LGPD e chatbots: o que muda no consentimento do titular dos dados

Um chatbot de atendimento pede o CPF do cliente para localizar o pedido, guarda o histórico da conversa para “melhorar o atendimento” e, em algum momento, o cliente digita de forma espontânea que está grávida, ou que tem uma condição de saúde, ou menciona a religião ao explicar por que precisa de uma troca em determinada data. Nenhuma dessas coletas passou por um consentimento específico. Essa cena, comum em praticamente qualquer operação de atendimento com chatbot, é exatamente o tipo de situação que a Autoridade Nacional de Proteção de Dados (ANPD) sinalizou que vai fiscalizar com mais intensidade a partir de 2026.

A ANPD publicou, em dezembro de 2025, o Mapa de Temas Prioritários para o biênio 2026-2027, definindo quatro eixos de fiscalização: direitos dos titulares, proteção de crianças e adolescentes, tratamento de dados pelo poder público e, o quarto eixo, inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais. Chatbots entram diretamente nesse quarto eixo, porque são, na prática, o ponto de contato mais comum entre IA e dado pessoal em qualquer empresa que atende cliente.

Por que a ANPD colocou IA e chatbots no radar de fiscalização 2026-2027

A inclusão de inteligência artificial como eixo prioritário não veio de uma preocupação abstrata. Segundo o próprio documento da ANPD, os temas foram definidos a partir da análise de requerimentos, comunicações de incidente e ações de fiscalização coletadas ao longo dos últimos dois anos, consolidadas no Relatório de Ciclo de Monitoramento 2023-2025. Ou seja, o volume de reclamações e incidentes envolvendo sistemas automatizados que processam dado pessoal já é grande o suficiente para justificar um eixo dedicado.

Isso muda o cálculo de risco para qualquer empresa que opera chatbot de atendimento. Até pouco tempo, a conformidade de um chatbot com a LGPD era tratada como item de checklist jurídico, revisado uma vez e esquecido. Com IA e tecnologias emergentes entre os quatro eixos prioritários de fiscalização, o chatbot passa a ser um ponto de atenção operacional contínuo, não um documento assinado no início do projeto.

Consentimento não é a única base legal, e insistir nele pode ser um erro

Um erro comum, inclusive em times jurídicos bem-intencionados, é tratar consentimento como a única base legal válida para o tratamento de dados num chatbot. A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), no artigo 7º, prevê dez bases legais diferentes, e consentimento é apenas uma delas. Para a maior parte das interações de suporte, quando o cliente já é titular de um contrato com a empresa e está buscando resolver algo relacionado a esse contrato (status de pedido, dúvida sobre cobrança, solicitação de troca), a base legal mais adequada costuma ser execução de contrato ou procedimentos preliminares relacionados a contrato, não consentimento.

Isso importa na prática porque forçar consentimento onde a base correta seria outra cria dois problemas: infla a interface do chatbot com pedidos de aceite desnecessários, que o cliente aceita sem ler, e cria uma falsa sensação de conformidade que não resiste a uma fiscalização, porque consentimento mal caracterizado (genérico, forçado como pré-condição para acesso ao atendimento) pode ser considerado inválido pela ANPD. O ponto central é escolher a base legal certa para cada finalidade de tratamento, e reservar consentimento explícito para os casos em que ele realmente é exigido, como o uso de dados para finalidades secundárias (marketing, treinamento de modelos com dados do cliente) que não são estritamente necessárias para resolver o atendimento em curso.

O que muda quando o chatbot usa IA generativa e não roteiro fixo

Chatbots baseados em regras fixas têm um universo previsível de perguntas e respostas, o que facilita mapear exatamente quais dados são coletados e por quê. Sistemas de IA generativa, que respondem de forma mais aberta e podem reter contexto ao longo da conversa, tornam esse mapeamento mais difícil, porque o dado pessoal pode ser capturado de forma incidental, dentro do texto livre digitado pelo cliente, sem que exista um campo de formulário correspondente a esse dado específico. Já tratei da arquitetura técnica dessa mudança no artigo sobre migração de chatbot para IA com memória contextual, mas o ponto relevante aqui é o reflexo em proteção de dados: memória contextual significa reter mais dado, por mais tempo, o que exige uma política de retenção e descarte muito mais explícita do que um chatbot sem memória.

