Marco legal da IA na saúde: o que o PL 2.338/2023 pode mudar

O marco legal da IA na saúde, no Brasil, gira em torno do PL 2.338/2023, projeto que propõe regular a inteligência artificial pelo nível de risco de cada uso, com direitos para as pessoas afetadas e deveres de governança para quem desenvolve e usa esses sistemas. Na saúde, a tendência é de exigências maiores: as decisões afetam a vida do paciente e usam dados sensíveis.

Em resumo:

• O projeto organiza as obrigações por risco: quanto maior o impacto possível, mais controles.
• Pacientes e outras pessoas afetadas ganham direitos como informação, explicação e revisão humana.
• Fornecedores e instituições que usam IA terão deveres de documentação, supervisão e transparência.
• A saúde tende a concentrar usos de alto risco, como apoio a diagnóstico e priorização de atendimento.
• Você já pode agir: inventário de usos, avaliação de risco e transparência com o paciente.

O que é o PL 2.338/2023, em termos gerais

O PL 2.338/2023 é o projeto de lei que propõe um marco legal para a inteligência artificial no Brasil. Ele não é uma lei da saúde. Vale para qualquer setor que desenvolva ou use IA: bancos, educação, recrutamento, segurança pública e, claro, serviços de saúde. A ideia central é graduar as obrigações conforme o risco que cada aplicação representa para as pessoas.

Três pilares aparecem de forma consistente nas versões discutidas:

• Classificação por risco: alguns usos seriam proibidos, outros considerados de alto risco e o restante sujeito a regras mais leves.
• Direitos das pessoas afetadas: quem é impactado por uma decisão apoiada em IA teria garantias de informação, explicação e contestação.
• Governança e fiscalização: processos internos, documentação, supervisão humana, comunicação de incidentes e um sistema de órgãos responsáveis por fiscalizar.

Um alerta antes de seguir. O texto do projeto passou por várias redações, e detalhes de artigos, nomes de categorias e prazos podem ter mudado. Este artigo explica a lógica geral, não a redação final. Antes de qualquer decisão de conformidade, confira a versão vigente pelo número do projeto nos sites do Congresso. Para o panorama de todas as regras que já incidem sobre o tema, veja o guia sobre regulamentação da IA na saúde para médicos e gestores.

Como funciona a abordagem baseada em risco?

Abordagem baseada em risco significa que a lei não trata toda IA da mesma forma. Um sistema que lembra o paciente da consulta não gera o mesmo perigo que um sistema que sugere prioridade de atendimento num pronto-socorro. Por isso, os controles crescem conforme o potencial de dano a direitos, à saúde ou à segurança.

O ponto que mais confunde: a classificação depende do uso, não da tecnologia. O mesmo modelo de linguagem pode responder dúvidas sobre horário de funcionamento (baixo risco) ou sugerir hipóteses diagnósticas (risco alto). Quem define o patamar é a finalidade e o peso que a resposta tem na decisão sobre o paciente.

Quais direitos das pessoas afetadas o projeto discute?

O projeto parte da ideia de que quem sofre os efeitos de uma decisão apoiada em IA não pode ficar no escuro. Nas versões discutidas, aparecem direitos como:

• Informação prévia: saber que está interagindo com um sistema de IA ou que ele foi usado na decisão.
• Explicação: entender, em linguagem acessível, os critérios que levaram a uma recomendação ou decisão.
• Contestação e revisão humana: poder questionar o resultado e pedir que uma pessoa o reavalie.
• Não discriminação: proteção contra vieses que prejudiquem grupos específicos.
• Privacidade e proteção de dados: em linha com a LGPD.

Traduzindo para a rotina: imagine uma paciente que descobre que o encaminhamento dela para um especialista foi priorizado por um escore automático. Ela pergunta à recepção: "foi o computador que decidiu?". A clínica precisa saber responder o que o sistema faz, quem revisou o resultado e como ela pode pedir uma reavaliação. Se ninguém sabe, há um problema de governança, com ou sem lei aprovada.

Governança: o que se espera de quem desenvolve e de quem usa

O projeto distingue papéis. De um lado, quem desenvolve ou fornece o sistema. Do outro, quem o aplica no dia a dia, como a clínica ou o hospital. A nomenclatura exata pode variar entre versões, mas a divisão de responsabilidades segue a mesma lógica.

Um termo que você vai encontrar com frequência é avaliação de impacto algorítmico: um documento que descreve o sistema, os riscos que ele pode causar, as medidas para reduzi-los e como o desempenho será monitorado. Para usos de alto risco, as versões discutidas preveem algo nessa linha.

Quanto à fiscalização, o projeto prevê um sistema com uma autoridade coordenadora e a participação de reguladores setoriais. Na saúde, é natural que órgãos como a Anvisa e entidades como o CFM continuem atuando dentro das próprias competências. Como essa articulação pode ter mudado no texto, confira a versão vigente.

