O secretário de administração recebe a proposta de um chatbot com inteligência artificial para o WhatsApp da prefeitura e a primeira pergunta não é sobre funcionalidade — é sobre risco. "Se o cidadão mandar o CPF, o endereço, uma foto do documento, quem responde por isso depois?" A dúvida é legítima. Implantar IA atendimento público LGPD exige entender, antes de qualquer contrato, que dado está sendo coletado, por quanto tempo ele fica guardado e quem tem acesso a ele.

Esse receio trava muitos projetos de automação no setor público. Gestores veem o benefício óbvio — reduzir fila, responder fora do horário comercial, tirar carga da equipe de protocolo — mas temem virar réu em processo por vazamento de dados. A boa notícia é que a Lei 13.709/2018 (LGPD) não proíbe o uso de IA no atendimento; ela exige que esse uso siga regras claras de finalidade, transparência e segurança. Conhecer essas regras é o que separa um projeto seguro de um passivo futuro.

O que a LGPD realmente exige de um chatbot público

A LGPD trata órgãos públicos como agentes de tratamento sujeitos a regras específicas, previstas principalmente no artigo 23 e seguintes da lei. Isso significa que a administração pode tratar dados pessoais dos cidadãos, mas apenas quando isso for necessário para executar políticas públicas previstas em lei ou regulamento, ou quando houver outra base legal aplicável, como o cumprimento de obrigação legal ou o atendimento de direitos do titular.

Na prática, para um chatbot de atendimento, isso se traduz em três exigências centrais:

  • Finalidade específica: o chatbot deve coletar apenas os dados necessários para resolver a solicitação (ex.: nome, CPF, protocolo, endereço), nunca dados soltos "para o caso de precisar depois".
  • Transparência: o cidadão precisa ser informado, na própria conversa, que está falando com um assistente automatizado e como seus dados serão usados.
  • Segurança técnica e administrativa: a lei exige medidas para evitar acesso não autorizado, vazamento ou uso indevido — isso inclui criptografia, controle de acesso e registro de quem consultou o quê.

Dados sensíveis pedem cuidado redobrado

Conversas de atendimento público frequentemente tocam em dados sensíveis: saúde (agendamento em UBS), situação socioeconômica (CadÚnico, benefícios), ou até dados de menores (matrícula escolar). A LGPD trata esses casos com rigor maior, e um chatbot mal configurado pode coletar e armazenar esse tipo de informação sem necessidade real, ampliando o risco em caso de incidente.

Um chatbot bem desenhado para o setor público deve:

  • Evitar solicitar dados sensíveis quando o fluxo puder ser resolvido sem eles;
  • Direcionar automaticamente para atendimento humano quando o assunto exigir dado sensível ou análise de mérito;
  • Nunca usar o histórico de conversas para fins diferentes daquele que motivou o contato original.

Retenção, anonimização e prazo de guarda das conversas

Um ponto que passa despercebido em muitos projetos é o prazo de retenção. A LGPD determina que dados pessoais só podem ser mantidos pelo tempo necessário à finalidade do tratamento, salvo hipóteses legais de guarda mais longa (por exemplo, obrigação de manter registro de atendimento por determinado período). Isso significa que a prefeitura precisa definir, por escrito, uma política de retenção para as conversas do chatbot: quanto tempo o histórico fica acessível, quando é anonimizado e quando é eliminado.

Anonimizar dados de conversas antigas — removendo CPF, nome e outros identificadores diretos — permite que o órgão continue usando esse material para melhorar o atendimento (identificar dúvidas recorrentes, treinar o modelo, gerar relatórios de gestão) sem manter exposição desnecessária de dados pessoais.

Papel do encarregado de dados e da governança interna

Todo órgão público que trata dados pessoais em escala — e um chatbot ativo 24 horas trata em escala — precisa ter um encarregado de proteção de dados (DPO) formalmente designado, conforme exige a LGPD. É esse encarregado, junto com a equipe de TI, quem deve validar o desenho do fluxo de conversa antes de o chatbot entrar no ar: quais dados são coletados, onde ficam armazenados, quem acessa e qual é o plano de resposta em caso de incidente.

Vale também formalizar isso em contrato com o fornecedor de tecnologia. O contrato de prestação de serviço deve deixar claro que o fornecedor atua como operador de dados, seguindo instruções do órgão como controlador, e que os dados dos cidadãos não podem ser usados para nenhuma outra finalidade — nem mesmo para treinar modelos de terceiros sem autorização expressa.

Transparência com o cidadão gera confiança, não desconfiança

Um erro comum é tratar a conformidade com a LGPD como algo a esconder do usuário, quando na verdade é o oposto: informar claramente, logo no início da conversa, que se trata de um assistente automatizado e que os dados fornecidos serão usados apenas para aquele atendimento aumenta a confiança do cidadão no canal. Prefeituras que comunicam isso de forma simples — uma mensagem curta antes de pedir qualquer dado — tendem a ter maior adesão ao canal digital, justamente porque o cidadão entende as regras do jogo.

Como a Studio 9 estrutura isso na prática

Na Studio 9, o Chatbot com IA para WhatsApp é desenhado desde a concepção para operar dentro dessas balizas: fluxos de conversa que coletam apenas o dado necessário, transferência automática para atendente humano em casos sensíveis, política de retenção configurável pelo próprio órgão e registro de acesso para auditoria. Isso permite que secretarias de administração, ouvidorias e institutos de previdência ofereçam atendimento ágil pelo WhatsApp sem transformar o canal em risco jurídico.

Se sua gestão está avaliando um chatbot com IA e quer garantir que o projeto nasça alinhado à LGPD desde o primeiro fluxo de conversa, conheça o Chatbot com IA da Studio 9. Fale com a equipe pelo WhatsApp: (79) 9 8820-5410.