A rápida evolução das tecnologias digitais, em especial dos sistemas de inteligência artificial, tem impulsionado uma transformação profunda na forma como as organizações públicas e privadas estruturam seus processos, tomam decisões e prestam serviços. No setor da saúde, esse movimento assume contornos particularmente relevantes: ferramentas baseadas em IA vêm sendo incorporadas às mais diversas atividades, como diagnóstico por imagem, triagem de pacientes e apoio à decisão clínica, além de prometer ganhos de eficiência, precisão e ampliação do acesso ao cuidado. Por outro lado, a crescente dependência dessas soluções em ambientes clínicos e assistenciais evidencia a necessidade de mecanismos robustos de governança e regulamentação, diante dos potenciais impactos sobre a segurança do paciente, a autonomia profissional e os direitos fundamentais.

Em paralelo, a governança de inteligência artificial (“IA”) tem se consolidado como uma das agendas corporativas e regulatórias mais relevantes. Diversos países e blocos econômicos vêm desenvolvendo marcos normativos voltados à regulação do desenvolvimento e do uso de sistemas de IA, com atenção especial aos setores em que os riscos à segurança e aos direitos fundamentais são mais elevados, como é o caso do setor da saúde.

Na União Europeia (UE), o AI Act, publicado em julho de 2024, tornou-se a primeira legislação vinculante do mundo exclusivamente dedicada à regulação de sistemas de IA. A norma adota uma abordagem baseada em risco, classificando os sistemas em quatro categorias (risco inaceitável, alto risco, risco limitado e risco mínimo) e atribuindo obrigações proporcionais a cada nível.[1]

Nos Estados Unidos, embora não exista, até o momento, uma legislação federal vinculante equivalente ao AI Act europeu, a construção de padrões voluntários de governança tem avançado de forma significativa. Para o setor da saúde, destaca-se o trabalho da Joint Commission, entidade responsável pela acreditação de mais de 22.000 organizações de saúde no país, que, em parceria com a Coalition for Health AI (CHAI), publicou, em setembro de 2025, o documento Responsible Use of AI in Healthcare (RUAIH), considerado o primeiro framework de governança emitido por uma entidade acreditadora voltado especificamente à integração segura e ética da IA em ambientes clínicos e operacionais de saúde.

Em junho de 2026, a Joint Commission lançou um programa voluntário de certificação baseado no RUAIH, que reconhece organizações que demonstrem possuir estruturas de governança, salvaguardas, processos de monitoramento e programas de educação adequados ao uso responsável de IA.[2]

No Brasil, o Projeto de Lei n. 2.338/2023, de autoria do senador Rodrigo Pacheco, constitui o principal marco legislativo em tramitação sobre o tema. Aprovado por unanimidade no Senado Federal em dezembro de 2024, o projeto foi remetido à Câmara dos Deputados em março de 2025, onde está sendo analisado por uma Comissão Especial sob a presidência da deputada Luísa Canziani (PSD-PR) e a relatoria do deputado Aguinaldo Ribeiro (PP-PB). O PL adota uma abordagem regulatória baseada em risco, inspirada no modelo europeu do AI Act, prevendo a classificação dos sistemas de IA em categorias de risco, desde o excessivo (vedados), alto, específico e mínimo, com obrigações proporcionais para cada nível. Além disso, institui direitos dos afetados por decisões automatizadas, como os de transparência, explicação e contestação, e cria ainda o Sistema Nacional de Regulação e Governança de IA (SIA), com previsão de sanções de até R$ 50 milhões por infração.[3]

A tramitação do PL, contudo, tem enfrentado sucessivos adiamentos. Embora houvesse expectativa inicial de apresentação do relatório e votação na Comissão Especial ainda em 2025 e, posteriormente, entre abril e maio de 2026, o parecer ainda não foi apresentado. Em manifestações recentes, o deputado Aguinaldo Ribeiro indicou que pretende promover ajustes relevantes no texto aprovado pelo Senado, especialmente quanto à classificação de risco dos sistemas de IA.

