IA y LGPD: qué puede y qué no puede ir a la IA

Según la LGPD, la ley brasileña de protección de datos, pegar el historial de un cliente en una herramienta de IA o conectar un agente al CRM es tratamiento de datos personales, y la empresa puede hacerlo siempre que cumpla las mismas reglas que ya rigen para el resto de la operación. El liderazgo necesita saber para qué va el dato a la IA y con qué base legal, enviar solo lo necesario, informar al titular y tener un contrato con el proveedor que defina retención, uso para entrenamiento y lugar de procesamiento. Una decisión automatizada que afecta al cliente, al lead o al candidato pide una revisión que una persona pueda hacer. La Ley 13.709/2018 no prohíbe la IA ni abre una excepción para ella. Escribo como consultor de CRM y de operación, sin la pretensión de dar un dictamen jurídico: cada empresa debe validar las decisiones de abajo con su área legal y con su encargado de protección de datos.

En los proyectos en los que Iasbeck&Co conecta agentes de IA al CRM, la pregunta sobre la LGPD llega temprano, y casi nunca desde el área legal. Quien pregunta es el gerente de ventas que quiere pegar la transcripción de la llamada en el asistente, el analista de marketing que quiere subir una lista para segmentar o la coordinadora de RR. HH. con una pila de currículums, y cada uno ya usa IA por su cuenta sin saber si puede. Escribí este texto para los líderes de ventas, marketing y CS, para el área legal, TI y el encargado de datos, y para RR. HH., que va a organizar la formación.

¿Qué tiene que ver la LGPD con la IA en el CRM?

El CRM de una empresa B2B guarda datos personales en casi todos los registros. El número fiscal y el sector de la empresa quedan fuera de la LGPD, porque la ley protege a la persona física. El nombre del comprador, el correo corporativo, la grabación de la reunión y la conversación del ticket se refieren a una persona identificada, y el art. 5º, inciso I, define dato personal como información relacionada con una persona física identificada o identificable. El inciso X llama tratamiento a toda operación con ese dato, incluidos el uso, la transmisión y el procesamiento, y enviar un registro a un modelo de lenguaje para que lo resuma entra en esa definición.

La ley también reparte papeles. Tu empresa decide para qué sirve el dato y actúa como responsable (controlador); el proveedor de la herramienta de IA suele actuar como encargado del tratamiento (operador), que trata el dato en nombre del responsable y sigue sus instrucciones (art. 39). Los términos de cada proveedor dicen qué papel cumple, y algunos se reservan usos propios, como la mejora del servicio. Lee esos términos con el área legal antes de activar la herramienta, porque la responsabilidad por la elección queda con quien contrató.

Los usos que describí en IA en la operación comercial, como preparar reuniones, personalizar la nutrición y clasificar tickets, leen datos personales. Los principios del art. 6º valen para cada uno de ellos, y el agente de triaje que lee la conversación del cliente sigue las mismas reglas que el analista que leía el ticket antes que él.

Mitos y verdades sobre IA y LGPD

Los mitos de abajo aparecen con frecuencia en las conversaciones con el liderazgo comercial. Junto a cada uno, puse el artículo de la ley que ayuda a desmontarlo y el efecto en la operación.

