Agente de IA e LGPD: o que checar antes de ligar o seu
Em 15 segundos
O risco não é a inteligência artificial: é o agente ter acesso a mais dado do que precisa pra fazer o trabalho.
A multa existe de verdade: até 2% do faturamento, limitada a R$ 50 milhões por infração, segundo a Lei Geral de Proteção de Dados.
O primeiro passo é de governança, não de tecnologia: decidir o acesso antes de ligar o agente, não depois.
Agente de IA e LGPD combinam bem quando a empresa decide, antes de ligar o agente, quais dados ele acessa, por quanto tempo guarda cada informação e quem revisa o que ele decidiu sozinho. O problema raramente é a tecnologia: quase sempre é o acesso amplo demais que ninguém nunca mais checou.
Imagine uma clínica de bairro (exemplo hipotético) que ligou um agente de IA pra confirmar consulta e tirar dúvida no WhatsApp. Em duas semanas, o agente já tinha acesso ao prontuário completo dos pacientes, não só ao nome e ao horário da consulta.
Ninguém decidiu isso de propósito. Foi a integração padrão do fornecedor. É aí que a LGPD para de ser papelada e vira risco real, de multa e de confiança quebrada com o paciente.
O susto não é hipotético.
Seu agente de IA precisa ver todos os dados do cliente?
Na maioria dos casos, não precisa, e é exatamente aí que mora o risco. Muita integração de agente de IA é vendida como "conecta com tudo", e o dono aceita porque dá menos trabalho configurar. O agente que responde no WhatsApp não precisa ver o histórico financeiro completo do cliente. Basta o que for relevante naquele momento.
Quanto mais dado o agente carrega, maior o estrago se algo sair errado. Por falha do agente ou do fornecedor. Isso vale pra atendimento, e vale ainda mais quando o agente também decide sozinho o que fazer com uma conta ou um acesso próprio na empresa.
Não dá pra saber ainda se todo fornecedor vai oferecer controle fino de acesso no plano básico. Depende de quanto ele deixa você configurar por campo, e não por sistema inteiro.
O que a LGPD exige quando quem atende é uma IA?
A LGPD trata o agente de IA como qualquer outro processamento de dado pessoal. Precisa de finalidade clara, prazo de guarda definido e alguém responsável por explicar o que foi feito. Essa é a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018).
O artigo 52 da lei é direto quanto à sanção: multa simples de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, segundo o texto da lei no Planalto.
A régua não muda.
Vale pra humano atendendo cliente. Vale pra IA fazendo isso. A Autoridade Nacional de Proteção de Dados (ANPD) tem ficado mais ativa em fiscalização nos últimos anos. Não é motivo pra pânico. Nem motivo pra tratar o agente como uma caixa fechada que ninguém precisa entender.
Antes de ligar qualquer automação nova, vale revisitar o que decidir antes de autorizar um agente de IA a agir por conta própria: o limite certo evita boa parte do problema de LGPD antes de ele existir.
A multa é rara. O constrangimento com o cliente não
Discordo de quem trata a LGPD só como risco jurídico, pra resolver com advogado depois que o problema já aconteceu. Em 25 anos de redes, aprendi que o problema do dia a dia quase nunca é a multa, que é rara e demora a chegar.
É o cliente descobrir, pelo próprio agente, um dado que ele nem sabia que a empresa guardava. Isso quebra confiança mais rápido do que qualquer fiscalização.
A multa demora. O cliente não.
Por isso o mapeamento de acesso devia entrar no projeto de automação com IA sob medida desde o primeiro desenho do processo, e não como um ajuste de última hora antes de publicar.
O que fazer esta semana
Liste os sistemas que o agente toca hoje: CRM, prontuário, planilha de estoque, conversa do WhatsApp.
Corte o acesso por campo, não por sistema inteiro: nome e telefone sim, histórico financeiro completo só se o processo exigir.
Defina por quanto tempo o agente guarda cada conversa, e quem pode reler depois.
Escreva, em uma página, o que o agente pode decidir sozinho e o que precisa de aprovação humana.
Marque uma revisão em 90 dias pra checar se o acesso configurado ainda faz sentido.
Perguntas rápidas
Um agente de IA pode usar dados de clientes sem violar a LGPD?
Pode, desde que a empresa defina a finalidade do uso, limite o acesso ao que é necessário e tenha alguém responsável por explicar a decisão do agente quando for preciso. O problema aparece quando falta controle e prazo definido de guarda.
Preciso de um contrato específico com o fornecedor do agente de IA?
Sim. O contrato deve dizer onde o dado é processado, por quanto tempo fica guardado e quem responde em caso de incidente. Sem isso, a empresa que contratou o agente responde sozinha diante da LGPD.
Quanto custa adequar um agente de IA à LGPD?
Não existe um valor fixo: depende de quantos sistemas o agente toca e de quanto retrabalho de configuração é necessário. Na prática, o custo maior costuma ser o tempo de mapear o acesso, não a ferramenta em si.
O que esperar dos próximos 12 meses
Na minha leitura, a fiscalização da ANPD sobre uso de IA deve crescer (isso é opinião, não fato confirmado). Não porque a lei vai mudar da noite pro dia, mas porque o número de empresa usando agente de IA pra atender cliente também está crescendo. Quem mapear o acesso agora entra nessa fase com vantagem.
Isso não resolve tudo de uma vez. Também não dá pra garantir que nenhum fornecedor vai mudar as regras do próprio produto no meio do caminho. Mas é o tipo de decisão que, tomada agora, evita boa parte do susto depois.
O futuro da sua empresa não pode esperar por testes amadores.
Na Naria, transformamos tendências globais de Inteligência Artificial e Agentes Autônomos em vantagem competitiva real e mensurável para PMEs. Quer descobrir como implementar essas soluções na sua operação hoje?
Comentários