Segundo o relator, a definição das aplicações que se enquadram como de alto risco não deveria permanecer rigidamente fixada em lei, mas ser atribuída a uma estrutura de governança capaz de atualizar critérios ao longo do tempo, em coordenação com agências reguladoras setoriais, como a ANS e a ANVISA no setor da saúde. Essa posição parte da premissa de que o risco de um sistema de IA é dinâmico: uma tecnologia inicialmente classificada como de alto risco pode ter seus riscos mitigados, controlados ou reavaliados após testes, validações e evolução técnica. Além disso, o relator tem defendido a construção de uma “lei viva”, suficientemente flexível para acompanhar a velocidade das transformações tecnológicas sem exigir nova tramitação legislativa a cada necessidade de reclassificação de risco, preservando, ao mesmo tempo, direitos fundamentais, segurança jurídica e estímulo à inovação.

Ainda que não haja previsão de aprovação do PL em curto prazo, normas setoriais já incidem sobre o uso de IA na saúde paralelamente à tramitação legislativa. A Resolução CFM n. 2.454/2026, publicada pelo Conselho Federal de Medicina em fevereiro de 2026, normatiza o uso da inteligência artificial na medicina em todo o território nacional, estabelecendo critérios de governança, classificação de risco, auditoria, monitoramento e uso responsável. Por sua vez, a LGPD (Lei n. 13.709/2018) também se aplica de forma direta, uma vez que a grande maioria das aplicações de IA na saúde envolve o tratamento de dados pessoais sensíveis para maior personalização dos outputs dos sistemas, conforme previsto nos artigos 6º, 11, 20 e 37 da referida lei.

Em outra frente de atuação, a Autoridade Nacional de Proteção de Dados (ANPD) incluiu a inteligência artificial como eixo prioritário de atuação no Mapa de Temas Prioritários para o biênio 2026-2027, sinalizando a convergência regulatória entre proteção de dados e governança algorítmica.

Esse panorama revela que a adoção de sistemas de IA no setor da saúde já se encontra submetida a um ambiente regulatório complexo, fragmentado e em constante evolução. Ainda que o marco legal brasileiro de IA permaneça em tramitação, organizações de saúde já precisam considerar simultaneamente normas gerais de proteção de dados, regras ético-profissionais aplicáveis à prática médica, exigências sanitárias e assistenciais, diretrizes de agências reguladoras setoriais e padrões internacionais de governança e acreditação. A consequência prática é que a governança de IA na saúde não pode ser tratada apenas como uma iniciativa tecnológica ou de inovação, mas como uma agenda jurídica, regulatória, clínica e institucional integrada, que exige coordenação multidisciplinar, avaliação contínua de riscos e capacidade de adaptação às novas exigências normativas que tendem a se consolidar nos próximos anos.

Medidas práticas de governança de IA na saúde: o framework RUAIH da Joint Commission

A tradução dos princípios regulatórios em medidas práticas de governança constitui um dos maiores desafios para as organizações de saúde. Nesse sentido, o documento Responsible Use of AI in Healthcare (RUAIH), elaborado conjuntamente pela Joint Commission e pela Coalition for Health AI (CHAI), oferece um roteiro estruturado que merece atenção do setor brasileiro, por sua aplicabilidade prática e pelo reconhecimento de que o uso responsável de IA não é apenas uma questão tecnológica, mas envolve segurança do paciente, qualidade assistencial, governança, privacidade e confiança. [4]

O framework RUAIH define sete elementos essenciais que as organizações de saúde devem considerar ao implementar ou gerenciar sistemas de IA: (i) políticas de IA e estruturas de governança, com a criação de comitês multidisciplinares que incluam perspectivas clínica, técnica, jurídica e do paciente; (ii) proteção de dados do paciente e políticas de privacidade; (iii) revisão e adequação dos contratos de uso de dados com terceiros fornecedores; (iv) implementação de processos de monitoramento e avaliação do desempenho das ferramentas de IA; (v) instituição de processos voluntários de reporte de incidentes de segurança ou desempenho relacionados à IA; (vi) identificação e mitigação de riscos e vieses que possam comprometer a segurança do paciente ou o acesso equitativo ao cuidado; e (vii) educação e treinamento da força de trabalho.[5]

