Hospitais brasileiros de médio porte já operam, em produção, algoritmos de apoio à decisão clínica — não como piloto isolado em um centro de excelência, mas como parte da rotina de atendimento. Enquanto essa adoção avança, o Congresso Nacional discute o PL 2.338/2023, o chamado Marco Legal da IA, que precisa decidir um ponto que nenhuma instituição de saúde resolveu sozinha até aqui: quando um algoritmo participa de um diagnóstico equivocado, a falha pertence ao profissional que assinou o laudo ou ao software que o orientou. Paralelamente, o Conselho Federal de Medicina prepara uma resolução própria com diretrizes éticas para uso de IA por médicos, o que cria dois processos regulatórios simultâneos, com origens diferentes e prazos que ainda não estão sincronizados.
A urgência não é teórica. Sistemas de triagem em prontos-socorros, ferramentas de leitura de imagem integradas ao prontuário e assistentes que sintetizam histórico clínico já influenciam decisões todos os dias em hospitais espalhados por diferentes regiões do país. A pergunta sobre responsabilidade deixou de ser um exercício acadêmico de direito digital e passou a ser uma questão operacional para diretorias clínicas, compliance hospitalar e equipes de tecnologia da informação em saúde.
O PL 2.338/2023 tenta separar a falha humana do defeito de software
O projeto de lei em tramitação estabelece exigências de compliance, transparência e supervisão humana para sistemas de IA usados em contextos de alto risco, categoria em que a saúde se enquadra de forma direta. O texto avança na definição de obrigações para desenvolvedores e operadores de sistemas de IA, mas o ponto mais sensível para hospitais e profissionais de saúde permanece em disputa: estabelecer, de forma prática e auditável, quando um resultado adverso decorre de uso inadequado da ferramenta pelo profissional e quando decorre de uma limitação ou defeito do próprio sistema.
Essa distinção importa porque desloca o centro de gravidade da responsabilidade civil e ética. Em um cenário de responsabilidade concentrada no profissional, hospitais tendem a reforçar treinamento, protocolos de verificação e exigência de segunda opinião humana antes de qualquer decisão crítica. Em um cenário de responsabilidade compartilhada com o fabricante do software, contratos de fornecimento, garantias contratuais e exigências de rastreabilidade técnica passam a determinar boa parte da exposição de risco da instituição. Nenhum dos dois modelos elimina a necessidade de supervisão humana, mas cada um distribui de forma diferente o ônus da prova quando algo sai errado.
Sete em cada dez hospitais de médio porte já rodam algoritmos clínicos em produção
Levantamento da Associação Brasileira de Telemedicina indica que sete em cada dez hospitais de médio porte no país já operam pelo menos um algoritmo de suporte à decisão clínica em ambiente de produção, distribuição que não se concentra apenas nas capitais. O dado contraria a percepção comum de que IA aplicada a diagnóstico ainda é restrita a grandes centros universitários ou redes privadas de ponta.
Esse volume de adoção muda a natureza do debate regulatório. Quando o uso de IA em saúde era concentrado em poucos projetos-piloto, uma eventual falha de definição legal representava risco limitado. Com a tecnologia distribuída por hospitais de portes variados, incluindo instituições com estruturas de compliance menos robustas, a ausência de um critério claro de responsabilidade passa a representar exposição jurídica generalizada, e não um problema pontual de algumas instituições isoladas.
A trilha de auditoria, não a precisão do algoritmo, decide quem responde por um erro
Discussões sobre IA na saúde tendem a se concentrar na taxa de acerto dos modelos, mas a experiência acumulada em ambientes de infraestrutura corporativa e suporte a sistemas críticos aponta para outro fator como determinante em qualquer apuração de responsabilidade: a existência de uma trilha de auditoria completa, capaz de reconstruir exatamente qual versão do modelo gerou uma recomendação, com quais dados de entrada e sob qual configuração no momento do atendimento.
Esse ponto costuma ficar fora do material de marketing de fornecedores de software clínico, que enfatiza métricas de sensibilidade e especificidade, mas raramente detalha como a instituição comprova, meses depois de um incidente, qual versão do algoritmo estava ativa, se houve atualização de modelo entre o momento da recomendação e a revisão do caso, e se o profissional teve acesso ao nível de confiança daquela sugestão específica. Sistemas de produção em qualquer setor crítico — não apenas em saúde — dependem de versionamento rastreável e logs íntegros para que uma investigação de incidente tenha valor probatório. Sem esse tipo de infraestrutura, a discussão sobre quem errou se torna uma reconstrução baseada em memória e documentação incompleta, o que fragiliza tanto a defesa do profissional quanto a do fornecedor.
Hospitais que já lidam com auditorias de segurança da informação e certificações de continuidade operacional tendem a estar mais preparados para esse tipo de exigência do que instituições que adotaram ferramentas de IA clínica sem integrar essa camada de rastreabilidade aos seus sistemas de gestão hospitalar.
Hospitais, fabricantes e o CFM defendem modelos de responsabilidade diferentes
A ausência de consenso regulatório se reflete em posições distintas entre os principais atores envolvidos na discussão. O quadro abaixo resume os argumentos centrais de cada grupo, com base no conteúdo em tramitação do PL 2.338/2023 e nas diretrizes que o CFM sinaliza incorporar à sua resolução.
| Ator | Posição sobre responsabilidade | Argumento central |
|---|---|---|
| Hospitais e redes de saúde | Defendem responsabilidade compartilhada, com peso maior sobre o fabricante em falhas do modelo | Instituições não têm acesso ao código-fonte nem controle sobre o treinamento do algoritmo |
| Fabricantes de software clínico | Defendem que a decisão final é sempre do profissional de saúde | Sistemas são apresentados como ferramentas de apoio, não substitutos da avaliação médica |
| Profissionais de saúde e entidades de classe | Defendem critérios objetivos de uso correto que os eximam quando seguidos | Sem parâmetros claros, o profissional assume risco por uma tecnologia que não desenvolveu |
| CFM | Aposta em diretrizes éticas e exigência de supervisão humana documentada | Busca preservar a autonomia médica sem impedir a adoção da tecnologia |
Essas posições não são incompatíveis em todos os pontos, mas divergem exatamente onde a regulação ainda precisa ser mais específica: nos critérios que definem o que conta como “uso adequado” da ferramenta por parte do profissional.
