Quatro regras de hoje que já alcançam a sua IA no atendimento

Por que a conversa sobre "lei de IA" distrai?

Há um projeto de lei geral de inteligência artificial em tramitação no Congresso, e a Anatel disse em julho que não pretende atropelar esse debate. Muita diretoria ouve isso e conclui que, enquanto a lei não sai, o risco jurídico da IA no atendimento é teórico. É o contrário.

Na União Europeia, o regulamento de IA de 2024 trata um chatbot de atendimento como aplicação de risco limitado: a obrigação central é informar ao usuário que ele fala com uma máquina. No Brasil, o Código de Defesa do Consumidor, de 1990, não pergunta quem deu a resposta. Pergunta se o serviço falhou e se houve dano. Isso é mais exigente do que a regra europeia, e já vale.

Para quem presta serviço de telecomunicações, a régua sobe mais um degrau. A lei brasileira classifica telecomunicações como serviço essencial, o que puxa parte do atendimento de um provedor para a faixa que, no recorte europeu, seria tratada como de alto risco. Cortar a internet de alguém por uma informação errada não é um incômodo; é interromper um serviço essencial.

As quatro regras abaixo não são novas. O que é novo é a IA ter entrado exatamente no lugar em que elas incidem. Para cada uma, este texto mostra o que a norma diz, um exemplo de como o robô a alcança, o que isso pede do desenho do atendimento e o que a empresa precisa documentar.

1. CDC, artigo 14: alucinação é defeito de serviço

O que a norma diz. O artigo 14 diz que o fornecedor de serviços responde, independentemente de culpa, pela reparação dos danos causados por defeitos na prestação do serviço e por informações insuficientes ou inadequadas. A palavra que importa é "independentemente". Não se discute intenção nem cuidado. Discute-se se houve defeito e se houve dano.

Como o robô a alcança. Uma resposta errada da IA é informação inadequada. Exemplo: o robô afirma ao cliente que a fatura está paga, mas não estava. No dia seguinte o serviço é cortado, e o cliente perde um dia de trabalho tentando resolver. A empresa não vai discutir se o modelo "quis" errar nem se a instrução estava bem escrita. Vai discutir quanto indeniza.

O que a lei admite como defesa. O mesmo artigo prevê que o fornecedor não responde quando prova que o defeito não existe, ou que a culpa é exclusiva do consumidor ou de terceiro. Repare no verbo: prova. Para provar que o cliente informou um dado errado ao robô, a empresa precisa do registro da conversa, do que o sistema leu e do que a IA respondeu. Uma IA sem registro não tem defesa, porque não tem como demonstrar nada.

O que isso pede do desenho. Toda afirmação da IA sobre um fato do cliente precisa vir de uma fonte verificável, e a IA não pode afirmar o que não consegue ler. Se o sistema de cobrança está fora do ar, a resposta certa é "não consigo confirmar agora", não um palpite baseado no histórico.

O que documentar. O registro integral de cada conversa, a fonte de cada afirmação, a versão da instrução e das regras em vigor naquele dia. É a diferença entre um incidente explicável e um incidente indefensável.

2. CDC, artigo 30: a oferta vincula

O que a norma diz. O artigo 30 estabelece que toda informação ou publicidade suficientemente precisa, veiculada por qualquer forma ou meio de comunicação, obriga o fornecedor e integra o contrato. "Qualquer forma ou meio" inclui uma conversa no WhatsApp conduzida por um robô.

Como o robô a alcança. Exemplo: para segurar um cancelamento, o robô oferece isenção da multa de fidelidade. A isenção não existia na política da empresa. Pelo artigo 30, ela passou a existir no momento em que foi oferecida. "Foi o sistema" não afasta a obrigação, pela mesma razão que "foi o estagiário" nunca afastou.

No CONAREC 2026, o CEO da Olos Tecnologia descreveu o mesmo risco por outro ângulo: uma instrução mal escrita pode levar o agente a vender por R$ 100 um produto de R$ 2 mil. "A IA está te representando e você criou um problema, um prejuízo danado." A frase importa pela primeira metade. A IA representa a empresa. O que ela oferece, a empresa ofereceu.

Por que "o robô errou" é a pior defesa. Com um atendente humano, a empresa ao menos pode argumentar que foi um erro isolado, de uma pessoa, em uma conversa. Com um robô, o mesmo erro aconteceu em todas as conversas em que a mesma condição apareceu. O que era um caso vira uma prática comercial, e prática comercial é exatamente o que o artigo 30 regula.

