Personalização de skincare com privacidade e explicação.

Situação real: o quiz pede tudo antes de entregar qualquer valor

Uma pessoa acessa uma loja de beleza procurando uma rotina simples. Antes de mostrar qualquer opção, o quiz pergunta idade, gênero, endereço, rotina, hábitos, sensibilidade, manchas, acne, medicamentos, gestação e solicita uma fotografia do rosto.

Ao final, recebe três produtos populares. A explicação não informa por que apareceram, que respostas fizeram diferença ou se uma alternativa seria possível com menos dados. Também não há um caminho claro para corrigir a informação, excluir a foto ou reiniciar a recomendação.

O sistema chama isso de personalização. Para quem usa, pode parecer vigilância.

O problema não é apenas jurídico. É de experiência, produto e confiança. Perguntar demais aumenta esforço, cria exposição e eleva a expectativa de precisão. Se a saída é genérica, a sensação de invasão fica maior. Se a saída parece clínica, o risco também cresce.

A primeira decisão do time não deveria ser quais perguntas aumentam o perfil. Deveria ser qual benefício cada pergunta permite entregar.

Tese: o mínimo necessário produz uma personalização melhor

Dados de contexto podem tornar uma escolha mais útil. Mas relevância não autoriza coleta ilimitada. Uma recomendação precisa ser proporcional ao benefício e compreensível para quem fornece as informações.

A tese é: personalização confiável pede apenas os dados que mudam uma decisão autorizada, explica essa relação e permite que a pessoa mantenha controle durante todo o ciclo.

Isso cria um modelo de cinco etapas:

contexto autorizado -> hipótese limitada -> explicação -> controle -> feedback

Contexto autorizado: o que a pessoa decidiu informar e o que a empresa pode tratar.
Hipótese limitada: uma interpretação comercial ou de preferência, não um diagnóstico.
Explicação: por que cada item apareceu e qual dado influenciou.
Controle: editar, recusar, excluir, comparar ou reiniciar.
Feedback: confirmar utilidade, corrigir a hipótese e melhorar a experiência.

Sem essa cadeia, a recomendação pode até parecer sofisticada, mas não é governável.

Nem todo dado tem a mesma natureza

Antes do quiz, classifique as informações pelo papel que exercem.

Preferência

Textura, fragrância, formato, faixa de preço e preferência por determinado tipo de rotina ajudam a organizar opções. Ainda são dados pessoais quando ligados a uma pessoa identificada ou identificável, mas não têm automaticamente o mesmo risco de um dado de saúde.

Contexto de uso

Tempo disponível, clima, ocasião, produtos já usados e objetivo declarado podem alterar a experiência. O time deve perguntar se precisa guardar a resposta ou se pode usá-la apenas durante a sessão.

Comportamento observado

Cliques, buscas e compras mostram o que aconteceu, não por que aconteceu. Usá-los para inferir intenção ou característica exige cautela. O histórico pode melhorar continuidade e também perpetuar uma leitura errada.

Informação sensível ou capaz de revelar saúde

Diagnóstico, tratamento, medicamento, condição dermatológica e certos sintomas podem envolver dados de saúde, classificados como dados pessoais sensíveis pela Lei Geral de Proteção de Dados Pessoais, a LGPD. Uma fotografia facial não é automaticamente um dado sensível. Ela pode revelar informações de saúde e também pode constituir dado biométrico sensível quando tratada para identificar uma pessoa de forma única. Seu uso exige avaliação específica.

Inferência

Uma pontuação produzida pelo sistema não deixa de ser dado relevante porque não foi digitada pela pessoa. Inferir “pele com condição X” a partir de respostas ou imagem aumenta o risco e pode ultrapassar o papel de uma experiência comercial.

O time precisa distinguir dado explícito, comportamento observado e inferência. Um modelo pode transformar sinais frágeis em uma categoria com aparência de fato.

