Qual a linha do tempo da LGPD e das orientações da ANPD sobre dados de saúde e atendimento automatizado no Brasil?

"Qual a linha do tempo da LGPD e das orientações da ANPD sobre dados de saúde e atendimento automatizado no Brasil?"

Sua IA responde paciente às 23h, pergunta qual dente dói, oferece horário e, às vezes, decide sozinha que aquele contato não é prioridade.

Qual regra vale para essa conversa?

A resposta incômoda: depende de qual ano você está olhando. A regra não chegou pronta. Veio em camadas desde 2018, e a parte que fala diretamente de IA e de dado de saúde ainda está sendo escrita.

Resposta direta: a LGPD foi sancionada em 14 de agosto de 2018, passou a valer em 18 de setembro de 2020 e só começou a punir em 1º de agosto de 2021. A ANPD regulou fiscalização, incidente de segurança e encarregado entre 2021 e 2024. As regras próprias de decisão automatizada (art. 20) e de dados de saúde estão na Agenda Regulatória 2025-2026, sem norma final publicada na situação de 30 de junho de 2026, segundo o balanço semestral da ANPD. As datas da lei estão no texto compilado do Planalto e na Agência Senado.

Isso não é motivo para esperar. É motivo para saber exatamente o que já vale.

Neste guia você vai ver:

• A linha do tempo completa em uma tabela, com a fonte oficial de cada marco
• Como a LGPD entrou em vigor em três tempos (2018, 2020 e 2021)
• O que a Lei 13.853/2019 fez com o direito de revisão de decisão automatizada
• Como a ANPD passou de órgão da Presidência a agência reguladora
• Os regulamentos e os casos de fiscalização que já alcançam a clínica
• O que está em elaboração em 2026 e o que você precisa ter pronto agora

A linha do tempo completa em uma tabela

Antes do detalhe, o mapa. Cada linha tem a fonte primária: lei no Planalto, ato da ANPD no gov.br ou no Diário Oficial.

Data	Marco	O que muda para a clínica que usa IA	Fonte
14/08/2018	Sanção da Lei 13.709 (LGPD), publicada no DOU de 15/08/2018	Dado referente à saúde passa a ser dado pessoal sensível	Planalto
27/12/2018	MP 869/2018 cria a ANPD; na mesma data é sancionada a Lei 13.787 do prontuário digital	Nasce a autoridade que vai fiscalizar a clínica; prontuário digitalizado passa a seguir a LGPD	MP 869 e Lei 13.787
28/12/2018	Entram em vigor os artigos que estruturam a ANPD (art. 65, I)	A autoridade existe antes das obrigações	Planalto
08/07/2019	Lei 13.853 converte a MP 869; §3º do art. 20 vetado	Fica o direito de pedir revisão de decisão automatizada, sem exigir revisor humano	Lei 13.853 e veto
18/09/2020	Regras gerais da LGPD entram em vigor	Toda conversa com paciente passa a exigir base legal	Agência Senado
01/08/2021	Sanções administrativas (arts. 52 a 54) passam a valer	A ANPD pode advertir e multar	Planalto
28/10/2021	Resolução CD/ANPD nº 1 (fiscalização e processo sancionador)	Regras do processo que a clínica enfrentaria	ANPD
27/01/2022	Resolução CD/ANPD nº 2 (pequeno porte e alto risco)	Decisão automatizada que define perfil de saúde vira critério de alto risco	ANPD
10/02/2022	Emenda Constitucional 115	Proteção de dados vira direito fundamental (art. 5º, LXXIX)	Planalto
25/10/2022	Lei 14.460 transforma a ANPD em autarquia de natureza especial	Autoridade ganha autonomia técnica e decisória e patrimônio próprio	Planalto
24/02/2023	Resolução CD/ANPD nº 4 (dosimetria das sanções)	Fica definido como a multa é calculada	DOU
Jul/2023	Primeira sanção da ANPD, contra uma microempresa	Inclui advertência por não ter indicado encarregado	ANPD
2023	Processo contra a Secretaria de Estado da Saúde de Santa Catarina	Relatório de instrução recomenda quatro advertências, entre elas por incidente e segurança	ANPD
24/04/2024	Resolução CD/ANPD nº 15 (comunicação de incidente)	Prazo de três dias úteis para comunicar vazamento	ANPD
Mai/2024	ANPD abre o projeto regulatório de inteligência artificial	Começa a regra específica para IA e art. 20	Balanço ANPD
16/07/2024	Resolução CD/ANPD nº 18 (encarregado)	Indicação por ato formal e contato público no site	DOU
2024	Processo contra o Ministério da Saúde	Relatório de instrução conclui por duas advertências, por incidente e segurança	ANPD
23/08/2024	Resolução CD/ANPD nº 19 (transferência internacional)	Afeta IA que processa dados fora do Brasil	ANPD
06/11/2024 a 24/01/2025	Tomada de Subsídios sobre IA e revisão de decisões automatizadas	Mercado e sociedade opinam sobre o art. 20	Participa + Brasil
09/12/2024	Resolução CD/ANPD nº 23 (Agenda Regulatória 2025-2026)	IA e dados de saúde entram na pauta (hoje itens 6 e 12, após a renumeração feita pela Res. 31/2025)	ANPD
10/12/2024	Senado aprova o PL 2.338/2023 (marco legal da IA)	Projeto vai à Câmara, onde aguarda parecer na Comissão Especial	Senado
03/04/2025	Nota Técnica nº 12/2025 consolida a tomada de subsídios sobre IA	124 participantes; vira insumo do projeto regulatório de IA	ANPD
17/09/2025	MP 1.317/2025 transforma a ANPD em Agência Nacional de Proteção de Dados	Autoridade passa ao modelo de agência reguladora	Planalto
22/12/2025	Resolução CD/ANPD nº 31 altera a agenda; a nº 30, de 23/12, aprova o Mapa de Temas Prioritários 2026-2027, e as duas são publicadas juntas em 24/12	IA vira tema prioritário de fiscalização	DOU e ANPD
26/01/2026	Resolução CD/ANPD nº 32 reconhece a União Europeia como adequada	Envio de dados do paciente para a UE ganha base de adequação (art. 33, I)	ANPD
25/02/2026	Lei 15.352 converte a MP 1.317	Agência vinculada ao Ministério da Justiça, com carreira própria de fiscalização	Planalto
27/02/2026	Resolução CFM nº 2.454/2026 sobre IA na medicina	Dirigida a médicos; para o dentista, é referência de boa prática	CFM
30/06/2026	Fecha o balanço semestral da agenda	IA com minuta em elaboração; saúde em estudo exploratório	Balanço ANPD
08/07/2026	Processo sancionador contra organização social de saúde	Incidente que, segundo a instituição, afetou cerca de 500 mil registros	ANPD
09/07/2026	CNPD envia contribuições para a Agenda 2027-2028	IA, direito à explicação e decisões automatizadas na lista	CNPD
01/09/2026 a 16/10/2026	Tomada de subsídios da Agenda 2027-2028	Dados de saúde e decisões automatizadas no eixo de privacidade	ANPD

