Nova regulamentação do SAC: sua empresa pode continuar utilizando chatbots e agentes de IA?

Chatbots, assistentes virtuais e agentes de Inteligência Artificial já fazem parte do atendimento ao consumidor de bancos, fintechs, empresas reguladas e plataformas digitais. Mas uma nova regulamentação deixa uma mensagem clara: automação pode ajudar no atendimento, mas não pode funcionar como uma barreira entre o consumidor e uma pessoa.

O Decreto nº 13.135/2026, que atualiza as regras do Serviço de Atendimento ao Consumidor (SAC), estabelece novos parâmetros para atendimento telefônico e eletrônico e menciona expressamente o uso de sistemas de Inteligência Artificial.

A norma entra em vigor em 2 de novembro de 2026 e substitui o Decreto nº 11.034/2022.

Quem precisa observar as novas regras do SAC?

O decreto se aplica, entre outros casos, a fornecedores de produtos e serviços regulados pelo Poder Executivo Federal, conforme critérios definidos pelo respectivo órgão ou agência reguladora.

Também alcança fornecedores que ofereçam serviços financeiros, de pagamento, crédito ou outros serviços de natureza financeira por plataformas ou meios digitais e estejam sujeitos à supervisão ou regulação do Banco Central.

Plataformas de intermediação de produtos ou serviços, transporte por aplicativo e serviços de entrega também passam a ter obrigações específicas de apresentação de informações sobre seus modelos de atendimento à Senacon.

A íntegra do Decreto nº 13.135/2026 pode ser consultada no Portal do Planalto.

Chatbots e Inteligência Artificial continuam permitidos?

Sim.

O decreto permite expressamente a utilização de procedimentos automatizados, inclusive sistemas de Inteligência Artificial, para triagem, distribuição interna e resolução das demandas.

Existe, entretanto, uma condição importante: durante os períodos previstos pela norma, o consumidor precisa ter a possibilidade de ser atendido em tempo real por uma pessoa.

Nos canais eletrônicos, como chat de sites, aplicativos ou sistemas de mensageria, pelo menos um canal deverá funcionar 24 horas por dia, sete dias por semana. O atendimento humano nesses canais deverá estar disponível das 8h às 20h, todos os dias da semana.

No atendimento telefônico, que passa a ser obrigatório para os fornecedores abrangidos, também deverá existir atendimento humano nesse período.

O Ministério da Justiça e Segurança Pública destaca que sistemas automatizados podem auxiliar e até resolver demandas, mas não podem impedir o acesso do consumidor ao atendimento realizado por uma pessoa.

Governança de IA passa a ser também uma questão de experiência do cliente

Essa mudança é interessante porque amplia a discussão sobre Governança de IA.

Até agora, muitas empresas concentravam sua governança em temas como ferramentas autorizadas, Shadow AI, proteção de informações confidenciais e utilização de IA pelos colaboradores.

Mas quando a Inteligência Artificial conversa diretamente com clientes, ela passa a fazer parte de um processo crítico de negócio.

A empresa precisa compreender não apenas qual modelo está sendo utilizado, mas também quando a IA deve resolver uma solicitação, quando deve encaminhá-la a um atendente, quais informações são compartilhadas e como toda a jornada é registrada.

Como discutimos no artigo da Macher Tecnologia sobre Governança de IA e resposta a incidentes, governar IA exige compreender ferramentas, processos, dados, fornecedores e responsabilidades.

O desafio técnico do transbordo para atendimento humano

Oferecer um botão escrito “falar com atendente” não necessariamente resolve todo o problema.

O decreto determina também a continuidade do atendimento. O consumidor não deve precisar reiniciar sua jornada nem repetir uma demanda já registrada, salvo quando existir razão técnica fundamentada.

Isso significa que chatbot, CRM, plataforma de atendimento e sistema utilizado pelo atendente precisam conversar entre si.

Quando o atendimento passa da IA para uma pessoa, o contexto precisa acompanhá-lo.

Esse requisito transforma uma obrigação regulatória em um problema também de arquitetura de software, integração de sistemas, APIs, gestão de identidade, logs e segurança da informação.