Mito	Qué dice la ley	En la práctica
“El dato del CRM es de la empresa, puedo usarlo como quiera.”	El art. 17 asegura a toda persona física la titularidad de sus datos. El art. 6º, inciso I, exige propósitos legítimos, específicos e informados al titular, sin uso posterior incompatible.	Usar el historial de clientes para un fin nuevo, como entrenar un modelo propio, pide un análisis previo.
“Contraté la versión paga, la LGPD está resuelta.”	El encargado trata el dato según las instrucciones del responsable, que verifica que se cumplan (art. 39).	El plan corporativo suele traer mejores condiciones de retención y entrenamiento. Configurar y verificar sigue siendo tarea de tu empresa.
“Anonimizar es quitar el nombre.”	Dato anonimizado es aquel cuyo titular no puede ser identificado con medios técnicos razonables (art. 5º, III). Si la anonimización puede revertirse con esfuerzos razonables, el dato sigue siendo personal (art. 12).	Correo, cargo con nombre de la empresa o una frase llamativa de la llamada identifican a la persona. Un nombre cambiado por un código reversible sigue siendo dato personal.
“En B2B solo hay datos de empresa.”	La ley protege a la persona física (art. 5º, I y V).	Nombre, correo y teléfono del contacto corporativo son datos personales, y la transcripción de la reunión también.
“Para usar IA necesito el consentimiento de todos.”	El art. 7º prevé diez bases legales de tratamiento, entre ellas la ejecución de contrato y el interés legítimo, y el consentimiento es una de ellas.	El área legal elige la base de cada finalidad. En el interés legítimo, la ley limita el tratamiento a los datos estrictamente necesarios y exige transparencia (art. 10, §§ 1º y 2º).
“Si decidió la IA, la responsabilidad es de la herramienta.”	El titular puede pedir la revisión de decisiones tomadas solo con base en tratamiento automatizado que afecten sus intereses (art. 20). Responsable y encargado responden por el daño causado en violación de la ley (art. 42).	La empresa debe poder explicar los criterios de la puntuación o del filtro automático y tener quien revise el caso.
“Un servidor fuera de Brasil está prohibido.”	La transferencia internacional está permitida en los casos del art. 33, entre ellos las cláusulas contractuales estándar aprobadas por la ANPD.	Pregunta al proveedor dónde se procesa el dato y qué mecanismo de transferencia adopta.

¿Qué datos del CRM pueden ir a la IA?

La respuesta cambia con el tipo de dato y la herramienta. En los proyectos uso la clasificación de abajo, que el encargado de datos ajusta a la política de la empresa. Separa el dato sensible del art. 5º, II, que incluye salud, convicción religiosa, afiliación sindical y dato biométrico, y marca lo que pide un cuidado reforzado por otros motivos, como los datos financieros y los de niños y adolescentes (art. 14).

Tipo de dato	Ejemplos en el CRM	Orientación inicial
Dato de empresa	Número fiscal, sector, tamaño, productos contratados	Fuera de la LGPD; evalúa secreto comercial y contrato con el cliente
Dato personal de contacto	Nombre, correo, teléfono, cargo	Herramienta contratada, con finalidad definida y solo los campos necesarios
Contenido de conversación	Transcripción de llamada, correo, chat, ticket	Herramienta contratada; revisa lo que trae la transcripción antes de ampliar el uso
Dato sensible	Mención a enfermedad, informe médico, religión, sindicato, biometría	Fuera del uso general; solo con base del art. 11 validada por el área legal
Dato financiero y de crédito	Morosidad, límite, datos bancarios	Uso restringido, con regla de acceso y revisión humana en la decisión
Dato de colaborador y candidato	Currículum, evaluación de desempeño, salario	Política propia de RR. HH., con atención a la revisión de decisiones automatizadas

El cliente dice lo que quiere en una reunión o en un ticket, y la transcripción trae consigo la baja médica del comprador o el juicio laboral que comentó. Las empresas de salud, seguros y educación reciben este tipo de información en la atención todos los días. En esos sectores, configura el agente para leer solo los campos necesarios y define con el encargado de datos qué hacer cuando un dato sensible aparece en el texto.

ChatGPT y LGPD: ¿qué diferencia hay entre la cuenta personal y la herramienta contratada?

El mayor riesgo que encuentro en las empresas viene del colaborador que abre una cuenta personal gratuita en cualquier asistente y pega ahí la planilla de clientes, porque en esa situación la empresa no tiene contrato con el proveedor. No sabe cuánto tiempo se guarda el contenido, si entra en el entrenamiento de modelos ni en qué país se procesa, y no puede responder al titular que pregunta con quién se compartió su dato (art. 9º, inciso V). Aun con un buen proveedor, la empresa no tiene cómo demostrar sus propios cuidados, y el art. 6º, inciso X, pide esa demostración.

La herramienta contratada, en el plan corporativo o integrada al CRM, suele ofrecer un acuerdo de tratamiento de datos, la opción de no usar el contenido para entrenar modelos, plazos de retención configurables y elección de región. Los términos varían entre proveedores y cambian con el tiempo, y TI y el área legal necesitan leer la versión vigente y guardar la configuración elegida. Prohibir la IA suele empujar el uso hacia la cuenta personal. En la política de uso de IA defines las herramientas aprobadas, qué puede entrar en cada una y quién libera una herramienta nueva.

Transferencia internacional: ¿el dato del cliente puede salir de Brasil?

