Chatbot IA e LGPD: que dados sua IES pode coletar?

Quais dados pessoais um chatbot IA coleta no site da sua IES?

Um chatbot com inteligência artificial instalado no site da sua faculdade, centro universitário ou universidade começa a tratar dados pessoais no instante em que um candidato digita a primeira mensagem. Esse tratamento está integralmente sujeito à LGPD (Lei Geral de Proteção de Dados Pessoais — Lei 13.709/2018) e à supervisão da ANPD (Autoridade Nacional de Proteção de Dados). A ANPD tem se posicionado progressivamente sobre o uso de IA no setor educacional, e seu Sandbox Regulatório 2026 inclui testes específicos com sistemas de IA em contextos de ensino superior.

Na prática, um chatbot para uma IES privada coleta quatro categorias de dados pessoais:

1. Dados de contato fornecidos pelo candidato — nome, endereço de e-mail, número de celular.
2. Dados de interesse acadêmico — curso de interesse, campus preferido, turno (diurno/noturno/EAD), semestre de início.
3. Conteúdo das conversas — o texto completo do diálogo, incluindo perguntas e respostas.
4. Metadados técnicos — endereço IP, carimbo de data/hora, ID de sessão, tipo de navegador.

72% das interações do chatbot em sites de faculdades e universidades são perguntas FAQ padrão — cada uma delas um tratamento de dados que exige uma base legal válida sob a LGPD. (Fonte: classificação automática de 12.000 conversações Skolbot, 2025)

Para o enquadramento completo das obrigações de proteção de dados da sua IES, consulte nosso guia completo de proteção de dados para IES.

Quais bases legais da LGPD se aplicam a cada tipo de dado?

A LGPD prevê dez bases legais (artigo 7.º), mais do que os seis motivos previstos no GDPR europeu. Para um chatbot de IES, três são centrais: consentimento (inciso I), execução de contrato ou medidas pré-contratuais (inciso V) e legítimo interesse (inciso IX). A escolha da base legal determina os direitos do candidato e os prazos de retenção permitidos.

Tempo de resposta como argumento prático: um chatbot IA responde em 3 segundos, 24 horas por dia, 7 dias por semana. O e-mail demora em média 47 horas; o formulário de contato, 72 horas. (Fonte: auditoria mystery shopping Skolbot, 2025, 80 instituições FR.) Essa vantagem de velocidade desaparece imediatamente se uma violação de dados ou uma investigação da ANPD exigir a suspensão do chatbot.

Minimização de dados: o princípio que limita o que o chatbot pode coletar

A minimização de dados é um dos princípios fundamentais da LGPD — prevista no artigo 6.º, inciso III (necessidade) e inciso II (adequação) — e o mais frequentemente ignorado nas implementações de chatbot. A regra é simples: colete apenas os dados estritamente necessários para a finalidade declarada.

O que isso significa na prática para um chatbot de IES:

• Não pedir o número de celular se toda a comunicação posterior é feita por e-mail.
• Não pedir a data de nascimento a menos que seja necessário verificar requisitos de acesso a um curso específico (como cursos que exigem maioridade).
• Não reter o histórico completo das conversas indefinidamente. O conteúdo de conversas que não resultaram em matrícula não tem finalidade operacional após 12 meses.
• Anonimizar endereços IP o mais rapidamente possível — de preferência nas primeiras 24–48 horas após a sessão.
• Não usar pixels de rastreamento na interface do chatbot sem base de consentimento válida.

A ANPD tem sinalizado que a adequação e a necessidade do artigo 6.º da LGPD são critérios ativos de fiscalização — não apenas declarações de intenção. A pergunta que você deve fazer para cada campo coletado pelo chatbot: "Esse dado é absolutamente necessário para responder à pergunta do candidato?" Se a resposta for "não" ou "seria útil, mas não indispensável", o dado não deve ser coletado.

