LGPD e dados de crianças e adolescentes com IA: o que o art. 14 pede

LGPD e dados de crianças e adolescentes com IA: o que o art. 14 pede

A LGPD não proíbe usar IA com dados de crianças e adolescentes, mas o art. 14 exige que todo tratamento seja feito no melhor interesse do menor. Para crianças, isso inclui consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal, informação em linguagem acessível e coleta limitada ao estritamente necessário. Na prática, quem atende menores por chatbot ou WhatsApp precisa saber com quem está falando, coletar pouco, explicar com clareza e manter uma pessoa responsável pelos casos sensíveis.

Principais pontos

• O art. 14 vale para qualquer tratamento de dados de menores, inclusive quando feito por um agente de IA em atendimento.
• O critério central é o melhor interesse da criança ou do adolescente, não a conveniência do fluxo da empresa.
• Para crianças, o consentimento de um dos pais ou do responsável deve ser específico e em destaque, e a empresa deve fazer esforços razoáveis para verificá-lo.
• Informações sobre o tratamento precisam ser públicas e simples, adequadas ao entendimento de quem as lê, e não se pode exigir mais dados do que a atividade necessita.
• Em IA, os cuidados práticos são: limitar a coleta, evitar reutilizar conversas de menores para outros fins, registrar o que acontece e prever encaminhamento humano.

O que o art. 14 da LGPD diz, em linguagem de operação

O texto da lei é curto, e vale lê-lo inteiro na fonte oficial. Aqui está o que ele pede, traduzido para quem toca uma operação de atendimento.

Primeiro, o caput: o tratamento de dados de crianças e adolescentes deve ocorrer em seu melhor interesse. Isso funciona como uma régua geral. Se um fluxo coleta dados só porque seria útil para marketing, e não porque o menor precisa deles para a atividade, ele provavelmente não passa na régua.

Depois, os parágrafos trazem obrigações mais concretas:

• Consentimento específico e em destaque de pelo menos um dos pais ou do responsável legal para tratar dados de crianças.
• Informações públicas sobre quais dados são coletados, como são usados e como exercer os direitos do titular.
• Exceção para coletar dados sem consentimento apenas quando for necessário para contatar os pais ou para proteger a criança, com uso único, sem armazenamento e sem repasse a terceiros.
• Proibição de condicionar a participação em jogos, aplicações ou atividades ao fornecimento de dados além do estritamente necessário.
• Esforços razoáveis para verificar que o consentimento veio mesmo do responsável, considerando as tecnologias disponíveis.
• Informação prestada de forma simples, clara e acessível, adequada ao entendimento da criança e útil aos pais, com recursos audiovisuais quando fizer sentido.

Para fins de lei, o Estatuto da Criança e do Adolescente considera criança quem tem até doze anos incompletos e adolescente quem tem entre doze e dezoito anos. Essa divisão importa porque o texto do art. 14 sobre consentimento específico dos pais fala expressamente de crianças.

Adolescente também entra: e o consentimento?

É um ponto de debate. O parágrafo do consentimento menciona crianças, mas o caput protege crianças e adolescentes. A ANPD, a autoridade nacional, já se manifestou no sentido de que o tratamento de dados de menores pode se apoiar em outras bases legais da LGPD, desde que o melhor interesse seja observado e documentado. Veja a posição atual diretamente no site da ANPD, porque orientações dessa natureza são atualizadas.

Há também legislação mais recente voltada ao ambiente digital e a menores. Ela pode acrescentar deveres a produtos e serviços acessíveis por crianças e adolescentes. Isso é um ponto para confirmar com assessoria jurídica antes de desenhar o fluxo, e não algo que este artigo resolve.

Uma separação útil para a equipe:

• Documentação oficial: o texto do art. 14 e as orientações da ANPD.
• Experiência de implementação: como o fluxo se comporta em produção, o que os logs revelam, onde o menor aparece sem ser esperado.
• Hipótese: qualquer interpretação jurídica que ainda não tenha sido validada pelo seu jurídico ou encarregado.

Misturar essas três camadas é o erro mais comum em políticas internas.

Sua empresa atende menores sem perceber?