Nota: este guia organiza fatos normativos com fonte oficial para o dono de clínica decidir com informação. Não substitui o parecer do advogado ou do encarregado que conhece a sua operação.

Agora, o que cada fase significa na prática.

2018 a 2021: a LGPD entrou em vigor em três tempos

A LGPD não "começou a valer" num dia só. Esse é o primeiro erro de quem conta a história pela metade.

O texto do Planalto registra a sanção em 14 de agosto de 2018 e a publicação no Diário Oficial de 15 de agosto de 2018. Mas o art. 65, na redação atual, escalona a vigência:

1. 28 de dezembro de 2018: os artigos que criam e estruturam a ANPD (arts. 55-A a 55-L, 58-A e 58-B).
2. 24 meses após a publicação: os demais artigos, com as obrigações de quem trata dados.
3. 1º de agosto de 2021: as sanções administrativas (arts. 52, 53 e 54), por inclusão da Lei 14.010/2020.

Mas tem um detalhe:

As regras gerais só entraram em vigor de fato em 18 de setembro de 2020. A Agência Senado explica o motivo: a MP 959/2020 trazia um artigo que adiava a LGPD, e o presidente do Senado declarou esse dispositivo prejudicado na votação do fim de agosto de 2020. A mesma reportagem registra que a Lei 14.010/2020 empurrou as sanções de 1º de janeiro de 2021 para 1º de agosto de 2021.

O que isso significa na prática?

Entre setembro de 2020 e agosto de 2021, a clínica já tinha obrigação, mas a ANPD ainda não podia aplicar sanção administrativa. Esse intervalo acabou. Desde agosto de 2021, a autoridade pode advertir, multar e até suspender o tratamento de dados.

E a multa não é simbólica. O art. 52, II, da LGPD prevê multa simples de até 2% do faturamento da pessoa jurídica de direito privado no último exercício, excluídos os tributos, limitada no total a R$ 50 milhões por infração.

Lembre: "a LGPD é de 2018" e "a LGPD vale desde 2020" estão as duas certas. A data que importa para o risco da clínica é 1º de agosto de 2021, quando a ANPD ganhou o poder de sancionar.

2019: o que a Lei 13.853 fez com o art. 20 e com o dado de saúde

A Lei 13.853, de 8 de julho de 2019, converteu a MP 869/2018 e reescreveu dois pontos que hoje decidem como a IA de atendimento pode funcionar.