Dados sensíveis: cautela redobrada nas conversas do chatbot

Os candidatos compartilham voluntariamente, nas conversas com chatbots, informações que podem não reconhecer como juridicamente sensíveis, mas que se enquadram nas categorias do artigo 11 da LGPD:

• Dados de saúde: "Tenho uma deficiência motora e quero saber se o campus tem acessibilidade."
• Origem racial ou étnica: "Como estudante quilombola, tenho direito a alguma bolsa específica?"
• Convicção religiosa: questões sobre horários de aula e feriados religiosos.
• Dados sobre saúde mental: menções a dificuldades emocionais ou necessidade de suporte psicológico.
• Situação financeira (especialmente relevante para candidatos ao ProUni, FIES ou bolsas da própria IES).

O tratamento de dados sensíveis é em princípio proibido pela LGPD (artigo 11) salvo exceções específicas, e exige consentimento específico e destacado do titular (inciso I) ou uma das hipóteses do inciso II. Para um chatbot de IES: você não precisa de dados sensíveis para responder a perguntas gerais sobre mensalidades, vestibular ou matrícula. Configure seu chatbot de modo que:

1. As conversas sejam automaticamente analisadas para detectar categorias sensíveis.
2. Esses dados sejam anonimizados ou eliminados automaticamente em <30 dias.
3. As conversas que contenham dados sensíveis não sejam usadas para treinar o modelo de IA sem consentimento explícito e destacado.

Menores de 18 anos — atenção especial: o artigo 14 da LGPD exige o consentimento dos pais ou responsáveis para o tratamento de dados de crianças (até 12 anos) e adolescentes (13 a 17 anos). Ao contrário do RGPD europeu, que fixa o limiar aos 16 anos, a LGPD aplica essa exigência até os 18 anos. IES que oferecem cursos técnicos integrados, cursos livres ou ações de marketing dirigidas ao ensino médio devem incluir verificação de idade e fluxos adequados para menores no chatbot. Candidatos ao ENEM frequentemente são menores de 18 anos — isso torna esse requisito diretamente relevante para o contexto de captação de alunos.

Para orientações detalhadas sobre o consentimento em formulários de inscrição e vestibular, consulte nosso artigo sobre consentimento de cookies e LGPD para IES.

RIPD: quando é obrigatório um relatório de impacto?

A LGPD prevê o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) como instrumento de conformidade para tratamentos que podem gerar riscos aos titulares (artigo 38). A ANPD pode solicitar o RIPD a qualquer momento, e sua ausência é agravante em processos administrativos sancionatórios.

Um chatbot com IA para uma IES justifica a elaboração de um RIPD porque:

• Tratamento automatizado em larga escala: o chatbot processa conversas de milhares de candidatos durante o período de vestibular e matrícula.
• Perfilagem: se o chatbot categoriza candidatos com base em suas perguntas (curso popular, perfil financeiro, preferência de campus), está realizando perfilagem.
• Possível tratamento de dados sensíveis: mesmo que não seja intencional, as conversas podem conter esses dados.
• Uso de IA: o Sandbox Regulatório da ANPD 2026 indica que sistemas de IA que interagem com consumidores em decisões relevantes (incluindo educação) devem ter governança documentada.

O RIPD documenta os riscos identificados, as medidas adotadas para mitigá-los e — quando os riscos não podem ser completamente eliminados — as alternativas consideradas. Revise o RIPD sempre que o sistema de chatbot sofrer alterações materiais: novo modelo de IA, novas fontes de dados, novas funcionalidades.

Transparência e direitos dos titulares: o que o chatbot deve comunicar

O artigo 9.º da LGPD obriga o controlador a disponibilizar ao titular informações claras, precisas e facilmente acessíveis sobre o tratamento — no momento da coleta. Para um chatbot, isso significa uma nota de privacidade ao abrir a janela de chat: não apenas um link para a política de privacidade, mas informação direta e compreensível.