LGPD entra diretamente no novo SAC

O decreto determina expressamente que os dados pessoais dos consumidores sejam tratados de acordo com a LGPD.

Isso é especialmente relevante em atendimentos que podem envolver CPF, informações financeiras, contratos, dados de pagamento, gravações de voz e histórico de relacionamento.

Existe ainda uma determinação interessante: o início do atendimento e o encaminhamento para uma pessoa não podem ser condicionados ao fornecimento prévio de dados pelo consumidor.

A empresa deve avaliar, portanto, quais informações realmente precisa coletar em cada etapa, quem possui acesso a elas e se dados enviados a ferramentas de IA também são processados por terceiros.

Essa análise está diretamente relacionada aos princípios de necessidade e minimização previstos na LGPD.

Logs, mensagens e histórico passam a exigir atenção especial

A nova regulamentação também estabelece requisitos concretos de armazenamento.

O histórico de cada demanda deverá permanecer disponível por pelo menos seis meses após sua resolução. Já gravações de chamadas e mensagens de voz ou texto trocadas pelos canais do SAC precisam ser mantidas por no mínimo 90 dias.

Para empresas que utilizam IA, surge uma questão adicional: quais elementos da interação automatizada precisam permanecer disponíveis para reconstruir adequadamente uma jornada?

Isso torna importante alinhar retenção, logs, trilhas de auditoria, CRM, política de descarte e Governança de IA.

O tema se conecta ao conteúdo da Macher sobre retenção e descarte de dados pessoais na LGPD.

O DPO também deveria olhar para chatbots e agentes de IA

O DPO não precisa administrar a plataforma de atendimento, mas deveria participar proativamente da avaliação de tratamentos que envolvem consumidores e Inteligência Artificial.

Isso inclui compreender quais dados entram na solução, quais fornecedores participam do processo, onde as informações são armazenadas, quais períodos de retenção existem e como os direitos dos titulares serão atendidos.

É uma aplicação prática do modelo de DPO multidisciplinar: Jurídico, Tecnologia, Segurança, Privacidade e áreas de negócio precisam trabalhar de maneira integrada.

O que sua empresa deveria revisar antes de 2 de novembro?

Organizações abrangidas pelo novo decreto deveriam revisar seus fluxos de atendimento automatizado antes da entrada em vigor da norma. Isso inclui mecanismos de transferência para pessoas, integração entre chatbot e CRM, armazenamento de mensagens, permissões de acesso, períodos de retenção e proteção dos dados compartilhados com modelos de IA.

Também é importante mapear fornecedores. Em muitos casos, chatbot, modelo de linguagem, CRM, analytics e infraestrutura são operados por empresas diferentes.

O risco está justamente na cadeia completa.

Como a Macher Tecnologia pode ajudar

Desde 2018, a Macher Tecnologia atua integrando tecnologia, privacidade, cibersegurança e governança.

Podemos apoiar empresas por meio de um AI Customer Service Compliance Assessment, avaliando arquitetura do atendimento, uso de Inteligência Artificial, integrações, processos, fornecedores, tratamento de dados pessoais, controles de acesso, retenção, segurança e mecanismos de supervisão humana.

Por meio de nosso serviço de DPO-as-a-Service, também apoiamos organizações na incorporação de novas tecnologias às rotinas de privacidade e Governança de IA.

O novo decreto não determina o fim do atendimento automatizado.

Pelo contrário: ele mostra que IA pode continuar fazendo parte da experiência do consumidor — desde que seja utilizada com governança, transparência, integração tecnológica e supervisão humana.

Sobre a Macher Tecnologia

A Macher Tecnologia é uma empresa especializada em soluções Digital, focada em privacidade e proteção de dados. No mercado desde 2018, suporta clientes de diferentes indústrias em suas jornadas de conformidade, de forma multidisciplinar e hands-on.

Com uma abordagem inovadora, a Macher Tecnologia auxilia empresas na implementação de estratégias eficazes de conformidade com LGPD e GDPR, fornecendo consultoria, treinamento e ferramentas tecnológicas para gestão de riscos e proteção de dados corporativos.

Entre em contato e saiba como podemos ajudar sua organização hoje mesmo!