CFM espera uso “seguro e responsável” da IA no setor. Regra começa a valer

O uso responsável da inteligência artificial na Medicina terá 11 princípios, segundo o CFM, o Conselho Federal do setor. A entidade se antecipou ao Congresso Nacional – que tem um projeto parado há dois anos – e criou seu próprio marco legal, que passa a valer a partir desta quarta-feira (26), 180 dias após a publicação no Diário Oficial da União. Em resumo, a Resolução CFM 2.454, publicada em fevereiro, prega equidade, transparência, segurança, eficiência, respeito à autonomia, responsabilização (e reparação) e prevenção. Para o coordenador da Comissão de Inteligência Artificial do CFM, Jeancarlo Cavalcante, relator da norma, a adaptação dos médicos deve ocorrer “de forma responsável, segura e alinhada aos valores éticos da profissão”. No artigo 4º, a resolução deixa claro que a IA é apenas uma “ferramenta de apoio” – o profissional se mantém como “responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas”.

Três entidades que representam hospitais, clínicas e operadoras (CNSaúde, Fenaess e o Sindicato dos Hospitais de Brasília) foram à Justiça Federal contra a resolução do CFM sobre IA. Os argumentos são basicamente cinco: a) O CFM só pode cuidar da ética do médico, não da gestão das empresas; b) o conselho não ouviu ninguém antes de criar a regra, c) não fez estudo de impacto nem consulta pública; d) invadiu o terreno de quem já cuida disso, ou seja, Anvisa, ANPD, Ministério da Saúde e ANS; e) quer obrigar hospitais a abrir informações que nem são deles, são dos fornecedores de tecnologia. A ação corre 21ª no Distrito Federal e aguarda decisão. Até lá, para todos os efeitos a resolução permanece vigente e aplicável aos médicos e entidades hospitalares.

À parte a briga judicial, a discussão na classe médica colocou na mesa um debate urgente e necessário. O cirurgião plástico Alexandre Peruzzo, Integrante da SBCP (Sociedade Brasileira de Cirurgia Plástica), diz que traduziria o espírito da norma do CFM numa frase: “IA é infraestrutura de atendimento, não autonomia de atendimento”. Segundo ele, não decide nem substitui, mas “organiza e dinamiza” o atendimento humano. “É como a assepsia ou o prontuário eletrônico”, afirmou. “Ninguém diria que eles atendem o paciente, mas nenhum atendimento sério existe sem eles.” Peruzzo usa IA intensamente na operação da clínica. “E é justamente por usá-la todos os dias que defendo essa fronteira com nitidez.” A responsabilidade aumenta – e isso é bom, segundo ele.

Peruzzo afirma que há um paradoxo positivo. “Quando bem implementada, a IA aumenta a responsabilidade e, ao mesmo tempo, reduz o risco”, disse. “Funciona como uma segunda camada de verificação sobre o diagnóstico, sobre a documentação e sobre o fluxo de informações.” Para ele, o entendimento de que IA é um mecanismo de infraestrutura “evita o erro central, que é delegar raciocínio clínico à máquina”. O profissional visualiza quatro cuidados básicos: supervisão humana permanente, arquitetura de dados protegida (“Jamais inserir dados identificáveis de pacientes em ferramentas abertas e gratuitas”), transparência e capacitação. O que inclui, nesse último item, conhecer limites. “Inclusive as chamadas alucinações, em que a IA produz informação falsa com aparência de verdade.”

Robôs. O médico urologista Bruno Benigno, diretor da Clínica Uro Onco, criada em 2015 em São Paulo, recorre a uma analogia da própria área. “Na cirurgia robótica, ninguém jamais cogitou dizer que o robô operou.” Com a inteligência artificial, segundo ele, é rigorosamente a mesma lógica. Mas há, como diz, um agravante: “O robô não sugere condutas, e a IA sugere”. O que exige checagem mais rigorosa. Por outro lado, há ainda o que Benigno chama de efeito virtuoso: “A boa documentação do uso da IA passa a ser o principal elemento de defesa técnica do médico”.

Benigno afirma que o médico permanece sendo “integralmente responsável” por atos praticados com uso de sistemas de IA. Além disso, acrescenta, essa ferramenta não o exime do Código de Ética. “Na prática, isso significa que o médico passa a responder por três camadas que antes não existiam”, afirmou. A primeira é a escolha do mecanismo de IA. Pelas regras do CFM (artigo 6º), é preciso saber em que população aquele algoritmo foi treinado e validado, quais são suas limitações e se ele atende a padrões mínimos de segurança da informação. Também é necessário confrontar a sugestão da IA com a evidência científica e o quadro clínico do paciente. Por fim, o que Benigno chama de rastreabilidade: é preciso registrar o uso da IA em prontuário. “E o médico tem o dever de comunicar às instâncias competentes falhas ou riscos relevantes que identifique.”

