LGPD e IA: o que sua empresa precisa saber

A LGPD não fala de IA, e é justamente por isso que ela se aplica inteira. A lei protege o dado pessoal em qualquer tratamento, e colar informação de cliente em uma ferramenta é tratamento. A responsabilidade continua sendo da sua empresa.

O princípio que resolve a maioria das dúvidas

Quem coleta o dado responde por ele. Não importa se a ferramenta é gratuita, estrangeira ou famosa: se o dado é do seu cliente, o responsável é o seu negócio.

Isso muda a pergunta que você deve fazer. Não é "essa ferramenta é confiável?", é "eu preciso mesmo colocar esse dado aqui?". Na maioria das vezes, a resposta é não.

O que conta como dado pessoal

• Nome, telefone, e-mail e endereço.
• CPF, RG e demais documentos.
• Foto e áudio em que a pessoa é identificável.
• Informação financeira ligada a uma pessoa.
• Qualquer conjunto que, combinado, permita identificar alguém.

Além desses, existem os dados sensíveis, com proteção reforçada: saúde, biometria, dado genético, origem racial, religião, opinião política e vida sexual. Em clínica, quase tudo que o paciente conta cai nessa categoria.

As quatro regras práticas

1. Minimize. Só colete e só use o que a tarefa exige de fato.
2. Anonimize antes de usar. Troque nome por "cliente A". Na quase totalidade dos casos, a resposta é igualmente útil.
3. Informe a finalidade. A pessoa precisa saber para que o dado está sendo pedido.
4. Controle o acesso. Histórico em ambiente da empresa, com acesso identificado, não no celular pessoal de quem atende.

Quando você pode tratar o dado

A LGPD exige uma base legal. Para negócio pequeno, três aparecem quase sempre.

Execução de contrato. Você precisa do endereço para entregar, do telefone para atender. É a base mais comum e não exige consentimento separado.

Legítimo interesse. Cobre situações como atender quem procurou você, com limites e sem abusar.

Consentimento. Necessário para o que foge da relação, como enviar promoção para quem não pediu. Precisa ser livre, informado e revogável.

O que muda com atendimento automatizado

Três pontos merecem atenção quando um sistema atende no seu lugar.

• Ele deve coletar só o necessário, e não puxar conversa pedindo mais do que precisa.
• O histórico precisa ficar em ambiente controlado e com acesso rastreável.
• Pedido de descadastro ou de exclusão deve ser respeitado imediatamente.

Os direitos que o cliente pode exercer

Ele pode pedir confirmação de que você trata dados dele, acesso a esses dados, correção, exclusão e informação sobre com quem você compartilhou.

Na prática, você precisa de um canal para receber esses pedidos e de alguém responsável por respondê-los. Em negócio pequeno, costuma ser o próprio dono, e isso é aceitável desde que exista de verdade.

Checklist para começar hoje

1. Liste onde estão os dados de clientes hoje.
2. Defina o que ninguém pode colar em ferramenta aberta.
3. Adote a anonimização como padrão.
4. Crie um canal simples de contato para pedidos do titular.
5. Escreva em uma página as regras de uso de IA da casa.

O modelo dessa última está em política de uso de IA na empresa. Este texto é orientação prática e não substitui a análise de um advogado para o seu caso.

Perguntas frequentes