LGPD para pequeno negócio que usa IA: checklist de dados

Um pequeno negócio que usa IA continua sujeito à LGPD: ao colar nome, telefone, histórico de compras ou dados de saúde de clientes num assistente, você está tratando dados pessoais e responde por isso. A Resolução CD/ANPD nº 2/2022 simplifica algumas obrigações para microempresas, empresas de pequeno porte e MEIs, mas não livra ninguém de cumprir os princípios da lei.

Esta é uma dor comum em lojas, clínicas, escritórios e prestadores de serviço: o atendente cola a conversa de um cliente no chatbot para pedir uma resposta melhor, o dono sobe a planilha de clientes para gerar um relatório, alguém grava uma reunião e manda para transcrever. Tudo isso é prático e, se for feito sem cuidado, expõe informação que não era para sair. Este texto é um guia de organização, não aconselhamento jurídico: em caso de dúvida séria ou de incidente, procure um advogado. Se o seu dia a dia envolve muitos pequenos processos, o guia sobre tarefas que o MEI pode automatizar com IA mostra onde os dados costumam circular.

O que a regra da ANPD simplifica para o pequeno negócio

A Resolução CD/ANPD nº 2, de 27 de janeiro de 2022, aprova o regulamento da LGPD para agentes de tratamento de pequeno porte. Segundo o texto da resolução publicado no Diário Oficial, conferido em 15/10/2026, entram nessa categoria microempresas, empresas de pequeno porte, startups, entidades privadas sem fins lucrativos e até pessoas naturais que tratam dados pessoais. O MEI está incluído, nos termos da Lei Complementar nº 123/2006.

Entre as flexibilizações previstas, estão estas:

• Registro das operações de tratamento de forma simplificada (art. 9º), com modelo a ser fornecido pela ANPD.
• Dispensa de indicar encarregado pelo tratamento de dados (art. 11), desde que haja um canal de comunicação com o titular.
• Política simplificada de segurança da informação (art. 13).
• Prazo em dobro para atender solicitações dos titulares e, em geral, para comunicar incidentes (art. 14), salvo quando houver risco à integridade física ou moral dos titulares.

O mesmo texto avisa, no art. 6º, que a dispensa ou flexibilização não isenta ninguém do cumprimento dos demais dispositivos da LGPD, inclusive das bases legais, dos princípios e dos direitos dos titulares. Em outras palavras: o pequeno negócio faz menos papelada, mas continua precisando de um motivo legítimo para usar o dado e de cuidado com ele. Como a resolução é de 2022, vale conferir no site da ANPD se há atualizações ou guias novos.

Quando o uso de IA pode virar tratamento de alto risco

O benefício da regra simplificada não vale para quem realiza tratamento de alto risco (art. 3º). O art. 4º define que isso ocorre quando há pelo menos um critério geral e um critério específico ao mesmo tempo. Os gerais são tratamento em larga escala ou que possa afetar significativamente interesses e direitos fundamentais. Os específicos incluem uso de tecnologias emergentes ou inovadoras, vigilância de zonas acessíveis ao público, decisões tomadas unicamente com base em tratamento automatizado e uso de dados sensíveis ou de crianças, adolescentes e idosos.

Isso importa porque IA se encaixa em vários critérios específicos. Uma clínica que usa IA para classificar pacientes por risco, um negócio que nega crédito ou desconto com base apenas em um modelo, ou uma escola que analisa dados de crianças com um assistente podem estar perto da linha de alto risco. Não há como afirmar caso a caso aqui, mas o raciocínio é útil como alerta: quanto mais sensível o dado e mais automática a decisão, mais atenção. O guia decisão automatizada e LGPD: como pedir revisão de uma IA mostra o lado do cliente, e IA para clínica e consultório detalha um setor sensível.

Que dados de clientes vão parar na IA sem você perceber

O primeiro passo prático é descobrir por onde o dado passa. Em pequenos negócios, o vazamento raramente vem de ataque; vem de hábito. Faça um levantamento de dez minutos com a equipe e marque em quais situações alguém cola informação de cliente em ferramenta de IA:

Para o lado da ferramenta, o guia IA e privacidade: o que você entrega sem perceber explica o que costuma ser guardado, e o checklist de como escolher ferramenta de IA com segurança ajuda a comparar políticas antes de contratar.

