Chatbot de IA, LGPD e GDPR: checklist de conformidade 2026

Um checklist de chatbot e LGPD costumava significar um link de privacidade e um banner de cookies. Em 2026 ele também precisa cobrir o dever de aviso do AI Act da UE para chatbots, que se aplica desde 2 de agosto de 2026, além das leis de proteção de dados do Golfo e do restante do MENA, da Turquia, da Índia, do Brasil e o panorama estado a estado nos Estados Unidos. Este guia traz 10 passos práticos, uma tabela de prazos de comunicação de incidente por país e um panorama claro de onde estão o Iraque e a Região do Curdistão.

Este checklist é informação geral, não aconselhamento jurídico; consulte um advogado qualificado em cada jurisdição onde você atua.

Principais pontos

O AI Act da UE exige que chatbots informem que são IA, a menos que isso já seja óbvio. O Artigo 50(1) se aplica desde 2 de agosto de 2026, e o Digital Omnibus de julho de 2026 não adiou esse prazo.
A maioria dos reguladores trabalha com um relógio de 72 horas para incidentes, mas não todos. O GDPR, as regras da PDPL saudita, o Conselho da KVKK, o Egito, o Bahrein, Omã e a Jordânia seguem as 72 horas, e o ADGM exige "sem demora indevida e, quando viável, em até 72 horas"; o Kuwait dá 24 horas aos provedores licenciados, o DIFC pede apenas "assim que praticável", e a ANPD, no Brasil, exige 3 dias úteis. Nos EUA não há prazo único — a comunicação de incidente vem da lei de incidentes de cada estado, e o prazo da Califórnia é de 30 dias corridos desde a descoberta para avisar os residentes afetados.
O Artigo 28(3) do GDPR exige um contrato vinculante (um DPA) com cada operador, o que normalmente inclui a sua plataforma de caixa de entrada e o provedor do modelo de IA.
O Iraque não tem lei geral de proteção de dados em vigor para o setor privado, e a Região do Curdistão também não, então uma prática no nível do GDPR é uma base sensata.
Uma ferramenta de resposta automática com IA precisa ler as mensagens para respondê-las, então controle de acesso, limites de retenção e credenciais criptografadas pesam tanto quanto a criptografia em trânsito.

Quem precisa de um checklist de chatbot, LGPD e GDPR em 2026

Um chatbot em conformidade com o GDPR trata dados pessoais com base legal, conta às pessoas o que acontece com os dados delas, mantém tudo seguro e permite que elas exerçam seus direitos. Uma empresa que vende no WhatsApp, no Instagram ou no Telegram normalmente também responde a leis locais:

UE: GDPR (em vigor desde 25 de maio de 2018) e Artigo 50 do AI Act. Atende pessoas na UE a partir de fora dela? Pergunte ao jurídico se o GDPR se aplica.
Estados Unidos: não há uma lei federal única de privacidade. Os deveres são, em grande parte, estaduais, liderados pela CCPA/CPRA da Califórnia, somados ao consentimento exigido pela TCPA para chamadas e mensagens de marketing automatizadas e a regras estaduais de aviso de bot, como a do Maine.
Arábia Saudita: a PDPL saudita, cujo período de adaptação terminou em 14 de setembro de 2024. A SDAIA regula a lei, inclusive o tratamento no exterior de dados de pessoas localizadas na Arábia Saudita.
Emirados Árabes Unidos (federal): Decreto-Lei nº 45 de 2021, em vigor desde janeiro de 2022, com os Regulamentos Executivos ainda não publicados.
DIFC: Lei nº 5 de 2020; notifique o tratamento ao Comissário todo ano, e as regras do Artigo 10 sobre sistemas autônomos alcançam chatbots.
ADGM: Data Protection Regulations 2021; registre-se no Office of Data Protection antes de tratar dados e renove o registro todo ano.
Catar: Lei nº 13 de 2016, supervisionada pela NCSA; consentimento explícito, além de autorização para dados de natureza especial.
Bahrein: Lei nº 30 de 2018; transferências para o exterior precisam da lista aprovada da PDPA, de autorização dela ou de outro fundamento.
Kuwait: o regulamento da CITRA, restringido em 2024 a provedores licenciados de telecomunicações e internet, então a maioria das empresas fica fora dele.
Omã: Decreto Real nº 6/2022, exigível desde 5 de fevereiro de 2026; consentimento em primeiro lugar, sem base de legítimo interesse.
Jordânia: Lei nº 24 de 2023, aplicável desde março de 2025; consentimento prévio, e consentimento de novo para transferir ao exterior.
Marrocos: Lei nº 09-08; declare o tratamento à CNDP antes de começar e obtenha autorização da CNDP para transferir ao exterior.
Egito: Lei 151/2020; os Regulamentos Executivos dela (Decreto nº 816 de 2025) dão prazo até cerca do início de novembro de 2026 para a adequação.
Turquia: KVKK (Lei nº 6698), alterada pela Lei 7499 a partir de 1º de junho de 2024.
Índia: o DPDP Act 2023; as Regras foram publicadas em novembro de 2025, com a maior parte dos deveres substantivos a partir de cerca de maio de 2027.
Brasil: a LGPD (Lei 13.709/2018), fiscalizada pela ANPD.

