LGPD e IA: o que pode (e o que não pode) ir para um chatbot na sua empresa

Open Mind IA · 13 de outubro de 2026 · 8 min de leitura

Em muitas empresas, a inteligência artificial entrou pela porta dos fundos. Alguém do financeiro cola uma planilha em um chatbot para pedir uma análise, o time comercial envia uma lista de clientes para escrever mensagens personalizadas, o RH pede ajuda para resumir currículos. Tudo isso é feito com a melhor das intenções: ganhar tempo. O problema é que, na pressa, ninguém parou para perguntar para onde esses dados estão indo e se a empresa pode, de fato, enviá-los.

A pergunta é legítima e tem resposta prática. No Brasil, a Lei Geral de Proteção de Dados (LGPD, Lei 13.709/2018) vale para qualquer empresa que trate dados pessoais, seja uma multinacional ou uma distribuidora do interior. Isso inclui o nome, o telefone e o e-mail de um cliente colado em uma conversa com uma ferramenta de IA. Usar IA não cria uma zona livre de regras: o tratamento continua precisando de finalidade clara, base legal e cuidado com a segurança.

A boa notícia é que não é preciso escolher entre usar IA e cumprir a lei. Com algumas decisões simples sobre quais dados entram, em qual ferramenta e com quais controles, a empresa colhe os ganhos de produtividade sem expor clientes, funcionários e a própria reputação. Este artigo explica o raciocínio e mostra por onde começar. Não substitui a orientação de um advogado, mas ajuda a conversar com ele com o mapa na mão.

O que a LGPD considera dado pessoal (e por que isso importa para a IA)

Dado pessoal é qualquer informação que identifique uma pessoa ou permita identificá-la: nome, CPF, e-mail, telefone, endereço, histórico de compras ligado a um cliente, até um identificador interno quando é possível chegar à pessoa por ele. Existe ainda uma categoria mais delicada, a dos dados pessoais sensíveis, que inclui informações de saúde, origem racial ou étnica, convicção religiosa, opinião política e dados biométricos, entre outros. Esses exigem cuidado redobrado.

Para a IA, isso importa porque a ferramenta só consegue processar o que recebe. Quando você cola uma tabela de clientes em um assistente, esses dados foram transmitidos a um terceiro. Dependendo do serviço contratado, da configuração e dos termos de uso, a informação pode ficar armazenada, ser acessada por pessoas do fornecedor para fins de segurança ou até ser usada para melhorar o modelo. Cada fornecedor trata isso de um jeito, e é justamente por isso que ler as condições do plano contratado não é detalhe burocrático.

Os quatro riscos mais comuns no uso de IA nas empresas

1. Uso informal de ferramentas pessoais

O risco mais frequente é o colaborador usar uma conta gratuita e pessoal de um chatbot para tarefas da empresa. Nesse cenário, a empresa não tem contrato, não sabe quais dados saíram e não consegue auditar nada. É o que se costuma chamar de uso não autorizado de IA, e ele cresce justamente porque as ferramentas são fáceis e úteis.

2. Envio de mais dados do que o necessário

A LGPD trabalha com o princípio da necessidade: tratar apenas o mínimo indispensável para a finalidade. Se a tarefa é resumir o padrão de compras de uma carteira, não há motivo para enviar nomes, CPFs e telefones. Muitas vezes basta anonimizar, trocando o nome por um código, ou agregar os números por região, produto ou faixa de valor.

3. Respostas que vazam contexto

Quando uma IA é conectada a documentos e bancos de dados da empresa sem controle de acesso, ela pode responder a uma pessoa com informações que só outra deveria ver. Um assistente interno que mistura dados de folha de pagamento com consultas gerais é um exemplo clássico. O controle de quem vê o quê precisa existir na camada de dados, não apenas na boa vontade de quem pergunta.

4. Falta de registro e de responsável

Sem um registro de quais ferramentas de IA estão em uso, quais dados passam por elas e quem responde por isso, a empresa não consegue atender a um pedido de titular, como a solicitação de saber o que é feito com seus dados, nem reagir bem a um incidente. A lei prevê a figura do encarregado e a prestação de contas, e vale para o uso de IA como vale para qualquer outro sistema.

Como pensar: o que pode e o que não deve ir para um chatbot

Uma forma útil de organizar a conversa interna é classificar os dados em três faixas. Na primeira estão os dados públicos ou sem relação com pessoas: textos institucionais, descrições de produtos, rascunhos de posts, dúvidas técnicas genéricas. Esses podem circular em ferramentas aprovadas sem grandes restrições. Na segunda faixa ficam os dados internos da empresa que não identificam pessoas, como indicadores agregados de vendas ou estoque. Aqui vale usar apenas ferramentas contratadas em plano empresarial, com termos claros sobre retenção e uso dos dados.