O art. 20 manteve o direito de revisão, mas não exige um humano

A redação atual do art. 20 diz que o titular dos dados (o paciente) "tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses", incluídas as que definem perfil pessoal, profissional, de consumo e de crédito.

O pedido é dirigido ao controlador (a clínica). E o §1º obriga o controlador a fornecer, sempre que solicitado, informações claras e adequadas sobre os critérios e procedimentos da decisão automatizada, observados os segredos comercial e industrial.

O Congresso tentou ir além. Incluiu um §3º que mandava a revisão ser feita "por pessoa natural". Esse parágrafo foi vetado.

A Mensagem de Veto nº 288 registra o argumento do governo: exigir revisão humana de toda decisão automatizada "inviabilizará os modelos atuais de planos de negócios de muitas empresas, notadamente das startups". No texto compilado, o dispositivo aparece hoje como "§ 3º (VETADO)".

Pensa assim:

• O que a lei garante: o paciente pode pedir que a decisão da IA seja revista, e a clínica tem de explicar os critérios quando solicitada.
• O que a lei não diz: que a revisão tem de ser feita por uma pessoa.
• O que ainda vai ser definido: os parâmetros interpretativos do art. 20, que são o centro do item 6 da Agenda Regulatória 2025-2026 da ANPD (detalhado mais abaixo).

A tutela da saúde na redação atual: só para quem presta o cuidado

A mesma lei deu a redação atual ao art. 11, II, "f". Dado sensível pode ser tratado sem consentimento para "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária".

A palavra que pesa é exclusivamente. A hipótese se dirige a quem presta o cuidado. Ela não cobre o uso comercial do dado.

A Lei 13.853 também incluiu o §5º do art. 11, que proíbe as operadoras de planos privados de assistência à saúde de tratar dado de saúde para seleção de riscos na contratação e na exclusão de beneficiários.

Dado de saúde na LGPD: por que a conversa da IA já nasce sensível

Quando o paciente escreve "estou com dor no siso" ou "uso prótese e ela está solta", a conversa contém dado referente à saúde. O art. 5º, II, da LGPD classifica esse dado como dado pessoal sensível.

Dado sensível só pode ser tratado nas hipóteses fechadas do art. 11. Para a clínica que atende com IA, três dispositivos fazem a diferença:

Dispositivo	O que diz	Leitura para a IA de atendimento
Art. 11, I	Consentimento do titular, "de forma específica e destacada, para finalidades específicas"	É a porta para marketing, remarketing e reativação com dado de saúde
Art. 11, II, "f"	Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária	Cobre o cuidado prestado pelo serviço de saúde; o alcance exato é tema do item 12 da agenda da ANPD
Art. 11, §4º	Veda comunicação ou uso compartilhado entre controladores de dado de saúde para obter vantagem econômica, com exceções ligadas à prestação de serviços de saúde em benefício dos titulares	Vender ou repassar base de pacientes para parceiro comercial é a zona proibida

Repare em um quarto ponto, menos lembrado. O §3º do mesmo art. 11 autoriza a autoridade nacional a vedar ou regulamentar o compartilhamento de dado sensível com vantagem econômica, ouvidos os órgãos setoriais. É exatamente esse dispositivo que a ANPD citou ao abrir o item 12 da agenda.

Quer o detalhe de base legal, contrato e direitos do paciente aplicado à IA? Ele está no guia sobre o que a lei brasileira já exige de uma clínica que usa IA no WhatsApp. Aqui o foco é a ordem dos fatos.

2022: proteção de dados vira direito fundamental

Em 10 de fevereiro de 2022, a Emenda Constitucional 115 incluiu o inciso LXXIX no art. 5º da Constituição: "é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais".

A mesma emenda fez mais duas coisas:

• Deu à União a competência de organizar e fiscalizar a proteção e o tratamento de dados pessoais (art. 21, XXVI).
• Deu à União a competência privativa para legislar sobre proteção e tratamento de dados pessoais (art. 22, XXX).

O que isso significa para a clínica?

A régua é nacional. Proteção de dados deixou de ser só uma lei ordinária e passou a ser direito fundamental, o que pesa na interpretação de qualquer conflito entre a conveniência da operação e o direito do paciente.

De órgão da Presidência a agência: a evolução institucional da ANPD

A autoridade que fiscaliza a sua clínica teve três naturezas jurídicas em oito anos. Cada degrau deu a ela mais autonomia.

