 2026 o momento certo para transformar governança de dados de obrigação jurídica em vantagem competitiva de CX. Empresas que documentarem o ciclo de vida do dado, classificarem o risco de cada iniciativa de IA e mantiverem transparência real com o cliente estarão não só protegidas de multas, mas também mais preparadas para escalar personalização e automação com segurança.
Quer aprofundar como conciliar LGPD, IA e experiência do cliente na prática? Assine a newsletter do Portal Customer para receber os próximos conteúdos deste guia, conheça os serviços da Customer Centric Consulting para estruturar seu programa de governança de dados e IA, e compartilhe este conteúdo com sua rede de RH, Jurídico e CX.
Sobre Euriale Voidela
Euriale Voidela é CEO e fundadora da Customer Centric Consulting, editora-chefe do Portal Customer e presidente da AIESC. Com mais de 27 anos de experiência em Customer Experience e Customer Success, já apoiou mais de 100 projetos e operações e é autora de 5 livros sobre CX & CS.
Sobre a Customer Centric Consulting
A Customer Centric Consulting é uma consultoria especializada em Customer Experience, Customer Success e gestão centrada no cliente, atuando da estratégia à execução para transformar experiência do cliente em resultado de negócio. Saiba mais em customercentric.com.br.
Leia também no Portal Customer
- Guia Completo sobre Experiência do Colaborador (EX e NR-1)
- Customer Success: o que é e como estruturar na sua empresa
- ROI de CX: como medir e comprovar o retorno dos investimentos em experiência
- Humanização da IA no atendimento ao cliente
- Atendimento Proativo: como antecipar problemas do cliente
