Inteligência artificial nas clínicas, riscos e responsabilidade jurídica
Neste artigo:
- O que diz a lei sobre inteligência artificial na saúde
- Dados de saúde: o risco mais imediato
- IA na decisão clínica: apoio, não substituto
- Quem responde quando a IA contribui para um dano
- Informação ao utente, transparência e não discriminação
- O uso informal da IA pela equipa
- O que deve uma clínica fazer antes de adotar IA
A inteligência artificial na saúde já não é uma promessa. Está na interpretação de exames, nos relatórios clínicos, na gestão de agendas e na comunicação com os utentes.
A oportunidade é real. O risco também. O problema não está em usar IA, está em adotá-la sem avaliar riscos, sem regras internas e sem controlo humano efetivo.
Uma ferramenta que parece apenas uma modernização pode tornar-se uma fonte de exposição jurídica, regulatória e reputacional. Basta que trate dados de saúde, influencie decisões clínicas ou substitua tarefas que exigem um profissional qualificado.
Nas clínicas, a relação com o utente assenta na confiança, na dignidade e na autonomia. Por isso, introduzir inteligência artificial nas clínicas exige mais do que comprar software. Exige uma análise jurídica, ética, técnica e organizacional.
O que diz a lei sobre inteligência artificial na saúde
Usar IA numa clínica não suspende nenhuma regra. As obrigações legais continuam a aplicar-se quando uma tarefa é executada, total ou parcialmente, por um sistema automatizado.
O diploma central é o Regulamento da Inteligência Artificial, o Regulamento (UE) 2024/1689, de 13 de junho de 2024, também conhecido como AI Act. Estabelece regras harmonizadas para o desenvolvimento, a colocação no mercado e a utilização de sistemas de IA na União Europeia.
O regulamento segue uma abordagem baseada no risco. As obrigações são proporcionais à natureza e ao impacto potencial de cada sistema. A sua aplicação geral iniciou-se a 2 de agosto de 2026, sem prejuízo das disposições com calendários próprios. Em outubro de 2026, as clínicas portuguesas devem, por isso, já avaliar as obrigações que lhes cabem, em função das soluções que usam e do papel que desempenham.
Nem todos os sistemas usados numa clínica são de risco elevado. A classificação depende da finalidade prevista, das características do sistema e do enquadramento legal. Contudo, sistemas de IA com certas finalidades médicas, sobretudo quando integram dispositivos médicos sujeitos a avaliação da conformidade por terceiros, podem ficar abrangidos pelo regime de risco elevado. Nesses casos, pesam requisitos de gestão de riscos, qualidade dos dados, documentação, registo, transparência, robustez, precisão e supervisão humana.
A IA também não afasta o Regulamento Geral sobre a Proteção de Dados (RGPD), o Regulamento (UE) 2016/679, de 27 de abril de 2016, nem a Lei n.º 58/2019, de 8 de agosto, que o executa em Portugal. Somam-se, conforme o caso, as normas sobre direitos dos utentes, sigilo profissional, responsabilidade civil, segurança dos dispositivos médicos e exercício das profissões de saúde.
A Entidade Reguladora da Saúde tem sublinhado a articulação entre o Regulamento da IA, a proteção de dados e os direitos dos utentes. Os prestadores continuam vinculados aos seus deveres legais, seja qual for a tecnologia usada.
A conclusão é simples: a IA não cria uma zona de isenção jurídica. Pelo contrário, pode exigir uma análise mais rigorosa dos processos, das responsabilidades e da segurança.
Dados de saúde: o risco mais imediato
Diagnósticos, exames, análises, fotografias, imagens radiológicas, prescrições, antecedentes e informação genética. A informação clínica revela aspetos íntimos da vida de uma pessoa.
Nos termos do artigo 4.º, n.º 15, e do artigo 9.º do RGPD, os dados de saúde são uma categoria especial de dados pessoais, com proteção reforçada. O seu tratamento exige uma base de licitude (artigo 6.º), uma das condições do artigo 9.º, n.º 2, e o respeito pelos princípios do artigo 5.º.
Um erro frequente é usar ferramentas públicas de IA para analisar informação de utentes sem saber como os dados são transmitidos, guardados ou reutilizados pelo fornecedor. Colar um relatório médico, uma fotografia clínica ou um exame numa plataforma externa pode ser uma divulgação indevida de informação confidencial.
Ser gratuita, popular ou vendida como "profissional" não torna uma ferramenta adequada para dados clínicos. É preciso conhecer as condições contratuais, as finalidades, os prazos de conservação, a segurança, os destinatários e as transferências para países terceiros.
