IA e LGPD: o que pode e o que não pode ir para a IA

Pela LGPD, colar o histórico de um cliente numa ferramenta de IA ou ligar um agente ao CRM é tratamento de dados pessoais, e a empresa pode fazer isso desde que cumpra as mesmas regras que já valem para o resto da operação. A liderança precisa saber para que o dado vai à IA e em qual base legal, mandar só o necessário, informar o titular e ter contrato com o fornecedor que defina retenção, uso para treinamento e local de processamento. Decisão automatizada que afeta o cliente, o lead ou o candidato pede revisão possível por uma pessoa. A Lei 13.709/2018 não proíbe a IA e também não abre exceção para ela. Escrevo como consultor de CRM e de operação, sem a pretensão de dar parecer: cada empresa deve validar as escolhas abaixo com o seu jurídico e com o encarregado de dados.

Nos projetos em que a Iasbeck&Co conecta agentes de IA ao CRM, a pergunta sobre LGPD chega cedo, e quase nunca do jurídico. Quem pergunta é o gerente de vendas que quer colar a transcrição da call no assistente, o analista de marketing que quer subir uma lista para segmentar ou a coordenadora de RH com uma pilha de currículos, e cada um já usa IA por conta própria sem saber se pode. Escrevi este texto para as lideranças de vendas, marketing e CS, para o jurídico, a TI e o encarregado, e para o RH que vai organizar a formação.

O que a LGPD tem a ver com IA no CRM?

O CRM de uma empresa B2B guarda dado pessoal em quase todo registro. O CNPJ e o segmento da empresa ficam fora da LGPD, porque a lei protege a pessoa natural. O nome do comprador, o e-mail corporativo, a gravação da reunião e a conversa do chamado se referem a uma pessoa identificada, e o art. 5º, inciso I, define dado pessoal como “informação relacionada a pessoa natural identificada ou identificável”. O inciso X chama de tratamento toda operação com esse dado, incluindo utilização, transmissão e processamento, e mandar um registro para um modelo de linguagem resumir entra nessa definição.

A lei também distribui papéis. A sua empresa decide para que o dado serve e atua como controladora; o fornecedor da ferramenta de IA costuma atuar como operador, que trata o dado em nome do controlador e segue as instruções dele (art. 39). Os termos de cada fornecedor dizem em que papel ele atua, e alguns reservam usos próprios, como melhoria do serviço. Leia esses termos com o jurídico antes de ligar a ferramenta, porque a responsabilidade pela escolha fica com quem contratou.

Os usos que descrevi em IA na operação comercial, como preparar reunião, personalizar a nutrição e classificar chamado, leem dado pessoal. Os princípios do art. 6º valem para cada um deles, e o agente de triagem que lê a conversa do cliente segue as mesmas regras que o analista que lia o chamado antes dele.

Mitos e verdades sobre IA e LGPD

Os mitos abaixo aparecem com frequência nas conversas com a liderança comercial. Ao lado de cada um, coloquei o dispositivo da lei que ajuda a desfazê-lo e o efeito na operação.

