Regulação de IA em saúde: o que a ANVISA prepara

O marco regulatório para softwares de inteligência artificial em dispositivos médicos está em construção no Brasil. Gestores de saúde enfrentam um cenário de incerteza jurídica enquanto a agência define regras que devem mudar a operação de clínicas e hospitais nos próximos anos.

A ANVISA entra no território da inteligência artificial

O Brasil não tem, até setembro de 2026, uma legislação específica e consolidada para inteligência artificial em saúde. O que existe é um conjunto de movimentos regulatórios em curso: a ANVISA avança na classificação de softwares como dispositivos médicos, o Congresso discute o marco legal de IA, e o setor hospitalar opera em uma zona cinzenta que já começa a produzir consequências jurídicas concretas.

A Agência Nacional de Vigilância Sanitária publicou, em 2021, a RDC 657, que estabeleceu pela primeira vez critérios para classificação de softwares como produtos para saúde no Brasil. A norma seguiu a lógica internacional de risco: softwares que apenas armazenam dados ficam fora do escopo regulatório, enquanto aqueles que influenciam decisões clínicas passam a ser tratados como dispositivos médicos e precisam de registro na agência.

O problema é que a inteligência artificial generativa e os sistemas de apoio à decisão clínica baseados em aprendizado de máquina chegaram ao mercado hospitalar brasileiro em velocidade muito superior à capacidade regulatória de acompanhá-los. Entre 2023 e 2026, dezenas de ferramentas de IA foram adotadas por hospitais brasileiros sem que houvesse clareza sobre a necessidade, ou não, de registro sanitário.

O que a ANVISA está preparando para os próximos meses

A agência sinalizou, ao longo de 2025 e 2026, que pretende atualizar o arcabouço regulatório para contemplar especificamente sistemas de IA com função diagnóstica ou terapêutica. A expectativa do setor é que uma resolução complementar à RDC 657 seja publicada ainda em 2026, com foco em transparência algorítmica, rastreabilidade de decisões e responsabilidade do fabricante.

Em audiências públicas realizadas pela ANVISA no primeiro semestre de 2026, representantes da agência indicaram que a regulação brasileira deve se aproximar do modelo europeu, especialmente do AI Act da União Europeia, que entrou em vigor em fases a partir de 2024. O AI Act classifica sistemas de IA em saúde como de alto risco e exige documentação técnica robusta, avaliação de conformidade e supervisão humana obrigatória nas decisões clínicas.

No Brasil, a discussão também passa pelo Projeto de Lei 2338/2023, o marco legal de IA brasileiro, aprovado pelo Senado em dezembro de 2024 e em tramitação na Câmara dos Deputados ao longo de 2025 e 2026. O texto prevê que sistemas de IA utilizados em saúde sejam classificados como de alto risco, com obrigações de transparência, auditabilidade e mecanismos de contestação de decisões automatizadas.

A convergência entre o marco legal de IA e a regulação sanitária da ANVISA ainda não está resolvida. Quem fiscaliza o quê, e com quais instrumentos, permanece uma questão aberta que preocupa tanto fabricantes quanto gestores hospitalares.

O risco jurídico que já está na mesa dos gestores

Hospitais e clínicas que adotaram sistemas de IA sem verificar a necessidade de registro sanitário estão expostos a autuações, suspensão de uso e responsabilização civil em caso de dano ao paciente. A ausência de regulação específica não equivale à ausência de risco: a RDC 657 já está em vigor e já foi aplicada em processos administrativos.

O cenário de responsabilidade civil é o que mais preocupa advogados especializados em direito médico e direito sanitário. Quando um sistema de IA participa de uma decisão clínica que resulta em dano ao paciente, a cadeia de responsabilidade pode envolver o hospital, o médico que utilizou a ferramenta e o fabricante do software. A ausência de registro sanitário, quando exigível, agrava a posição jurídica do estabelecimento.

Um ponto sensível é o chamado "loop de automação": situações em que o profissional de saúde segue a recomendação do sistema de IA sem exercer julgamento clínico independente. Em processos judiciais envolvendo erros médicos com participação de sistemas automatizados, tribunais brasileiros ainda não consolidaram jurisprudência uniforme, mas a tendência observada em decisões recentes é responsabilizar o estabelecimento que não demonstrou supervisão humana adequada.

Outro risco concreto envolve a Lei Geral de Proteção de Dados (LGPD). Sistemas de IA em saúde processam dados sensíveis de pacientes, categoria com proteção reforçada na legislação. Hospitais que compartilham dados com fornecedores de IA sem contratos de processamento adequados, ou sem base legal clara, estão sujeitos a sanções da Autoridade Nacional de Proteção de Dados (ANPD), que intensificou fiscalizações no setor de saúde ao longo de 2025.

O que hospitais e clínicas precisam mapear agora

Antes de qualquer adequação formal, gestores precisam saber quais sistemas de IA estão em uso na instituição, qual é a função de cada um e se esses sistemas se enquadram na definição de software como dispositivo médico segundo a RDC 657. Esse inventário é o ponto de partida para qualquer estratégia regulatória.