Conformidade de chatbot com IA nos Estados Unidos: CCPA, TCPA e aviso de bot

Informação geral, não aconselhamento jurídico. Se alguma dessas leis se aplica a você depende do seu faturamento, do volume de registros, do setor e dos tipos de dados — confirme com o jurídico.

As contagens publicadas de leis estaduais de privacidade nos EUA variam conforme a metodologia: cerca de 20 estão em vigor e 24 foram aprovadas até setembro de 2026.

A CCPA da Califórnia, alterada pela CPRA, se aplica a uma empresa com fins lucrativos que atua na Califórnia, coleta dados pessoais de residentes e supera um de três limites: faturamento bruto anual global acima de $26,625,000 (valor em vigor desde 1º de janeiro de 2025); comprar, vender ou compartilhar dados pessoais de 100.000 ou mais consumidores ou domicílios da Califórnia; ou tirar 50% ou mais do faturamento da venda ou do compartilhamento de dados pessoais. A Califórnia garante seis direitos: saber, excluir, corrigir, recusar a venda e o compartilhamento, limitar o uso de dados pessoais sensíveis e não sofrer discriminação. Outros estados compartilham um núcleo comum — aviso de privacidade e opções de recusa para publicidade direcionada, venda e certos tipos de perfilamento — e a maioria acrescenta consentimento prévio (opt-in) para dados sensíveis, algo que um chat de texto livre não consegue classificar de antemão.

Os contratos são o mecanismo mais afiado: pelo regulamento da CCPA (§7051(c)), um fornecedor sem um contrato de prestador de serviço em conformidade não é um prestador de serviço, e divulgar dados pessoais a ele pode ser considerado venda ou compartilhamento. Cerca de uma dúzia de estados também exige que um sinal universal de recusa seja respeitado na página que hospeda o seu widget, e não no WhatsApp, no Instagram ou no Telegram; o Global Privacy Control é reconhecido na Califórnia, no Colorado e em Connecticut, e a lista muda, então confirme.

As regras setoriais vêm por cima: a HIPAA quando o seu cliente é uma entidade coberta e o chat carrega dados de saúde — a Meta e o Telegram não assinam business associate agreements para mensagens comerciais padrão, então dados de saúde protegidos não podem passar por esses canais —, além da GLBA Safeguards Rule para instituições financeiras não bancárias e da COPPA para dados de menores de 13 anos. Pela Seção 5 do FTC Act, as promessas de privacidade e segurança que você publica precisam ser verdadeiras.

O marketing ativo é caso à parte. A TCPA exige consentimento prévio expresso e por escrito para chamadas e mensagens de marketing a números de celular dos EUA enviadas com discador automático ou voz pré-gravada, e as indenizações legais são de $500 por chamada ou mensagem em violação, chegando a $1,500 em violações intencionais ou conscientes, em geral por mensagem. A revogação pode chegar por qualquer meio razoável e precisa ser respeitada em até 10 dias úteis. Se a TCPA alcança mensagens de WhatsApp roteadas pela internet ainda não está resolvido, então trate o opt-in por escrito como uma base prudente, e não como regra pacificada; a Política de Mensagens Comerciais do WhatsApp da Meta já exige opt-in de qualquer forma.