Outro ponto que muda é a transparência sobre a própria natureza automatizada da interação. O titular precisa conseguir identificar, de forma clara, que está conversando com um sistema de IA, e não com uma pessoa, especialmente quando essa interação pode levar a alguma forma de decisão automatizada, como triagem de prioridade de atendimento, elegibilidade para determinada oferta ou aprovação de solicitação. O artigo 20 da LGPD garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, o que exige que a empresa consiga explicar, de forma inteligível, os critérios que levaram àquela decisão, e não apenas apontar para uma “caixa-preta” do modelo.

O ponto cego mais comum: dados sensíveis capturados sem querer em conversas abertas

O erro mais frequente que vejo em projetos de chatbot não é técnico, é de desenho de conversa. Campos de texto livre, especialmente em chatbots com IA generativa, convidam o cliente a escrever mais do que o estritamente necessário, e é nesse excesso que aparecem dados sensíveis: saúde, religião, orientação sexual, opinião política, dado de criança ou adolescente mencionado de passagem. A LGPD trata dado sensível com regras mais rígidas de base legal e de segurança, e a maioria dos chatbots simplesmente não tem nenhum mecanismo para identificar quando um dado sensível acabou de entrar na conversa.

Isso é particularmente relevante para operações que usam IA para gerar respostas de tom mais humano, como discuti no artigo sobre tom de voz e empatia em scripts de IA: quanto mais natural e aberta a conversa fica, maior a chance de o cliente compartilhar informação sensível que não seria capturada por um formulário estruturado, e maior a responsabilidade da empresa de detectar e tratar esse dado com o cuidado adequado, em vez de simplesmente armazená-lo junto com o resto do histórico da conversa.

Um roteiro prático para adequar chatbots à LGPD

O primeiro passo é mapear, para cada finalidade de coleta de dado no chatbot, qual é a base legal aplicável, documentando explicitamente por que consentimento é ou não é a base correta para aquela finalidade específica. O segundo é revisar a política de retenção de histórico de conversas, definindo por quanto tempo o dado fica armazenado e associando esse prazo à finalidade que justifica a retenção, não a um prazo genérico “para sempre”.

O terceiro passo é implementar, no design da conversa, uma identificação clara e antecipada de que o cliente está interagindo com um sistema de IA, evitando qualquer ambiguidade sobre isso. O quarto é avaliar, com o time jurídico ou de privacidade, se algum uso do chatbot se enquadra como decisão automatizada que afeta o titular, e, se sim, preparar um processo documentado de explicação e revisão dessa decisão mediante solicitação, conforme exige o artigo 20 da LGPD. O quinto é considerar a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais (RIPD) específico para o chatbot, especialmente se ele processa dado sensível ou toma decisões que afetam o cliente, prática que já detalhei no artigo sobre RIPD para IA de atendimento.

Erros mais comuns que vejo empresas cometendo

O primeiro erro é tratar a conformidade do chatbot com a LGPD como um projeto único, concluído na implementação, sem revisão periódica, mesmo quando o próprio sistema de IA evolui e passa a coletar ou processar dado de forma diferente ao longo do tempo. O segundo é usar um único termo de consentimento genérico para todas as finalidades de tratamento do chatbot, misturando o que é necessário para prestar o atendimento com o que é uso secundário do dado, como treinamento de modelo ou marketing.

O terceiro erro é não ter nenhum mecanismo de detecção de dado sensível no texto livre digitado pelo cliente, tratando toda a conversa como um bloco homogêneo de dado comum. O quarto, mais estratégico, é ignorar que a fiscalização da ANPD sobre IA em 2026-2027 tende a olhar primeiro para os setores e casos de uso com maior volume de reclamação e maior sensibilidade de dado, o que torna atendimento ao cliente, por lidar com grande volume de interações e frequentemente com dado financeiro ou de saúde, um alvo natural de atenção.