A classificação de risco é o primeiro filtro. A RDC 657 divide softwares para saúde em quatro classes, da I à IV, em ordem crescente de risco. Um software que apenas exibe imagens de exames sem processamento diagnóstico tende a ficar em classes mais baixas. Um sistema que analisa imagens de tomografia e sugere diagnósticos diferenciais pode ser enquadrado em classe III ou IV, com exigências de registro mais rigorosas.

O segundo passo é verificar a situação regulatória dos fornecedores. Fabricantes de softwares de IA com função diagnóstica ou terapêutica deveriam, em tese, já ter buscado orientação junto à ANVISA sobre a necessidade de registro. Hospitais que contratam esses sistemas sem verificar essa situação assumem parte do risco regulatório.

O terceiro elemento é a documentação interna. Protocolos que estabeleçam como os profissionais devem usar sistemas de IA, com ênfase na supervisão humana e no registro das decisões, funcionam tanto como salvaguarda clínica quanto como evidência em eventual processo administrativo ou judicial. A ausência de protocolos formalizados é interpretada, em auditorias, como ausência de governança.

Contratos com fornecedores de tecnologia também merecem revisão. Cláusulas que definem responsabilidades em caso de falha do sistema, que garantem acesso a logs de decisão e que estabelecem obrigações de atualização regulatória são cada vez mais relevantes no contexto de IA em saúde.

O mercado de healthtech brasileiro diante da regulação

O Brasil tem um ecossistema de healthtechs em expansão, com startups que desenvolvem desde sistemas de triagem automatizada até ferramentas de análise de prontuários e predição de risco clínico. A regulação mais clara pode ser, ao mesmo tempo, um obstáculo de curto prazo e um diferencial competitivo para empresas que se adequarem primeiro.

Segundo dados da Distrito, plataforma de inteligência de mercado focada em inovação, o Brasil registrou mais de 1.200 healthtechs ativas em 2025, com volume de investimentos que superou R$ 2 bilhões no acumulado dos últimos três anos. Parte relevante dessas empresas desenvolve ou comercializa soluções com componentes de inteligência artificial.

Para startups menores, o custo de adequação regulatória pode ser significativo. O processo de registro de um software como dispositivo médico na ANVISA envolve documentação técnica extensa, testes de desempenho e, dependendo da classe de risco, ensaios clínicos ou estudos de validação. Empresas que não planejaram esse custo desde o início enfrentam dificuldades para se manter no mercado hospitalar à medida que a fiscalização aumenta.

Por outro lado, hospitais de grande porte e redes de saúde privadas começaram a incluir, em seus processos de compra de tecnologia, exigências de comprovação regulatória. O Hospital Israelita Albert Einstein, o Hospital Sírio-Libanês e redes como a Rede D'Or têm estruturas de governança de tecnologia que avaliam conformidade regulatória antes da adoção de novos sistemas. Essa exigência, vinda do lado da demanda, pressiona fornecedores a se adequarem independentemente do ritmo da fiscalização oficial.

No setor público, o cenário é mais complexo. Hospitais universitários e unidades do SUS que adotam sistemas de IA frequentemente o fazem por meio de projetos de pesquisa ou parcerias com universidades, em arranjos que nem sempre passam pelos mesmos filtros regulatórios aplicados ao setor privado. A ANVISA ainda não consolidou orientações específicas para esse tipo de uso.

O horizonte regulatório e o que vem a seguir

A regulação de IA em saúde no Brasil está em construção, mas o ritmo de adoção da tecnologia não espera pela conclusão desse processo. Gestores que aguardam um marco definitivo para agir correm o risco de acumular passivos regulatórios e jurídicos que serão mais difíceis de resolver depois.

A expectativa do setor é que, até o final de 2026, o Brasil tenha ao menos três movimentos regulatórios relevantes concluídos ou em estágio avançado: a aprovação do marco legal de IA pela Câmara dos Deputados, a publicação de uma resolução complementar da ANVISA sobre softwares de IA com função diagnóstica, e a consolidação de orientações da ANPD sobre tratamento de dados em sistemas de inteligência artificial em saúde.

Cada um desses movimentos trará obrigações novas para hospitais, clínicas e fornecedores de tecnologia. A sobreposição entre as três esferas regulatórias, sanitária, de proteção de dados e de IA, é um desafio de compliance que poucos estabelecimentos de saúde brasileiros estão preparados para enfrentar de forma integrada.

O que está claro, já em setembro de 2026, é que a pergunta não é mais se a regulação vai chegar, mas em que velocidade as instituições de saúde vão conseguir acompanhá-la.

A inteligência artificial chegou aos hospitais brasileiros antes da regulação. Agora, a regulação chega antes que muitos gestores tenham feito as perguntas certas sobre os sistemas que já estão em uso.