Buena parte de las herramientas de IA procesa datos en el exterior, y la LGPD lo trata en los arts. 33 a 36. La transferencia internacional está permitida, entre otros casos, hacia países con un grado de protección adecuado reconocido por la ANPD y cuando el responsable demuestra garantías mediante cláusulas contractuales específicas, cláusulas estándar, normas corporativas globales o sellos y certificados (art. 33, incisos I y II).

La ANPD reglamentó esos artículos en la Resolución CD/ANPD nº 19, de 2024, que aprobó el Reglamento de Transferencia Internacional de Datos y las cláusulas contractuales estándar, y dio a quienes transfieren datos con base en cláusulas contractuales hasta 12 meses, contados desde la publicación en agosto de 2024, para incorporar las cláusulas estándar a sus contratos. Pregunta al proveedor dónde se procesa el dato, si tiene subcontratistas en otros países y qué mecanismo del art. 33 sostiene la transferencia. El análisis del contrato le toca al área legal; al liderazgo le toca no activar la herramienta antes de tener esas respuestas.

Decisión automatizada: ¿cuándo necesita la IA revisión humana?

El art. 20 garantiza al titular el derecho a pedir la revisión de decisiones tomadas únicamente con base en tratamiento automatizado que afecten sus intereses, incluidas las que definen su perfil personal, profesional, de consumo y de crédito. El § 1º obliga al responsable a dar, cuando se le solicite, información clara sobre los criterios y procedimientos usados, respetando el secreto comercial e industrial.

En la operación comercial, la regla alcanza más casos de los que el líder imagina. La puntuación que descarta un lead antes de que alguien lo mire, el agente que define la prioridad del ticket y con ello el tiempo de respuesta, la regla que niega una condición de pago y el filtro que saca un currículum de la selección son decisiones que afectan a una persona. Para cada una pido tres registros: el criterio escrito, quién puede revisar el resultado y por qué canal el titular llega a esa persona. Las listas de aprobación que propongo para los agentes de IA sirven de base para ese diseño.

¿Qué necesita garantizar cada liderazgo?

En ventas, el liderazgo responde por lo que el equipo pega en herramientas de IA en el día a día, como la transcripción de la llamada y el correo del cliente. El líder garantiza que el equipo use la herramienta aprobada y que ningún agente le escriba al cliente sin una regla de aprobación. En marketing, el punto sensible es la personalización y la segmentación. El correo reescrito por la IA para cada contacto usa datos de interacción, y la política de privacidad tiene que informar ese uso con claridad, como pide el principio de transparencia (art. 6º, VI).

En posventa y Customer Success, el agente lee tickets y conversaciones, donde aparece el dato sensible que nadie pidió. El líder de CS define con el encargado de datos qué hace el agente al encontrar ese tipo de dato y quién revisa las clasificaciones que cambian la prioridad de un cliente. Detallo esos usos en IA en la atención al cliente. El área legal, TI y el encargado completan el diseño: el área legal elige la base legal y revisa contratos, TI configura retención, acceso e integración, y el encargado orienta a los colaboradores y responde a los titulares (art. 41, § 2º).

Hoja de ruta práctica: IA con datos de clientes dentro de la LGPD

Sigo esta hoja de ruta con el liderazgo antes de conectar el primer agente al CRM. En una operación mediana cabe en cuatro a seis semanas, con el encargado de datos participando desde el inicio.

1. Haz el inventario de dónde la IA toca datos personales. Lista las herramientas que el equipo usa hoy, incluidas las que aparecen en la tarjeta corporativa y en las extensiones del navegador, y anota para cada uso qué dato entra y de qué sistema sale.

2. Clasifica los datos. Usa la tabla de la sección anterior como punto de partida y marca en el CRM los campos y propiedades que pueden contener datos sensibles, como observaciones libres y transcripciones.

3. Revisa el contrato con cada proveedor. El área legal verifica el papel del proveedor, los subcontratistas, el lugar de procesamiento, el mecanismo de transferencia internacional y la obligación de comunicar incidentes.

4. Configura retención y entrenamiento. TI desactiva el uso del contenido para entrenar modelos cuando el plan lo permite, define el plazo de retención y restringe los campos que cada agente puede leer. Guarda un registro fechado de la configuración.

5. Minimiza en el prompt. El equipo aprende a enviar el mínimo necesario para la tarea, y la biblioteca de prompts ya viene escrita así.