Do ponto de vista legal, a IA não aumenta automaticamente a responsabilidade. Para o advogado Henderson Furst, sócio do escritório Chalfin Goldberg Vainboim, ela cria “novos deveres de cuidado, e essa é uma distinção importante”. Ele afirma que a resolução estabelece expressamente que o médico permanece sendo responsável por suas ações profissionais. Mas não deve ser responsabilizado por falhas atribuíveis ao sistema, desde que o uso tenha sido feito “de maneira diligente, crítica e ética”. Em outras palavras, a responsabilidade precisa ser analisada de acordo com a origem da falha. O que pode abrir um mar de discussão jurídica.

Um pouco na contramão de Benigno, para ele “não se pode transformar o médico em uma espécie de garantidor universal de qualquer erro produzido por um algoritmo.” Pode haver situações em que as responsabilidades envolvam médicos, hospitais e desenvolvedores do sistema. “O que muda para o médico é que surge um dever adicional de não confiar cegamente na máquina.” Ele precisará, por exemplo, identificar recomendações incompatíveis com o quadro clínico ou com as evidências disponíveis. Além disso, o uso deve ser registrado no prontuário e o paciente deverá ser informado (com direito a recusar seu uso).

Diagnóstico. Professora de IA e Transformação Digital (Fundação Instituto de Administração-FIA, ESPM, Faap e Ipog), Elaine Coimbra vê na definição da IA como ferramenta “o coração” da resolução do CFM. “O médico continua sendo o responsável final por qualquer decisão clínica”, disse. “Ele não pode delegar à IA a comunicação de um diagnóstico ao paciente.” O artigo 5º estabelece que o médico deverá respeitar a autonomia do paciente, “inclusive quanto à recusa informada do uso de modelos, sistemas e aplicações de IA”. Dessa forma, a IA não cria uma categoria de responsabilidade, mas “aumenta o dever de averiguação” de dados. O médico precisa questionar os resultados e verificar se a recomendação faz sentido, acrescenta Elaine, que é vice-presidente de entidades como AI Safety Brazil, Abradi (Associação Brasileira dos Agentes Digitais e IA) e Abria (Associação Brasileira de Inteligência Artificial).

Já no artigo 1º, a resolução estabelece que as instituições médicas priorizem o “desenvolvimento cooperativo de modelos, sistemas e aplicações de IA” com outros órgãos e entidades, “sem prejuízo do sigilo”. Para Bruno Benigno, esse é o item “mais ambicioso” da resolução. “Interoperabilidade não significa transferência de bancos de dados de pacientes”, afirmou. “Compartilhar tecnologia, código, padrões, metodologias de validação e boas práticas é diferente de compartilhar prontuários.” A resolução estimula apenas a primeira ação.

Ele cita o que chama de mecanismos maduros para conciliar os dois procedimentos: federated learning (“O modelo viaja até o dado. O dado do paciente nunca sai do hospital de origem”), “anonimização e pseudonimização robustas”, o que exige honestidade metodológica, proteção incorporada desde a concepção do sistema, governança contratual clara e garantia de acesso a órgãos de controle. “O sigilo médico é anterior à LGPD [Lei Geral de Proteção de Dados] e mais rigoroso que ela”, disse Benigno.

Interoperabilidade. Como proteger dados sigilosos no uso de IA “é a pergunta de 1 milhão de dólares”, segundo Elaine Coimbra. “O trecho [sobre interoperabilidade] é sonho de consumo dos técnicos que treinam a IA”, afirmou. “Mas precisa ser conciliado com proteção de dados.” E isso passa pelo cumprimento da LGPD. “A interoperabilidade permite que sistemas conversem. Não significa que todos devam acessar todos os dados.” Assim, governança de dados e segurança da informação “precisam ter prioridade total em qualquer sistema vinculada a saúde”.

Trata-se de cooperar sem expor, define Alexandre Peruzzo. “Compartilham-se modelos, códigos e boas práticas, nunca pacientes.” Ele também cita conceitos como “anonimização” robusta e “aprendizado federado”, em que o modelo é que vai até os dados. “A informação sensível nunca deve sair da instituição”, afirmou o profissional. Peruzzo considera que existe uma questão pouco falada: para ele, um sistema bem montado é mais seguro que o fluxo humano de informações. Um dado que trafega por infraestrutura criptografada, auditável, está mais protegido do que num aplicativo de mensagens ou numa planilha. “Interoperabilidade e sigilo não são opostos. São requisitos simultâneos de engenharia. Coopera-se na inteligência, preserva-se a identidade.”

Enquanto a classe médica e outros profissionais que atuam no setor avançam na discussão, o Projeto de Lei 2.338/2023 – que cria o marco legal da IA no país – permanece estagnado na Câmara dos Deputados. De autoria de Rodrigo Pacheco (PSD-MG), ex-presidente do Senado, o texto foi aprovado na Casa após um ano e meio de tramitação. Desde março de 2025, aguarda parecer do relator em comissão especial na Câmara. E vai recebendo mais propostas. Como a encaminhada pelo governo no ano passado (PL 6.237), que cria o Sistema Nacional para o Desenvolvimento, Regulação e Governança de Inteligência Artificial (SIA). Com o objetivo anunciado de “de garantir harmonização e colaboração entre órgãos e entidades reguladores”.