Período	Natureza jurídica	Norma	Fonte
2018 a 2022	Órgão da administração pública federal, integrante da Presidência da República, com natureza jurídica declarada transitória	MP 869/2018, convertida na Lei 13.853/2019	Lei 13.853
2022 a 2025	Autarquia de natureza especial, com autonomia técnica e decisória	MP 1.124/2022, convertida na Lei 14.460, de 25/10/2022	Lei 14.460
Desde 2025	Agência Nacional de Proteção de Dados (a sigla ANPD foi mantida), autarquia de natureza especial vinculada ao Ministério da Justiça e Segurança Pública, nos termos da Lei das Agências (Lei 13.848/2019)	MP 1.317, de 17/09/2025, convertida na Lei 15.352, de 25/02/2026	Lei 15.352

Veja como cada degrau pesa:

1. 2019: a lei já previa que a natureza jurídica da ANPD era transitória e poderia virar entidade da administração indireta.
2. 2022: a Lei 14.460 transformou a ANPD em autarquia de natureza especial, "dotada de autonomia técnica e decisória", mantidas a estrutura e as competências.
3. 2026: a Lei 15.352 deu ao art. 55-A a redação de agência, "dotada de autonomia funcional, técnica, decisória, administrativa e financeira", e criou a Carreira de Regulação e Fiscalização de Proteção de Dados.

A transformação em agência também mudou o jeito de regular. O balanço da agenda registra que a ANPD está revisando seu processo normativo para convergir com a Lei das Agências, com análise de impacto regulatório e consulta pública. Para você, isso significa que cada regra nova passa por análise de impacto e participação social antes de virar obrigação, o que dá tempo de se preparar.

Os regulamentos da ANPD que já alcançam a clínica (2021 a 2024)

Enquanto as regras de IA e de saúde não saem, seis resoluções de 2021 a 2024 já valem e alcançam diretamente a clínica. Todas estão listadas na página oficial de regulamentações da ANPD.

Resolução	Data	O que regula	O que muda na clínica
CD/ANPD nº 1/2021	28/10/2021	Fiscalização e processo administrativo sancionador	Dever de atender às requisições da ANPD durante a fiscalização
CD/ANPD nº 2/2022	27/01/2022	Agentes de tratamento de pequeno porte	Regime simplificado, que se perde no tratamento de alto risco
CD/ANPD nº 4/2023	24/02/2023	Dosimetria e aplicação de sanções	Critérios de cálculo da multa e da advertência
CD/ANPD nº 15/2024	24/04/2024	Comunicação de incidente de segurança	Três dias úteis para comunicar ANPD e pacientes
CD/ANPD nº 18/2024	16/07/2024	Atuação do encarregado	Indicação formal e contato público no site
CD/ANPD nº 19/2024	23/08/2024	Transferência internacional de dados	Cláusulas-padrão quando o dado do paciente sai do Brasil

Incidente: três dias úteis, quem comunica é a clínica

A página da ANPD sobre comunicação de incidente de segurança é direta: pelos arts. 6º e 9º da Resolução CD/ANPD nº 15/2024, a comunicação à ANPD e aos titulares "deverá ser realizada pelo controlador no prazo de três (3) dias úteis".

Se não der para reunir tudo nesse prazo, a comunicação pode ser feita em etapas, com complementação fundamentada em até vinte dias úteis. A obrigação de comunicar é do controlador, ou seja, da clínica.

Encarregado: ato formal e nome no site

A Resolução CD/ANPD nº 18/2024 se dirige ao agente de tratamento e detalha o art. 41 da LGPD:

• A indicação do encarregado é feita por ato formal: documento escrito, datado e assinado.
• O encarregado pode ser pessoa natural (da equipe ou externa) ou pessoa jurídica.
• A identidade e o contato do encarregado têm de estar publicados, de forma clara, em local de destaque no site.
• O exercício da função não exige inscrição em entidade nem certificação específica.

Transferência internacional: quando a IA processa fora do Brasil

Esta é a resolução que quase ninguém associa à IA de atendimento.

Se o modelo de IA do seu fornecedor roda em servidores fora do país, o dado do paciente sai do Brasil, e a operação entra nas regras de transferência internacional dos arts. 33 a 36 da LGPD. A Resolução CD/ANPD nº 19/2024 aprovou o regulamento e as cláusulas-padrão contratuais, e deu aos agentes que usam cláusulas contratuais até 12 meses da publicação para incorporar as cláusulas-padrão aprovadas pela ANPD.

Em 26 de janeiro de 2026 entrou mais uma peça. A Resolução CD/ANPD nº 32 reconheceu a União Europeia "como organismo internacional com grau de proteção de dados pessoais adequado" ao previsto na LGPD, para fins de transferência internacional, segundo a página de regulamentações da ANPD. É a hipótese do art. 33, I, da LGPD: quando o destino do dado é a União Europeia, a transferência se apoia nessa adequação; para outros destinos, continua sendo preciso outro mecanismo do art. 33, como as cláusulas-padrão.

Na prática: pergunte ao fornecedor onde os dados são processados e qual mecanismo do art. 33 ele usa. Resposta vaga é sinal de alerta.

