Um chatbot de IA está em conformidade com o GDPR?

Um chatbot não é conforme ou não conforme por si só; o que conta é a forma como você o implanta. É preciso ter uma base legal para o tratamento, informações claras para os usuários, acordos de processamento de dados com todos os provedores que tratam os dados, um mecanismo válido para transferências para fora da UE, retenção limitada e uma forma de responder a solicitações de acesso e exclusão.

O provedor de LLM vê as mensagens dos meus clientes?

Sim. Tudo o que você envia no prompt chega ao provedor que executa o modelo, inclusive o histórico da conversa e o conhecimento recuperado. Por isso a escolha do provedor, os termos contratuais, as configurações de retenção de dados e a região importam, e por isso você deve manter dados pessoais desnecessários fora dos prompts.

O que a KVKK exige para chatbots de IA?

A Lei de Proteção de Dados Pessoais nº 6698 da Turquia se aplica às conversas de chatbot com pessoas na Turquia como a qualquer outro tratamento. É preciso informar os titulares dos dados, ter uma base legal para o tratamento, tomar cuidado extra com categorias especiais, como dados de saúde, e usar um mecanismo permitido, como os contratos padrão do Conselho, quando os dados são transferidos para o exterior, por exemplo para um provedor de LLM fora da Turquia.

Por quanto tempo devo guardar as conversas do chatbot?

Apenas pelo tempo necessário para a finalidade que você informou aos clientes, como atender à solicitação, cumprir obrigações legais ou revisar a qualidade. Defina um prazo de retenção para cada repositório de dados, incluindo logs de conversa, logs do provedor de LLM e qualquer banco de dados vetorial, e exclua ou anonimize os dados quando o prazo terminar.

Chatbots de IA e dados de clientes: um checklist de privacidade GDPR e KVKK para equipes de mensagens

Um agente de IA no WhatsApp ou no Instagram faz as mensagens dos clientes passarem por várias empresas. Este checklist mostra como mapear esses dados, escolher provedores, definir retenção e tratar o consentimento sob o GDPR e a KVKK da Turquia.

Equipe MonoChat Atualizado: 13 de outubro de 2026 10 min de leitura

Nesta página

Para onde vão os dados dos clientes quando um agente de IA responde
O checklist de privacidade para chatbots de IA
Referência rápida: GDPR e KVKK lado a lado
Como a MonoChat ajuda você a manter o controle sobre IA e dados
Fontes

Para deixar um chatbot de IA em conformidade com o GDPR e a KVKK, mapeie todos os sistemas pelos quais as mensagens dos clientes passam, tenha uma base legal e um aviso de privacidade claro, assine um acordo de processamento de dados com cada provedor, use um mecanismo de transferência válido quando os dados saírem da UE ou da Turquia, mantenha dados pessoais fora dos prompts sempre que possível, defina prazos de retenção e avise as pessoas de que estão falando com uma IA. A conformidade vem da forma como você implanta o chatbot, não do chatbot em si.

O difícil é que uma única resposta no WhatsApp pode envolver quatro ou cinco empresas: a Meta, sua plataforma de mensagens, um provedor de LLM, um banco de dados vetorial e o CRM em que o agente consulta informações. Este checklist percorre cada uma delas. É um guia prático para equipes de mensagens, não aconselhamento jurídico; por isso, confirme os detalhes com seu encarregado de proteção de dados (DPO) ou com seu consultor jurídico.

Para onde vão os dados dos clientes quando um agente de IA responde

Comece desenhando o caminho de uma única mensagem. Um fluxo típico é assim:

Etapa	Sistema	Dados envolvidos	Sua pergunta
1	Canal de mensagens (WhatsApp, Instagram, Messenger)	Número de telefone ou nome de usuário, conteúdo da mensagem, mídia	Quais termos e regras de armazenamento se aplicam?
2	Plataforma de mensagens	Histórico da conversa, perfil do contato, tags, notas	Quem pode acessar, onde fica armazenado e por quanto tempo?
3	Base de conhecimento e banco de dados vetorial	Seu conteúdo; dados pessoais só se você os enviou	Há algum dado pessoal no índice?
4	Provedor de LLM	Prompt: instruções, texto recuperado, histórico, última mensagem	Os dados são retidos, usados para treinamento, tratados onde?
5	Ferramentas conectadas (CRM, agendamento, loja)	Dados de pedidos, agendamentos, detalhes da conta	O que o agente pode ler e gravar?
6	Atendentes humanos	Conversa completa após a transferência	Quem vê o quê, e isso fica registrado?

Cada linha é um ponto onde dados pessoais são tratados e onde você precisa de um contrato, uma regra de retenção e controle de acesso. Se você não consegue preencher uma linha, essa é a sua primeira tarefa.

O checklist de privacidade para chatbots de IA

1. Escolha uma base legal e registre por escrito

Pelo GDPR (Artigo 6), cada finalidade de tratamento precisa de uma base legal. Responder a um cliente que escreveu para você geralmente se apoia em contrato ou legítimo interesse. Mensagens de marketing geralmente se apoiam em consentimento. Usar conversas para melhorar seu agente é uma finalidade distinta, e você deve avaliá-la separadamente, em vez de presumir que a base original a cobre.