O aviso de bot também é estadual. A lei de chatbots do Maine (10 M.R.S. §1500-DD), em vigor desde 24 de setembro de 2025, é a mais ampla e alcança bots comuns de vendas e suporte; Utah exige o aviso quando o consumidor pergunta, e de forma proativa em interações de alto risco, como as que coletam dados de saúde ou financeiros. O B.O.T. Act da Califórnia é mais restrito: intenção de enganar, plataformas de acesso público com 10 milhões ou mais de visitantes únicos mensais nos EUA, e aviso claro como porto seguro.

Passo 1: mapeie os dados pessoais que o seu chatbot coleta e para onde eles vão

Mapear dados significa listar cada dado pessoal que o bot manipula, onde ele fica armazenado e quem o recebe. Para cada canal, registre:

O que os clientes enviam: nomes, telefones, e-mails, endereços, detalhes do pedido, fotos e áudios.
O que você armazena: histórico de conversas, perfis de contato e logs de prompts da IA.
O que conecta os sistemas: tokens de acesso de canais, chaves de API de provedores de IA e segredos de webhook.
Para onde os dados vão: a plataforma de mensagens, o seu provedor de caixa de entrada, o provedor do modelo de IA e qualquer CRM ou ferramenta de pagamento.

Anote também a retenção de cada fornecedor. A Meta diz que age como operadora de dados na WhatsApp Cloud API e guarda as mensagens da Cloud API por no máximo 30 dias (documentação para desenvolvedores da Meta). Veja a nossa comparação entre Cloud API e aplicativo Business.

Passo 2: escolha uma base legal e colete consentimento quando for necessário

O Artigo 6 do GDPR lista as bases legais para o tratamento. Escolha uma por finalidade, não por ferramenta:

Responder dúvidas sobre pedidos ou suporte é uma finalidade.
Disparos de marketing e follow-ups são outra finalidade; verifique se precisam de consentimento separado.
Reaproveitar conversas para melhorar a sua IA é mais uma finalidade; não a embuta no pacote em silêncio.

Anote a base ao lado de cada finalidade no seu mapa de dados e guarde a prova de cada consentimento.

Passo 3: avise que a pessoa está falando com uma IA (Artigo 50 do AI Act da UE)

Pelo Artigo 50(1) do AI Act da UE, um sistema de IA que interage com pessoas precisa informar que elas estão lidando com IA, de forma clara e desde a primeira interação, a menos que isso já seja óbvio. O dever se aplica desde 2 de agosto de 2026, com multas de até EUR 15 milhões ou 3% do faturamento mundial, segundo o FAQ da Comissão Europeia sobre o Artigo 50. O Digital Omnibus sobre IA, em vigor desde 27 de julho de 2026, não adiou esse prazo. Pergunte ao jurídico como o dever se aplica ao seu caso e confira se a sua ferramenta de chatbot exibe o aviso.

Coloque um aviso de uma linha na primeira resposta do bot em cada conversa, como "Oi, sou o assistente de IA da [Marca]."
Vincule um aviso de privacidade com as informações que o Artigo 13 do GDPR exige quando você coleta dados diretamente das pessoas.
Alguns estados dos EUA pedem o mesmo: o Maine desde 24 de setembro de 2025, e Utah quando o consumidor pergunta ou em uma interação de alto risco.

Passo 4: minimize os dados que o bot coleta, armazena e envia aos modelos de IA

Minimização de dados significa coletar apenas o que a tarefa exige. Menos dados significa menos coisas para proteger, apagar e comunicar.

Não peça número de documento nem data de nascimento para responder dúvidas de entrega ou horário de funcionamento.
Oriente os clientes a nunca enviarem número de cartão ou senha no chat, e faça o bot recusar esses dados.
Envie ao modelo de IA só o contexto necessário, não os cadastros inteiros dos clientes.
Leia os termos do seu provedor de IA sobre uso dos dados da API para treinamento.
Ofereça transferência para um atendente humano em reclamações, reembolsos ou qualquer decisão com efeito real sobre o cliente.

Passo 5: criptografe credenciais, tokens e dados pessoais dos clientes em trânsito e em repouso

O Artigo 32(1)(a) do GDPR cita a pseudonimização e a criptografia como medidas de segurança. Pelo Artigo 34(3)(a) do GDPR, você não precisa comunicar o incidente às pessoas afetadas se a criptografia tornou ininteligíveis os dados vazados. Ainda assim, pode ser preciso comunicar o incidente ao regulador pelo Artigo 33.