Checklist de LGPD com IA para o dono e a equipe

A lista abaixo traduz a regra para a rotina. Imprima, marque o que já existe e transforme o que falta em tarefa com responsável e prazo:

• Listei quais dados de clientes o negócio guarda e por que precisa de cada um.
• Defini uma base legal para cada uso (por exemplo, execução de contrato ou consentimento) e consigo explicar em uma frase.
• Combinei com a equipe quais dados nunca vão para chatbots: CPF completo, dados de saúde, senhas, documentos.
• Substituí nomes e números por códigos ou dados fictícios quando peço ajuda à IA.
• Revisei as configurações de privacidade e de uso de dados para treinamento de cada ferramenta usada.
• Tenho um canal para o cliente pedir informação ou correção dos próprios dados (e-mail ou formulário), conforme o art. 7º e o art. 11 da resolução.
• Tenho uma política simples de segurança: senhas fortes, verificação em duas etapas, acesso só a quem precisa.
• Sei o que fazer se um dado vazar: quem avisar, como registrar e quando procurar ajuda profissional.

Para transformar esse checklist em rotina, vale registrar o que fica decidido em um procedimento escrito, como ensina o guia de procedimento operacional padrão com IA.

Exemplo prático: loja de cosméticos com atendimento por WhatsApp

O exemplo é ilustrativo e os números são inventados. Uma loja de cosméticos online tem 1.800 clientes cadastrados e duas atendentes. Hoje, para agilizar, uma delas cola as conversas no chatbot e pede respostas educadas, incluindo nome, endereço e telefone do cliente no texto.

Depois de aplicar o checklist, a loja muda três coisas, em cerca de uma tarde. Primeiro, a regra de colar apenas a pergunta do cliente, sem nome, telefone nem endereço. Segundo, a configuração do assistente é revisada para desligar o uso das conversas para treinamento, se a ferramenta permitir. Terceiro, o site ganha um parágrafo na política de privacidade e um e-mail de contato para pedidos de titulares. Nada disso exige advogado nem software novo, e reduz bastante o volume de dado exposto. O guia como automatizar atendimento no WhatsApp com IA aborda o fluxo de atendimento em si.

Um modelo de prompt que respeita a regra, sem dados pessoais:

Cliente reclama que o pedido atrasou 5 dias e pede reembolso.
Escreva uma resposta curta, empática e em tom profissional.
Ofereça duas opções: reenvio com prioridade ou reembolso em até
7 dias úteis. Não peça dados pessoais por aqui; direcione para
o canal oficial de atendimento.

Erros comuns de pequenos negócios com LGPD e IA

• Achar que MEI está livre da LGPD. Pela própria resolução, o MEI é agente de pequeno porte, com flexibilizações, e não isento.
• Pedir consentimento para tudo. Consentimento não é a única base legal; usar a base errada cria problema.
• Gravar reunião ou ligação sem avisar. O cliente ou parceiro precisa saber, como cobre o guia de IA para reuniões: transcrição, resumo e ata.
• Usar IA para decidir sozinha. Aprovar ou negar clientes sem revisão humana é onde mora o risco de alto risco.
• Mandar lista de clientes para ferramenta desconhecida. Se você não sabe onde o dado fica, não envie.
• Esquecer de campanhas. E-mail e mensagens de marketing têm regras próprias; veja e-mail marketing com IA para pequenas empresas.

O que vem pela frente na regulação de IA

A LGPD não é a única regra no radar. Há debate sobre uma lei específica de IA no país, resumido em lei de IA no Brasil: o que muda para quem usa, e sobre o plano nacional descrito em PBIA: o que muda para você. Enquanto isso, o caminho mais seguro é se organizar agora. Quem monta automações para clientes, por exemplo com scripts em planilhas, também precisa dessa conversa, como mostra o texto sobre Google Apps Script com IA.

O ponto de partida é pequeno: separe dez minutos hoje para mapear onde o dado do cliente entra em ferramentas de IA, apague o que não precisa estar lá e escreva uma regra de uma página para a equipe. Continue acompanhando a categoria Negócios do Portal da AI para guias práticos de gestão e, se o seu setor lida com dados sensíveis, marque uma conversa com um profissional de proteção de dados.