Existe uma frase que se repete em praticamente todo conteúdo sobre IA e atendimento no Brasil: “a LGPD garante ao cliente o direito de revisão humana das decisões automatizadas”.
Ela é falsa. E o motivo é documentado, datado e verificável: o dispositivo que exigia isso foi vetado, e o Congresso Nacional manteve o veto em 2 de outubro de 2019.
Isso muda uma coisa prática para quem opera IA no WhatsApp: a obrigação que você tem não é a que estão te vendendo. E, como quase sempre, a obrigação real é mais fácil de cumprir do que o mito — enquanto o risco de verdade está em outro lugar, que quase ninguém está olhando.
O que o art. 20 diz, e o que ele não diz
O texto vigente do artigo 20 é este:
O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.
Repare no que não está ali: nenhuma palavra sobre quem faz a revisão.
O §3º original dizia que a revisão deveria ser feita por pessoa natural. Ele foi vetado. O Congresso apreciou o veto em 2 de outubro de 2019 e o manteve — por margem apertada no Senado. Resultado: o titular pode pedir revisão, e a lei não exige que um ser humano a conduza.
Dois parágrafos sobreviveram, e são eles que geram trabalho de verdade:
§1º — você precisa saber explicar. O controlador deve fornecer, sempre que solicitadas, informações claras e adequadas sobre os critérios e os procedimentos usados na decisão automatizada, observados os segredos comercial e industrial.
§2º — a ANPD pode auditar. Se você negar essas informações alegando segredo comercial, a autoridade nacional pode realizar auditoria para verificar aspectos discriminatórios no tratamento.
Junte os dois e aparece a obrigação concreta: se a sua IA decide algo que afeta o cliente, você precisa conseguir explicar como ela decidiu. Não é “ter um humano de plantão”. É ter rastreabilidade.
E aqui está o problema silencioso de muita operação: a IA responde, ninguém registra por quê, e quando o cliente pergunta “por que fui recusado?”, não existe resposta — não porque seja segredo, mas porque ninguém guardou.
Quando a decisão da IA é uma “decisão do art. 20”
Nem toda resposta automática é decisão automatizada no sentido da lei. A distinção prática:
Provavelmente não é. A IA responde horário de funcionamento, explica como funciona a entrega, agenda um retorno, qualifica o interesse do lead para direcionar a conversa. São interações, não decisões que afetam interesses.
Provavelmente é. A IA decide sozinha quem recebe desconto com base no histórico, quem entra numa fila prioritária, quem tem um pedido recusado, quem é classificado como risco. Aí existe decisão que afeta interesse, e o direito de revisão entra em cena — junto com o dever de explicar os critérios.
A fronteira é o efeito sobre o cliente. Quanto mais a automação decide algo que ele perderia se fosse decidido errado, mais perto do art. 20 você está.
Onde o atendimento humano é obrigação de verdade
O outro mito — “todo cliente pode exigir falar com um humano” — nasce de uma norma real, mas com escopo bem menor do que o repetido.
A exigência vem do Decreto nº 11.034/2022, que regulamenta o Serviço de Atendimento ao Consumidor. Ele alcança fornecedores de serviços regulados pelo Poder Executivo federal — não todo negócio que tem WhatsApp. Telecomunicações, aviação, energia, planos de saúde e serviços financeiros regulados estão nesse universo; a loja, a clínica e o escritório que atendem por WhatsApp, em geral, não.
Para quem está no escopo, o decreto trata de atendimento humano com carga horária mínima diária, disponibilidade de pelo menos um canal 24 horas por dia nos sete dias da semana, prazo de resposta contado em dias corridos e regras de menu que impedem esconder cancelamento e reclamação. Cada setor ainda tem regulação própria por cima disso.
Nota de apuração. Durante a produção deste artigo, o Planalto, o site da ANPD e a Imprensa Nacional não responderam às nossas requisições — os dois primeiros recusaram a conexão e o terceiro estava indisponível. Por isso, a descrição do Decreto nº 11.034/2022 acima está no nível em que transcrições convergentes concordam, e não conferimos o texto oficial artigo por artigo, como fazemos de regra. O ponto que afirmamos com segurança é o escopo — serviços regulados pelo Executivo federal —, porque é o que separa quem tem obrigação de quem tem boa prática. Se a sua empresa está nesse escopo, confira o texto no Planalto e com o seu jurídico antes de desenhar o atendimento.
O risco que quase ninguém está olhando
Enquanto o mercado discute revisão humana, o risco real de quem usa IA no WhatsApp está em outro lugar: o que o seu fornecedor de IA faz com as conversas dos seus clientes.