Como saber se o chatbot está em conformidade

O indicador mais direto é conseguir responder, para cada finalidade de coleta de dado no chatbot, qual é a base legal exata, sem recorrer a “consentimento genérico” como resposta padrão para tudo. Um segundo indicador é a existência de um processo documentado de retenção e descarte de histórico de conversas, com prazos justificados por finalidade, e não um prazo indefinido.

Um terceiro indicador é a capacidade de auditar, numa amostra de conversas, se dados sensíveis foram capturados e como foram tratados, o que revela se o mecanismo de detecção (quando existe) está de fato funcionando na prática e não apenas no papel. Um quarto indicador, mais avançado, é verificar se o time consegue explicar, para qualquer decisão automatizada relevante tomada pelo chatbot, os critérios que levaram àquele resultado, sem depender de uma resposta genérica de “o sistema decidiu assim”.

O que fazer a partir de amanhã

Puxe o mapeamento atual de dados coletados pelo chatbot da sua operação e verifique, para cada tipo de dado, se a base legal documentada é realmente a mais adequada, ou se consentimento está sendo usado por padrão sem justificativa específica. Em paralelo, faça uma amostragem de conversas recentes buscando sinais de dado sensível compartilhado espontaneamente pelo cliente, para dimensionar o tamanho real desse ponto cego na sua operação antes que ele apareça numa fiscalização.

Referências

• Brasil. Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais). Disponível em: planalto.gov.br.
• Autoridade Nacional de Proteção de Dados (ANPD). ANPD publica Mapa de Temas Prioritários para o biênio 2026-2027 e atualiza Agenda Regulatória 2025-2026. Gov.br, 24 dez. 2025. Disponível em: gov.br/anpd.

Sobre a autora
Sou Euriale Voidela. Iniciei minha carreira em 1998 como operadora de atendimento e, desde então, construí uma trajetória de mais de 25 anos dedicada à evolução do relacionamento com clientes. Sou especialista em Customer Experience, Customer Success e Customer Centricity, fundadora e CEO da Customer Centric Consulting, editora-chefe do Portal Customer, presidente da AIESC, autora de 5 livros sobre CX e CS e conselheira de empresas.

Já revisei desenhos de conversa de chatbot em que o time de produto se orgulhava de quanto o cliente “se abria” durante o atendimento, sem perceber que aquele nível de abertura estava gerando um volume enorme de dado sensível não tratado. Conformidade com a LGPD num chatbot não é um documento assinado uma vez, é uma disciplina contínua de saber exatamente o que está sendo coletado, por quê, e com base em qual artigo da lei.

Sobre a Customer Centric Consulting
A Customer Centric Consulting é a consultoria que fundei para ajudar empresas a transformar experiência do cliente em resultado de negócio, da estratégia à execução. Atuamos em diagnóstico de maturidade em CX e CS, redesenho de jornadas e processos, governança e indicadores, tecnologia e Inteligência Artificial aplicada ao atendimento, cultura centrada no cliente e estruturação de operações de contact center.

Nosso principal diferencial é o método CX Maturity Intelligence, um diagnóstico estruturado que combina análise qualitativa (pilares, critérios e regras que evitam avaliações infladas) com análise quantitativa de dados operacionais reais, como taxa de contato, comportamento do cliente único, speech analytics e correlações regulatórias. É esse cruzamento entre percepção e dado que torna possível saber, com precisão, em que estágio de maturidade uma empresa realmente está, e não em qual estágio ela acredita estar.

Já apoiamos mais de 100 projetos em empresas de diversos segmentos, sempre com o mesmo compromisso: colocar o cliente, e quem cuida dele todos os dias, no centro da estratégia.

Saiba mais em customercentric.com.br ou conheça também o Portal Customer, mídia especializada em CX e CS.

Seu chatbot consegue explicar, para cada dado coletado, qual é a base legal exata que justifica esse tratamento? A Customer Centric Consulting aplica o diagnóstico CX Maturity Intelligence para mapear, com dado real da sua operação, onde a governança de IA e dados do seu atendimento está madura e onde precisa de atenção antes da próxima fiscalização. Fale com a nossa equipe.