A KVKK tem a sua própria lista de condições de tratamento. Se você atende clientes da UE e da Turquia, documente a base legal de acordo com cada lei.

2. Informe as pessoas sobre a IA e sobre os dados delas

Seu aviso de privacidade deve dizer que as conversas podem ser tratadas por um sistema de IA, quais provedores tratam os dados, onde, por quanto tempo e como falar com uma pessoa. Os Artigos 13 e 14 do GDPR definem o que incluir, e a KVKK tem um dever de informar equivalente.

Na UE, as obrigações de transparência do AI Act se aplicam a partir de 2 de agosto de 2026. Elas exigem que as pessoas sejam informadas quando interagem com um sistema de IA, a menos que isso seja óbvio pelo contexto. Uma primeira mensagem curta resolve tanto a questão legal quanto as expectativas do cliente:

Olá, sou a assistente virtual da Northwind Home, uma IA. Posso ajudar com
pedidos, devoluções e entregas. Digite "atendente" a qualquer momento para falar com nossa equipe.
Aviso de privacidade: northwindhome.example/privacy

3. Assine um acordo de processamento de dados com cada operador

Sua plataforma de mensagens, seu provedor de LLM, o host do banco de dados vetorial e qualquer provedor de ferramentas que trate dados pessoais em seu nome são operadores (processors). O Artigo 28 do GDPR exige um contrato escrito que limite o tratamento às suas instruções, exija confidencialidade e segurança e cubra suboperadores, exclusão e auditorias. Mantenha uma lista de suboperadores e confira-a quando os provedores mudarem.

4. Verifique as transferências para fora da UE ou da Turquia

Muitos provedores de LLM tratam dados em outros países. Pelo Capítulo V do GDPR, transferências para fora do EEE exigem uma decisão de adequação ou garantias apropriadas, como cláusulas contratuais padrão.

As regras da KVKK sobre transferências para o exterior mudaram em junho de 2024. As transferências agora se apoiam em uma decisão de adequação, em garantias apropriadas, como os contratos padrão publicados pelo Conselho de Proteção de Dados Pessoais, ou em exceções limitadas. Os contratos padrão devem ser notificados à Autoridade em até cinco dias úteis após a assinatura. Verifique onde cada provedor trata os dados e escolha regiões ou provedores compatíveis com as suas obrigações.

No WhatsApp, a Cloud API da Meta oferece armazenamento local: você pode escolher onde os dados das mensagens ficam armazenados em repouso para cada número de telefone comercial. O conteúdo ainda pode ser tratado em data centers da Meta em diferentes países enquanto está em uso, por até 60 minutos na Cloud API, antes de ser mantido apenas na região selecionada.

5. Escolha o provedor de LLM com critério

O provedor do modelo vê tudo o que você coloca no prompt. Antes de conectar um, verifique:

Uso para treinamento. O provedor usa dados da API para treinar modelos, e você pode optar por não participar?
Retenção. Por quanto tempo prompts e respostas são mantidos, inclusive para monitoramento de abusos?
Região. Onde os dados são tratados e armazenados, e você pode escolher?
Contrato. Existe um acordo de processamento de dados disponível para o seu plano?
Hospedagem própria. Um modelo de código aberto nos seus próprios servidores atenderia melhor a casos de uso sensíveis?

Usar a sua própria conta de provedor (bring your own key) significa que o contrato, as configurações de região e as opções de retenção são seus, e não herdados da conta de um fornecedor.

6. Minimize o que vai para prompts e ferramentas

A minimização de dados (Artigo 5 do GDPR) é o controle de privacidade mais eficaz para agentes de IA.

Não envie registros de clientes, documentos de identidade ou notas internas para a base de conhecimento.
Envie ao modelo apenas o histórico de que ele precisa, não o perfil completo do contato.
Dê às ferramentas o acesso mais restrito possível: uma ferramenta de status de pedido precisa de um número de pedido, não de todo o banco de dados de clientes.
Mascare ou evite campos como números de documentos de identidade, números de cartão e senhas.
Instrua o agente a nunca pedir dados sensíveis de que não precisa.

Regra do agente: nunca peça números de cartão, senhas ou números de documentos no chat.
Se um cliente compartilhar algum, não o repita e ofereça o link de
pagamento seguro ou uma ligação com nossa equipe.

Se o seu agente se conecta a sistemas da empresa por meio de protocolos como o MCP, a mesma regra vale para cada sistema conectado. Veja MCP para mensagens com clientes para conhecer os riscos.

7. Trate dados de saúde e outros dados especiais com cuidado extra

Saúde, religião, dados biométricos e categorias semelhantes recebem proteção adicional pelo Artigo 9 do GDPR e pela KVKK. Clínicas, farmácias e seguradoras devem limitar o que a IA trata, evitar aconselhamento médico por IA e encaminhar dúvidas clínicas a profissionais qualificados. Considere uma avaliação de impacto sobre a proteção de dados (Artigo 35 do GDPR) antes de lançar um agente de IA que trate esses dados em grande escala.