Já a certificação voluntária RUAIH, lançada pela Joint Commission em junho de 2026, está organizada em cinco áreas-padrão: (a) governança; (b) gestão eficaz de dados; (c) redução de riscos e vieses; (d) monitoramento, avaliação e validação da segurança, desempenho e uso responsável; e (e) transparência, educação e treinamento. A certificação não valida produtos ou ferramentas individuais de IA, mas reconhece as organizações de saúde que demonstram possuir a governança e os controles institucionais adequados para o uso responsável da tecnologia.[6]

Entre as medidas práticas recomendadas pelo RUAIH e diretamente aplicáveis ao contexto brasileiro, destacam-se: a criação ou revisão de estruturas de governança para que estejam preparadas para IA; a revisão de contratos com fornecedores de tecnologia para proteção contra uso não autorizado de informações sensíveis; a disponibilização de rótulos informacionais, para que médicos possam avaliar a transparência e a confiabilidade das ferramentas de IA utilizadas; e a criação de materiais educativos para pacientes e familiares, assegurando consentimento informado e compreensão adequada sobre como a IA impactará o seu cuidado.

O treinamento e a educação da força de trabalho constituem um pilar horizontal do RUAIH. O documento recomenda que as organizações conduzam treinamentos específicos por cargo sobre funcionalidade, limitações e uso seguro das ferramentas de IA; implementem iniciativas de letramento em IA para construir uma compreensão de base sobre conceitos, riscos e terminologia; e capacitem os profissionais sobre as políticas e procedimentos internos de IA da organização. Embora o framework RUAIH seja voluntário, é relevante notar que a Joint Commission acredita mais de 22.000 organizações de saúde nos Estados Unidos e detém autoridade de acreditação para a participação no Medicare, o que confere ao documento uma relevância funcional que transcende sua natureza não vinculante para os agentes do mercado de saúde.[7]

O uso da IA na saúde: gravidade do erro, supervisão humana e a Resolução CFM n. 2.454/2026

O setor de saúde apresenta especificidades que tornam a governança de IA particularmente exigente e complexa. Diferentemente de outros setores, nos quais os erros de sistemas automatizados podem gerar prejuízos econômicos ou inconveniências operacionais, na saúde, o erro pode resultar em danos irreversíveis à integridade física, à saúde ou à vida do paciente, isto é, a direitos fundamentais do paciente. Um diagnóstico incorreto sugerido por um sistema de IA, uma triagem automatizada que subestima a gravidade de um quadro clínico ou uma recomendação terapêutica inadequada são exemplos de falhas cujas consequências podem ser fatais. Essa gravidade diferenciada do erro impõe padrões mais elevados de validação, monitoramento e supervisão humana sobre os sistemas de IA aplicados à medicina.

A supervisão humana constitui, nesse contexto, um princípio essencial. O PL n. 2.338/2023 estabelece, em seu art. 8º, que a supervisão humana de sistemas de IA de alto risco buscará prevenir ou minimizar os riscos para direitos e liberdades das pessoas ou grupos afetados, sendo que, em contextos que possam gerar riscos à vida ou à integridade física de indivíduos, haverá envolvimento humano significativo no processo decisório e determinação humana final. Essa exigência é especialmente relevante no ambiente clínico, no qual a IA deve funcionar como ferramenta de apoio ao raciocínio médico, e não como substituta do juízo profissional.

Nessa mesma linha, a Resolução CFM n. 2.454/2026, publicada em 27 de fevereiro de 2026 e com entrada em vigor prevista para agosto de 2026, consolida o princípio da centralidade do médico na relação com sistemas de IA. A resolução “estabelece normas para a pesquisa, o desenvolvimento, a governança, a auditoria, o monitoramento, a capacitação e o uso responsável” de soluções de IA na medicina, orientando-se pelos princípios da beneficência, da não maleficência, da autonomia, da justiça e da centralidade do cuidado humano.[8]

O art. 4º da Resolução estabelece os deveres do médico na utilização de sistemas de IA, dentre os quais se destacam: (i) empregar a IA exclusivamente como ferramenta de apoio, mantendo-se como responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas; (ii) exercer julgamento crítico sobre as informações e recomendações fornecidas pela IA, avaliando sua coerência com o quadro clínico, as evidências científicas disponíveis e as boas práticas médicas; (iii) manter-se atualizado quanto às capacidades, limitações, riscos e vieses conhecidos dos sistemas de IA utilizados; (iv) utilizar apenas sistemas de IA que atendam às normas éticas, técnicas, legais e regulatórias vigentes; e (v) registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica.[9]