Muitas empresas dizem que não atendem crianças porque o público é adulto. Mas o canal aberto, como o WhatsApp, não filtra idade. Alguns exemplos de como menores entram no fluxo sem convite:

• Um adolescente escreve para uma escola, curso, clínica ou loja de roupas e informa nome, escola, endereço e dúvidas pessoais.
• Um filho usa o telefone do responsável e conversa com o agente de IA da empresa como se fosse o cliente.
• Uma empresa de ensino, esporte, saúde ou lazer cadastra alunos e pacientes menores, e o chatbot responde a pais e filhos no mesmo número.

Então a primeira pergunta não é se a sua política cobre menores, e sim se o seu fluxo consegue perceber quando há um menor na conversa. Para escolas, vale ler também sobre IA para escolas: secretaria, matrículas e comunicação com pais, onde o relacionamento com os responsáveis é parte do desenho.

Checklist prático para chatbots e agentes de IA

Este checklist traduz o art. 14 em decisões de projeto. Não substitui parecer jurídico, mas ajuda a organizar a conversa com o encarregado de dados.

• Defina o público: o serviço é feito para menores, aceita menores ou apenas pode receber menores por acidente? Cada caso pede um nível diferente de controle.
• Colete o mínimo: liste cada campo pedido pelo agente e justifique por que é necessário. Se a justificativa for apenas útil, remova.
• Separe o contato do responsável do dado do menor: sempre que possível, o relacionamento é com o adulto, e o menor aparece só como informação necessária.
• Peça e registre o consentimento do responsável de forma destacada, não escondida em um bloco de termos.
• Verifique com esforço razoável: a forma de verificação deve ser proporcional ao risco do fluxo. Um cadastro simples e uma consulta de saúde não pedem o mesmo rigor.
• Escreva o aviso de privacidade em linguagem simples, e se o público inclui crianças, em uma versão que elas consigam entender.
• Não condicione o atendimento a dados extras: se o menor só quer tirar uma dúvida, o agente não deve pedir CPF, endereço ou foto.
• Não reaproveite conversas de menores para treinar, personalizar anúncios ou alimentar outros fluxos sem base e sem avaliação específica.
• Defina o que o agente nunca faz com menor: coletar dados sensíveis, tomar decisões que afetem direitos, insistir quando o menor pede para parar.
• Mantenha retenção curta e exclusão clara: dados de menores não devem ficar guardados por padrão.

Cenário ilustrativo: curso de idiomas no WhatsApp

Cenário ilustrativo, sem relação com nenhuma empresa real. Um curso de idiomas usa um agente de IA no WhatsApp para responder dúvidas sobre turmas e horários. O público inclui crianças e adolescentes, mas quem contrata é sempre o responsável.

No primeiro desenho, o agente pedia nome completo, idade, escola e endereço do aluno logo na primeira mensagem, e guardava todo o histórico. Ao revisar o fluxo pelo art. 14, a equipe percebeu que para informar turmas e horários bastava a faixa etária e a cidade. O restante só era necessário na matrícula, feita com o responsável.

O fluxo revisado ficou assim: o agente pergunta se quem escreve é o responsável. Se for um menor, responde apenas informações gerais, explica que a matrícula e os dados do aluno são tratados com o responsável e oferece o contato humano. O aviso de privacidade foi reescrito em linguagem simples e o registro de conversas passou a ter prazo de retenção definido.

O melhor interesse do menor é o critério do fluxo, não a conveniência da empresa.

O resultado esperado não é um chatbot mais limitado por medo, e sim um que sabe quando parar, quando perguntar e quando chamar uma pessoa.

Como aplicar o método: mapear, limitar, pilotar e transferir

O método de trabalho que usamos para agentes de IA em empresas se encaixa bem neste tema, sem prometer resultado jurídico.

