Letícia Agostinho Mouro

Por meio da prática jurídica junto a empresas de tecnologia e instituições de saúde, foi possível acompanhar, em número significativo de casos, a chegada de produtos digitais ao mercado sem que seus desenvolvedores tivessem, em momento algum do processo de criação, consultado o arcabouço regulatório que os governa.
A descoberta ocorre, invariavelmente, tarde: no momento em que o produto já está estruturado, o investimento captado e qualquer alteração na arquitetura do sistema implica custos que comprometem o cronograma e, não raro, a viabilidade do negócio.
<a href="https://www.jota.info/produtos/saude?utm_source=cta-site&amp;utm_medium=site&amp;utm_campaign=campanha_saude_q2&amp;utm_id=cta_texto_saude_q2_2023&amp;utm_term=cta_texto_saude&amp;utm_term=cta_texto_saude_meio_materias">Com notícias da Anvisa e da ANS, o JOTA PRO Saúde entrega previsibilidade e transparência para empresas do setor</a>
Essa experiência motivou a reflexão que orienta este artigo: não sobre a ausência de normas, pois o Brasil dispõe de um conjunto regulatório sofisticado para softwares de saúde, mas sobre o momento em que essas normas chegam ao processo de inovação. Ou, mais precisamente, sobre o fato de que, na maioria dos casos, não chegam.
O equívoco mais comum é tratar a regulação como etapa final de verificação. Trata-se de um erro estrutural, dado que o ecossistema normativo que incide sobre softwares de saúde no Brasil não é linear nem unificado: é composto por ao menos três camadas que se sobrepõem sem necessariamente dialogar entre si, cada uma com lógicas, temporalidades e instâncias de fiscalização distintas.
A primeira camada é sanitária. A <a href="https://www.in.gov.br/en/web/dou/-/resolucao-de-diretoria-colegiada-rdc-n-657-de-24-de-marco-de-2022-389603457">RDC (Resolução da Diretoria Colegiada) 657/2022</a> da Agência Nacional de Vigilância Sanitária (ANVISA) estabeleceu, pela primeira vez, um regime específico para softwares como dispositivos médicos, os chamados SaMDs (Software as a Medical Device), superando a inadequação da <a href="https://bvsms.saude.gov.br/bvs/saudelegis/anvisa/2001/rdc0185_22_10_2001.html">RDC 185/2001</a>, norma concebida para equipamentos físicos. O regramento adota lógica proporcional ao risco: softwares de classes I e II submetem-se a notificação; os de classes III e IV, ao registro, com exigências de validação clínica, arquitetura de segurança e conformidade com normas internacionais.
Embora o avanço seja inegável, a norma deixa em aberto uma das questões mais frequentes na prática: onde termina o software de gestão e onde começa o dispositivo médico? Um sistema de prontuário eletrônico que apenas armazena dados não é SaMD. O mesmo sistema, se incorporar módulo que sugere condutas com base no histórico clínico, pode ser. E se utilizar inteligência artificial generativa para redigir evoluções clínicas? A norma não responde de forma inequívoca, e o mercado avança mais velozmente do que a regulação consegue acompanhar.
A segunda camada é deontológica. Em fevereiro de 2026, com a publicação das <a href="https://sistemas.cfm.org.br/normas/visualizar/resolucoes/BR/2026/2453">Resoluções CFM (Conselho Federal de Medicina) 2.453</a> e <a href="https://sistemas.cfm.org.br/normas/visualizar/resolucoes/BR/2026/2454">2.454/2026</a>, ambas com vigência prevista para agosto deste ano, o CFM consolidou um marco regulatório específico para o uso de inteligência artificial na medicina. As obrigações recaem não apenas sobre os médicos, mas sobre instituições e fornecedores de tecnologia que integram essa cadeia.
A norma classifica sistemas de inteligência artificial (IA) em níveis de risco, do baixo ao inaceitável, exige a criação de Comissões de IA e Telemedicina em instituições que adotem sistemas próprios, sob coordenação médica, e veda expressamente que algoritmos comuniquem diagnósticos ou decisões terapêuticas ao paciente sem mediação de um profissional. Mais do que limitações éticas, essas são decisões de produto: definem fluxos, interfaces, arquiteturas de dados e estruturas contratuais.