Res. 2/2022: quando a IA de atendimento pode tirar a clínica do regime simplificado

A Resolução CD/ANPD nº 2/2022 criou um regime mais leve para agentes de tratamento de pequeno porte. Entre os benefícios:

• Dispensa de indicar encarregado (art. 11), desde que haja um canal de comunicação com o titular.
• Registro das operações de tratamento de forma simplificada (art. 9º).
• Prazo em dobro para atender pedidos do titular e para algumas comunicações (art. 14).

Mas o art. 3º, I, fecha a porta: não se beneficia desse regime quem realiza tratamento de alto risco (ressalvada a hipótese do art. 8º). E se a sua clínica cabe ou não no conceito de pequeno porte depende do faturamento anual frente ao teto da Lei Complementar 123 e do grupo econômico (art. 3º, II e III).

Veja como funciona o teste de alto risco do art. 4º. Ele exige um critério geral e um critério específico ao mesmo tempo:

Tipo	Critério	Onde a IA de atendimento encosta
Geral	Tratamento em larga escala (número significativo de titulares, volume, duração, frequência e extensão geográfica)	Base grande de leads e pacientes, conversas contínuas
Geral	Tratamento que possa afetar significativamente direitos, por exemplo ao impedir a utilização de um serviço	IA que recusa, filtra ou deixa de oferecer horário
Específico	Uso de tecnologias emergentes ou inovadoras	O próprio modelo de IA
Específico	Decisões unicamente automatizadas, inclusive as que definem perfil de saúde	Triagem e classificação automática do paciente
Específico	Uso de dados pessoais sensíveis	Toda conversa que fala de sintoma ou tratamento

O que isso significa na prática?

A clínica que atende com IA quase sempre preenche algum critério específico. Se também preencher um critério geral, o tratamento é de alto risco e o regime simplificado não vale. O enquadramento é caso a caso, e a ANPD reconhece a dúvida: o guia sobre definição de alto risco e larga escala (item 7 da agenda) estava com a versão final no Conselho Diretor para aprovação na situação de 30 de junho de 2026, segundo o balanço semestral.

Dica: se você não tem certeza de que está fora do alto risco, opere como se estivesse dentro. Indicar encarregado e manter registro completo custa pouco perto de descobrir o enquadramento numa fiscalização.

A fiscalização no setor saúde: o que os casos de 2023 a 2026 mostram

Regra sem fiscalização vira papel. A ANPD tem mostrado onde aperta, e o padrão se repete. A página oficial de decisões em processos sancionadores lista os casos.

Julho de 2023: a primeira sanção já cobrou encarregado

O comunicado da primeira sanção mostra que o alvo foi uma microempresa, fora da saúde. Entre as sanções, uma advertência por ausência de indicação de encarregado (art. 41) e multas por falta de hipótese legal para o tratamento (art. 7º) e por não atender às solicitações da ANPD (art. 5º da Resolução CD/ANPD nº 1/2021).

Porte pequeno não protegeu ninguém.

2023: Secretaria de Estado da Saúde de Santa Catarina

O Relatório de Instrução nº 4/2023 recomendou quatro advertências: por violação aos arts. 38 (relatório de impacto requisitado e não apresentado), 48 (comunicação de incidente) e 49 (segurança dos sistemas) da LGPD, e ao art. 5º do Regulamento de Fiscalização.

2024: Ministério da Saúde

O Relatório de Instrução nº 4/2024 concluiu por duas advertências cumuladas com duas medidas corretivas, por violação aos arts. 48 e 49 da LGPD, após incidente em sistema do ministério. A ementa registra que a obrigação de comunicar incidente "não se limita à ocorrência de vazamento de dados pessoais": alcança evento adverso confirmado que viole a confidencialidade, a integridade, a disponibilidade ou a autenticidade dos dados. A página de decisões da ANPD registra recurso desse processo em análise pelo Conselho Diretor.

Julho de 2026: organização social que gere unidades públicas de saúde

Em 8 de julho de 2026, a ANPD instaurou processo sancionador contra uma organização social que gere unidades públicas de saúde em vários estados. O caso nasceu de um ataque de ransomware em 2025 que, segundo a própria instituição, afetou cerca de 500 mil registros, com prontuários, exames, prescrições e diagnósticos.

A ANPD apura quatro frentes:

1. Medidas de segurança técnicas e administrativas insuficientes.
2. Comunicação inadequada às pessoas afetadas: um aviso genérico no site, sem data do incidente, natureza dos dados e medidas adotadas.
3. Falta de informação pública sobre o encarregado.
4. Descumprimento dos princípios da prevenção e da responsabilização e prestação de contas.

Repare no padrão: segurança, comunicação de incidente e encarregado se repetem de um caso para o outro.

