Chatbot e LGPD: o que a lei pede de um assistente com IA
Todo chatbot que conversa com cliente trata dado pessoal, e quase sempre envia esse dado para um provedor de IA fora do Brasil. Este é o checklist técnico do que a LGPD exige, para levar à conversa com o jurídico e o time de produto.
O checklist, ponto a ponto
| Tema | Base | Na prática |
|---|---|---|
| Finalidade e base legal | Arts. 6º e 7º | Defina para que o bot trata dados (atendimento, venda, suporte) e qual base legal sustenta cada uso. Reaproveitar conversas para treinar modelo é outra finalidade. |
| Transparência | Art. 9º | Avise que a conversa é com uma IA, quais dados são coletados, quem é o provedor e por quanto tempo o histórico fica guardado. |
| Minimização | Art. 6º, III | O bot só pede e só alcança o dado necessário. CPF, dado de saúde e dado financeiro não deveriam passar pelo modelo sem motivo claro. |
| Transferência internacional | Art. 33 e Res. CD/ANPD 19/2024 | Provedor de LLM no exterior significa transferência internacional. Verifique o mecanismo usado (por exemplo, cláusulas-padrão contratuais) e se o provedor usa seus dados para treino. |
| Segurança | Art. 46 | Medidas técnicas proporcionais ao risco: isolamento entre usuários, controle de acesso no RAG, proteção contra prompt injection, chaves fora do navegador, testes documentados. |
| Direitos do titular | Art. 18 | Acesso, correção e eliminação precisam alcançar o histórico de conversas e os dados indexados na base de conhecimento. |
| Decisão automatizada | Art. 20 | Se o bot decide crédito, aprovação ou preço sozinho, o titular pode pedir revisão e explicação dos critérios. |
| Incidente | Art. 48 e Res. CD/ANPD 15/2024 | Vazamento com risco relevante deve ser comunicado à ANPD e aos titulares, em regra em até 3 dias úteis do conhecimento. Tenha o plano pronto antes. |
Fontes: Lei 13.709/2018 (LGPD); Resolução CD/ANPD nº 15/2024 (comunicação de incidente); Resolução CD/ANPD nº 19/2024 (transferência internacional). Guia técnico, não é parecer jurídico.
Onde a segurança entra
Quase todo o checklist é processo e documento. O art. 46 é técnico: a empresa precisa conseguir mostrar que o bot não entrega dado de um cliente para outro, que não pode ser induzido a vazar o que lê e que as chaves do provedor não estão expostas. Isso se demonstra com teste, não com política escrita.
Comece pelo que é visível de fora: verifique seu site grátis. Para a camada do modelo, o pentest de IA entrega o laudo, e o serviço de adequação à LGPD cobre o restante.
Perguntas frequentes
Dúvidas comuns sobre chatbot e LGPD.
Precisa provar que o seu chatbot protege dados?
Diagnóstico gratuito de 20 minutos para mapear o que o assistente trata e o que testar para sustentar o art. 46.