Biometria de voz: autenticação, riscos e alternativas

Biometria de voz pode reduzir fricção em atendimento, mas não deve ser tratada como simples melhoria de experiência. A voz pode funcionar como característica biométrica e, quando vinculada a uma pessoa natural para identificação ou autenticação, entra no campo de dados pessoais sensíveis. Isso muda a análise de necessidade, base legal, segurança, transparência, retenção e alternativas para o titular.

A Lei Geral de Proteção de Dados Pessoais classifica dado biométrico vinculado a pessoa natural como dado pessoal sensível. O tratamento desses dados depende das hipóteses do artigo 11 e continua sujeito aos princípios do artigo 6º, como finalidade, necessidade, transparência, segurança, prevenção e prestação de contas. Em outras palavras, a organização precisa demonstrar por que a voz é necessária e como reduziu riscos.

O Radar Tecnológico da ANPD sobre biometria e reconhecimento facial explica que biometria pode envolver características fisiológicas e comportamentais, incluindo voz, e aponta preocupações como finalidade secundária, uso inadequado do consentimento, coleta não informada, acurácia e efeitos discriminatórios. Embora o documento aprofunde reconhecimento facial, seus alertas são relevantes para outros usos biométricos.

Biometria de voz precisa provar necessidade

A primeira pergunta é se a autenticação por voz resolve um risco que métodos menos intrusivos não resolvem. Senha de uso único, aplicativo autenticador, passkeys, análise de dispositivo, confirmação em app, perguntas contextuais proporcionais e atendimento assistido podem ser suficientes em muitos cenários. A tecnologia biométrica pode fazer sentido para reduzir fraude em canal de alto risco, mas não deve virar padrão para qualquer atendimento.

Biometria de voz também exige separar identificação, verificação e apoio antifraude. Identificação busca descobrir quem fala entre vários perfis. Verificação compara a fala com um perfil declarado. Antifraude pode detectar sinais de gravação, manipulação ou similaridade suspeita. Cada finalidade tem risco e dado necessário diferente. Se o objetivo é só confirmar presença humana, talvez não seja necessário criar um template biométrico permanente.

O inventário deve registrar amostras captadas, template gerado, gravação original, metadados, modelo usado, fornecedor, finalidade, base legal, canal, retenção, acessos, descarte, taxa de erro acompanhada e alternativa oferecida. Também deve indicar se a voz será usada para treinar ou melhorar modelos. Uso de dados para melhoria algorítmica não deve ficar escondido dentro da autenticação principal.

Base legal, transparência e alternativa ao titular

Dados sensíveis reduzem o espaço para respostas genéricas. Consentimento pode ser uma hipótese em alguns contextos, mas precisa ser livre, informado, inequívoco e destacado para finalidade específica. Se o serviço essencial depende da biometria sem opção equivalente, a liberdade do consentimento pode ser questionada. A depender do contexto, outras hipóteses do artigo 11 podem ser avaliadas, mas devem ser justificadas com cuidado.

Biometria de voz deve vir acompanhada de informação clara antes da coleta. O aviso precisa explicar finalidade, dado coletado, funcionamento em linguagem compreensível, se haverá gravação, se será criado template, prazo de retenção, fornecedores, possibilidade de revogação quando aplicável, alternativa de atendimento e canal para direitos. Frases como “sua voz será usada para segurança” não bastam.

Alternativa é um controle relevante de proporcionalidade e acessibilidade. Quando o consentimento for a hipótese legal, condicionar o serviço à biometria sem opção equivalente pode comprometer a liberdade da escolha. Em outros contextos, a necessidade jurídica da alternativa depende da finalidade, do risco e das regras setoriais, mas oferecer outro caminho reduz exclusão por deficiência, ruído, sotaque, doença, idade ou idioma. A alternativa pode exigir outro fator de autenticação, desde que não seja desenhada como punição sem justificativa. Em relações de consumo, saúde, trabalho ou serviços essenciais, essa decisão merece avaliação mais cautelosa.

Transparência também deve alcançar atendentes e áreas internas. Equipes precisam saber quando a tecnologia pode falhar, como tratar falso negativo, como registrar contestação e quando escalar para revisão humana. Se o operador enxerga apenas “aprovado” ou “reprovado”, sem contexto, a empresa pode criar decisões automáticas opacas e difíceis de corrigir.

Segurança e retenção são mais importantes que conveniência

Ao contrário de uma senha, a voz não pode ser trocada de forma plena. Por isso, vazamento de gravações ou templates biométricos tem impacto duradouro. A arquitetura deve priorizar minimização, criptografia, segregação, controle de acesso, logs, limitação de exportação, ambientes separados, gestão de chaves e testes de segurança. Gravação bruta e template não devem ficar disponíveis a equipes que só precisam do resultado da autenticação.

Biometria de voz requer retenção coerente com a finalidade. A amostra usada para cadastrar o perfil pode ter destino diferente do template, dos logs de autenticação e das gravações de atendimento exigidas por outra finalidade. Se a pessoa encerra relação com a empresa, revoga consentimento quando aplicável ou fica inativa, a matriz deve indicar o que será eliminado, bloqueado ou preservado por obrigação ou exercício de direitos.

