A ANPD colocou IA na mira até 2027. O que você é obrigado a avisar antes de o robô responder.

Em 24 de dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários para o biênio 2026-2027. São quatro temas de fiscalização, e o quarto é inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais (ANPD). A agenda regulatória da própria agência tem um item dedicado à revisão de decisões automatizadas do art. 20 da LGPD, alimentado por uma tomada de subsídios pública aberta de 6 de novembro de 2024 a 24 de janeiro de 2025 (Participa + Brasil).

Traduzindo: automatizar atendimento em 2026 não é mais território cinza. É um tema que a autoridade avisou por escrito que vai olhar.

O que segue é o mínimo. Não substitui o seu jurídico — serve para você chegar na conversa com ele sabendo o que perguntar.

Antes de o robô responder: o aviso do art. 9º

O art. 9º da LGPD dá ao titular o direito de acesso facilitado a informações sobre o tratamento, “de forma clara, adequada e ostensiva”. A lista mínima é curta:

• a finalidade específica do tratamento;
• a forma e a duração;
• quem é o controlador e como falar com ele;
• com quem os dados são compartilhados, e para quê;
• as responsabilidades de quem trata;
• os direitos do titular, com menção explícita ao art. 18.

Na prática, isso cabe em uma mensagem no início da conversa e um link. Alguma coisa como: “Você está falando com um assistente automatizado da [empresa]. A conversa fica registrada para atender o seu pedido e é processada por um serviço de inteligência artificial. Detalhes e seus direitos: [link]. Para falar com uma pessoa, escreva atendente.”

Três coisas que esse aviso resolve de uma vez: identifica a automação, nomeia o compartilhamento e abre a porta do atendente. A terceira é a que evita a maioria das reclamações.

O que não precisa de consentimento

O erro mais comum é pedir consentimento para tudo. Responder o cliente sobre o próprio pedido normalmente se apoia na execução de contrato ou nos procedimentos preliminares a ele (art. 7º, V) — não em consentimento. Pedir “aceite” para algo que você faria de qualquer jeito cria uma promessa que você não pode cumprir: consentimento é revogável, e se ele for a sua base legal, a revogação derruba o atendimento.

Consentimento entra no que é extra: mandar promoção depois, usar a conversa para treinar modelo, compartilhar o contato com um parceiro. Essas são finalidades novas, e o §2º do art. 9º manda informar previamente a mudança de finalidade.

O art. 20 e a imprecisão que quase todo mundo repete

O art. 20 garante ao titular o direito de solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses.

Vale corrigir uma imprecisão que circula muito: a redação original dizia “revisão, por pessoa natural”. A Lei nº 13.853/2019 retirou essa expressão do texto vigente. O direito à revisão permanece; a exigência explícita de revisor humano, não. Quem afirma que a LGPD obriga revisão humana está citando um texto que não está mais em vigor.

O que continua obrigatório é o §1º: fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e procedimentos da decisão automatizada. E o §2º dá à ANPD o poder de auditar aspectos discriminatórios quando o controlador se recusa a informar alegando segredo comercial.

Faça um teste hoje: se um cliente pedir por escrito os critérios que fizeram o seu agente negar a troca dele, você produz esse documento em quanto tempo?

Os prazos, que são mais curtos do que a fama

• 15 dias para a declaração clara e completa sobre os dados tratados, indicando origem, critérios e finalidade (art. 19, II). A confirmação simplificada é imediata (art. 19, I).
• 3 dias úteis para comunicar à ANPD um incidente de segurança que possa acarretar risco ou dano relevante, contados de quando o controlador toma conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024, art. 6º). O registro do incidente, inclusive o que não foi comunicado, deve ser guardado por no mínimo cinco anos (art. 10).
• 6 meses de guarda dos registros de acesso à aplicação, se você é provedor de aplicação de internet pessoa jurídica com fins econômicos (Marco Civil da Internet, art. 15).
• 7 dias corridos para responder à demanda do consumidor, com resposta clara, objetiva e conclusiva, se você é fornecedor de serviço regulado pelo Executivo federal (Decreto nº 11.034/2022, art. 13). O mesmo decreto proíbe pedir que o consumidor repita a demanda depois do primeiro registro (art. 10) e garante o acompanhamento por registro numérico — o protocolo (art. 12).

Se você é pequeno, leia esta parte com atenção

A Resolução CD/ANPD nº 2/2022 dá tratamento diferenciado a agentes de pequeno porte: registro simplificado das operações (art. 9º), dispensa de indicar encarregado desde que exista canal de comunicação com o titular (art. 11) e prazo em dobro para atender solicitações e comunicar incidentes (art. 14).

Só que o art. 3º, I, exclui desse regime quem realiza tratamento de alto risco. E o art. 4º lista, entre os critérios específicos de alto risco, exatamente “decisões tomadas unicamente com base em tratamento automatizado de dados pessoais” — que, combinado com um critério geral como tratamento em larga escala, caracteriza o alto risco.

Ou seja: automatizar decisão sobre o cliente é justamente o tipo de coisa que pode tirar a sua empresa do regime simplificado que ela achava que tinha. Se o seu agente só informa e transfere, você está longe disso. Se ele nega, cancela ou aprova sozinho, converse com o jurídico antes de escalar.

O item que quase ninguém escreve: onde o modelo roda

O art. 9º, V, obriga informar o uso compartilhado de dados e a finalidade. Se o seu provedor de modelo de linguagem processa as conversas fora do Brasil, isso é transferência internacional e precisa se enquadrar nas hipóteses do art. 33 — além de aparecer, em português, na sua política de privacidade. Não é um detalhe técnico: é uma das primeiras coisas que um titular bem assessorado pergunta.

O que fazer amanhã de manhã

Cinco artefatos. Nenhum leva mais de uma manhã.

1. A mensagem de abertura do agente, com identificação da automação, finalidade, link da política e a palavra que chama um atendente. Cole no fluxo hoje.
2. A seção “atendimento automatizado” da sua política de privacidade: o que é registrado, por quanto tempo, quem processa, onde, e a menção explícita ao art. 18.
3. O canal do titular, com endereço real e uma pessoa responsável por abrir a caixa. Se você indicou encarregado, publique nome e contato no site (art. 41, §1º).
4. O procedimento de revisão: quem revisa uma decisão automatizada contestada, em quantas horas, e onde isso fica registrado.
5. O ensaio de incidente: escreva em uma página quem descobre, quem avisa quem, e o que é enviado à ANPD em três dias úteis. Ler isso pela primeira vez durante um vazamento é tarde demais.

---

Precisa de ajuda para mapear o que o seu atendimento automatizado registra hoje? Fale com a gente no WhatsApp.