Mito	O que a lei diz	Na prática
“O dado do CRM é da empresa, posso usar como eu quiser.”	O art. 17 assegura a toda pessoa natural a titularidade dos seus dados. O art. 6º, inciso I, exige propósito legítimo, específico e informado ao titular, sem uso posterior incompatível.	Usar o histórico de clientes para um fim novo, como treinar um modelo próprio, pede análise antes.
“Contratei a versão paga, a LGPD está resolvida.”	O operador trata o dado segundo as instruções do controlador, “que verificará a observância das próprias instruções” (art. 39).	O plano corporativo costuma trazer termos melhores de retenção e treinamento. Configurar e verificar continua com a sua empresa.
“Anonimizar é tirar o nome.”	Dado anonimizado é aquele cujo titular não pode ser identificado com meios técnicos razoáveis (art. 5º, III). Se a anonimização puder ser revertida com esforços razoáveis, o dado continua pessoal (art. 12).	E-mail, cargo com nome da empresa ou uma frase marcante da call identificam a pessoa. Nome trocado por código reversível continua dado pessoal.
“No B2B só tem dado de empresa.”	A lei protege a pessoa natural (art. 5º, I e V).	Nome, e-mail e telefone do contato corporativo são dados pessoais, e a transcrição da reunião também.
“Para usar IA, preciso do consentimento de todo mundo.”	O art. 7º traz dez hipóteses de tratamento, entre elas execução de contrato e legítimo interesse, e o consentimento é uma delas.	O jurídico escolhe a base de cada finalidade. No legítimo interesse, a lei limita o tratamento aos dados estritamente necessários e exige transparência (art. 10, §§ 1º e 2º).
“Se a IA decidiu, a responsabilidade é da ferramenta.”	O titular pode pedir revisão de decisões tomadas só com base em tratamento automatizado que afetem seus interesses (art. 20). Controlador e operador respondem por dano causado em violação à lei (art. 42).	A empresa precisa explicar os critérios da pontuação ou da triagem automática e ter quem revise o caso.
“Servidor fora do Brasil é proibido.”	A transferência internacional é permitida nos casos do art. 33, entre eles cláusulas-padrão contratuais aprovadas pela ANPD.	Pergunte ao fornecedor onde o dado é processado e qual mecanismo de transferência ele adota.

Quais dados do CRM podem ir para a IA?

A resposta muda com o tipo de dado e a ferramenta. Nos projetos, uso a classificação abaixo, que o encarregado ajusta à política da empresa. Ela separa o dado sensível do art. 5º, II, que inclui saúde, convicção religiosa, filiação a sindicato e dado biométrico, e marca o que pede cuidado reforçado por outros motivos, como dados financeiros e de crianças e adolescentes (art. 14).

Tipo de dado	Exemplos no CRM	Orientação inicial
Dado de empresa	CNPJ, segmento, porte, produtos contratados	Fora da LGPD; avalie segredo comercial e contrato com o cliente
Dado pessoal de contato	Nome, e-mail, telefone, cargo	Ferramenta contratada, com finalidade definida e só os campos necessários
Conteúdo de conversa	Transcrição de call, e-mail, chat, chamado	Ferramenta contratada; revise o que a transcrição carrega antes de ampliar o uso
Dado sensível	Menção a doença, laudo, religião, sindicato, biometria	Fora do uso geral; só com hipótese do art. 11 validada pelo jurídico
Dado financeiro e de crédito	Inadimplência, limite, dados bancários	Uso restrito, com regra de acesso e revisão humana em decisão
Dado de colaborador e candidato	Currículo, avaliação de desempenho, salário	Política própria do RH, com atenção à revisão de decisão automatizada

O cliente fala o que quiser numa reunião ou num chamado, e a transcrição traz junto o afastamento médico do comprador ou o processo trabalhista que ele comentou. Empresas de saúde, seguros e educação recebem esse tipo de informação no atendimento todos os dias. Nesses setores, configure o agente para ler só os campos necessários e defina com o encarregado o que fazer quando um dado sensível aparecer no texto.

ChatGPT e LGPD: qual a diferença entre a conta pessoal e a ferramenta contratada?

O maior risco que encontro nas empresas vem do colaborador que abre uma conta pessoal gratuita em qualquer assistente e cola ali a planilha de clientes, porque nessa situação a empresa não tem contrato com o fornecedor. Ela não sabe por quanto tempo o conteúdo fica guardado, se entra no treinamento de modelos ou em que país é processado, e não consegue atender o titular que pede para saber com quem o dado dele foi compartilhado (art. 9º, inciso V). Mesmo com um bom fornecedor, a empresa fica sem como demonstrar os próprios cuidados, e o art. 6º, inciso X, pede essa demonstração.

A ferramenta contratada, no plano corporativo ou integrada ao CRM, costuma oferecer um acordo de tratamento de dados, a opção de não usar o conteúdo para treinar modelos, prazos de retenção configuráveis e escolha de região. Os termos variam entre fornecedores e mudam com o tempo, e TI e jurídico precisam ler a versão vigente e guardar a configuração escolhida. Proibir a IA costuma empurrar o uso para a conta pessoal. Na política de uso de IA você define as ferramentas aprovadas, o que pode entrar em cada uma e quem libera ferramenta nova.