Use HTTPS/TLS em toda chamada de API e em todo webhook.
Criptografe tokens de acesso de canais, chaves de API de IA e segredos de webhook no nível da aplicação, com a chave guardada longe do banco de dados, para que um dump vazado não entregue a sua conta do WhatsApp ou do Instagram.
Criptografe campos de contato de alto risco, como telefones e endereços.

Saiba o limite: um servidor que escreve respostas com IA precisa ler o texto das mensagens, então os Passos 6 e 7 pesam tanto quanto a criptografia.

Passo 6: aplique acesso por papéis e mantenha logs de auditoria

O controle de acesso baseado em papéis (RBAC) dá a cada pessoa apenas as permissões de que o trabalho dela precisa:

A equipe de linha de frente recebe conversas e contatos, não faturamento, configurações de IA ou chaves de API.
Usuários somente leitura veem só o necessário e não conseguem alterar nada.
Remova o acesso no mesmo dia em que alguém sai e gire as chaves que essa pessoa podia ver.
Registre quem alterou configurações sensíveis.

A Regra 6 do DPDP indiano inclui a guarda de logs por um ano entre as suas salvaguardas de segurança. Pergunte a cada fornecedor da sua stack quais controles de acesso de funcionários ele mantém e como esse acesso é registrado, e guarde as respostas junto com o seu mapa de dados.

Passo 7: defina prazos de retenção e trate pedidos de exclusão e de acesso

O Artigo 17 do GDPR dá às pessoas o direito ao apagamento, então você precisa de um jeito de encontrar e remover os dados de uma pessoa em todos os sistemas.

Defina um prazo de retenção por tipo de dado, como conversas abertas, conversas encerradas e contatos de marketing.
Apague ou anonimize os dados quando esse prazo terminar; automatizar isso é uma boa prática.
Monte um fluxo de atendimento ao pedido: confirme a identidade, busque na caixa de entrada, no CRM, nos logs de IA e nas exportações, depois execute e registre.
Acompanhe o prazo de resposta em cada lei a que você responde. Na Índia, os Data Fiduciaries devem responder aos pedidos dos titulares em até 90 dias assim que as Regras substantivas do DPDP passarem a valer (por volta de maio de 2027). Na Califórnia, os pedidos verificáveis têm 45 dias, prorrogáveis uma vez.

Se você conecta Facebook ou Instagram, verifique como o provedor da sua caixa de entrada trata as solicitações de exclusão de dados da Meta.

Passo 8: assine um DPA com cada operador e controle as transferências internacionais

Um acordo de tratamento de dados (DPA) é o contrato vinculante que o Artigo 28(3) do GDPR exige entre você e cada operador que trata dados pessoais em seu nome. Para um chatbot com IA, isso normalmente significa a plataforma de caixa de entrada, o provedor do modelo de IA e o provedor da API de mensagens. Confira os suboperadores, o uso dos dados para treinar IA, a exclusão ao fim do contrato e em quanto tempo o fornecedor precisa comunicar um incidente a você. Os EUA transformam a mesma ideia em condição — veja acima a regra de prestador de serviço da CCPA §7051(c).

As transferências também merecem atenção. Desde a Lei 7499 da Turquia, as transferências para o exterior exigem decisão de adequação, salvaguardas apropriadas como um contrato padrão do Conselho, ou uma exceção restrita. O Conselho não publicou lista de adequação, e as exceções cobrem apenas transferências pontuais e não recorrentes, então elas não sustentam um fluxo contínuo de chatbot: conte com o contrato padrão do Conselho e verifique quais passos de notificação ele exige. Hospedar fora da Arábia Saudita não tira você do alcance da PDPL saudita se você trata dados de pessoas localizadas lá, e as transferências sauditas exigem uma finalidade permitida mais adequação ou uma salvaguarda com avaliação de risco documentada. O Brasil exige o texto das cláusulas da ANPD sem modificações. Pergunte ao provedor do seu modelo em qual salvaguarda de transferência ele se apoia e confirme com o jurídico se ela atende cada lei a que você responde.

Passo 9: prepare um plano de resposta a incidentes para o prazo de cada jurisdição

Um plano de incidentes é um runbook curto que diz quem faz o quê nas primeiras 72 horas, porque a maioria dos prazos começa a correr quando você toma conhecimento do incidente.