As conversas de atendimento são um dos conjuntos de dados mais sensíveis que uma empresa acumula. Tem endereço, telefone, histórico de compra, reclamação, às vezes dado de saúde ou financeiro dito de passagem. Tudo isso passa por um modelo — que pode ser de terceiro, hospedado fora do país.
Três perguntas que valem mais que qualquer cláusula genérica de contrato:
1. As conversas são usadas para treinar modelo? Se sim, sob qual base legal, e o seu cliente sabe? Vale lembrar que esse tema já mobilizou a autoridade brasileira: em 2024 a ANPD determinou a suspensão cautelar do uso de dados pessoais de brasileiros para treinamento de IA generativa pela Meta, medida depois revista após compromissos da empresa quanto a transparência e ao direito de oposição. Independentemente do desfecho, ficou o recado: o regulador olha para isso.
2. Os dados saem do Brasil? Transferência internacional tem regras próprias na LGPD. Não é proibida — é condicionada. Saber para onde os dados vão é pré-requisito para saber se você está em conformidade.
3. Por quanto tempo ficam guardados, e quem acessa? Retenção indefinida “porque pode ser útil” é o oposto do que a lei espera.
Repare que nenhuma dessas perguntas é sobre a qualidade da IA. São sobre o contrato e a arquitetura — e são as que aparecem quando algo dá errado.
E a responsabilidade, de quem é?
Aqui está a confusão que mais custa caro: contratar um fornecedor não transfere o dever.
Quem determina as finalidades do tratamento é o controlador, e na relação com o seu cliente o controlador é a sua empresa. O fornecedor que trata os dados por sua conta é o operador. A escolha do fornecedor é sua, e responder pelo que acontece com o dado do seu cliente também.
Traduzindo para a prática: “a plataforma que eu uso é que faz isso” não é defesa. É por isso que a diligência na escolha de quem opera o seu WhatsApp é parte da conformidade, e não um detalhe de compras.
Um roteiro prático
Para uma operação de WhatsApp com IA, o mínimo defensável:
1. Escreva a base legal de cada uso. Atender quem procurou a empresa é uma coisa; usar a conversa para prospectar depois é outra. Bases diferentes, riscos diferentes. Sem isso mapeado, o resto não se sustenta.
2. Avise que é um bot. Não porque uma norma diga com essas palavras, mas porque transparência é princípio da lei e porque cliente enganado reclama — e reclamação é o que traz o regulador.
3. Garanta a saída para o humano. Mesmo fora do escopo do decreto do SAC, ter um caminho claro para uma pessoa é o que evita que uma automação vire um problema de consumidor. E é o que a maior parte dos clientes quer antes de qualquer coisa.
4. Registre o porquê das decisões que afetam o cliente. Se a IA decide, guarde o critério. É isso que te permite cumprir o §1º sem improvisar.
5. Trate a conversa como dado sensível na prática, mesmo quando não é na classificação. Acesso controlado, retenção definida, exportação e exclusão possíveis quando o titular pedir.
6. Cobre o fornecedor por escrito nas três perguntas da seção anterior. Se ele não responder com clareza, isso já é uma resposta.
Onde a plataforma entra nisso
Repare que quase tudo na lista acima é infraestrutura, não política interna. Registrar critério de decisão, controlar quem acessa qual conversa, atender pedido de exclusão, ter caminho para o humano, manter histórico organizado e exportável — nada disso se resolve com um documento no Google Drive. Depende de como o seu WhatsApp está montado.
Uma operação que roda em aparelho de vendedor, com conversa em celular pessoal e planilha paralela, não consegue cumprir isso nem com o melhor jurídico do mundo: não há onde registrar, não há como controlar acesso, não há como apagar o que foi pedido para apagar. É o mesmo problema que discutimos em multiatendimento no WhatsApp, visto pelo ângulo do risco.
Com o AtendeChat, o WhatsApp da sua empresa deixa de morar em aparelho: vários atendentes operam o mesmo número com histórico centralizado, fila de distribuição, funil e relatórios — o que dá base para controlar acesso, achar a conversa quando o titular pedir e mostrar o que aconteceu quando alguém perguntar. Somos parceiros oficiais da Meta e conduzimos com você a verificação de negócio, o registro do número e a aprovação dos templates, na API Oficial — que é, também, o caminho em que a conversa fica na empresa e não no celular de quem atendeu.
Se você vai colocar IA para responder seus clientes, fale com a gente antes: é mais barato montar certo do que arrumar depois.
Este artigo explica o que a legislação estabelece e cita as fontes para você conferir. Ele não substitui a análise do seu jurídico sobre o caso concreto — especialmente se a sua empresa estiver em setor regulado.