A terceira camada é a da proteção de dados. A <a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018)</a> classifica dados de saúde como sensíveis, impondo exigências quanto à base legal do tratamento, à finalidade e à segurança técnica e administrativa. A interseção entre a LGPD e as normas sanitárias e deontológicas é, ainda hoje, campo de incerteza interpretativa, especialmente quanto a dados utilizados para treinamento de modelos de inteligência artificial. Quem é o controlador dos dados clínicos que alimentam um algoritmo diagnóstico: o desenvolvedor, a instituição contratante, ou ambos? A norma do CFM não resolve, por si só, essa alocação de responsabilidades.
Para além da ausência de diálogo normativo, constata-se que prevalece no mercado de healthtech um modelo que trata a conformidade regulatória como verificação posterior ao produto, e não como variável estruturante de seu desenho, o que produz consequências relevantes.
A primeira é de ordem técnica. Requisitos como explicabilidade algorítmica, auditabilidade e contestabilidade não são atributos que se adicionam a um produto pronto. São decisões de arquitetura. Um modelo desenvolvido sem esses requisitos não se torna explicável com a adição de um aviso na interface, assim como não é possível garantir auditabilidade sobre um processo decisório não projetado para ser auditado. 
A segunda consequência é contratual, já que a cadeia de responsabilidade envolve o desenvolvedor, a instituição contratante e o profissional que utiliza o sistema. A resolução reafirma que a responsabilidade final pelas decisões clínicas é do médico, mas não isenta o fornecedor de tecnologia das obrigações que lhe incumbem por contrato, pela LGPD e pelas normas de proteção ao consumidor. Contratos que não alocam com precisão essas responsabilidades, especialmente em situações de falha com impacto sobre a conduta clínica, representam risco jurídico subapreciado pelo mercado.
<a href="https://conteudo.jota.info/marketing-lp-newsletter-ultimas-noticias?utm_source=jota&amp;utm_medium=lp&amp;utm_campaign=23-09-2024-jota-lp-eleicoes-2024-eleicoes-2024-none-audiencias-none&amp;utm_content=eleicoes-2024&amp;utm_term=none">Assine gratuitamente a newsletter Últimas Notícias do JOTA e receba as principais notícias jurídicas e políticas do dia no seu email</a>
O cenário está, porém, longe de se estabilizar. A publicação das resoluções do CFM ocorre paralelamente à tramitação do <a href="https://www25.senado.leg.br/web/atividade/materias/-/materia/157233">Marco Legal da Inteligência Artificial no Brasil</a>, aprovado pelo Senado em dezembro de 2024 e em discussão na Câmara dos Deputados, que terá hierarquia normativa superior às resoluções dos conselhos profissionais. Em outras palavras, empresas adequadas apenas ao regramento deontológico atual poderão precisar revisitar contratos e arquiteturas de produto quando a lei federal for promulgada.
Questiona-se, diante desse cenário, se o modelo predominante de assessoria jurídica em inovação em saúde, reativo e concentrado na fase de lançamento, é compatível com a complexidade das exigências regulatórias que se impõem ao setor. A hipótese que orienta a prática aqui descrita é a de que não. A conformidade estrutural, aquela que decorre de decisões tomadas no momento do desenho do produto, não é apenas mais eficiente do ponto de vista econômico. É a única que oferece segurança jurídica real a desenvolvedores, instituições e pacientes.
*Nota de transparência: a autora atua profissionalmente na análise e adequação de tecnologias em saúde junto a empresas e instituições do setor, o que fundamenta diretamente as observações práticas descritas neste artigo.

saúde suplementar; inteligência artificial

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O nó regulatório entre Anvisa, CFM e LGPD e por que a conformidade deve ser estrutural e não uma etapa final

Três camadas, nenhum diálogo: o desafio regulatório dos softwares de saúde

O nó regulatório entre ANVISA, CFM e LGPD e por que a conformidade deve ser estrutural e não uma etapa final