Transferência internacional: o dado do cliente pode ir para fora do Brasil?

Boa parte das ferramentas de IA processa dados no exterior, e a LGPD trata disso nos arts. 33 a 36. A transferência internacional é permitida, entre outros casos, para países com grau de proteção adequado reconhecido pela ANPD e quando o controlador comprova garantias por cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais ou selos e certificados (art. 33, incisos I e II).

A ANPD regulamentou esses artigos na Resolução CD/ANPD nº 19, de 2024, que aprovou o Regulamento de Transferência Internacional de Dados e as cláusulas-padrão contratuais, e deu a quem transfere dados com base em cláusulas contratuais até 12 meses, contados da publicação em agosto de 2024, para incorporar as cláusulas-padrão aos contratos. Pergunte ao fornecedor onde o dado é processado, se há subcontratados em outros países e qual mecanismo do art. 33 sustenta a transferência. A análise do contrato fica com o jurídico; à liderança cabe não ligar a ferramenta antes de ter essas respostas.

Decisão automatizada: quando a IA precisa de revisão humana?

O art. 20 garante ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluídas as que definem perfil pessoal, profissional, de consumo e de crédito. O § 1º obriga o controlador a fornecer, quando solicitado, informações claras sobre os critérios e procedimentos usados, respeitado o segredo comercial e industrial.

Na operação comercial, a regra alcança mais casos do que o líder imagina. A pontuação que descarta um lead antes que alguém olhe, o agente que define a prioridade do chamado e por isso o tempo de resposta, a regra que nega condição de pagamento e o filtro que tira um currículo da seleção são decisões que afetam uma pessoa. Para cada uma, eu peço três registros: o critério escrito, quem pode revisar o resultado e por qual canal o titular chega a essa pessoa. As listas de aprovação que proponho para os agentes de IA servem de base para esse desenho.

O que cada liderança precisa garantir?

Em vendas, a liderança responde pelo que o time cola em ferramenta de IA no dia a dia, como a transcrição da call e o e-mail do cliente. O líder garante que o time use a ferramenta aprovada e que nenhum agente escreva para o cliente sem regra de aprovação. Em marketing, o ponto sensível é a personalização e a segmentação. O e-mail reescrito pela IA para cada contato usa dados de engajamento, e a política de privacidade precisa informar esse uso com clareza, como pede o princípio da transparência (art. 6º, VI).

No pós-venda e no Customer Success, o agente lê chamados e conversas, onde aparece o dado sensível que ninguém pediu. O líder de CS define com o encarregado o que o agente faz ao encontrar esse tipo de dado e quem revisa as classificações que mudam a prioridade de um cliente. Detalho esses usos em IA no atendimento ao cliente. Jurídico, TI e encarregado completam o desenho: o jurídico escolhe a base legal e revisa contratos, a TI configura retenção, acesso e integração, e o encarregado orienta os funcionários e responde aos titulares (art. 41, § 2º).

Roteiro prático: IA com dados de clientes dentro da LGPD

Sigo este roteiro com a liderança antes de ligar o primeiro agente ao CRM. Numa operação de porte médio, ele cabe em quatro a seis semanas, com o encarregado participando desde o início.

1. Faça o inventário de onde a IA toca dado pessoal. Liste as ferramentas que o time usa hoje, incluindo as que aparecem no cartão corporativo e nas extensões do navegador, e anote para cada uso que dado entra e de qual sistema sai.

2. Classifique os dados. Use a tabela da seção anterior como ponto de partida e marque no CRM os campos e as propriedades que podem conter dado sensível, como observações livres e transcrições.

3. Revise o contrato com cada fornecedor. O jurídico confere o papel do fornecedor, os subcontratados, o local de processamento, o mecanismo de transferência internacional e a obrigação de comunicar incidente.

4. Configure retenção e treinamento. A TI desliga o uso do conteúdo para treinar modelos quando o plano permitir, define o prazo de retenção e restringe os campos que cada agente pode ler. Guarde um registro da configuração com data.

5. Minimize no prompt. O time aprende a mandar o mínimo necessário para a tarefa, e a biblioteca de prompts já vem escrita assim.