Defina um responsável pelo incidente e um substituto.
Liste cada regulador e prazo a que você responde (veja a tabela abaixo).
Prepare modelos de aviso ao cliente em todos os idiomas que você atende, inclusive árabe e curdo.
Documente como revogar e girar rapidamente tokens de canais, chaves de API de IA e segredos de webhook.

Passo 10: revise o seu checklist de chatbot e LGPD com data marcada

Agora: confirme que você está pronto para o prazo de adequação do Egito, por volta do início de novembro de 2026.
A cada trimestre: revise os acessos do time, os canais conectados e as chaves de API ativas.
A cada seis meses: faça um teste de pedido de exclusão e um simulado de incidente.
A cada mudança: atualize o mapa de dados e a lista de fornecedores ao adicionar um canal, um modelo de IA ou um fornecedor, e faça uma triagem de risco de privacidade para cada novo uso de IA.
Todo ano: revise cada país, em especial os Regulamentos Executivos dos Emirados Árabes Unidos, a fase da Índia por volta de maio de 2027 e o projeto de lei do Iraque.

Referência rápida por país: situação e prazos de comunicação de incidente (setembro de 2026)

Jurisdição	Lei principal	Situação (set. de 2026)	Comunicação de incidente ao regulador
UE/EEE	GDPR + Art. 50 do AI Act	Em vigor	72 horas (Art. 33 do GDPR)
Estados Unidos (federal)	Sem lei geral de privacidade; Seção 5 do FTC Act, TCPA, regras setoriais	Sem lei geral; regras setoriais em vigor	Sem dever federal geral; apenas regras setoriais (HIPAA: aos titulares em até 60 dias da descoberta, ao HHS em até 60 dias nos incidentes com 500+ pessoas e, nos demais casos, em até 60 dias do fim do ano civil; GLBA Safeguards Rule: à FTC em até 30 dias da descoberta de um evento envolvendo dados não criptografados de 500 ou mais consumidores)
Califórnia (CCPA/CPRA)	Cal. Civ. Code §1798.100 e seguintes	Em vigor; regulamentos da CPPA em vigor desde 1º de jan. de 2026	Não definido pela CCPA; a lei separada §1798.82 (alterada pela SB 446, em vigor desde 1º de jan. de 2026) dá 30 dias corridos da descoberta para avisar os residentes afetados, mais aviso ao Procurador-Geral da Califórnia em até 15 dias depois de avisar os consumidores quando mais de 500 residentes da Califórnia são afetados. Os prazos variam de estado para estado
Arábia Saudita	PDPL (M/19, alterada pela M/148)	Exigível desde 14 de set. de 2024	72 horas para a SDAIA (Art. 24 dos Regulamentos)
Emirados Árabes Unidos (federal)	Decreto-Lei nº 45 de 2021	Em vigor; Regulamentos Executivos não publicados	"Imediatamente"; sem contagem de horas
DIFC	Lei DIFC nº 5 de 2020	Em vigor; alterada em 2022 e 2025	Assim que praticável (Art. 41); sem regra de 72 horas
ADGM	Data Protection Regulations 2021	Em vigor e fiscalizada	Sem demora indevida; quando viável, 72 horas
Catar	Lei nº 13 de 2016 (PDPPL)	Em vigor; diretrizes da NCSA publicadas	Nada na lei; a orientação da NCSA espera 72 horas
Bahrein	Lei nº 30 de 2018	Em vigor; PDPA ativa desde 2022	72 horas da descoberta para a PDPA
Kuwait	Regulamento da CITRA, alterado em 2024	Vincula apenas provedores licenciados pela CITRA	24 horas, apenas para licenciados
Omã	Decreto Real nº 6/2022	Totalmente exigível em 5 de fev. de 2026	72 horas para o MTCIT
Jordânia	Lei nº 24 de 2023	Período de adaptação terminou em 17 de março de 2025	72 horas; titulares em até 24 horas
Egito	Lei 151/2020	Período de adequação termina por volta do início de nov. de 2026	72 horas para o PDPC
Marrocos	Lei nº 09-08	Em vigor; regime de declaração	Nenhum: a Lei nº 09-08 não prevê dever geral de comunicação de incidente
Turquia	KVKK (Lei nº 6698)	Em vigor, alterada em junho de 2024	72 horas para o Conselho da KVKK
Índia	DPDP Act 2023	Maior parte dos deveres a partir de cerca de maio de 2027	Relatório detalhado em até 72 horas (Regra 7)
Brasil	LGPD	Em vigor, sanções desde ago. de 2021	3 dias úteis para a ANPD, o dobro para agentes de pequeno porte
Iraque	Sem lei geral para o setor privado	Existe um projeto de lei	Sem dever legal; confirme com advogado local
Região do Curdistão	Sem lei geral; Lei nº 6 de 2008	—	Sem dever legal; confirme com advogado local

Iraque e Região do Curdistão: segundo o DataGuidance, a privacidade no Iraque se apoia na Constituição de 2005, e não em uma lei dedicada. A norma mais próxima na Região do Curdistão é a Lei nº 6 de 2008 sobre uso indevido de dispositivos de telecomunicação.