O que isso pede do desenho. Uma regra que vale em qualquer grau de autonomia: a IA não propõe valor, desconto, prazo nem isenção. Alçada é tabela, aplicada por pessoa. A IA pode informar o que a tabela pública diz. Não pode inventar o que não está nela. E isso precisa ser impossibilidade técnica, não instrução: se a ferramenta de conceder desconto não está ao alcance do robô, ele não concede, por mais que a conversa o pressione.

O que documentar. A tabela de alçadas, versionada, com a data de cada mudança. Quem aprovou cada concessão. E a prova de que a IA não tinha acesso a nenhuma ferramenta de concessão, que é a lista de permissões da credencial dela.

3. LGPD, artigo 20: o cliente pode perguntar "por quê?"

O que a norma diz. A Lei Geral de Proteção de Dados dá ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive as destinadas a definir perfil. E obriga a empresa a fornecer, quando solicitada, informações claras e adequadas sobre os critérios e os procedimentos usados na decisão.

Como o robô a alcança. Exemplo: o sistema nega o religamento de um serviço com base no histórico interno do cliente. O cliente pergunta por quê. Se a decisão foi tomada por um modelo cujo raciocínio ninguém consegue reconstituir, ou por um sistema de terceiro ao qual a empresa não tem acesso, a resposta que a lei exige não existe.

O veto de 2019 alivia menos do que parece. A exigência de que a revisão fosse feita por pessoa natural foi vetada. A empresa continua tendo de explicar os critérios e rever a decisão quando pedida, e só consegue fazer isso se a decisão deixou rastro: quais dados foram usados, qual regra foi aplicada, quem ou o quê decidiu.

Uma palavra que muda o desenho: "unicamente". O artigo fala em decisões tomadas unicamente com base em tratamento automatizado. Uma decisão em que a IA monta o caso e sugere, e uma pessoa lê e decide, não é unicamente automatizada. Isso não elimina a obrigação de explicar, mas muda a natureza dela: a explicação passa a ser a de uma decisão humana informada por sistema, com os critérios visíveis para quem decidiu. Manter a pessoa na decisão não é só prudência operacional. É também posição jurídica mais confortável.

O que isso pede do desenho. Decisões que afetam o cliente, como negar, suspender, cancelar e restringir, passam por uma pessoa, com o caso montado e os critérios visíveis. Quando a decisão for automatizada, a regra que decidiu precisa estar escrita em código, versionada e explicável em uma frase.

O que documentar. Para cada decisão, os dados usados, a regra aplicada, a versão da regra e quem decidiu. Para o cliente, um canal para pedir revisão e um prazo para responder.

4. SAC e Anatel: o caminho até uma pessoa

O que a norma diz. O decreto que regulamenta o Serviço de Atendimento ao Consumidor nos setores regulados pelo governo federal garante ao consumidor acesso a atendimento humano. Um robô que não deixa o cliente chegar a uma pessoa não está inovando. Está descumprindo a regra do SAC. E foi exatamente esse comportamento, o cliente preso no robô, que a Anatel relatou no CONAREC como fonte crescente de reclamações.

O que a Anatel está fazendo. A agência está revendo a regulamentação do setor diante da IA. Em julho de 2026 abriu a Tomada de Subsídios nº 6/2026, encerrada em setembro, com temas como fiscalização, governança, curadoria de bases de dados, IA generativa, autonomia de sistemas em redes e impactos sobre consumidores e grupos vulneráveis. A pauta prevista incluiu o uso de IA generativa em canais de atendimento e os impactos para pequenos provedores. A análise de impacto regulatório recomendou regulação baseada em princípios, e uma consulta pública está prevista. O conselheiro relator resumiu o espírito: "A análise de impacto fechou uma etapa, não fechou o assunto."

Um sinal de quanto a agência leva o tema a sério: em junho ela adotou uma política de governança de IA para o próprio uso interno. E, como vimos no primeiro texto da série, já usa IA para avaliar as respostas das operadoras às reclamações. O regulador que regula IA é o mesmo que usa IA para fiscalizar.