O que a mensagem de boas-vindas ou a primeira interação do chatbot deve obrigatoriamente incluir:

• Identidade do controlador: sua IES, com nome completo.
• Aviso de IA: o candidato deve saber que está interagindo com uma inteligência artificial, não com um atendente humano. Isso é exigência de transparência da LGPD e boas práticas de governança de IA.
• Finalidade do tratamento: "Seus dados são tratados para responder às suas perguntas e fornecer informações sobre nossos cursos e processo seletivo."
• Prazo de retenção: "O conteúdo das conversas é mantido por no máximo 12 meses."
• Direitos: "Você pode acessar, corrigir ou solicitar a exclusão dos seus dados pelo e-mail [endereço] ou pelo [canal de atendimento]."

Os candidatos têm os seguintes direitos previstos no artigo 18 da LGPD que sua IES deve ser capaz de exercer operacionalmente:

• Confirmação e acesso (art. 18, I e II): confirmar a existência do tratamento e fornecer cópia dos dados.
• Correção (art. 18, III): corrigir dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação (art. 18, IV): para dados desnecessários ou tratados em desconformidade.
• Eliminação (art. 18, VI): dos dados tratados com base no consentimento, quando o titular revogar o consentimento.
• Oposição (art. 18, parágrafo 2.º): ao tratamento com base em legítimo interesse.
• Portabilidade (art. 18, V): mediante regulamentação da ANPD.
• Revogação do consentimento (art. 18, IX): de forma gratuita e facilitada.

Violação de dados — prazo LGPD: o artigo 48 da LGPD exige que a ANPD e os titulares afetados sejam notificados de incidentes de segurança em prazo razoável. A Resolução CD/ANPD nº 15/2024 detalhou esse prazo: a comunicação deve ser feita à ANPD em até 2 dias úteis após o conhecimento do incidente. Para violações envolvendo chatbots — como acesso não autorizado a históricos de conversas — garanta que o contrato com o fornecedor preveja notificação contratual em menos de 24 horas.

Lista de verificação prática para um chatbot conforme com a LGPD

Use esta lista como ponto de partida para a auditoria interna. Para uma auditoria LGPD completa da sua IES, consulte nossa checklist de auditoria LGPD para IES.

• Atividades de tratamento do chatbot registradas no registro de atividades (art. 37 LGPD)
• RIPD elaborado e documentado antes da entrada em operação
• Contrato de processamento de dados com o fornecedor do chatbot assinado e atualizado
• Suboperadores do fornecedor (hospedagem, provedor do modelo de IA) identificados e documentados
• Para hospedagem fora do Brasil: garantias adequadas para transferência internacional presentes (art. 33 LGPD)
• Nota de privacidade visível ao abrir a janela de chat (identidade, finalidade, prazo, direitos)
• Aviso de IA presente (candidato sabe que está interagindo com uma inteligência artificial)
• Prazos de retenção configurados tecnicamente (exclusão automática após 12 meses)
• Anonimização automática de dados sensíveis das conversas em <30 dias configurada
• Verificação de idade configurada para menores de 18 anos com fluxo de consentimento parental
• Procedimento para resposta a pedidos LGPD (acesso, exclusão, oposição) operacional em prazo razoável
• Chatbot incluído na política de cookies se usar cookies de sessão ou armazenamento local

FAQ

Nossa IES precisa de um contrato de processamento de dados com o fornecedor do chatbot?

Sim, sempre. Quando um fornecedor externo trata dados pessoais em nome da sua IES — o que qualquer fornecedor de chatbot faz por definição —, é necessário formalizar um contrato que estabeleça as responsabilidades de cada parte. A LGPD não usa o termo "contrato de subprocessamento" com a mesma precisão que o RGPD europeu, mas os artigos 37 a 40 da LGPD e as orientações da ANPD deixam claro que o controlador responde pelos operadores que contrata. O contrato deve definir: o que o fornecedor pode e não pode fazer com os dados, as medidas de segurança aplicáveis, os prazos de retenção, como incidentes são notificados e como o fornecedor coopera no atendimento dos direitos dos titulares. Um contrato de serviço padrão sem cláusulas LGPD não é suficiente.

