LGPD e IA no atendimento imobiliário: o que pode em 2026

A pergunta chega quase sempre no mesmo tom, meio desconfiada: “posso mesmo deixar uma IA conversando com meu cliente e tratando o dado dele?”. Pode. Mas não é um “pode” solto. É um “pode, desde que você saiba responder três coisas”: com que base legal você trata aquele dado, quem é o responsável por ele e onde ele vai parar.

E aqui vale separar bem duas conversas que costumam ser embaralhadas. Uma coisa é LGPD na captação, quando você trabalha dado de proprietário, anúncio público, contato prospectado. Outra, bem diferente, é LGPD no atendimento automatizado, quando o lead entra no seu WhatsApp, digita o nome, fala do orçamento, conta que está se separando ou que precisa mudar até dezembro porque a filha vai trocar de escola. Esse segundo caso é o que a gente vai tratar aqui.

Aviso desde já, sem juridiquês e sem meias palavras: este texto não é parecer jurídico. É um guia operacional para gestor e jurídico interno conversarem melhor com o fornecedor de tecnologia. Decisão final, valide com quem responde por isso na sua empresa.

Qual base legal sustenta o atendimento com IA?

Muita gente acha que precisa de consentimento para tudo. Não precisa. A LGPD tem dez bases legais e o consentimento é só uma delas, geralmente a mais frágil, porque pode ser revogada a qualquer momento e obriga você a provar que foi livre e informado.

No atendimento imobiliário, duas bases costumam sustentar a operação com folga.

A primeira é a execução de contrato ou de procedimentos preliminares a contrato. Quando o lead te chama perguntando sobre um apartamento, ele está iniciando uma tratativa. Coletar nome, telefone, faixa de orçamento, região de interesse e prazo de mudança é o mínimo para você conseguir responder. Isso não é abuso, é o próprio serviço acontecendo. Um chatbot que qualifica esse lead está fazendo, em escala, exatamente o que o corretor faria no balcão.

A segunda é o legítimo interesse, que sustenta usos adjacentes: manter o histórico da conversa para o corretor não repetir perguntas, disparar um follow-up de imóveis parecidos, medir qualidade do atendimento. Legítimo interesse não é curinga. Ele exige que você registre o teste de balanceamento, ou seja, o raciocínio de por que aquele uso é esperado pelo titular e não atropela direitos dele.

O consentimento entra em casos específicos. Marketing que foge do contexto original, enriquecimento com fontes externas, uso do histórico para finalidade nova. Nesses, peça e registre. Base legal errada é o tipo de erro que só aparece quando alguém reclama, e aí já é tarde.

Você precisa avisar que quem responde é uma IA?

Sim. E não porque a lei tem um artigo com essa frase exata, mas porque a LGPD é construída sobre transparência e sobre o direito do titular de entender como seus dados estão sendo tratados. Se a pessoa acredita estar falando com a Juliana do plantão e na verdade está conversando com um sistema automatizado que registra tudo, você criou um problema de confiança antes de criar um problema jurídico.

Na prática, o aviso não precisa ser um parágrafo de termos de uso no meio do WhatsApp. Uma frase na primeira mensagem resolve:

“Oi! Sou o assistente virtual da [imobiliária]. Vou te fazer algumas perguntas rápidas para encontrar as melhores opções e já passar para um corretor. Suas informações são usadas só para esse atendimento.”

Curto, honesto, sem susto. Junto disso, garanta duas saídas: o titular consegue falar com um humano quando pedir, e consegue encontrar sua política de privacidade sem caçar. O artigo 20 da lei dá ao titular o direito de solicitar revisão de decisões tomadas exclusivamente por tratamento automatizado. Se sua IA classifica lead como frio e simplesmente encerra, pense duas vezes nesse desenho.

Por quanto tempo você guarda a conversa?

Essa é a pergunta que quase ninguém faz e que mais gera passivo. O padrão do mercado hoje é acumular. Histórico de WhatsApp de 2021 vivo no CRM, transcrição de áudio de lead que nunca respondeu, planilha exportada no Drive de alguém que já saiu da empresa.

