Governança de IA em hospitais: comitê e aprovação de ferramentas

Governança de IA em hospitais é o conjunto de regras, papéis e rotinas que define quais ferramentas de inteligência artificial entram na instituição, como são usadas e como são acompanhadas. Na prática, começa com um comitê multidisciplinar, um inventário dos usos atuais, critérios de risco e um fluxo formal de aprovação, seguido de monitoramento depois da implantação.

Em resumo:

• O comitê reúne diretoria clínica, TI, segurança da informação, jurídico e encarregado de dados, qualidade e enfermagem.
• Antes de aprovar algo novo, mapeie o que já está em uso, inclusive ferramentas gratuitas abertas no navegador.
• Classifique cada uso por risco: quanto maior o impacto clínico e a autonomia da ferramenta, mais rigorosa a avaliação.
• Toda aprovação passa por etapas com responsável e entrega definidos, terminando em decisão registrada em ata.
• Depois de implantada, a ferramenta é monitorada com indicadores e reavaliada periodicamente.

Por que a governança de IA em hospitais precisa de um comitê?

Ferramentas de IA chegam ao hospital por muitas portas. Um residente usa um chatbot gratuito para resumir uma evolução. O faturamento contrata uma solução de auditoria de contas. Um fornecedor de imagem ativa um recurso novo numa atualização. Sem um ponto central de decisão, ninguém sabe o que está rodando, com quais dados e sob qual responsabilidade.

O comitê resolve isso por três motivos. Primeiro, as decisões envolvem saberes diferentes: um diretor clínico não avalia sozinho a criptografia de um fornecedor, e o time de TI não avalia sozinho se um resumo clínico está correto. Segundo, dados de saúde são dados pessoais sensíveis pela LGPD (Lei 13.709/2018, art. 5º, II), com regras próprias de tratamento no art. 11. Terceiro, alguns softwares com IA podem ser enquadrados como dispositivo médico e precisar de regularização na Anvisa, conforme a RDC 657/2022.

Se você está começando a estruturar o tema na instituição, o guia de inteligência artificial em hospitais para diretores e gestores mostra o panorama de usos e prioridades antes de entrar na governança.

Quem deve fazer parte do comitê de IA?

O comitê precisa ser pequeno o bastante para decidir e amplo o bastante para enxergar todos os riscos. Seis a nove membros costumam funcionar. Cada área entra com uma pergunta que só ela responde bem.

O encarregado de dados é a pessoa indicada pelo hospital, nos termos da LGPD, para atuar como canal entre a instituição, os titulares e a ANPD. Conforme a pauta, convide convidados fixos ou pontuais: faturamento, farmácia, compras, comunicação e um representante do corpo clínico da especialidade afetada.

Como montar o comitê de governança de IA: passo a passo

1. Obtenha o patrocínio da diretoria. O comitê precisa de mandato formal, com poder de vetar ferramentas. Sem isso, vira fórum consultivo que ninguém consulta.
2. Escreva um regimento curto. Defina escopo (o que conta como IA para o hospital), membros, quórum, periodicidade, forma de registro das decisões e prazo de resposta aos pedidos.
3. Nomeie um secretário executivo. Alguém da qualidade ou do escritório de projetos recebe pedidos, organiza a pauta e mantém o inventário atualizado.
4. Faça o inventário inicial. Antes de avaliar qualquer novidade, descubra o que já está em uso (detalhado na próxima seção).
5. Defina os critérios de risco e o fluxo de aprovação. Use níveis simples e um fluxo simplificado para casos de baixo risco, para não travar a operação.
6. Publique a política interna de uso de IA. Ela traduz as decisões do comitê em regras para todos os colaboradores.
7. Programe a revisão. Agende reavaliações periódicas das ferramentas aprovadas e uma revisão anual do próprio regimento.

Como fazer o inventário de usos de IA

O inventário é a lista viva de toda ferramenta com IA usada no hospital, contratada ou não. Ele costuma revelar surpresas, principalmente o uso informal de assistentes gratuitos com dados de pacientes. Esse uso merece atenção imediata, pelos motivos explicados em dados do paciente no ChatGPT e o que dizem a LGPD e o sigilo médico.

Para levantar os usos, combine três fontes: questionário curto enviado às lideranças de cada área, relatório de TI sobre sistemas e acessos a serviços de IA na rede e revisão dos contratos vigentes com fornecedores que anunciam recursos de IA. Para cada item, registre:

• Nome da ferramenta, fornecedor e versão.
• Finalidade e área usuária.
• Dono interno (quem responde pela ferramenta).
• Tipos de dados usados e se há dado identificável de paciente.
• Onde os dados são processados e armazenados.
• Se há revisão humana antes de o resultado ser usado.
• Nível de risco atribuído e data da última avaliação.

Uma planilha resolve no começo. O importante é que tenha dono e seja atualizada a cada aprovação, mudança ou descontinuação.

Quais critérios de risco usar para classificar cada ferramenta?

Avalie cada uso por quatro dimensões: impacto clínico (a saída influencia diagnóstico ou conduta?), autonomia (alguém revisa antes de usar?), sensibilidade dos dados (há dado identificável de paciente?) e enquadramento regulatório (pode ser software como dispositivo médico pela RDC 657/2022?). A combinação define o nível.

