Se o seu agente de IA atende no WhatsApp, ele processa dado pessoal — nome, telefone, pedido, às vezes documento ou pagamento — do mesmo jeito que um atendente humano processaria. A LGPD não abre exceção pra automação: quem responde pelo tratamento desse dado é a empresa, não a ferramenta. E a Autoridade Nacional de Proteção de Dados (ANPD) já deixou claro que isso entrou no radar oficial de fiscalização.
Este texto não é aconselhamento jurídico — é um mapa de onde o risco realmente mora numa operação de atendimento com IA, e o que muda quando essa operação tem governança de verdade em vez de ferramentas soltas.
A LGPD não distingue atendente humano de agente de IA
O critério da lei é o tratamento do dado, não quem — ou o quê — realiza esse tratamento. Um agente de IA que pede CPF pra confirmar pedido, recebe foto de comprovante ou guarda histórico de conversa está fazendo exatamente o tipo de operação que a LGPD regula: coleta, uso, armazenamento, eventual compartilhamento com terceiros (incluindo o provedor do modelo de IA).
Isso significa que toda a base da lei se aplica normalmente: necessidade de base legal pra tratar o dado, dever de informar o titular, limitação ao que é necessário pro atendimento, e responsabilidade da empresa como controladora — mesmo quando quem “atende” é um agente.
O que a ANPD já sinalizou pra 2026-2027
Em dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários pro biênio 2026-2027 (Resoluções CD/ANPD 30/2025 e 31/2025). Dos quatro eixos prioritários de fiscalização, um é especificamente inteligência artificial e tecnologias emergentes no tratamento de dados pessoais — com 20 ações de fiscalização previstas só pra esse eixo em 2027, dentro de um total de 75 fiscalizações no biênio.
Isso não é alarmismo de fornecedor: é agenda pública da autoridade reguladora. IA no tratamento de dado pessoal deixou de ser um tema abstrato e virou item de checklist de fiscalização.
Onde o risco de verdade mora — e não é na IA em si
Multa por descumprimento de LGPD chega a 2% do faturamento anual, limitada a R$ 50 milhões por infração. Mas o que normalmente leva uma operação de atendimento até esse risco não é “usar IA” — é operar sem governança sobre o que essa IA faz com o dado. Na prática, os pontos que mais aparecem são:
- Ferramenta genérica fora da plataforma oficial — alguém do time cola um número de WhatsApp numa automação avulsa ou numa IA de uso geral, sem contrato de processamento de dados com o fornecedor e sem ninguém definir o que aquele fluxo pode ou não fazer com o dado do cliente.
- Sem dono nem papel definido — qualquer pessoa do time acessa histórico de conversa de qualquer cliente, porque não existe separação de função nem de workspace.
- Sem histórico auditável — quando o cliente (ou a ANPD) pergunta o que aconteceu numa conversa específica, não tem registro pra mostrar.
- Credencial de canal e de IA espalhada — cada atendimento novo é uma cópia de configuração, com chave e credencial soltas em vez de centralizadas.
Nenhum desses quatro pontos é sobre a IA “ser arriscada”. São pontos de operação — os mesmos que uma agência sente quando cada cliente novo vira uma montagem solta em vez de uma operação repetível.
O que muda numa operação com governança de verdade
Uma plataforma feita pra operar atendimento com IA como negócio — não como automação avulsa — resolve exatamente esses quatro pontos:
- Canal oficial identificado — WhatsApp Official (Meta) e WhatsApp via Waha existem como canais distintos e nomeados, não um número pessoal ligado numa API genérica sem contrato claro.
- Papel por função — Members com papéis (owner/admin/member/ops) definem quem acessa o quê; ops opera o CRM sem precisar de acesso ao Builder.
- Histórico centralizado — History guarda e exporta o histórico de conversa por Tickets, com Kanban e Tags organizando por cliente — em vez de planilha ou export manual.
- Credenciais num só lugar — Connections mantém as credenciais de canal e de integração (MCPs) no workspace, em vez de espalhadas por automações avulsas.
- Um workspace por cliente — no Console, cada cliente tem seu próprio workspace, com slots e membros geridos separadamente — sem misturar operação (e dado) de um cliente com o de outro.
Isso não elimina a responsabilidade legal da empresa como controladora do dado — isso continua sendo dela. O que muda é ter uma operação em que dá pra responder, com registro, “quem acessou o quê, quando, e por qual canal” — em vez de descobrir isso correndo atrás de uma automação avulsa depois que já virou problema.
Perguntas frequentes
Um agente de IA precisa de consentimento igual um formulário?
A base legal depende do tipo de dado e da finalidade do atendimento — não existe uma resposta única pra “todo atendimento com IA”. O ponto operacional é diferente: qualquer que seja a base legal, a empresa precisa conseguir mostrar o que o agente coletou, guardou e com quem compartilhou. Isso é decisão jurídica de cada operação, não uma configuração de produto.
A Zaia deixa configurar por quanto tempo o histórico fica guardado?
Hoje o History guarda e exporta o histórico de conversa dentro do workspace; não existe um controle de exclusão automática por prazo configurável. Se sua operação exige isso como requisito de compliance, trate como um ponto a validar antes de migrar, não como algo já resolvido pela plataforma.
Isso vale só pra WhatsApp Official ou também pro Waha?
Vale pros dois — a LGPD não distingue canal oficial de não oficial. A diferença entre WhatsApp Official e Waha é técnica e contratual (quem garante o quê do lado da Meta), não uma isenção de responsabilidade sobre o dado tratado.
Isso substitui um DPO ou parecer jurídico?
Não. Governança de operação (papel, histórico, credencial centralizada) reduz o risco operacional de vazamento e dá rastro pra responder uma auditoria — mas a definição de base legal, retenção exigida e resposta a incidente é decisão jurídica da empresa controladora.
Como começar
Se sua agência atende mais de um cliente no WhatsApp e cada operação nova ainda é uma montagem solta — sem papel definido, sem histórico centralizado, sem credencial organizada — esse é o ponto de trocar automação avulsa por uma operação de verdade. A Zaia é o Agentic OS pra quem já vende atendimento com IA: CRM nativo, canais oficiais nomeados, papéis por função e Console pra separar workspace por cliente.
Começar agora — a partir de R$150.