Um acerto comparável ao de um médico generalista não resolve o problema do erro individual
Meta-análise conduzida pela Universidade Metropolitana de Osaka mostrou que sistemas de IA aplicados a diagnóstico já alcançam taxa de acerto próxima à de médicos generalistas em determinados cenários clínicos. O resultado costuma ser citado como evidência de maturidade tecnológica, e de fato indica avanço relevante em relação a gerações anteriores de sistemas de apoio à decisão.
Esse tipo de estatística, no entanto, descreve desempenho agregado, não elimina a ocorrência de erros individuais nem responde à pergunta jurídica central. Um sistema com taxa de acerto equivalente à de um profissional experiente ainda produz uma parcela de diagnósticos incorretos, e é justamente sobre essa parcela que recai toda a disputa regulatória. Comparar a precisão média do algoritmo à precisão média de um médico é um exercício estatístico útil para avaliar adoção da tecnologia, mas não substitui a análise caso a caso que qualquer apuração de responsabilidade exige.
A resolução do CFM e a votação do marco legal devem avançar ainda em 2026
Os dois processos regulatórios caminham em paralelo, mas com dinâmicas distintas. A resolução do CFM tende a avançar por via administrativa, com potencial de entrar em vigor em prazo mais curto, já que depende de deliberação interna do conselho e não do rito legislativo completo do Congresso. O PL 2.338/2023, por sua vez, segue sujeito a emendas, pressão de diferentes setores da cadeia de tecnologia em saúde e ao calendário legislativo, o que torna sua aprovação final menos previsível em termos de data.
A expectativa de instituições de saúde e associações do setor é que as duas normas conversem entre si, evitando que hospitais precisem atender a critérios de responsabilidade diferentes dependendo de qual fonte regulatória for aplicada a um caso específico. Enquanto essa convergência não se consolida, hospitais que aguardam a regulação final para só então ajustar seus processos internos tendem a lidar com uma janela de exposição maior do que instituições que já começam a se adaptar aos critérios que estão sendo discutidos.
O que hospitais e clínicas precisam ajustar antes da regulação entrar em vigor
Instituições que operam sistemas de apoio à decisão clínica podem reduzir exposição de risco independentemente do desfecho final da votação legislativa. Três frentes concentram a maior parte do trabalho necessário. A primeira é a infraestrutura de rastreabilidade: garantir que cada recomendação gerada por um sistema de IA fique associada a uma versão específica do modelo, aos dados que a originaram e ao nível de confiança apresentado ao profissional no momento da decisão. A segunda é a formalização contratual com fornecedores de software clínico, definindo com clareza quais garantias o fabricante assume em caso de falha do modelo e quais responsabilidades permanecem exclusivamente com a instituição contratante. A terceira é a documentação do processo de supervisão humana, registrando de forma verificável que o profissional teve acesso à recomendação, ao contexto clínico e à possibilidade de divergir da sugestão algorítmica antes de finalizar a decisão.
Hospitais que já tratam essas três frentes como parte de sua operação de tecnologia da informação, e não como um anexo jurídico posterior à implantação, chegam à regulação final em posição mais estável, independentemente de qual modelo de responsabilidade prevalecer no texto aprovado.
Dúvidas sobre responsabilidade e uso de IA em diagnósticos médicos
O médico pode ser responsabilizado mesmo seguindo a recomendação de um sistema de IA? Sim. Nos modelos regulatórios em discussão, a supervisão humana continua sendo exigida como etapa final da decisão clínica. Seguir uma recomendação de IA sem exercer avaliação crítica não isenta automaticamente o profissional, especialmente quando há sinais clínicos que contradizem a sugestão do sistema.
O que muda na prática se o PL 2.338/2023 for aprovado como está? O texto formaliza exigências de transparência, documentação e supervisão humana para sistemas de IA classificados como de alto risco, categoria que inclui aplicações clínicas. Hospitais e fornecedores passam a ter obrigações mais explícitas de compliance, o que tende a acelerar a adoção de trilhas de auditoria e contratos mais detalhados sobre responsabilidade.
A resolução do CFM terá força de lei? A resolução tem caráter normativo dentro do exercício da medicina e pode fundamentar processos éticos e disciplinares contra profissionais, mas não substitui o marco legal em tramitação no Congresso, que trata da regulação da tecnologia de forma mais ampla, incluindo obrigações para fabricantes de software.
Hospitais menores e clínicas de médio porte também são afetados por essa regulação? Sim. O levantamento da Associação Brasileira de Telemedicina mostra que a adoção de algoritmos de apoio à decisão já é significativa fora dos grandes centros, o que amplia o alcance prático de qualquer definição regulatória sobre responsabilidade, independentemente do porte da instituição.
Como uma instituição comprova que seguiu corretamente o protocolo em caso de erro envolvendo IA? A comprovação depende diretamente da qualidade da infraestrutura de rastreabilidade: registros de qual versão do modelo estava ativa, quais dados foram utilizados, qual nível de confiança foi exibido ao profissional e evidência documentada da avaliação humana antes da decisão final. Instituições sem esse tipo de log estruturado enfrentam maior dificuldade para reconstruir o histórico de um incidente.