Mas tem um detalhe que muda o peso para você. Nos dois casos de saúde de 2023 e 2024, os autuados eram órgãos públicos, e o art. 52, §3º, da LGPD não lista as multas entre as sanções aplicáveis a entidades e órgãos públicos. Para uma clínica privada, a mesma conduta abre a porta para a multa do art. 52, II. No processo de 2026, a própria ANPD lembrou que as sanções previstas vão de advertência a multa de até 2% do faturamento, além de suspensão ou proibição do tratamento.

E a mira está mais perto da IA. O Mapa de Temas Prioritários 2026-2027, publicado em 24 de dezembro de 2025, colocou entre os quatro temas prioritários de fiscalização os direitos dos titulares e a "inteligência artificial e tecnologias emergentes no contexto do tratamento de dados pessoais".

A Tomada de Subsídios sobre IA e decisões automatizadas (2024-2025)

O caminho até uma regra de IA começou antes da agenda atual. O termo de abertura do projeto de inteligência artificial foi assinado em maio de 2024, segundo o balanço da ANPD. Na época, o tema era o item 17 da Agenda Regulatória 2023-2024, como registra o texto da tomada de subsídios citada abaixo.

O passo seguinte foi ouvir o mercado. A Tomada de Subsídios sobre Inteligência Artificial e Revisão de Decisões Automatizadas ficou aberta de 6 de novembro de 2024 a 24 de janeiro de 2025, organizada em quatro blocos:

1. Princípios da LGPD aplicados a sistemas de IA.
2. Hipóteses legais que autorizam o tratamento ao longo do ciclo de vida do sistema.
3. Direitos dos titulares, com foco em decisões baseadas unicamente em tratamento automatizado.
4. Boas práticas e governança.

O próprio texto da consulta lista as problemáticas que as contribuições poderiam ajudar a identificar: viés algorítmico, opacidade dos sistemas de IA, tratamento de dados sensíveis e de dados de crianças, adolescentes e idosos.

Depois do prazo, a ANPD consolidou as contribuições na Nota Técnica nº 12/2025/CON1/CGN/ANPD, assinada em 3 de abril de 2025. A nota registra que a consulta ia de 6 de novembro a 5 de dezembro de 2024 e foi prorrogada até 24 de janeiro de 2025, e que, de um total de 124 participantes, aproximadamente 56% declararam ter respondido em nome de algum agente de tratamento. Ela também reproduz o termo de abertura do projeto: além de regulamentar o art. 20, a ANPD pode endereçar o tema "por meio de documentos orientativos, como guias e estudos técnicos".

O resultado alimenta o item 6 da agenda atual.

A Agenda Regulatória 2025-2026: os itens que vão mudar a regra da IA na clínica

A Resolução CD/ANPD nº 23, de 9 de dezembro de 2024, aprovou a Agenda Regulatória 2025-2026, publicada no Diário Oficial de 11 de dezembro de 2024. Segundo o balanço semestral da ANPD, a versão inicial definiu 16 temas prioritários, divididos em fases por ordem de prioridade.

Em 22 de dezembro de 2025, a Resolução CD/ANPD nº 31 alterou a agenda para incluir temas do ECA Digital e reordenar prazos. Os itens que interessam à clínica que usa IA foram mantidos, mas a numeração mudou: o balanço registra que a resolução inseriu novos itens, alterou a ordem inicial de priorização e excluiu a iniciativa sobre dados de crianças e adolescentes. Por isso a Nota Técnica nº 12/2025, anterior à mudança, chama o projeto de IA de item 7. Neste guia, os números seguem a versão atual da agenda.

Item 6: inteligência artificial e art. 20

• Fase: 1 (itens herdados da agenda anterior, que têm prevalência sobre os demais).
• Escopo: parâmetros interpretativos para aplicar o art. 20 da LGPD (revisão de decisões automatizadas) e, no treinamento e uso de sistemas de IA, direitos dos titulares, princípios da LGPD, hipóteses legais e boas práticas e governança.
• Situação em 30/06/2026: nota técnica de consolidação da tomada de subsídios concluída; minuta da solução regulatória em elaboração na área técnica.

Item 12: dados pessoais sensíveis, dados de saúde

• Fase: 2 (início do processo regulatório em até 1 ano).
• Escopo: o conceito de dado pessoal sensível referente à saúde, as hipóteses legais da área (art. 7º, VIII, e art. 11, II, "f"), e os limites para comunicação e uso compartilhado desses dados, inclusive com vantagem econômica (art. 11, §§3º e 4º). A ação deve considerar as especificidades do SUS e de agentes como as operadoras de saúde suplementar.
• Situação em 30/06/2026: termo de abertura assinado; a Nota Técnica nº 28/2025 contém o estudo exploratório que serve de base para delimitar o escopo. A tabela de andamento do balanço não registrava tomada de subsídios para o item.

Itens 1 e 7: direitos dos titulares e guia de alto risco

O art. 20 aparece também no item 1. O projeto de direitos dos titulares regulamenta, entre outros, os arts. 9º, 18, 20 e 23 da LGPD. O relatório de análise de impacto regulatório foi publicado, e o processo aguardava deliberação do Conselho Diretor sobre abrir consulta pública.