A clínica deve ainda:
- determinar se atua como responsável pelo tratamento e identificar os fornecedores que são subcontratantes, com contratos e garantias adequados;
- verificar se o uso é compatível com a finalidade da recolha e respeita a minimização, a limitação das finalidades, a integridade e a confidencialidade;
- tratar com cautela dados "anonimizados", porque remover o nome não basta quando ficam datas, imagens ou características clínicas raras (e a pseudonimização não retira os dados do âmbito do RGPD);
- analisar à parte o uso de dados para treinar modelos, porque autorizar um cuidado clínico não é autorizar a reutilização dos dados por terceiros;
- ponderar uma avaliação de impacto sobre a proteção de dados (artigo 35.º do RGPD) quando haja novas tecnologias, dados de saúde em larga escala ou decisões automatizadas com impacto significativo.
A segurança da informação completa este quadro. Plataformas de IA ligadas ao software clínico, ao email ou aos equipamentos de diagnóstico podem abrir portas a acessos indevidos. Uma conta partilhada ou uma permissão excessiva bastam.
O artigo 32.º do RGPD exige medidas técnicas e organizativas proporcionais ao risco: controlo de acessos, autenticação, gestão de permissões, proteção das comunicações e procedimentos de resposta a incidentes. Se os dados saírem do Espaço Económico Europeu, aplicam-se as regras do capítulo V.
Em caso de violação de dados, pode ser necessário notificar a Comissão Nacional de Proteção de Dados no prazo do artigo 33.º e comunicar aos titulares nos termos do artigo 34.º. Um contrato com o fornecedor não substitui os procedimentos internos da clínica. Detalhamos estas obrigações no artigo sobre RGPD nas clínicas de saúde.
IA na decisão clínica: apoio, não substituto
Apoiar diagnósticos, interpretar exames, avaliar riscos ou sugerir tratamentos são usos particularmente sensíveis. Estes sistemas ajudam a detetar alterações e a analisar grandes volumes de informação. Mas os seus resultados não são necessariamente corretos, completos ou adequados ao utente concreto.
Um sistema pode errar, apresentar conclusões convincentes sem fundamento, falhar certas patologias ou ser menos fiável em grupos mal representados nos dados de treino. A qualidade das imagens, os equipamentos e as condições de uso também influenciam o resultado.
Numa clínica de imagiologia, um algoritmo de apoio à leitura de uma imagem radiológica não dispensa a análise pelo profissional competente. Num consultório de medicina dentária, um software de análise de imagens não substitui a avaliação clínica individual.
O risco cresce quando o profissional confia demasiado no sistema e deixa de fazer uma apreciação crítica. A automatização cria uma falsa sensação de segurança, sobretudo quando a interface apresenta resultados com aparente certeza.
A IA deve ser um instrumento de apoio, quando essa é a sua finalidade, e não um substituto do raciocínio clínico. A decisão continua sujeita às exigências legais e deontológicas da profissão, incluindo o dever de diligência e a avaliação individual do utente.
Também importa distinguir ferramentas administrativas, sistemas de apoio à decisão e software com finalidade médica. Quando o software se destina a fins médicos, deve avaliar-se a aplicação do Regulamento (UE) 2017/745, relativo aos dispositivos médicos, ou do Regulamento (UE) 2017/746, relativo aos dispositivos médicos para diagnóstico in vitro. A designação comercial de "inteligência artificial" não decide nada. Decidem as características e a finalidade prevista.
A clínica deve confirmar que a solução foi colocada no mercado para o uso pretendido, que tem a documentação de conformidade aplicável e que é usada segundo as instruções do fabricante. Usar um sistema fora da finalidade prevista aumenta a exposição a responsabilidade.
Quem responde quando a IA contribui para um dano
É uma das perguntas centrais. A resposta curta: o algoritmo não elimina a responsabilidade da clínica, nem a transfere automaticamente para o fornecedor do software. Tudo depende dos factos, das obrigações de cada interveniente, do nexo de causalidade e dos danos.
O profissional de saúde pode responder quando usa a ferramenta de forma negligente, ignora sinais de alerta ou aceita sem validação uma recomendação inadequada. O facto de o resultado vir de um sistema automatizado não exclui, por si só, a responsabilidade.
A clínica tem de garantir que os meios tecnológicos são adequados, que os profissionais têm formação e que existem procedimentos de utilização, validação e controlo. Introduzir IA sem avaliar a sua fiabilidade, sem definir responsabilidades ou sem supervisão pode configurar uma falha organizacional.
O fornecedor ou fabricante também pode responder, por exemplo por defeito do produto, incumprimento contratual ou falhas de segurança. Mas isso não afasta automaticamente a responsabilidade da clínica ou do profissional perante o utente.
Em Portugal, a análise pode convocar as regras da responsabilidade civil contratual e extracontratual, incluindo os artigos 483.º e seguintes e 798.º e seguintes do Código Civil, bem como os regimes especiais dos profissionais e das entidades de saúde.
A abordagem deve ser preventiva. Não basta ter comprado um sistema reconhecido no mercado. É preciso conseguir demonstrar que se avaliou a sua adequação, se definiram as condições de uso e se adotaram medidas razoáveis contra riscos previsíveis.
Informação ao utente, transparência e não discriminação
A IA pode afetar o direito do utente a uma informação clara e adequada sobre os cuidados que recebe.