• Mapear: descrever o processo atual, quem entra em contato, por quais canais e em que pontos um menor pode aparecer. Listar os dados que hoje são coletados e onde ficam.
• Limitar: reduzir dados e ações do agente. Definir o que ele pode responder para um menor, o que só pode tratar com o responsável e o que nunca faz. Esse é o momento de aplicar o princípio da minimização.
• Pilotar: rodar um fluxo real, com logs e uma métrica de sucesso combinada, por exemplo a taxa de conversas em que o agente identificou corretamente que falava com um menor e encaminhou. Revisar as conversas reais antes de ampliar.
• Transferir: entregar a operação com responsáveis definidos, registro de decisões e critério para expandir, ajustar ou parar.

Para a camada técnica de proteção, vale cruzar este tema com guardrails para agentes de IA, que tratam de validar entrada, saída e ações do agente. Quando o fluxo envolve ferramentas e dados externos, a lista de riscos do OWASP Top 10 para aplicações com LLM ajuda a revisar vazamento de informação e uso indevido de ferramentas. Para estruturar a gestão de risco de forma mais ampla, o NIST AI Risk Management Framework oferece uma base de referência.

Onde a IA pede cuidado extra com menores

Alguns pontos técnicos merecem atenção específica quando há menores no fluxo.

• Provedores e países: se o modelo ou a ferramenta processa dados fora do Brasil, a regra de transferência internacional se soma ao art. 14. Veja transferência internacional de dados com IA e LGPD.
• Decisões automatizadas: se o agente classifica, nega ou prioriza algo que afeta o menor ou sua família, o direito de revisão do art. 20 entra em cena. O artigo sobre decisões automatizadas na LGPD detalha o ponto.
• Mídia e áudio: fotos, voz e vídeo de crianças são dados que identificam. Evite pedir ou processar esse material, a menos que seja indispensável.
• Memória do agente: se o sistema guarda contexto entre conversas, defina o que pode ser lembrado sobre um menor e por quanto tempo.
• Ferramentas conectadas: um agente com acesso a cadastro, agenda ou cobrança deve ter permissões restritas, para não expor dados do menor a quem não deveria vê-los.

O que não deixar só com a IA

Há situações em que o agente deve apenas reconhecer o contexto e passar a conversa para uma pessoa:

• Relato de risco, violência, sofrimento ou saúde do menor.
• Pedido de exclusão, acesso ou correção de dados feito por um responsável.
• Dúvida sobre quem é o responsável legal ou conflito entre responsáveis.
• Qualquer pedido que envolva dado sensível, imagem ou localização do menor.

O registro dessas passagens para um humano é parte da prova de que o fluxo foi pensado com cuidado.

Perguntas frequentes

A LGPD proíbe chatbot de IA de conversar com crianças? Não há uma proibição geral. O que a lei exige é que o tratamento de dados seja feito no melhor interesse do menor, com informação adequada, coleta mínima e, para crianças, consentimento específico dos pais ou do responsável, salvo as exceções previstas no próprio art. 14. Se o chatbot não precisa de dados do menor, o melhor desenho é não coletá-los.

Preciso sempre do consentimento dos pais para tratar dados de adolescentes? O texto do art. 14 sobre consentimento específico fala de crianças, e a ANPD já indicou que outras bases legais podem ser usadas para menores, desde que o melhor interesse seja respeitado. Como a orientação pode mudar e há legislação recente sobre o ambiente digital, confirme a base legal do seu caso com o encarregado de dados ou assessoria jurídica antes de definir o fluxo.

Como saber se estou falando com um menor no WhatsApp? Nem sempre é possível saber com certeza, e a lei pede esforços razoáveis, não adivinhação. Você pode perguntar de forma simples se quem escreve é o responsável, limitar o que o agente faz quando houver dúvida e encaminhar a um humano os casos que envolvam dados do menor. Veja também como estruturar a conexão em integrar IA no WhatsApp da empresa.

Posso usar conversas com menores para melhorar o agente de IA? Só com muita cautela e avaliação específica. O melhor interesse do menor e a minimização de dados tornam arriscado reaproveitar essas conversas para outros fins, como treino ou análise de perfil. O caminho mais seguro é definir retenção curta, anonimizar quando possível e deixar a decisão documentada pelo encarregado.

Fontes

• ANPD: Autoridade Nacional de Proteção de Dados
• NIST AI Risk Management Framework
• OWASP Top 10 for LLM Applications