O programa que leu o seu exame precisa de registro na Anvisa? E a inteligência artificial dentro dele, precisa de quê?

Por Ramon Martins Andrade, advogado (OAB/RJ 188.374)

Cada vez mais laudos passam por um programa antes de passar por um médico: o algoritmo que marca a mancha na tomografia, o sistema que classifica o eletrocardiograma, o aplicativo que sugere o risco de uma lesão de pele. Quando o resultado vem errado, a primeira pergunta do paciente costuma ser: esse programa era aprovado? A resposta exige separar duas coisas que a conversa pública mistura o tempo todo — o software e a inteligência artificial dentro dele. No Brasil, uma tem norma; a outra, não. E olhar para o que a Europa fez ajuda a entender por quê.

O que existe no Brasil desde 2022: o registro do software

A Resolução RDC nº 657, de 24 de março de 2022, da Anvisa, “dispõe sobre a regularização de software como dispositivo médico (Software as a Medical Device – SaMD)” e está em vigor desde 1º de julho de 2022. O conceito é o do art. 2º, VII: software “que atende à definição de dispositivo médico, podendo ser de diagnóstico in vitro (IVD) ou não, sendo destinado a uma ou mais indicações médicas, e que realizam essas finalidades sem fazer parte de hardware de dispositivo médico”, incluídos “os aplicativos móveis”. Em português direto: um programa cuja finalidade é diagnosticar, monitorar ou tratar é, para a Anvisa, um dispositivo médico, e precisa ser regularizado como tal.

A norma tem duas exclusões que interessam ao leitor. Ela não se aplica a softwares “para bem-estar” — aqueles destinados a estimular atividade física ou hábitos saudáveis e que não se destinam a prevenção, diagnóstico ou tratamento (art. 1º, § 2º, e art. 2º, IX). E, pelo art. 5º, o software desenvolvido internamente pelo próprio serviço de saúde, para uso exclusivo dele e enquadrado nas classes de risco I e II, não é passível de regularização na Anvisa. Isso significa que nem todo programa usado num hospital tem registro, e nem todo deveria ter: o contador de passos do seu relógio não é dispositivo médico, e um sistema interno de baixo risco criado pelo hospital pode legitimamente não ter número de registro.

Quanto à classificação de risco, o art. 4º manda enquadrar o SaMD conforme a RDC 185/2001 “ou regulamentos posteriores” — e o regulamento posterior que hoje dispõe sobre classificação de risco de dispositivos médicos é a RDC nº 751, de 15 de setembro de 2022. O detalhe importa porque a classe de risco define o rito de entrada no mercado.

O que a norma brasileira não diz: a palavra “inteligência artificial”

Aqui está o ponto que raramente aparece nas discussões. O texto integral da RDC 657/2022 não contém a expressão “inteligência artificial” nem “aprendizado de máquina” uma única vez. A norma regula o software; não regula o aprendizado dentro dele. Ela se preocupa com validação clínica, cibersegurança, compatibilidade e rotulagem — categorias pensadas para um programa que faz sempre a mesma coisa. Um sistema que aprende com dados novos e muda de comportamento depois de registrado não é objeto de nenhum dispositivo específico da resolução.

Isso não significa vazio total. Significa que, no Brasil, a camada da inteligência artificial na medicina foi endereçada por outra porta: a da ética profissional. A Resolução CFM nº 2.454/2026, em vigor desde 26 de agosto de 2026, impõe ao médico o dever de “empregar a IA exclusivamente como ferramenta de apoio, mantendo-se como responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas”, de “registrar no prontuário do paciente o uso de sistemas de IA como apoio à decisão médica” e de informar o paciente, “de forma clara e acessível”, quando a IA for usada como apoio relevante em seu cuidado. O paciente pode, inclusive, recusar de forma informada o uso da ferramenta. Já a lei geral de IA segue sendo projeto de lei.

O que a Europa fez — e a data que quase ninguém cita direito

O Regulamento (UE) 2024/1689, conhecido como AI Act, adotou uma solução diferente: em vez de regular o software médico como categoria própria, ele considera de “risco elevado” o sistema de IA que seja componente de segurança de um produto, ou ele próprio um produto, abrangido pela legislação de harmonização da União listada no seu anexo I — e o Regulamento (UE) 2017/745, dos dispositivos médicos, está nessa lista (art. 6.º, n.º 1, e anexo I, item 11). A IA embarcada num dispositivo médico passa, portanto, a ter obrigações próprias de IA, somadas às do dispositivo.

Só que essas obrigações ainda não estão em vigor. O regulamento é aplicável, como regra geral, desde 2 de agosto de 2026; mas o art. 113.º, alínea c), na versão oficial em português, é expresso: “O artigo 6.º, n.º 1, e as obrigações correspondentes previstas no presente regulamento são aplicáveis a partir de 2 de agosto de 2027”. Ou seja: para a inteligência artificial dentro de um dispositivo médico, a Europa também ainda está no intervalo entre a norma escrita e a norma aplicável. A diferença em relação ao Brasil é que lá o intervalo tem data para acabar, e a lei já diz o que virá.

O que isso muda para quem está no Brasil

Muda a pergunta. Quem recebe um laudo errado e pergunta “esse aplicativo era aprovado?” está fazendo uma pergunta que, no Brasil de hoje, tem resposta apenas parcial: o software pode ter regularização sanitária como dispositivo médico, e é legítimo pedir esse número; mas a regularização atesta o produto, não valida a decisão tomada com ele, e não existe selo específico para a camada de IA. A pergunta que produz consequências jurídicas é outra: quem assinou a decisão?

Porque é essa a arquitetura que as normas brasileiras montaram. A Anvisa responde pelo registro do software; o médico responde pela decisão clínica, e a resolução do CFM o proíbe de segui-la de forma automática ou acrítica; a instituição responde pela governança do sistema que escolheu implantar, com avaliação de risco e, quando desenvolve o próprio sistema, comissão específica. Quando o diagnóstico assistido por IA falha, a apuração não começa no fabricante — começa no prontuário, onde deve estar registrado que a ferramenta foi usada e como o médico a avaliou. Se esse registro não existe, a falha já é outra, anterior ao erro do algoritmo.

E é preciso dizer o que a ausência de norma de IA não autoriza: ela não permite concluir que todo laudo assistido por algoritmo é suspeito, nem que a simples participação de IA num diagnóstico errado gera dever de reparar. O padrão continua sendo o do erro médico em geral — conduta, dano e nexo —, com a diferença de que agora há um dever expresso de registro e de informação que, descumprido, pesa contra quem o descumpriu. Como explicamos no guia completo sobre erro médico, resultado ruim não é sinônimo de falha; mas a falta de rastro sobre como a decisão foi tomada é um problema em si.

Se um diagnóstico assistido por sistema automatizado saiu errado e você quer entender o que pedir — o número de regularização do software, o registro do uso no prontuário, a justificativa do médico —, escreva pelo WhatsApp: o escritório examina a documentação e diz, com franqueza, se há elementos para seguir adiante.

Ramon Martins Andrade (OAB/RJ 188.374) é advogado formado pela UFRJ em 2011, com mestrados pela Université Sorbonne Nouvelle e pela EGN (Marinha do Brasil). Atualmente pesquisador em Direitos Humanos e Saúde pela ENSP/Fiocruz.