Finalidade antes da pergunta

A LGPD estabelece princípios como finalidade, adequação, necessidade, transparência e não discriminação. Na prática de produto, eles podem ser traduzidos em perguntas simples:

• Que decisão esta informação muda?
• A pessoa entende essa finalidade no momento da coleta?
• Existe uma alternativa com menos dados?
• Precisamos armazenar ou basta processar na sessão?
• Por quanto tempo o dado será útil?
• Quem terá acesso?
• Como corrigir ou excluir?
• Que dano pode ocorrer se a inferência estiver errada?

Se a resposta não muda recomendação, atendimento, segurança ou outro benefício legítimo, por que pedir?

Consentimento não deve funcionar como passe livre. A base legal depende do caso e precisa de avaliação jurídica. Mesmo quando o consentimento é usado, a pessoa deve receber informação adequada, fazer uma escolha real e conseguir revogá-lo. A ANPD informa que titulares têm direitos de informação, acesso, correção e eliminação em hipóteses previstas. Também podem solicitar revisão e explicação quando uma decisão que afete seus interesses for tomada unicamente com base no tratamento automatizado de dados pessoais.

O Relatório de Impacto à Proteção de Dados Pessoais, o RIPD, é um instrumento relevante quando o tratamento pode gerar alto risco. A ANPD recomenda avaliar finalidade, necessidade, proporcionalidade, riscos e salvaguardas antes do tratamento. Este artigo não substitui análise jurídica nem determina quando o documento é obrigatório.

Um quiz não é diagnóstico

Produtos cosméticos têm finalidades e requisitos regulatórios próprios. A Anvisa diferencia produtos de grau 1 e grau 2 conforme propriedades, indicações, segurança, eficácia e cuidados de uso. A experiência de compra não deve converter essa classificação em promessa clínica.

Há uma diferença entre:

• filtrar produtos por preferência e informação aprovada;
• sugerir opções compatíveis com critérios declarados;
• interpretar sintomas;
• identificar uma doença;
• recomendar tratamento.

As duas primeiras atividades podem pertencer a uma jornada comercial bem governada. As demais exigem outro papel, outra evidência e profissional habilitado. A interface deve tornar essa fronteira visível antes da coleta, não escondê-la num aviso final.

Se a pessoa relata dor, reação importante, condição diagnosticada, uso de medicamento ou outra questão clínica, a experiência deve interromper a recomendação comercial e encaminhar com clareza. Não cabe ao modelo improvisar uma resposta “geral” que, na prática, orienta tratamento.

Explicação que ajuda a decidir

Explicabilidade não significa expor pesos técnicos ou uma descrição genérica do algoritmo. A pessoa precisa entender:

• quais respostas foram consideradas;
• qual critério cada resposta acionou;
• quais opções foram excluídas e por quê;
• o que é fato de catálogo e o que é hipótese;
• quão limitada é a recomendação;
• como obter uma alternativa;
• como corrigir ou solicitar exclusão quando cabível.

Um cartão de explicação pode dizer:

Esta opção apareceu porque você escolheu textura leve, rotina curta e limite de preço X. O catálogo informa os atributos A e B. Não usamos sua idade para esta seleção. Você pode editar os critérios, ver alternativas ou recomeçar sem salvar as respostas.

Isso é mais útil do que “recomendado por IA”. A marca assume o critério e mostra a conexão entre entrada e saída.

Como usar IA com minimização e rastreabilidade

Um fluxo responsável pode seguir estas etapas:

1. definir quais decisões o sistema está autorizado a apoiar;
2. mapear cada pergunta a uma finalidade e a um campo do catálogo;
3. remover perguntas sem efeito demonstrável;
4. separar dados opcionais dos necessários;
5. oferecer um caminho sem personalização;
6. usar apenas catálogo e conteúdo aprovados;
7. registrar quais respostas influenciaram cada resultado;
8. bloquear inferência clínica e escalonar situações sensíveis;
9. permitir correção, pedido de exclusão quando cabível e reinício;
10. revisar resultados por grupo, risco e reclamação.