Documentação clínica é um bom exemplo de risco moderado: a IA escreve, mas o médico revisa e assina. Os casos de evolução médica com IA na internação mostram como esse controle funciona na rotina.

Fluxo de aprovação de uma nova ferramenta: etapas e responsáveis

Todo pedido segue o mesmo caminho. O que muda é a profundidade de cada etapa conforme o risco. A tabela abaixo serve de modelo para o regimento.

Para padronizar as perguntas das etapas 3 a 5, use o checklist com 15 perguntas para avaliar ferramenta de IA na saúde como base do formulário.

Um exemplo de como uma ferramenta de documentação clínica responde a esses critérios: no prontuário com IA da Pronova, o sistema transcreve o atendimento e gera um rascunho em formato SOAP, com sugestão de CID-10, e o médico revisa, ajusta e assina. Os dados ficam em servidores no Brasil, com criptografia AES-256 e TLS 1.3, e a integração com o sistema hospitalar (HIS) é feita via HL7 FHIR, o padrão de troca de dados clínicos entre sistemas.

O que monitorar depois da implantação?

A aprovação não encerra a governança. Modelos de IA mudam com atualizações do fornecedor, e o comportamento da equipe muda com o tempo. Defina indicadores simples antes de ligar a ferramenta:

• Qualidade da saída: auditoria amostral mensal de documentos gerados, verificando erros, omissões e informações que não constavam no atendimento.
• Revisão humana: sinais de que a equipe está assinando sem ler, como textos aprovados sem nenhuma alteração em volume incomum.
• Incidentes: notificações no sistema de segurança do paciente com a categoria "ferramenta de IA".
• Segurança: revisão dos logs de acesso e de perfis de usuário.
• Adesão e satisfação: uso real versus esperado e percepção dos usuários.
• Mudanças do fornecedor: nova versão de modelo ou nova funcionalidade dispara reavaliação.

Imagine, como exemplo hipotético, um hospital que aprovou a geração de sumário de alta com IA. Na auditoria do terceiro mês, a qualidade percebe que as orientações de alta saem genéricas numa das unidades. O comitê não suspende a ferramenta: ajusta o modelo de documento daquela especialidade e reforça o treinamento local. É esse ciclo que mantém o uso seguro.

Política interna e treinamento das equipes

A política interna é o documento que todo colaborador precisa conhecer. Ela deve ser curta e objetiva, cobrindo:

• Lista de ferramentas aprovadas e onde consultá-la.
• Usos proibidos, como inserir dados de pacientes em ferramentas não aprovadas.
• Revisão humana obrigatória de toda saída de IA usada em documento clínico. O Código de Ética Médica (Resolução CFM 2.217/2018) mantém o médico responsável pelos seus atos e pelo sigilo.
• Como informar o paciente sobre o uso de IA, com apoio do material sobre como avisar o paciente sobre uso de IA.
• Como pedir uma nova ferramenta e como notificar incidentes.
• Consequências do descumprimento.

O treinamento deve variar por perfil. Médicos precisam saber revisar saídas e reconhecer erros típicos. A enfermagem precisa conhecer os limites de cada ferramenta no plantão. A equipe administrativa precisa entender o que não pode ir para ferramentas públicas. TI e segurança precisam dominar a configuração e os registros de auditoria. Registre presença e repita a capacitação a cada nova ferramenta ou mudança relevante.

Checklist do comitê de IA

• Regimento aprovado pela diretoria, com poder de veto.
• Membros das seis áreas nomeados e secretário executivo definido.
• Inventário completo, com dono para cada ferramenta.
• Matriz de risco publicada.
• Formulário de pedido e fluxo de aprovação em funcionamento.
• Política interna divulgada e treinamento registrado.
• Indicadores de monitoramento definidos para cada ferramenta aprovada.
• Calendário de reavaliações agendado.

Erros comuns na governança de IA

• Começar avaliando novidades e ignorar o que já está em uso. O maior risco costuma estar no uso informal.
• Tratar todo pedido com o mesmo rigor. Isso trava a operação e empurra as equipes de volta às ferramentas não aprovadas.
• Deixar a decisão só com a TI. Sem a diretoria clínica e a enfermagem, a avaliação perde o olhar assistencial.
• Aprovar e esquecer. Sem monitoramento, o comitê não percebe quando a qualidade cai.
• Escrever uma política longa que ninguém lê. Prefira poucas regras claras e exemplos práticos.
• Esperar uma lei específica para agir. O PL 2.338/2023 ainda está em discussão no Congresso, mas LGPD, normas do CFM e da Anvisa já se aplicam hoje.

Próximo passo

Comece pelo que não depende de orçamento: o patrocínio da diretoria, o regimento e o inventário. Em poucas semanas, o comitê já terá uma visão real dos riscos e poderá avaliar as próximas ferramentas com critério.

Se a documentação clínica está entre as prioridades do seu hospital, conheça o plano Enterprise da Pronova, com prontuário com IA revisado e assinado pelo médico, servidores no Brasil e integração com o HIS via HL7 FHIR, e leve a proposta para avaliação no seu comitê.