Nova Governança de IA em Saúde Exige Certificação Regulatória, Comissões Internas e Auditoria Contínua

O sistema hospitalar que implementa uma ferramenta de diagnóstico baseada em IA sem um framework de certificação regulatória não está inovando — está apostando com vidas de pacientes e com a responsabilidade institucional. Essa distinção não é mais teórica. Em 2025 e 2026, os reguladores no Brasil, nos Estados Unidos e na União Europeia agiram de forma decisiva: os sistemas de IA em ambientes clínicos não são mais tratados como ferramentas de software. São dispositivos médicos.

O Cenário Regulatório Mudou — Definitivamente

No Brasil, a ANVISA tem endurecido progressivamente seu framework de saúde digital, e os executivos hospitalares que ainda não mapearam seu portfólio de IA contra os requisitos das Resoluções da Diretoria Colegiada (RDC) já estão atrasados. Nos Estados Unidos, o framework da FDA para Software as a Medical Device (SaMD) exige submissões pré-mercado com evidências de validação clínica, transparência algorítmica e protocolos de vigilância pós-mercado. Na União Europeia, o AI Act classifica a maioria dos sistemas de IA em saúde como "alto risco", ativando avaliações de conformidade obrigatórias sob o AI Act e o Regulamento de Dispositivos Médicos (MDR).

O impulso legislativo é real e crescente. Nos EUA, 2026 marcou uma aceleração significativa, com estados adicionando exigências de divulgação e responsabilidade algorítmica que afetam diretamente como a IA clínica é implantada e documentada. Para os líderes hospitalares brasileiros, ignorar esse movimento global é uma estratégia de alto risco.

Certificação É o Piso, Não o Teto

Muitos executivos da área de saúde ainda tratam a certificação regulatória como uma caixa de conformidade — algo para delegar ao jurídico. Esse enquadramento é um erro que pode custar caro. A certificação é o limite mínimo para entrada no mercado; o que protege a instituição operacionalmente é a infraestrutura de governança construída ao redor dela.

O que a certificação realmente exige é substancial: evidência clínica de desempenho, definição das populações de uso pretendido, testes de viés em subgrupos demográficos, documentação rigorosa de controle de versões e, em muitas jurisdições, planos formais de monitoramento pós-implantação. Um sistema hospitalar que recebe aprovação para uma ferramenta de triagem por IA, mas não possui processos internos para rastrear a degradação do modelo, monitorar resultados por coorte de pacientes ou gerenciar atualizações de fornecedores, está exposto — clínica e legalmente.

A iniciativa Billion Cell Atlas da Illumina ilustra exatamente o quão complexa se torna a questão de proveniência de dados na IA em saúde em escala. Quando modelos são treinados em conjuntos de dados genômicos que abrangem bilhões de células, a cadeia de responsabilidade — quem validou o quê, sob quais condições, para quais populações — exige um rigor institucional que nenhum selo regulatório isolado pode fornecer.

Comissões Internas de Governança: De Desejável a Indispensável

Os sistemas de saúde mais maduros operacionalmente que já assessorei estabeleceram Comitês de Governança Clínica de IA dedicados. Não são grupos de TI reaproveitados para a era da IA. São órgãos multifuncionais que incluem liderança clínica, representação de bioética, expertise em ciência de dados, assessoria jurídica e, crescentemente, representação de pacientes.

Seu mandato é claro e abrangente: avaliar novos sistemas de IA antes da implantação, definir limites de uso clínico, supervisionar o monitoramento de desempenho e estabelecer caminhos de escalonamento quando um sistema apresentar desempenho abaixo do esperado ou comportamento inesperado. Na prática, esse comitê é a memória institucional de por que uma determinada ferramenta de IA foi aprovada, sob quais restrições e qual limiar de evidência provocaria sua suspensão.

Esse princípio se alinha ao que a iniciativa Trust-by-Design da Samsung representa no nível do produto — a governança deve ser embutida na arquitetura do sistema, não adicionada após a implantação. Em saúde, esse princípio se torna um imperativo clínico inegociável.

O Que Esses Comitês Devem Gerir

• Protocolos de validação pré-implantação: testes clínicos independentes que vão além dos benchmarks fornecidos pelo fornecedor
• Governança de contratos com fornecedores: direitos contratuais de auditar o comportamento do modelo e receber divulgação oportuna de atualizações
• Frameworks de resposta a incidentes: procedimentos definidos quando saídas de IA contribuírem para eventos clínicos adversos
• Responsabilidade pelo treinamento de equipes: garantir que os clínicos entendam não apenas como usar a ferramenta, mas suas limitações conhecidas e cenários de falha

Auditoria Contínua: O Requisito Mais Subestimado

Se a certificação abre a porta e os comitês de governança gerenciam o limiar de entrada, a auditoria contínua é o que mantém a instituição segura depois que o sistema está em operação. Modelos de IA degradam com o tempo. Populações de pacientes mudam. Pipelines de dados introduzem erros silenciosos. Um modelo que performou com 94% de sensibilidade durante a validação pode estar operando com 87% seis meses após a implantação — e ninguém no hospital sabe disso.

O IBM X-Force Threat Index 2026 destaca uma dimensão crítica e relacionada: os sistemas de IA em saúde são alvos crescentes de ataques adversariais projetados para manipular as saídas dos modelos. A auditoria contínua deve abranger não apenas métricas de desempenho clínico, mas também integridade de segurança.

Programas eficazes de auditoria contínua para IA em saúde incluem: dashboards de desempenho automatizados com alertas em tempo real sobre limites estatísticos, revisões trimestrais de resultados clínicos vinculados a decisões assistidas por IA, auditorias algorítmicas anuais por terceiros independentes e gestão documentada do ciclo de vida do modelo — desde a implantação inicial até o descomissionamento planejado.

O Imperativo Estratégico para Líderes de Saúde

Os reguladores não vão desacelerar. O framework TRAIGA no Texas sinaliza que mesmo jurisdições que buscam um "caminho do meio" na regulação de IA estão avançando em direção a estruturas de responsabilidade obrigatórias. Para os sistemas de saúde, a questão não é mais se construir uma governança robusta de IA — é se construí-la proativamente nos seus próprios termos, ou reativamente sob pressão regulatória e após um incidente.

As instituições que liderarão na prestação de cuidados orientados por IA na próxima década não são as que adotam mais modelos mais rapidamente. São as que constroem a infraestrutura de governança para usar esses modelos de forma segura, responsável e sustentável. Essa infraestrutura começa agora — com estratégia de certificação, formação de comitês internos e uma cultura de auditoria contínua que trata a segurança do paciente como a constante inegociável.