A Resolução também tutela os direitos do paciente no contexto do uso de IA na medicina. O § 1º do art. 5º prevê que o paciente tem o direito de ser informado, de forma clara e acessível, sempre que um sistema de IA for utilizado em seu atendimento. Ademais, o art. 11 determina que qualquer utilização de IA deverá ser comunicada e explicada aos pacientes, configurando o que a doutrina tem denominado dever de informação qualificada. Ou seja, é necessário que o paciente compreenda o modelo de IA aplicado, seus limites, os dados compartilhados, o funcionamento do apoio à decisão médica e os riscos apresentados pela tecnologia. A resolução igualmente assegura ao paciente o direito de recusar o uso de IA em seu tratamento, impondo ao médico a obrigação de oferecer uma alternativa.

Quanto à governança institucional, a Resolução CFM n. 2.454/2026 estabelece que instituições médicas públicas ou privadas que desenvolvam ou utilizem sistemas de IA devem realizar avaliações preliminares para determinar o grau de risco envolvido, classificando os sistemas em níveis baixo, médio, alto ou inaceitável. As soluções de alto risco requerem processos rigorosos de validação, auditorias regulares e monitoramento contínuo. Além disso, instituições que implementem seus próprios sistemas de IA devem criar um Comitê de IA e Telemedicina, subordinado à diretoria técnica da instituição, com a função de assegurar o cumprimento das regras estabelecidas pela resolução.[10]

Por fim, é relevante observar que a Resolução CFM n. 2.454/2026 preceitua que todas as obrigações e procedimentos contidos na norma serão aplicados “também aos modelos, sistemas e aplicações de IA em desenvolvimento ou em uso nas instituições médicas na data da vigência.”

Nesse sentido, a convergência entre a regulação setorial do CFM e o futuro marco legal de IA será um aspecto crítico a ser monitorado. Eventuais disposições da Resolução que venham a conflitar com a legislação federal aprovada deverão ser revisadas e adequadas para garantir plena conformidade com o novo quadro regulatório.

Considerações finais

O panorama regulatório da inteligência artificial aplicada à saúde encontra-se em fase de construção simultânea, com marcos que dialogam entre si e que convergem em princípios fundamentais: a centralidade do ser humano, a proporcionalidade das obrigações ao nível de risco, a exigência de supervisão humana significativa e a necessidade de governança institucional estruturada.

Para as organizações do setor de saúde brasileiro, o cenário impõe uma agenda imediata de preparação. A convergência entre o PL 2.338/2023, a Resolução CFM n. 2.454/2026, a LGPD e padrões internacionais como o RUAIH indica que a governança de IA não é uma pauta futura, mas uma necessidade presente. Em conjunto, esses marcos apontam para um mesmo vetor regulatório: a necessidade de que hospitais, clínicas, operadoras e demais organizações de saúde tratem a IA como tecnologia de alto impacto institucional e reputacional, sujeita a controles permanentes e à integração entre as áreas médica, jurídica, técnica, regulatória e de proteção de dados.

As instituições que iniciarem desde já a estruturação de seus programas de governança, com a construção de inventários de sistemas de IA, avaliações de risco, políticas de transparência, treinamento profissional e mecanismos de supervisão, estarão melhor posicionadas tanto para a conformidade regulatória quanto para a entrega de um cuidado mais seguro, ético e centrado no paciente.

Referências

BRASIL. Câmara dos Deputados. Projeto de Lei n. 2.338/2023. Dispõe sobre o uso da inteligência artificial. Disponível em: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262. Acesso em: 17 jul. 2026.

BRASIL. Lei n. 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais. Diário Oficial da União: Brasília, DF, 15 ago. 2018. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 17 jul. 2026.

CONSELHO FEDERAL DE MEDICINA. Resolução CFM n. 2.454/2026. Estabelece normas para a pesquisa, o desenvolvimento, a governança, a auditoria, o monitoramento, a capacitação e o uso responsável de soluções de inteligência artificial na medicina. Brasília: CFM, 2026. Disponível em: https://portal.cfm.org.br/noticias/cfm-normatiza-uso-da-ia-na-medicina. Acesso em: 17 jul. 2026.

AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Mapa de Temas Prioritários 2026-2027. Brasília: ANPD, 2026. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/NotaTcnica54.2025MTP2025.pdf/@@display-file/file. Acesso em: 17 jul. 2026.

UNIÃO EUROPEIA. Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence. Official Journal of the European Union, 2024. Disponível em: https://eur-lex.europa.eu/eli/reg/2024/1689/oj. Acesso em: 17 jul. 2026.

[1] UNIÃO EUROPEIA. Regulamento (UE) 2024/1689 do Parlamento Europeu e do Conselho, de 13 de junho de 2024, que cria regras harmonizadas em matéria de inteligência artificial. Jornal Oficial da União Europeia, 12 jul. 2024. Disponível em: https://eur-lex.europa.eu/eli/reg/2024/1689/oj. Acesso em: 15 jul. 2026.

[2] JOINT COMMISSION; COALITION FOR HEALTH AI (CHAI). The Responsible Use of AI in Healthcare (RUAIH). Oakbrook Terrace, IL: Joint Commission, set. 2025. Disponível em: https://www.jointcommission.org/resources/responsible-use-of-ai-in-healthcare. Acesso em: 15 jul. 2026. Veja-se também: JOINT COMMISSION. Joint Commission Releases First of Its Kind Exclusively Designed for Healthcare Organizations, Voluntary Responsible Use of AI in Healthcare Certification. Oakbrook Terrace, IL, 1 jun. 2026. Disponível em: https://www.jointcommission.org/en-us/certification/responsible-use-of-ai-in-healthcare. Acesso em: 15 jul. 2026.

[3] BRASIL. Senado Federal. Projeto de Lei n. 2.338, de 2023. Dispõe sobre o desenvolvimento, o fomento e o uso ético e responsável da inteligência artificial com base na centralidade da pessoa humana. Aprovado pelo Senado Federal em 10 dez. 2024. Disponível em: https://www25.senado.leg.br/web/atividade/materias/-/materia/157233. Acesso em: 15 jul. 2026.

[4] AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD). Mapa de Temas Prioritários 2026-2027. Brasília: ANPD, dez. 2025. Disponível em: https://www.gov.br/anpd. Acesso em: 15 jul. 2026.

[5] JOINT COMMISSION; COALITION FOR HEALTH AI (CHAI). The Responsible Use of AI in Healthcare (RUAIH). Oakbrook Terrace, IL: Joint Commission, 2025, p. 2-4. Disponível em: https://digitalassets.jointcommission.org/api/public/content/dcfcf4f1a0cc45cdb526b3cb034c68c2. Acesso em: 15 jul. 2026.

[6] JOINT COMMISSION. Responsible Use of AI in Healthcare Certification. Oakbrook Terrace, IL, jun. 2026. Disponível em: https://www.jointcommission.org/en-us/certification/responsible-use-of-ai-in-healthcare. Acesso em: 15 jul. 2026.

[7] POLSINELLI LLP. Joint Commission and Coalition for Health AI Release First-of-Its-Kind Guidance on Responsible AI Use in Healthcare. Out. 2025. Disponível em: https://www.polsinelli.com/publications/tjc-chai-release-guidance-responsible-ai-use-healthcare. Acesso em: 15 jul. 2026.

[8] CONSELHO FEDERAL DE MEDICINA (CFM). Resolução CFM n. 2.454, de 11 de fevereiro de 2026. Normatiza o uso da inteligência artificial na medicina. Diário Oficial da União, Brasília, 27 fev. 2026. Disponível em: https://sistemas.cfm.org.br/normas/visualizar/resolucoes/br/2026/2454. Acesso em: 15 jul. 2026.

[9] Resolução CFM n. 2.454/2026, art. 4º, incisos I a V.

[10] Resolução CFM n. 2.454/2026, Anexo III. Veja-se também: MATTOS FILHO. CFM publica marco regulatório sobre o uso de IA na medicina. 9 mar. 2026. Disponível em: https://www.mattosfilho.com.br/en/unico/brazilian-council-ai-medicine/. Acesso em: 15 jul. 2026.