A LGPD trabalha com necessidade e com finalidade. Se a finalidade acabou, o dado deveria sair. Isso significa definir uma política de retenção escrita, com prazos por tipo de registro:

• Lead que não avançou e não respondeu: prazo curto, algo como 12 meses, com descarte automático.
• Lead que virou cliente: aqui muda tudo, porque existem obrigações contratuais, fiscais e de prevenção à lavagem que justificam guarda longa. Documente qual obrigação sustenta cada prazo.
• Transcrições e áudios brutos: normalmente o prazo mais curto de todos. Você precisa do resumo qualificado, raramente do áudio inteiro por anos.

Descarte também precisa ser real. Apagar do CRM e deixar cópia viva no backup, na ferramenta de BI e na base de treinamento do fornecedor não é descarte, é mudança de endereço.

Controlador e operador: quem responde pelo quê

Aqui está o ponto que mais vejo gestor errar na negociação com fornecedor.

A imobiliária é controladora. É você que decide por que e como o dado do lead é tratado. O fornecedor de IA, na maioria absoluta dos casos, é operador: trata dado em seu nome, seguindo suas instruções. Isso não é detalhe semântico. Perante o titular e perante a ANPD, quem aparece primeiro é o controlador. O erro do operador respinga em você.

Por isso o contrato precisa dizer isso com todas as letras. Um bom acordo de tratamento de dados, o famoso DPA, define finalidade, instruções, obrigações de segurança, prazo de retenção, regras para subcontratação, dever de notificar incidentes em prazo determinado e o que acontece com os dados quando o contrato acaba.

E tem uma cláusula que virou decisiva nos últimos anos: o fornecedor pode usar as conversas dos seus leads para treinar modelo? Se a resposta for sim por padrão, você está entregando informação de cliente para melhorar um produto que também atende seus concorrentes. Isso precisa estar vedado ou, no mínimo, sob controle explícito seu.

Checklist de 7 itens para auditar seu fornecedor de IA

Leve essa lista para a próxima reunião comercial. Fornecedor sério responde tudo sem travar.

1. Existe DPA assinado? Não vale cláusula genérica de confidencialidade no contrato principal. Peça o anexo específico de tratamento de dados, com papéis definidos.
2. Onde ficam os servidores? Brasil, Estados Unidos, Europa? Se há transferência internacional, qual mecanismo garante o nível de proteção exigido pela lei?
3. Quem são os subprocessadores? A IA quase sempre roda sobre infraestrutura de terceiros. Você tem direito à lista atualizada e a ser avisado quando ela mudar?
4. Os dados são usados para treinar modelo? Exija resposta por escrito. O ideal é opt-out garantido contratualmente, não configuração escondida no painel.
5. Qual o prazo e o método de descarte? Inclui backups? Em quantos dias após o fim do contrato os dados somem de verdade?
6. Como funciona o controle de acesso? Quem, dentro do fornecedor, consegue ler a conversa do seu lead? Existe log de acesso auditável?
7. Qual o plano de resposta a incidente? Em quantas horas você é notificado? Quem comunica a ANPD e o titular? Sem prazo escrito, não existe compromisso.

Se o fornecedor engasga em três desses sete, você não tem um problema de tecnologia. Tem um problema de risco.

O erro não é usar IA, é usar sem desenho

Automatizar atendimento não te coloca em conflito com a LGPD. O que coloca é operar sem base legal mapeada, sem política de retenção, sem contrato que separe controlador de operador e sem saber para onde a conversa do seu cliente está viajando.

A boa notícia é que nada disso é caro nem demorado. É uma tarde de trabalho do jurídico, uma conversa firme com o fornecedor e uma linha a mais na primeira mensagem do seu assistente. Conformidade bem feita não trava a operação, ela dá segurança para escalar.

E, sinceramente, quem estruturar isso agora vai passar 2026 vendendo enquanto o concorrente ainda discute se pode ligar o robô.