Prompt copiável

Use somente os atributos do catálogo aprovado e as preferências fornecidas para esta finalidade. Para cada opção, cite os campos que justificam sua presença. Não infira condição de saúde, diagnóstico, estado emocional, renda, raça, religião ou qualquer traço sensível. Não recomende tratamento. Se uma resposta envolver sintoma, condição médica, medicamento, gestação, lactação ou reação adversa, interrompa a recomendação e ofereça encaminhamento adequado. Marque informação ausente como “não determinada”. Apresente ao menos uma alternativa e permita editar os critérios. Ao final, liste quais dados influenciaram a saída e quais não foram usados.

O prompt não substitui arquitetura. O sistema de regras deve impedir que dados excluídos permaneçam no contexto, que fontes não aprovadas sejam recuperadas ou que uma saída bloqueada apareça por outra rota.

Teste o controle, não apenas a aceitação

Um teste de usabilidade deve observar se a pessoa consegue:

• entender por que cada pergunta aparece;
• distinguir necessário de opcional;
• continuar quando recusa um dado opcional;
• identificar a lógica da recomendação;
• corrigir uma resposta;
• comparar alternativas;
• discordar sem punição;
• solicitar exclusão quando cabível;
• recomeçar;
• reconhecer o limite entre escolha comercial e orientação clínica.

Inclua situações de baixa alfabetização digital, uso em tela pequena, distração e conexão instável. Textos de consentimento extensos não compensam controles escondidos.

Pesquise também o sentimento após a experiência. A pessoa se sentiu ajudada, julgada, exposta ou pressionada? A conclusão do quiz pode aumentar enquanto confiança diminui.

Como medir valor, controle e risco da personalização

Combine métricas de valor, controle e risco:

• início e conclusão do quiz;
• abandono por pergunta;
• aceitação e edição da recomendação;
• uso do caminho sem personalização;
• recusa de campos opcionais;
• correção, exclusão e reinício;
• compreensão da explicação;
• confiança percebida;
• compra e recompra;
• devolução e reclamação;
• escaladas clínicas corretas;
• inferências bloqueadas;
• tempo de retenção e cumprimento de exclusão.

Não interprete opt-out como fracasso. A recusa pode demonstrar que o controle funciona. Meça se pessoas que recusam ainda conseguem completar uma jornada digna.

Revise impacto por grupo sem transformar a auditoria em nova coleta excessiva. Quando dados de avaliação forem necessários, defina finalidade, proteção e acesso.

Limites para personalizar sem invadir

• Não pedir dado que não muda uma decisão autorizada.
• Não tratar consentimento como autorização ilimitada.
• Não transformar preferência em inferência de saúde.
• Não diagnosticar por quiz, foto ou comportamento.
• Não usar catálogo não aprovado ou alegação ampliada.
• Não obrigar personalização para acessar a oferta.
• Não esconder edição, recusa, pedido de exclusão ou reinício.
• Não guardar dado de sessão por conveniência técnica.
• Não otimizar aceitação explorando insegurança com aparência ou condição.
• Não delegar base legal, retenção e impacto a um modelo.

Conclusão

O quiz inicial confundia quantidade de perguntas com qualidade da recomendação. Ao pedir tudo, aumentava esforço, exposição e expectativa sem tornar a decisão mais explicável.

Uma experiência melhor começa pelo mínimo: qual contexto realmente altera a escolha e qual benefício a pessoa recebe? A IA pode comparar catálogo e adaptar explicações, mas deve operar dentro de finalidade, evidência e limite. A pessoa precisa conseguir entender, corrigir, recusar, solicitar exclusão quando cabível e recomeçar.

Personalização sem controle parece vigilância. Personalização com propósito e explicação pode virar serviço.

A AIUX Brasil ajuda empresas a desenhar jornadas de IA que equilibram relevância, privacidade, confiança e resultado de negócio.