6. Coloque revisão humana nas decisões que afetam o titular. Pontuação de lead, prioridade de chamado, condição comercial e triagem de currículo ganham critério escrito, revisor nomeado e canal de revisão.

7. Registre. O art. 37 pede que controlador e operador mantenham registro das operações de tratamento, em especial quando a base é o legítimo interesse. Inclua os usos de IA no registro que o encarregado já mantém e marque uma revisão a cada seis meses.

Treinamento de IA e LGPD: o que o RH e o T&D precisam considerar

O RH percebe a necessidade de formação por sinais concretos: a política de uso de IA existe, mas ninguém sabe dizer o que pode colar em qual ferramenta; o encarregado recebe perguntas repetidas das mesmas áreas; a TI encontra assinaturas de ferramentas que ninguém aprovou. O colaborador decide o que colar no prompt dezenas de vezes por dia, e um comunicado com a política anexada não prepara ninguém para essas escolhas.

Participam as lideranças de vendas, marketing e CS, que decidem usos e aprovação, os profissionais que operam a IA no dia a dia e o próprio time de RH, que trata currículos, avaliações e salários e decide sobre triagem automatizada. Jurídico, TI e encarregado entram como coautores do conteúdo, para que o treinamento use as regras da empresa. Para medir, acompanhe nos meses seguintes o percentual de uso nas ferramentas aprovadas, as dúvidas que chegam ao encarregado e o resultado de uma auditoria por amostragem dos prompts e das saídas dos agentes.

A LGPD convive com o uso de IA sobre dados de clientes quando alguém na empresa sabe o que entra em cada ferramenta, por qual motivo e com qual contrato, e quando as equipes aplicam essas regras no próprio trabalho. O treinamento in company de IA aplicada trabalha com turmas de vendas, marketing, CS e RH sobre os processos e as regras da empresa, e entrega a biblioteca de prompts de cada área, já escrita com minimização de dados, e a arquitetura de agentes, com o que cada agente lê, o que executa e quem aprova.

Perguntas frequentes

Posso colar dados de clientes no ChatGPT ou em outro assistente de IA?

Em conta pessoal gratuita, sem contrato da empresa com o fornecedor, a recomendação é não colar dado pessoal de cliente. Na ferramenta contratada e configurada pela empresa, o uso segue a política interna, com finalidade definida e só os dados necessários, validada pelo jurídico e pelo encarregado.

A empresa precisa de consentimento do cliente para usar IA no CRM?

Não necessariamente. O art. 7º da LGPD prevê dez hipóteses de tratamento, entre elas execução de contrato e legítimo interesse, e o jurídico define a base adequada para cada finalidade. Em qualquer base, a empresa precisa ser transparente com o titular sobre o tratamento.

Tirar o nome do cliente antes de mandar para a IA resolve?

Reduz o risco, e na maior parte dos casos o dado continua identificável. A lei considera anonimizado o dado que não permite identificar o titular com meios técnicos razoáveis, e e-mail, cargo, empresa ou uma frase específica da conversa costumam permitir. Trate o texto com nomes trocados como dado pessoal.

Lead scoring com IA precisa de revisão humana?

O art. 20 dá ao titular o direito de pedir revisão de decisões tomadas só por tratamento automatizado que afetem seus interesses, e de receber informações sobre os critérios. Se a pontuação descarta leads ou muda condições comerciais sem que ninguém olhe, documente o critério e defina quem revisa o caso quando alguém pedir.

Quem deve participar de um treinamento sobre IA e LGPD?

As lideranças de vendas, marketing e CS, os profissionais que usam IA no dia a dia e o time de RH, que também trata dados de candidatos e colaboradores. Jurídico, TI e encarregado ajudam a montar o conteúdo com as regras da empresa.

Como o RH mede se o treinamento funcionou?

Acompanhe o uso nas ferramentas aprovadas contra as não aprovadas, o tipo de dúvida que chega ao encarregado e uma amostra mensal de prompts e saídas de agentes revisada contra a política. A pesquisa de satisfação mede a aula, e esses indicadores medem o comportamento na operação.