O fato: em 1º de setembro de 2026 a Autoridade Nacional de Proteção de Dados (ANPD) abriu duas tomadas de subsídios: uma para montar a Agenda Regulatória 2027-2028 e outra para a Agenda de Avaliação de Resultado Regulatório 2027-2030. As contribuições vão pela plataforma Brasil Participativo até 16 de outubro de 2026.
O impacto para quem usa IA: a regra de proteção de dados já vale hoje, com ou sem lei de IA. Uma medida simples, tirar dados pessoais dos textos antes de mandá-los à API, custa pouco: num serviço com 100.000 atendimentos por mês, uma passada no Claude Haiku 5.5 sai por cerca de US$ 60,00 por mês (R$ 300,58), ou US$ 30,00 pela Batch API.
O que a ANPD abriu para consulta
A agenda regulatória é a lista de temas que a ANPD pretende regulamentar num período de dois anos. Antes de fechá-la, a agência ouve o público. Segundo o anúncio de 1º de setembro, podem participar cidadãos, pesquisadores, empresas, organizações da sociedade civil e órgãos públicos, pela plataforma Brasil Participativo, até 16 de outubro.
Os temas citados na divulgação incluem um ambiente digital seguro para crianças e adolescentes, com ações como supervisão parental, padrões de design seguro em plataformas e o uso de IA por menores, além de biometria e direitos dos titulares de dados. As contribuições servem para definir as prioridades dos dois anos seguintes e o plano de avaliação do que já foi regulado.
A consulta não cria obrigação nova. Ela indica onde a ANPD deve concentrar normas e fiscalização a partir de 2027. Para o biênio atual, a agência já publicou um mapa de temas prioritários de fiscalização com quatro eixos, e um deles é inteligência artificial e tecnologias emergentes no tratamento de dados pessoais.
E a lei de IA?
O projeto de lei que cria regras gerais para a inteligência artificial no Brasil, o PL 2338/2023, foi aprovado pelo Senado em dezembro de 2024 e chegou à Câmara em março de 2025. Lá, ele está numa comissão especial, e a ficha de tramitação mostra o projeto aguardando o parecer do relator. Não há data de votação marcada na ficha.
Na prática, quem desenvolve com IA no Brasil trabalha hoje com a Lei Geral de Proteção de Dados (LGPD) e com a fiscalização da ANPD. Se a lei de IA for aprovada como está no texto do Senado, ela traz obrigações extras para sistemas de alto risco; até lá, as regras de dados pessoais são o que vale.
A conta: quanto custa tirar dados pessoais do prompt
Uma das medidas mais citadas para reduzir risco com dados pessoais é a minimização: mandar ao modelo só o que a tarefa precisa. Num atendimento, por exemplo, o modelo raramente precisa do nome completo, do CPF ou do telefone do cliente para resumir a reclamação ou sugerir uma resposta.
Há dois jeitos de fazer isso:
- No seu próprio código, sem IA: expressões regulares e listas de padrões pegam CPF, CNPJ, telefone, e-mail e CEP. Custo de API: zero. Mas não pegam bem nomes de pessoas e endereços escritos de jeitos diferentes.
- Com um modelo pequeno: uma primeira chamada a um modelo barato reescreve o texto trocando dados pessoais por marcadores, como [NOME] e [CPF]. Só o texto limpo segue para o modelo principal.
A segunda opção tem custo. Supondo 100.000 atendimentos por mês, com 1.000 tokens de entrada (instruções e mensagem) e 1.000 de saída (o texto reescrito) em cada um:
| Etapa | Modelo | Por atendimento | Por mês | Em reais |
|---|---|---|---|---|
| Limpeza dos dados | Haiku 5.5 | US$ 0,00060 | US$ 60,00 | R$ 300,58 |
| Limpeza dos dados (Batch) | Haiku 5.5 | US$ 0,00030 | US$ 30,00 | R$ 150,29 |
| Tarefa principal (exemplo) | Sonnet 5.5 | US$ 0,0140 | US$ 1.400,00 | R$ 7.013,44 |
A limpeza custa 4,3% do que a tarefa principal custa nesse exemplo, em que o Sonnet 5.5 recebe 4.000 tokens e devolve 600. A Batch API corta pela metade, mas só serve se o atendimento não precisa de resposta na hora.
Essa conta não substitui uma análise jurídica. A LGPD pede base legal, transparência e segurança no tratamento, e cada caso tem detalhes próprios, como contratos com o fornecedor da API, onde os dados são processados e por quanto tempo ficam guardados. O ponto aqui é outro: a parte técnica mais básica de proteção custa pouco perto do resto da operação.
Por que isso importa para a conta
Medidas de proteção de dados costumam ser vistas como custo. Nesse caso, elas também podem reduzir a conta. Tirar do prompt o que o modelo não usa, como históricos inteiros, anexos irrelevantes ou dados cadastrais, diminui os tokens de entrada de cada chamada. Num prompt de 4.000 tokens no Sonnet 5.5, cortar 1.000 tokens desnecessários economiza US$ 200,00 por mês no volume deste exemplo, mais que o custo da limpeza no Haiku 5.5.
O que fazer agora
- Quer opinar? O prazo da ANPD para as duas consultas termina em 16 de outubro de 2026, na plataforma Brasil Participativo.
- Mapeie o que vai para a API. Liste quais dados pessoais entram nos prompts e se a tarefa realmente precisa deles.
- Comece pelo barato: filtros no seu código para CPF, telefone e e-mail. Depois avalie se vale a passada com um modelo pequeno.
- Refaça a conta com o seu volume na calculadora abaixo, já preenchida com a limpeza no Haiku 5.5 pela Batch API.
Perguntas rápidas
A consulta da ANPD é sobre o projeto de lei de IA?
Não. É sobre a agenda da própria ANPD, que regula a proteção de dados pessoais. O projeto de lei de IA (PL 2338/2023) tramita no Congresso, separado.
Usar um modelo para limpar os dados não é mandar os dados para fora do mesmo jeito?
É. A primeira chamada ainda recebe o texto com os dados pessoais. Por isso, o filtro no seu próprio código, que não envia nada, é o primeiro passo, e a escolha do fornecedor e das condições de uso dos dados entra na análise jurídica.