8. Defina a retenção de cada repositório

A limitação da conservação (Artigo 5 do GDPR) significa que você guarda dados pessoais apenas pelo tempo necessário. Defina e documente um prazo para:

o histórico de conversas na sua plataforma de mensagens,
os logs no provedor de LLM,
transcrições exportadas e análises,
qualquer dado pessoal em um banco de dados vetorial ou base de conhecimento.

Depois, garanta que a exclusão realmente aconteça, inclusive nos backups sempre que possível.

9. Esteja preparado para solicitações de acesso e exclusão

Os clientes podem perguntar o que você mantém sobre eles e pedir que você exclua esses dados (Artigos 15 e 17 do GDPR, com direitos semelhantes na KVKK). Saiba como encontrar as conversas de uma pessoa em todos os sistemas do seu mapa de dados e como excluí-las em cada um deles.

10. Evite decisões tomadas apenas pela IA

O Artigo 22 do GDPR restringe decisões baseadas unicamente em tratamento automatizado que afetem significativamente as pessoas. Deixe a IA responder, coletar informações e encaminhar, e mantenha aprovações, recusas, decisões de crédito e exceções com pessoas. Uma transferência da IA para um atendente humano confiável é ao mesmo tempo um recurso de atendimento e de conformidade.

11. Proteja o acesso e mantenha logs

Limite quem pode ler as conversas, use controle de acesso baseado em função, exija autenticação multifator e mantenha logs de auditoria de quem fez o quê. O Artigo 32 do GDPR exige segurança adequada ao risco, e o Artigo 33 estabelece um prazo de 72 horas para notificar a autoridade de supervisão sobre uma violação de dados pessoais, quando a violação representa risco para as pessoas.

12. Siga as regras do próprio canal

A Política de Mensagens do WhatsApp Business da Meta tem requisitos próprios sobre opt-in, uso de dados e IA. Nosso guia sobre a política de chatbots de IA do WhatsApp para 2026 explica o que a Meta permite, e o guia de opt-in no WhatsApp trata do consentimento para mensagens proativas.

Tema	GDPR	KVKK (Lei nº 6698)
Informar os usuários	Artigos 13 e 14	Dever de informar
Contratos com operadores	Artigo 28	O controlador é corresponsável pela segurança do operador (Artigo 12)
Transferências para o exterior	Capítulo V: adequação, cláusulas contratuais padrão	Adequação, contratos padrão notificados à Autoridade, exceções limitadas
Categorias especiais	Artigo 9	Categorias especiais de dados pessoais
Retenção	Limitação da conservação, Artigo 5	Exclusão, destruição ou anonimização quando a finalidade termina
Direitos dos titulares	Acesso, apagamento e outros	Direitos semelhantes, incluindo acesso e exclusão

Como a MonoChat ajuda você a manter o controle sobre IA e dados

A MonoChat foi criada para que as partes sensíveis da sua infraestrutura possam continuar sob o seu controle. Veja o que o produto oferece, conforme descrito em nossa página de segurança e conformidade:

Suas próprias chaves de LLM. Com LLMs personalizados, você conecta sua própria conta da OpenAI, Anthropic, Google, Azure, AWS ou de outro provedor, mantendo seus próprios preços e acordos de dados, e decide qual assistente usa qual modelo.
Modelos hospedados por você. Você pode conectar modelos que rodam nos seus próprios servidores por meio do Ollama, ou da API do seu próprio modelo, quando os prompts precisarem ficar na sua infraestrutura.
Seu próprio banco de dados vetorial. A integração com VectorDB mantém os vetores da base de conhecimento no banco de dados vetorial que você escolher, com suas próprias políticas de armazenamento e retenção, na região ou na nuvem que você escolher.
Conhecimento por escopo. A base de conhecimento com IA separa o conteúdo em escopos com controle de acesso próprio, de modo que cada agente recupere apenas o que deve.
Ações de IA controladas. As ferramentas de função de IA rodam com validação, permissões, endpoints em lista de permissões e logs, para que um assistente só faça o que você permitir.
Controle de acesso e logs. Acesso baseado em função, isolamento de workspace, logs de auditoria e credenciais de provedor criptografadas e restritas ao workspace.
APIs oficiais dos canais. O WhatsApp se conecta pela WhatsApp Business Platform oficial (Cloud API), e a MonoChat é uma Meta Business Partner oficial.
Certificações e política. A MonoChat possui as certificações ISO 27001 e ISO 9001, e sua política de privacidade é elaborada conforme a KVKK (Lei nº 6698). Solicitações de acesso, correção ou exclusão de dados pessoais são respondidas em até 30 dias.
Opção on-premise. O plano Enterprise oferece implantação on-premise para requisitos mais rigorosos.

Você pode avaliar o produto no plano gratuito Basic (um agente, um canal) em app.monochat.ai e ler a política de privacidade completa antes da sua análise.

Fontes

Coloque isso em prática com o MonoChat

Todos os guias