6. Pon revisión humana en las decisiones que afectan al titular. La puntuación de leads, la prioridad de tickets, las condiciones comerciales y el filtro de currículums reciben criterio escrito, revisor nombrado y canal de revisión.

7. Registra. El art. 37 pide que responsable y encargado mantengan un registro de las operaciones de tratamiento, en especial cuando la base es el interés legítimo. Incluye los usos de IA en el registro que el encargado de datos ya mantiene y agenda una revisión cada seis meses.

Capacitación en IA y LGPD: qué necesitan considerar RR. HH. y T&D

RR. HH. percibe la necesidad de formación por señales concretas: la política de uso de IA existe, pero nadie sabe decir qué puede pegar en qué herramienta; el encargado de datos recibe preguntas repetidas de las mismas áreas; TI encuentra suscripciones a herramientas que nadie aprobó. El colaborador decide qué pegar en el prompt decenas de veces al día, y un comunicado con la política adjunta no prepara a nadie para esas decisiones.

Participan los líderes de ventas, marketing y CS, que deciden usos y aprobaciones, los profesionales que operan la IA en el día a día y el propio equipo de RR. HH., que trata currículums, evaluaciones y salarios y decide sobre filtros automatizados. El área legal, TI y el encargado de datos entran como coautores del contenido, para que la capacitación use las reglas de la empresa. Para medir, sigue en los meses siguientes el porcentaje de uso en las herramientas aprobadas, las dudas que llegan al encargado y el resultado de una auditoría por muestreo de los prompts y de las salidas de los agentes.

La LGPD convive con el uso de IA sobre datos de clientes cuando alguien en la empresa sabe qué entra en cada herramienta, por qué motivo y con qué contrato, y cuando los equipos aplican esas reglas en su propio trabajo. La capacitación in company en IA aplicada trabaja con grupos de ventas, marketing, CS y RR. HH. sobre los procesos y las reglas de la empresa, y entrega la biblioteca de prompts de cada área, ya escrita con minimización de datos, y la arquitectura de agentes, con lo que cada agente lee, lo que ejecuta y quién aprueba.

Preguntas frecuentes

¿Puedo pegar datos de clientes en ChatGPT o en otro asistente de IA?

En una cuenta personal gratuita, sin contrato de la empresa con el proveedor, la recomendación es no pegar datos personales de clientes. En la herramienta contratada y configurada por la empresa, el uso sigue la política interna, con finalidad definida y solo los datos necesarios, validada por el área legal y por el encargado de datos.

¿La empresa necesita el consentimiento del cliente para usar IA en el CRM?

No necesariamente. El art. 7º de la LGPD prevé diez bases legales de tratamiento, entre ellas la ejecución de contrato y el interés legítimo, y el área legal define la base adecuada para cada finalidad. Con cualquier base, la empresa debe ser transparente con el titular sobre el tratamiento.

¿Quitar el nombre del cliente antes de enviarlo a la IA resuelve el problema?

Reduce el riesgo, y en la mayoría de los casos el dato sigue siendo identificable. La ley considera anonimizado el dato que no permite identificar al titular con medios técnicos razonables, y el correo, el cargo, la empresa o una frase específica de la conversación suelen permitirlo. Trata el texto con nombres cambiados como dato personal.

¿El lead scoring con IA necesita revisión humana?

El art. 20 da al titular el derecho a pedir la revisión de decisiones tomadas solo por tratamiento automatizado que afecten sus intereses, y a recibir información sobre los criterios. Si la puntuación descarta leads o cambia condiciones comerciales sin que nadie mire, documenta el criterio y define quién revisa el caso cuando alguien lo pida.

¿Quién debe participar en una capacitación sobre IA y LGPD?

Los líderes de ventas, marketing y CS, los profesionales que usan IA en el día a día y el equipo de RR. HH., que también trata datos de candidatos y colaboradores. El área legal, TI y el encargado de datos ayudan a armar el contenido con las reglas de la empresa.

¿Cómo mide RR. HH. si la capacitación funcionó?

Sigue el uso en las herramientas aprobadas frente a las no aprobadas, el tipo de duda que llega al encargado de datos y una muestra mensual de prompts y salidas de agentes revisada contra la política. La encuesta de satisfacción mide la clase, y estos indicadores miden el comportamiento en la operación.