Como a Raabt apoia o seu trabalho de conformidade na Arábia Saudita, no Golfo e além

Isto é um mapa de recursos, não um certificado de conformidade. Nenhuma ferramenta deixa você em conformidade sozinha: quem decide isso são a sua base legal, os seus avisos, os seus prazos de retenção e os seus contratos. O que uma plataforma pode fazer é entregar os controles que cada lei espera que você tenha.

O que a lei exige	O que a Raabt oferece hoje	O que continua sendo tarefa sua
Medidas de segurança (Art. 32 do GDPR, PDPL saudita, Bahrein, Omã, Jordânia, KVKK)	Tokens de acesso de canais, chaves de provedores de IA, segredos de webhook e telefones, e-mails e endereços de pedido dos clientes criptografados com AES-256-GCM; senhas com hash em Argon2id; códigos de uso único guardados apenas como hashes HMAC-SHA256	Prazos de retenção, criptografia dos dispositivos e a segurança de tudo o que você exportar
Controle de acesso e privilégio mínimo	Quatro papéis (owner, admin, agent, viewer) com permissões por seção, faturamento restrito aos owners, código de uso único por e-mail no login com senha e revogação da sessão no logout	Revisar quem tem acesso e tirar quem sai no mesmo dia
Avisar que a pessoa está falando com uma IA (Art. 50 do AI Act da UE, Maine, Utah)	As configurações de IA são uma seção com permissão própria, então só os papéis que você escolher podem mudar como o bot responde	Escrever a frase do aviso, colocá-la na primeira mensagem do bot e conferir se ela aparece em todos os canais
Manter separados os dados de cada cliente	Os endpoints de negócio confirmam que quem chama é membro ativo daquela empresa antes de devolver qualquer dado	Escolher quem você convida para o workspace
Pedidos de exclusão (Art. 17 do GDPR e equivalentes)	Callback de exclusão de dados da Meta com código de confirmação e link de status na página de exclusão de dados; a exclusão de conta exige a sua senha mais um código enviado por e-mail, e então desativa a conta e anonimiza o e-mail dela	Pedidos de apagamento de clientes individuais e a sua própria política de retenção e exclusão
Integrações verificadas e à prova de adulteração	Webhooks da Meta rejeitados sem uma assinatura X-Hub-Signature-256 válida, webhooks do Telegram exigindo token secreto e anexos servidos só por links assinados com HMAC e com prazo de validade	Girar tokens de canais e chaves de API quando alguém sai da equipe
Resposta a incidentes (72 horas na UE, Arábia Saudita, Bahrein, Omã, Jordânia e Turquia; 24 horas para licenciados no Kuwait; regras por estado nos EUA)	As ações da própria equipe de plataforma da Raabt são gravadas em um log somente de acréscimo (quem, o quê, quando, IP), com os segredos ocultados	O seu runbook de incidentes, os avisos ao regulador e os avisos aos clientes
Enviar dados para o exterior	As chaves de API de provedores de IA e o JSON de contas de serviço são criptografados no nível da aplicação (AES-256-GCM)	Escolher qual provedor de IA trata o seu texto, a sua avaliação de transferência, os contratos padrão e qualquer registro local

O que a Raabt faz hoje para proteger os dados do seu negócio

Nenhuma ferramenta deixa você em conformidade; o resultado depende de como você a configura e a usa. Se você roda o seu chatbot com IA na Raabt, estes controles estão em funcionamento hoje:

Credenciais e dados de contato selecionados criptografados: tokens de acesso de canais (Facebook, Instagram, WhatsApp, Telegram), chaves de API de provedores de IA, segredos de webhook e telefones, e-mails e endereços de pedido dos clientes são criptografados no nível da aplicação com AES-256-GCM.
Senhas e códigos de login: as senhas passam por hash com Argon2id. Os logins por e-mail e senha exigem um código de uso único enviado por e-mail antes de a sessão começar; o login com Google não usa esse código.
Acesso da equipe por papéis: quatro papéis (owner, admin, agent, viewer) com permissões por seção; o acesso ao faturamento não pode ser delegado a quem não é owner.
Isolamento entre empresas: os endpoints de negócio confirmam que quem chama é membro ativo daquela empresa e retornam "not found" caso contrário.
Webhooks verificados: webhooks da Meta sem uma assinatura X-Hub-Signature-256 válida são rejeitados, e webhooks do Telegram exigem um token secreto.
Revogação de sessões: o logout revoga as sessões por uma blocklist verificada em toda requisição autenticada.
Solicitações de exclusão da Meta: a Raabt oferece suporte ao callback de exclusão de dados da Meta, com link de status na página de exclusão de dados.
Exclusão de conta: ela pede a senha mais um código de uso único enviado por e-mail. A conta é desativada na hora e o e-mail dela é anonimizado, mas isso não apaga os dados de conversas e contatos.

Um limite para incluir no planejamento: as conversas não são criptografadas de ponta a ponta, porque os servidores da Raabt precisam ler as mensagens para gerar as respostas com IA. Um servidor que redige a resposta precisa ler a mensagem primeiro.

Planeje retenção, acessos e avisos ao cliente com isso em mente; veja a nossa política de privacidade.

Perguntas frequentes

Informação geral, não aconselhamento jurídico.

Meu chatbot com IA está em conformidade com o GDPR?

Só uma análise da sua própria configuração responde a isso. Verifique se há base legal por finalidade, aviso de privacidade claro, DPA com cada operador, segurança adequada como criptografia e pedidos de apagamento funcionando.

É obrigatório avisar que o atendimento é feito por IA?

Na UE, em geral sim. Desde 2 de agosto de 2026, o Artigo 50(1) do AI Act exige que sistemas de IA que interagem com pessoas deixem isso claro desde a primeira interação, a menos que já seja óbvio. Nos EUA, o Maine exige aviso quando um chatbot comercial pode levar o consumidor a achar que está falando com uma pessoa; Utah exige o aviso quando o consumidor pergunta, e de forma proativa em interações de alto risco, como as que coletam dados de saúde ou financeiros.

O AI Act da UE se aplica a chatbots de atendimento ao cliente?

Sim, pelos deveres de transparência do Artigo 50 para sistemas de IA que interagem com pessoas. O Digital Omnibus levou os prazos de alto risco autônomo (Anexo III) para 2 de dezembro de 2027 e os do Anexo I para 2 de agosto de 2028. Confirme com o jurídico se o seu caso de uso é de alto risco.

As leis de privacidade dos EUA se aplicam ao meu chatbot no WhatsApp ou no Instagram?

Muitas vezes sim — estado a estado, e não por uma única lei federal. As transcrições de conversa vinculadas a um número de telefone ou a um perfil do Instagram são dados pessoais para essas leis, e os deveres de aviso de bot mais o consentimento da TCPA para marketing ativo vêm por cima. Veja a seção sobre os EUA acima para os limites e a questão em aberto sobre a TCPA.

Preciso de um DPA com o fornecedor do meu chatbot?

Pelo GDPR, sim, se o fornecedor trata dados pessoais em seu nome, porque o Artigo 28(3) exige um contrato vinculante com cada operador. Confira suboperadores, termos de treinamento de IA e exclusão ao fim do contrato.

Por quanto tempo posso guardar as conversas do chatbot segundo o GDPR?

Não existe um número único para copiar. Uma abordagem comum é guardar as conversas só pelo tempo que a finalidade declarada exige, informar esse prazo aos clientes no aviso de privacidade e apagar ou anonimizar os dados depois. Confirme o prazo com o jurídico.

O Iraque tem lei de proteção de dados?

Não uma lei geral para o setor privado, embora exista um projeto de lei. O Artigo 17 da Constituição de 2005 protege a privacidade pessoal e o Artigo 40 protege as comunicações. A Região do Curdistão também não tem lei geral, então uma prática no nível do GDPR é uma base sensata por enquanto.

Pronto para rodar respostas automáticas com IA, com credenciais de canais criptografadas e acesso da equipe por papéis? Comece grátis.