Por que a saúde tende a ser área sensível no marco legal da IA

Mesmo sem conhecer a redação final, dá para prever que a saúde será tratada com rigor. Os motivos são estruturais:

• Dados sensíveis: a LGPD (Lei 13.709/2018) classifica dados de saúde como dados pessoais sensíveis (art. 5º, II) e impõe regras próprias de tratamento (art. 11).
• Erros com consequência física: uma recomendação errada pode atrasar um diagnóstico ou levar a uma conduta inadequada, nem sempre reversível.
• Vieses de dados: modelos treinados com populações diferentes da atendida podem funcionar pior para certos grupos de pacientes.
• Vulnerabilidade do paciente: quem está doente tem menos condições de questionar uma decisão técnica.
• Responsabilidade profissional: o Código de Ética Médica (Resolução CFM 2.217/2018) mantém o médico responsável pelos seus atos, com ou sem IA. Para aprofundar, leia sobre responsabilidade médica no uso de IA.

Como o projeto conversa com as regras que já existem

Você não precisa esperar o marco legal para ter obrigações. Boa parte do que ele propõe já tem paralelo em normas vigentes. A tendência é que a lei geral some uma camada, sem substituir as regras setoriais.

O que pode mudar na rotina do consultório, da clínica e do hospital

No consultório

O uso mais comum hoje é o escriba médico: a IA transcreve a consulta e propõe o registro. O ponto de atenção é a supervisão humana. No prontuário com IA da Pronova, por exemplo, a ferramenta transcreve a consulta e sugere o registro em SOAP com CID-10, mas o médico revisa, ajusta e assina. É esse desenho, com a decisão final nas mãos do profissional, que a lógica do projeto valoriza. Some a isso uma comunicação simples ao paciente sobre o uso da ferramenta.

Na clínica

Chatbots e mensagens automáticas costumam começar em tarefas administrativas, como agendamento e lembretes. O risco muda quando o robô passa a responder sobre sintomas ou a sugerir urgência. Imagine uma clínica hipotética que ativa respostas automáticas no WhatsApp e, meses depois, percebe que o sistema orienta pacientes sobre dor no peito. O uso mudou de patamar sem que ninguém decidisse isso.

No hospital

Escores de deterioração clínica, priorização de filas e IA em imagem tendem a cair nas categorias de maior risco. Aqui a governança precisa ser formal: comitê que aprova novos usos, avaliação de impacto, monitoramento de desempenho ao longo do tempo e canal para registrar falhas.

O que médicos e gestores podem fazer desde já

As medidas abaixo fazem sentido em qualquer versão do texto, porque também atendem à LGPD e à ética médica.

1. Faça um inventário de usos de IA. Liste tudo: prontuário, agenda, chatbot, laudos, marketing. Inclua o uso informal, como profissionais que colam dados de pacientes em chatbots gerais por conta própria.
2. Classifique o risco preliminar. Pergunte: o resultado influencia diagnóstico, conduta ou prioridade de atendimento? Se sim, trate como risco alto.
3. Defina a supervisão humana por escrito. Quem revisa, em que momento e como a revisão fica registrada.
4. Seja transparente com o paciente. Um aviso claro na recepção, no site ou no início da consulta resolve boa parte da exigência de informação.
5. Cobre documentação dos fornecedores. Finalidade, limitações, onde os dados ficam, segurança e regularização na Anvisa quando aplicável. Use o checklist para avaliar ferramentas de IA na saúde.
6. Formalize uma política interna. Regras sobre ferramentas autorizadas, dados permitidos e responsabilidades. Há um modelo de política de uso de IA na clínica pronto para adaptar.
7. Registre incidentes e revise periodicamente. Erros relevantes da ferramenta devem ser anotados, analisados e comunicados ao fornecedor.

Um inventário não precisa ser sofisticado. Veja um exemplo hipotético de uma clínica com três médicos:

Limites: o que o projeto não resolve sozinho

Uma lei geral não substitui o julgamento clínico nem detalha cada situação da prática médica. Muitas definições devem depender de regulamentação posterior e da atuação dos órgãos setoriais. Questões de responsabilidade em um caso específico, como um erro de diagnóstico com apoio de IA, dependem de análise jurídica do caso concreto. E o CFM pode publicar orientações próprias sobre IA na medicina, por isso vale acompanhar as manifestações do conselho.

Como acompanhar a versão vigente do projeto

• Consulte a tramitação pelo número do projeto nos sites do Senado Federal e da Câmara dos Deputados.
• Leia o texto oficial, não apenas notícias ou resumos.
• Verifique se houve sanção e se há regulamentação ou prazos de adaptação.
• Acompanhe as publicações da ANPD, da Anvisa e do CFM sobre IA.
• Designe uma pessoa da equipe para revisar o tema a cada trimestre.

Próximo passo

Comece pelo inventário: reserve uma hora nesta semana para listar as ferramentas de IA em uso, quem as usa e quem revisa o resultado. Com isso em mãos, a adaptação a qualquer versão do marco legal fica mais simples. Se você é médico ou gestor de clínica e quer ver na prática um prontuário com IA em que a decisão final é sempre sua, faça o Teste Express da Pronova, uma demonstração de 30 segundos sem cadastro. Para hospitais que precisam de integração com o HIS via HL7 FHIR e governança em escala, conheça o plano Enterprise.