Fornecedores precisam ser avaliados antes da implantação. Verifique se o processamento ocorre em nuvem, se há suboperadores, onde os dados ficam, como são segregados, se o fornecedor usa amostras para treinar modelos, quais métricas de acurácia apresenta, como lida com fraude por áudio sintético, quais certificações possui, como notifica incidentes e como devolve ou elimina dados ao fim do contrato.

O contrato deve refletir essas respostas. Ele precisa tratar instruções de tratamento, confidencialidade, segurança, retenção, exclusão, suporte a direitos, logs, auditoria, subcontratação, transferência internacional e incidentes. Também deve proibir uso secundário sem autorização documentada. Em tecnologia biométrica, uma cláusula genérica de confidencialidade é insuficiente.

Erro, fraude e governança do modelo

Sistemas de autenticação podem errar. Rouquidão, envelhecimento, ruído, microfone ruim, idioma, sotaque, deficiência, estresse, gravações e voz sintética podem afetar o resultado. A organização deve acompanhar falso positivo, falso negativo, grupos mais afetados, reclamações e reversões. A acurácia informada pelo fornecedor em teste controlado não substitui monitoramento no ambiente real.

Biometria de voz também entra no debate sobre ataques com IA generativa. Gravações públicas, vazamentos e clonagem de voz podem aumentar risco de fraude. O controle não deve depender de um único fator. Para operações sensíveis, combine sinais: posse de dispositivo, contexto da transação, comportamento, confirmação por canal seguro e revisão humana em alertas relevantes.

Governança exige responsáveis definidos. Produto decide experiência, mas não deve decidir sozinho. Segurança avalia ameaça e arquitetura. Jurídico revisa base legal e contratos. Privacidade define transparência, direitos e retenção. Atendimento trata exceções. O encarregado acompanha dúvidas e incidentes. Auditoria ou compliance verifica evidências. Sem esse arranjo, a ferramenta avança mais rápido que os controles.

O artigo da TOGETHER sobre treinamento de LGPD para funcionários é útil porque o risco não fica apenas no modelo. Atendentes, supervisores, administradores de sistema e equipes comerciais precisam saber limites de uso, cuidado com gravações, tratamento de pedidos e resposta a falhas.

Evidências antes e depois da implantação

Biometria de voz deve ser precedida por uma decisão documentada. Registre o problema de segurança, as alternativas avaliadas, a justificativa de necessidade, a hipótese legal considerada, o aviso apresentado, a alternativa oferecida, os dados coletados, a retenção e os controles do fornecedor. Esse pacote permite explicar por que a organização adotou biometria em vez de outro fator.

Depois do lançamento, a governança precisa acompanhar métricas reais. Biometria de voz deve ter indicadores de falso positivo, falso negativo, contestação, abandono, exceções manuais, reclamações, incidentes e pedidos de eliminação ou revogação quando aplicável. Se um grupo de clientes é mais afetado por falhas, a empresa deve investigar causa, ajustar processo e reforçar alternativa.

Também é recomendável testar fraude e indisponibilidade. Como o canal reage a gravação reproduzida, áudio sintético, ruído, indisponibilidade do fornecedor ou divergência entre resultado biométrico e outros sinais? Biometria de voz não deve ser o único controle em operação sensível. A evidência de teste ajuda segurança, atendimento e jurídico a decidirem com base em cenários concretos.

Por fim, revise usos secundários. Áudios de atendimento, templates e logs podem interessar a treinamento de modelo, qualidade, cobrança ou marketing, mas cada novo uso exige avaliação própria. Biometria de voz perde legitimidade quando a finalidade inicial de autenticação vira porta de entrada para aproveitamento amplo e pouco transparente.

Como a TOGETHER pode apoiar

A TOGETHER pode conduzir consultoria em LGPD para avaliar necessidade, base legal, relatório de impacto quando aplicável, inventário, transparência, retenção, fornecedores e desenho de alternativas para projetos de autenticação por voz. O trabalho inclui revisão de jornada, contrato, arquitetura de dados, matriz de riscos e evidências para prestação de contas.

Com DPO as a Service, a TOGETHER pode acompanhar dúvidas de titulares, exceções de atendimento, incidentes, revisão de métricas, novas finalidades e auditorias periódicas. Esse acompanhamento ajuda a manter biometria de voz sob controle depois do lançamento, quando surgem integrações, campanhas e pressões por reaproveitamento dos dados.

A decisão madura não é aceitar ou rejeitar biometria de forma abstrata. É demonstrar que a organização comparou alternativas, escolheu escopo mínimo, informou titulares, limitou retenção, blindou fornecedores, previu contestação e monitora erros. Quando essa documentação não existe, a conveniência do canal pode esconder um risco sensível demais para ser improvisado. Biometria de voz deve permanecer uma decisão revisável, baseada em evidências e alternativas reais para o titular. A revisão deve ocorrer quando houver nova finalidade, mudança de fornecedor, aumento de fraude, reclamações recorrentes ou expansão para outro canal de atendimento. Também deve considerar mudanças tecnológicas, como novos métodos de clonagem, novas formas de detecção e alteração relevante na jornada do cliente. A governança precisa acompanhar o ciclo completo, do cadastro ao descarte, para que a autenticação continue proporcional ao risco que pretende reduzir, sem transformar um fator de segurança em cadastro permanente sem revisão formal.