O chatbot pode usar o conteúdo das conversas para treinar o modelo de IA?

Apenas com base legal explícita e válida — e na maioria dos casos isso significa consentimento específico e destacado do candidato (art. 7.º, I c/c art. 8.º da LGPD). O legítimo interesse dificilmente se sustenta aqui: o candidato não tem expectativa razoável de que sua conversa com o chatbot de uma faculdade seja usada para treinar um modelo de IA. O contrato com o fornecedor deve especificar expressamente se ele pode usar os dados para treinamento — e se você não quiser que isso aconteça, deve estar contratualmente proibido. Verifique as condições gerais do seu fornecedor: em muitos casos, o treinamento com dados de usuários está habilitado por padrão.

Qual é o prazo máximo de retenção das conversas do chatbot?

A LGPD não estabelece um prazo absoluto, mas exige que os dados sejam conservados apenas pelo tempo necessário à finalidade declarada (art. 6.º, I). Para conversas que não resultaram em matrícula, 12 meses é o prazo setorialmente aceito — tempo suficiente para cobrir um ciclo de vestibular e SISU. Para conversas de candidatos que iniciaram uma matrícula mas não a concluíram, até 24 meses, para cobrir a possibilidade de retorno no semestre seguinte. Dados sensíveis compartilhados inadvertidamente (art. 11 LGPD) devem ser anonimizados em <30 dias, mesmo que a conversa ainda seja operacionalmente relevante. Documente os prazos no seu registro de atividades de tratamento e implemente exclusão automática no sistema — não dependa de processos manuais.

O que fazer se o candidato pedir a exclusão dos dados após o vestibular?

O direito à eliminação (art. 18, VI da LGPD) é aplicável aos dados tratados com base no consentimento quando o titular o revoga, ou quando os dados são desnecessários ou excessivos. Para dados de marketing e conteúdo de conversas de candidatos que não se matricularam: exclusão imediata. Para dados do processo seletivo propriamente dito: a IES pode reter o necessário para cumprir obrigações legais (como registros exigidos em auditorias do MEC) ou para defesa em possíveis litígios — mas deve informar ao candidato qual obrigação legal justifica a retenção. Na prática: exclua os dados de marketing imediatamente; retenha apenas o mínimo dos dados do processo seletivo pelo prazo legal aplicável; documente a resposta por escrito indicando o que foi excluído e o que foi retido com a respectiva base legal. A resposta deve ser fornecida em prazo razoável — a ANPD tem orientado para no máximo 15 dias a partir do pedido.

Como tratar dados de candidatos menores de 18 anos no chatbot?

O artigo 14 da LGPD é claro: o tratamento de dados de crianças (até 12 anos completos) e adolescentes (13 a 17 anos) exige o consentimento específico de pelo menos um dos pais ou do responsável legal. O chatbot deve incluir uma verificação de idade no início da conversa. Se o candidato indicar que tem menos de 18 anos, o fluxo deve: (1) limitar a coleta de dados ao mínimo necessário para responder à pergunta, (2) não armazenar dados de contato sem consentimento parental documentado, (3) direcionar o candidato para um canal com suporte humano se necessário. IES que captam alunos via ENEM e SISU devem atentar para o fato de que candidatos do 3.º ano do ensino médio frequentemente têm 17 anos. A ANPD tem indicado que dados de menores são uma área de fiscalização prioritária.

Um chatbot com IA em conformidade com a LGPD não é um projeto burocrático — é a infraestrutura técnica e jurídica que permite à sua IES apoiar candidatos da forma que esperam: rápida, personalizada e confiável. Os 7% das conversas que requerem intervenção humana (Fonte: Skolbot, 2025) são exatamente aquelas em que sua equipe agrega mais valor. Os outros 93% você automatiza com total conformidade com a LGPD.