Um consultório que usa uma ferramenta de IA para transcrever consultas hoje responde, ao mesmo tempo, a pelo menos três instâncias regulatórias diferentes.:

• O Conselho Federal de Medicina, que passa a normatizar como o médico pode usar IA na prática clínica;

• a Anvisa, que regula uma categoria específica de software com finalidade médica; e

• a Autoridade Nacional de Proteção de Dados, que regula o dado do paciente processado por essa ferramenta.

Nenhuma dessas normas nasceu pensada em conjunto com as outras.

Durante o Saúde Unlocked, evento promovido pela Tivita sobre inteligência artificial na saúde, o investidor Matheus Nascimento, sócio da Green Rock, resumiu o entrave que essa sobreposição cria para quem decide onde colocar capital no setor:

 "Eu tenho muita dificuldade em investir numa empresa que anda no limiar da lei, que tem uma lei que não encaixa perfeitamente nela, ou que sequer chegou perto de ser discutida."

Três regras, três órgãos, pouca conversa entre eles

O marco mais recente é a Resolução CFM nº 2.454/2026, publicada em 27 de fevereiro de 2026 e que entrou em vigor em 26 de agosto e é a primeira norma federal dedicada exclusivamente ao uso de IA na prática médica.

Ela estabelece uma classificação de risco em quatro níveis, além de deixar claro que a decisão clínica final é sempre humana, com a comunicação de diagnósticos e condutas terapêuticas proibida de ser delegada a um sistema automatizado sem mediação do médico.

A questão é que essa resolução não nasceu num vácuo regulatório, e nem cobre tudo. A Anvisa regula, desde 2022, a categoria de software SaMD, abreviação de Software as a Medical Device. Ela se aplica a ferramentas com finalidade médica direta, como apoio a diagnóstico, tratamento ou reabilitação.

Ferramentas de gestão administrativa, financeira ou de simples transcrição, sem função clínica, costumam ficar fora desse enquadramento, o que obriga cada healthtech a decidir, caso a caso, se a IA que construiu se qualifica ou não como dispositivo médico regulado. 

E a proteção de dados do paciente segue outro caminho ainda: a LGPD já classificava dado de saúde como sensível desde 2020, e a Autoridade Nacional de Proteção de Dados passou a operar como agência reguladora com autonomia plena a partir da Lei nº 15.352/2026, publicada dois dias antes da resolução do CFM, com uma agenda de prioridades para 2025-2026 que inclui regulamentação específica de dados de saúde e supervisão de tecnologias de IA.

A lei geral que ainda não saiu do papel

Enquanto essas normas setoriais se acumulam, o marco legal geral da inteligência artificial no Brasil, o PL 2338/2023, segue sem votação final. O texto foi aprovado pelo Senado em dezembro de 2024, e a expectativa de conclusão na Câmara dos Deputados já foi adiada de dezembro de 2025 para fevereiro, depois para maio, e segue pendente.

Setores inteiros, entre eles a saúde, já operam sob regras específicas e com prazo de vigência definido, enquanto a lei que deveria organizar os princípios gerais da IA no país ainda está em tramitação, sem data certa de aprovação.

O que muda na prática para quem constrói ou usa essas ferramentas

Para instituições de saúde, isso significa que a conformidade deixou de ser um único item de checklist. Passa a exigir acompanhar, ao mesmo tempo, se a ferramenta de IA se enquadra ou não como SaMD perante a Anvisa, se o uso clínico está sendo documentado no prontuário como a resolução do CFM passa a exigir a partir de 26 de agosto, e se o tratamento do dado do paciente está alinhado com a LGPD e com o que a ANPD vem sinalizando como prioridade de fiscalização. Vale revisitar como isso se conecta à proteção de dados do paciente com este guia de LGPD para evitar multas em clínicas.

Até a lei geral de IA sair do papel, o setor vai continuar atuando mediante o seguinte cenário: regras específicas já em vigor, órgãos fiscalizadores distintos, e a peça que deve amarrar tudo sem definição, ainda em tramitação.