O item 7, já citado, é o guia de definição de alto risco e larga escala, com versão final no Conselho Diretor.

Item	Tema	Fase	Situação em 30/06/2026	Efeito esperado na clínica
1	Direitos dos titulares (inclui art. 20)	1	Análise de impacto publicada; aguarda decisão sobre consulta pública	Prazos e formas de atender pedido do paciente
6	Inteligência artificial	1	Minuta em elaboração	Como garantir e documentar a revisão de decisão da IA
7	Tratamento de alto risco	1	Versão final no Conselho Diretor	Saber se a clínica perde o regime simplificado
12	Dados de saúde	2	Estudo exploratório (Nota Técnica nº 28/2025)	Alcance da tutela da saúde e do compartilhamento

Fonte da tabela: balanço da Agenda Regulatória 2025-2026, primeiro semestre de 2026, publicado pela ANPD em agosto de 2026.

Lembre: "a ANPD ainda não regulou IA" não quer dizer "não há regra". Quer dizer que a regra específica está por vir. A LGPD, o art. 20 e as resoluções de 2021 a 2024 já valem para a sua IA hoje.

Normas paralelas que correm junto: prontuário, CFM e o marco legal da IA

A LGPD não é a única norma no caminho da IA de atendimento. Três outras correm em paralelo, e cada uma tem um destinatário diferente.

Lei 13.787/2018: o prontuário digital

Sancionada em 27 de dezembro de 2018, mesma data da MP que criou a ANPD (as duas saíram no Diário Oficial de 28 de dezembro de 2018), a Lei 13.787 diz que a digitalização e a guarda informatizada do prontuário de paciente são regidas por ela e pela LGPD.

O art. 6º da Lei 13.787 fixa o ponto mais prático: os prontuários em papel e os digitalizados só podem ser eliminados depois do prazo mínimo de 20 anos a partir do último registro.

O que isso significa na prática?

Se a conversa da IA com o paciente vira registro clínico (queixa, orientação, histórico), ela pode entrar na lógica de guarda do prontuário. Defina com o seu responsável técnico e com o encarregado o que da conversa é atendimento comercial e o que é registro clínico.

Resolução CFM nº 2.454/2026: IA na medicina

O Conselho Federal de Medicina publicou no Diário Oficial de 27 de fevereiro de 2026 a Resolução CFM nº 2.454/2026, que normatiza o uso de IA na medicina. Entre outros pontos:

• O paciente tem o direito de ser informado, de forma clara e acessível, sempre que a IA for utilizada como apoio relevante no seu cuidado.
• É proibido delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas.
• A decisão final permanece sob responsabilidade do médico.
• Os sistemas de IA são classificados por nível de risco (baixo, médio, alto ou inaceitável).

Escopo: a norma é do CFM e se dirige a médicos. Ela não obriga o cirurgião-dentista nem a clínica odontológica. Serve como referência de boa prática vinda de outro conselho do setor saúde.

PL 2.338/2023: o marco legal da IA

O PL 2.338/2023 foi aprovado pelo Plenário do Senado na sessão de 10 de dezembro de 2024 e remetido à Câmara dos Deputados em 17 de março de 2025.

Na Câmara, a Presidência criou em abril de 2025 uma Comissão Especial para dar parecer ao projeto. A ficha de tramitação da Câmara registra a situação aguardando parecer do relator na Comissão Especial.

Ou seja: hoje não existe lei geral de IA em vigor no Brasil. A regra que alcança a IA de atendimento da clínica vem da LGPD e da ANPD.

O que vem a seguir: Agenda 2027-2028 e as contribuições do CNPD

A próxima rodada já começou, e ela fala diretamente de saúde e de decisões automatizadas.

O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD), órgão que integra a estrutura da ANPD pelo art. 55-C da LGPD, encaminhou contribuições para a Agenda 2027-2028, aprovadas em reunião de 25 de junho de 2026 e divulgadas em 9 de julho de 2026. Entre os temas prioritários:

• Tratamento de dados pessoais no contexto da IA e da transformação digital: treinamento de modelos, anonimização e pseudonimização, direito à explicação e dados sintéticos.
• Uso de dados pessoais para prevenção a fraudes, incluindo o emprego de decisões automatizadas.
• Tratamento de dados nas relações de trabalho, com automação e IA.

Em seguida, a ANPD abriu a tomada de subsídios da Agenda 2027-2028 em 1º de setembro de 2026, com contribuições até 16 de outubro de 2026 pela plataforma Brasil Participativo. O eixo de privacidade e proteção de dados proposto contempla direitos dos titulares, reconhecimento facial, dados de saúde e decisões automatizadas.