A regulação de direitos do consumidor de telecom. Para um provedor há ainda a regulação de direitos do consumidor de telecomunicações, que exige protocolo e prazo de resposta para reclamações. Pela orientação da própria Anatel ao consumidor, a operadora tem dez dias corridos para dar uma resposta ou solução ao caso. Exemplo: o robô "resolve" uma reclamação de queda recorrente de conexão com uma explicação genérica e encerra a conversa sem registrar protocolo. Para o cliente, nada foi resolvido. Para a regulação, o prazo corre do mesmo jeito, e a reclamação reaparece na Anatel, agora com o agravante de nunca ter sido registrada.

O que isso pede do desenho. Saída para uma pessoa em qualquer ponto da conversa, com o contexto indo junto. Protocolo gerado em toda interação que seja reclamação, inclusive as que o robô acha que resolveu. E uma regra simples: o robô nunca encerra uma reclamação. Ele registra, classifica e entrega.

O que documentar. O caminho até a pessoa, testado. A taxa de conversas em que o cliente pediu uma pessoa e quanto tempo levou. E a lista de protocolos abertos por conversas iniciadas pelo robô.

O contrato com o fornecedor: o que o CDC não resolve

A maioria das empresas não constrói a própria IA de atendimento. Contrata uma plataforma. E a primeira reação ao ler as quatro regras acima é procurar no contrato com o fornecedor uma cláusula que transfira a responsabilidade.

Ela pode existir, e ajuda. Mas resolve o problema errado. Perante o consumidor, quem responde é quem presta o serviço, pelo artigo 14. O que o contrato com o fornecedor faz é organizar quem paga depois, entre as duas empresas. O cliente que foi cortado indevidamente não processa a plataforma de chatbot. Processa quem cortou.

Por isso o contrato precisa fazer outra coisa: garantir à empresa as condições de cumprir as quatro regras. Seis pontos para levar ao jurídico.

1. Registro integral e acessível. Toda conversa, com o que o modelo leu e respondeu, exportável pela empresa sem depender do fornecedor.
2. Permissões configuráveis pela empresa. O que a IA pode ler e o que não pode fazer é decisão da empresa, no sistema, não do fornecedor na instrução.
3. Reversibilidade. Toda ação que a IA execute pode ser desfeita pela operação da empresa, sem chamado ao fornecedor.
4. Desligamento imediato. A empresa tira a IA do ar em minutos, por conta própria.
5. Não retenção de contexto entre clientes. O que um cliente disse não alimenta a conversa com outro, e o fornecedor não usa os dados dos clientes da empresa para outros fins.
6. Explicabilidade das regras. As regras que decidem algo sobre o cliente estão escritas em linguagem comum e versionadas, e a empresa tem acesso a elas.

Sem esses seis, o contrato pode até prever ressarcimento. Não impede o dano, e o dano é o que o cliente sente.

Lista de verificação para o comitê

Antes de aprovar qualquer IA que fale com o cliente, oito perguntas, uma resposta de uma linha para cada.

1. Toda afirmação da IA sobre um fato do cliente vem de um sistema e cita a fonte?
2. A IA tem algum caminho técnico para conceder valor, desconto, prazo ou isenção?
3. Há registro integral de cada conversa, acessível pela empresa?
4. Que decisões sobre o cliente a IA toma sozinha, e qual é a regra escrita de cada uma?
5. O cliente chega a uma pessoa em qualquer ponto da conversa? Quanto tempo leva?
6. Toda reclamação gera protocolo, inclusive as que o robô encerra?
7. Quem, com nome, responde pelo que a IA fez?
8. O contrato com o fornecedor garante registro, permissões, reversibilidade, desligamento, não retenção e explicabilidade?

Uma resposta em branco em qualquer linha é um risco jurídico já contratado.

O que as quatro regras pedem do desenho

Lidas juntas, as quatro regras não dizem "não use IA". Dizem o que a IA precisa ter em volta.

1. Fonte para cada afirmação. Pelo artigo 14, a IA só afirma o que leu em sistema, e mostra de onde tirou.
2. Nenhuma concessão. Pelo artigo 30, valor, prazo, desconto e isenção ficam com pessoa e tabela.
3. Rastro de cada decisão. Pelo artigo 20, dados usados, regra aplicada e quem decidiu ficam registrados e explicáveis.
4. Saída para uma pessoa, sempre. Pelo SAC e pela Anatel, o cliente chega a um atendente quando quiser, e toda reclamação ganha protocolo.

Essas quatro exigências pesam de forma diferente conforme o que a IA pode fazer. Há usos em que são triviais de cumprir e usos em que exigem anos de maturidade. Organizar isso em níveis é o assunto do próximo texto.