Na terceira faixa estão os dados pessoais e sensíveis: cadastros de clientes, informações de funcionários, dados de saúde, documentos com CPF, contratos com nome e valores. Para esses, a regra de partida é não enviar a ferramentas sem contrato adequado, e, mesmo com contrato, enviar apenas o necessário e preferencialmente de forma anonimizada. Em caso de dúvida, trate como terceira faixa até que alguém com autoridade decida o contrário.

Anonimizar, agregar e restringir: três técnicas simples

A primeira técnica é a anonimização prática: substituir nomes, documentos e contatos por códigos antes de enviar os dados à IA e, se for preciso, reassociar depois, dentro do ambiente da empresa. Muitas análises não perdem qualidade nenhuma com isso. A segunda é a agregação: em vez de enviar mil linhas de clientes, enviar o resumo por faixa, região ou categoria, que é o que normalmente interessa à análise.

A terceira é a restrição de acesso quando a IA é conectada aos sistemas. Se você tem um agente que consulta o ERP ou um painel de Power BI, ele deve herdar as permissões de quem pergunta, e não ter uma chave mestra. Ao desenhar essa integração, o ideal é que a IA acesse uma camada já tratada, com as colunas sensíveis removidas ou mascaradas, e que cada consulta fique registrada. Isso resolve ao mesmo tempo segurança, auditoria e confiança na resposta.

Contratar a ferramenta certa vale mais do que proibir

Proibir o uso de IA raramente funciona: as pessoas continuam usando, só que escondido. O caminho mais eficaz é oferecer uma alternativa aprovada. Isso significa escolher ferramentas em plano empresarial, ler com atenção o que o contrato diz sobre armazenamento, treinamento de modelos com os seus dados, localização e subcontratados, e configurar as opções de privacidade disponíveis. Quando a tarefa é recorrente e sensível, vale considerar uma solução construída sob medida, em que os dados permanecem no ambiente controlado pela empresa e a IA é chamada apenas com o que é indispensável.

Também é importante lembrar que a responsabilidade não termina no fornecedor. Pela lógica da LGPD, quem decide como e por que os dados são tratados responde por esse tratamento. Contratar uma ferramenta confiável ajuda muito, mas a empresa continua precisando definir finalidade, limitar o que é enviado e orientar sua equipe.

Como começar: um roteiro de cinco passos

• Levante o que já existe. Pergunte às equipes quais ferramentas de IA estão sendo usadas e para quê. Sem julgamento: o objetivo é enxergar a realidade.
• Classifique os dados. Use as três faixas acima e liste exemplos concretos do seu negócio em cada uma.
• Defina ferramentas aprovadas. Escolha poucas opções em plano empresarial e comunique claramente o que pode ser feito em cada uma.
• Escreva uma política curta. Duas páginas, em linguagem simples, com exemplos do dia a dia. Política longa ninguém lê.
• Treine e revise. Uma conversa de meia hora com cada equipe e uma revisão a cada semestre já mudam o comportamento.

Esse roteiro não exige grandes investimentos e costuma revelar rapidamente onde estão os maiores riscos. Em paralelo, converse com um profissional jurídico especializado em proteção de dados para validar bases legais, contratos com fornecedores e a necessidade de relatórios de impacto em casos mais sensíveis.

Segurança também é vantagem competitiva

Empresas que tratam bem os dados dos clientes ganham algo que não aparece em nenhum painel: confiança. Em negociações com clientes maiores, é cada vez mais comum o comprador perguntar como os dados são protegidos e se há uso de IA no processo. Quem tem resposta organizada passa mais segurança e fecha negócios com menos atrito. Por isso, tratar o tema como parte da estratégia, e não apenas como obrigação legal, costuma trazer retorno.

Conclusão

Usar inteligência artificial com responsabilidade não é freio de inovação: é o que permite que ela se espalhe pela empresa sem sustos. Saber o que pode ir para um chatbot, o que precisa ser anonimizado e o que deve ficar dentro de casa transforma a IA de risco difuso em ferramenta controlada.

Na Open Mind IA, desenhamos automações, agentes de IA e painéis de BI já pensando nessas camadas: acesso por perfil, dados tratados antes de chegar ao modelo e registro do que é consultado. Se a sua empresa quer aproveitar a IA sem abrir mão da segurança, um diagnóstico inicial ajuda a mapear o que já está acontecendo e a definir um caminho viável. Conheça também os cases e os serviços de IA aplicada e automação para ver como isso funciona na prática.