O que esperar, como leitura nossa e não como anúncio da ANPD:

1. Provável: os temas de IA e de dados de saúde atravessam de uma agenda para a outra, porque o item 12 ainda estava em fase inicial e o item 6 ainda não tinha minuta pública em junho de 2026.
2. Possível: uma consulta pública sobre direitos dos titulares (item 1) antes da regra de IA, já que a análise de impacto estava pronta.
3. Não dá para cravar: a data de qualquer norma final. O balanço não traz data de publicação para nenhuma dessas iniciativas.

Quer entender como a tecnologia evoluiu enquanto a regra andava? Veja a linha do tempo da IA no atendimento odontológico.

Na prática: o que essa linha do tempo exige hoje da clínica que usa IA no WhatsApp

Agora a parte que move a sua operação.

Segundo dados internos da Odonto Results (2026), 46,0% dos leads de clínica odontológica chegam fora do horário comercial. Base: 16.719 leads na primeira mensagem do WhatsApp. Janela: 25 de março a 25 de agosto de 2026.

É nessa janela, muitas vezes sem ninguém da equipe online, que a IA conversa, coleta dado de saúde e às vezes decide sozinha. É ali que as obrigações abaixo precisam estar funcionando.

1. Defina quem é quem. Pela LGPD, controlador é a quem competem as decisões sobre o tratamento (art. 5º, VI) e operador é quem trata em nome dele (art. 5º, VII). Na configuração típica, a clínica é a controladora e o fornecedor da IA é operador, que deve seguir as instruções do controlador (art. 39) e responde solidariamente se descumprir a lei ou essas instruções (art. 42, §1º, I). O desenho completo está no guia sobre quem controla os dados da conversa com a IA.
2. Separe a base legal por finalidade. Atendimento e cuidado são uma coisa; campanha de reativação e remarketing com dado de saúde são outra. Para marketing com dado de saúde, a porta que sobra é o consentimento específico e destacado do art. 11, I. A tutela da saúde vale "exclusivamente" em procedimento realizado por profissionais ou serviços de saúde, e o alcance dela é justamente o que o item 12 vai esclarecer.
3. Mapeie onde a IA decide sozinha. Classificar lead, priorizar fila, oferecer ou deixar de oferecer horário, encerrar conversa. Para cada ponto, garanta um caminho para o paciente pedir revisão (art. 20) e um texto que explique os critérios quando solicitado (art. 20, §1º). A lei não exige humano, mas um humano disponível é a forma mais segura de cumprir. Veja em que momento a IA deve passar o paciente para um humano.
4. Formalize o encarregado. Ato formal escrito, datado e assinado, com nome e contato publicados no site (Resolução CD/ANPD nº 18/2024). Se a clínica se enquadra como pequeno porte e quer usar a dispensa da Resolução CD/ANPD nº 2/2022, confirme antes que o tratamento não é de alto risco.
5. Mantenha registro e relatório de impacto prontos. O art. 37 obriga controlador e operador a manter registro das operações de tratamento, e o art. 38 permite à ANPD determinar ao controlador que elabore relatório de impacto, inclusive sobre dados sensíveis. No caso de Santa Catarina, o relatório de instrução recomendou advertência justamente por esse relatório não ter sido apresentado.
6. Tenha um plano de incidente de três dias úteis. Quem comunica é a clínica, à ANPD e aos pacientes, com data, natureza dos dados e medidas adotadas. O caso de 2026 mostra que aviso genérico no site não basta.
7. Pergunte onde os dados são processados. Se o fornecedor da IA usa servidores fora do Brasil, a operação é transferência internacional e precisa de um mecanismo do art. 33, como as cláusulas-padrão da Resolução CD/ANPD nº 19/2024.
8. Decida o que da conversa vira prontuário. O que for registro clínico entra na lógica de guarda mínima de 20 anos da Lei 13.787/2018.

Lembre: a IA não muda quem responde perante a ANPD. A clínica é a controladora, e é ela que comunica incidente, indica encarregado e explica a decisão automatizada ao paciente.

Seu próximo passo

1. Faça o inventário da sua IA hoje. Liste as decisões que ela toma sozinha, os dados de saúde que ela coleta e onde esses dados ficam. É a base de tudo o que vem depois.
2. Feche as obrigações que já valem. Encarregado formalizado e publicado, registro das operações, contrato com o fornecedor como operador e plano de incidente de três dias úteis. Nada disso depende da regra de IA que ainda vai sair.
3. Acompanhe os itens 1, 6, 7 e 12 da agenda da ANPD. Quando a minuta de IA ou o regulamento de dados de saúde abrir consulta pública, revise o desenho do atendimento com o seu fornecedor antes da regra virar obrigação.

Quer uma IA de atendimento que responde o paciente em segundos com a governança de dados desenhada desde o início? Agende uma apresentação.