Quando um sistema apoia uma decisão clínica relevante, deve avaliar-se se a sua intervenção tem de ser comunicada ao utente, e como. Depende do tipo de sistema, da finalidade, do impacto na decisão e das normas aplicáveis. Não há uma regra que obrigue a informar sobre cada uso administrativo de IA. Também não há uma regra que permita ocultar a sua intervenção em decisões clínicas relevantes.
O dever de informação articula-se com a Lei n.º 15/2014, de 21 de março, sobre os direitos e deveres do utente dos serviços de saúde, com o RGPD e com a legislação profissional. O utente deve perceber a natureza dos cuidados, participar nas decisões e exercer os seus direitos, num processo que se cruza com o consentimento informado.
Quando a IA influencia a escolha de um tratamento ou a priorização de um exame, tem de haver um profissional habilitado para avaliar o resultado, responder às dúvidas e explicar a decisão em termos compreensíveis.
O artigo 22.º do RGPD merece atenção nas decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou afetem o utente de forma significativa. Uma intervenção humana meramente formal, que confirma o resultado sem o apreciar, não é supervisão efetiva.
Transparência não significa divulgar o código-fonte. Significa prestar a informação devida, reconhecer os limites relevantes e não deixar que a tecnologia impeça o utente de compreender a decisão.
Há ainda o risco de discriminação algorítmica. Um algoritmo treinado com dados pouco representativos pode funcionar pior em certos grupos. Um sistema de triagem pode gerar resultados desiguais se usar variáveis inadequadas ou dados incompletos. Isto afeta a igualdade de tratamento, a qualidade dos cuidados e a confiança na clínica.
Quem usa IA para classificar pedidos, atribuir prioridades ou identificar utentes de maior risco deve conhecer os critérios relevantes, avaliar a adequação à população servida e ter mecanismos para detetar e corrigir resultados anómalos. O Regulamento da IA impõe requisitos de gestão de riscos, governação dos dados, precisão e supervisão humana a certos sistemas de risco elevado, consoante a classificação do sistema e o papel da entidade. A pergunta certa não é só "o sistema funciona?", é também "para quem funciona, e com que limites?"
O uso informal da IA pela equipa
Há um risco organizacional muitas vezes esquecido: colaboradores que usam ferramentas de IA por iniciativa própria, sem autorização nem orientação.
Resumir um relatório clínico, rever um email para um utente, organizar a informação de um processo. A intenção é ganhar tempo. O efeito pode ser a transmissão de dados pessoais, informação clínica ou elementos sujeitos a sigilo profissional.
A clínica não deve presumir que este uso é inofensivo. Precisa de uma política interna de utilização de IA que defina:
- as ferramentas autorizadas e as finalidades permitidas;
- as categorias de informação que podem ou não ser introduzidas;
- os procedimentos de validação dos resultados;
- as situações em que o uso é proibido.
Proibir em termos genéricos raramente funciona quando a equipa já usa estas ferramentas. É preciso explicar os riscos, oferecer alternativas seguras e dar formação. Essa formação deve cobrir, pelo menos, a proteção dos dados de saúde, a confidencialidade, a deteção de resultados incorretos, os limites das ferramentas generativas, a validação de documentos e a resposta a incidentes.
A literacia em IA tem base legal própria. O artigo 4.º do Regulamento (UE) 2024/1689 dirige aos prestadores e aos responsáveis pela implantação de sistemas de IA obrigações de literacia em IA das pessoas que operam ou utilizam esses sistemas em seu nome, tendo em conta os seus conhecimentos, a experiência, o contexto de utilização e as pessoas afetadas. A sua aplicação concreta depende do âmbito do regulamento e das circunstâncias de cada clínica.
O uso responsável depende tanto do sistema como da preparação de quem o usa. A IA acelera o trabalho, mas, como escrevemos a propósito da Mente Jurídica, não substitui o critério humano.
O que deve uma clínica fazer antes de adotar IA
A resposta não é rejeitar a inovação. É fazer preceder a sua introdução de uma análise organizada dos riscos e das obrigações.
- Definir a finalidade. Identificar para que serve a ferramenta e em que processos entra. Distinguir tarefas administrativas de usos no diagnóstico, na avaliação clínica ou na definição de prioridades.
- Avaliar os dados. Que dados são tratados, com que base jurídica, quem lhes acede e com que riscos para a confidencialidade. Quando aplicável, fazer a avaliação de impacto e consultar o encarregado da proteção de dados, se existir ou for obrigatório.
- Verificar o enquadramento regulamentar. Confirmar se se aplica o Regulamento da IA e a legislação dos dispositivos médicos, qual a finalidade prevista, a documentação do fornecedor e os limites de utilização.
- Rever o contrato. Proteção de dados, confidencialidade, segurança, conservação e eliminação, uso dos dados para treino de modelos, comunicação de incidentes e responsabilidade de cada parte.
- Criar regras internas. Quem pode usar o sistema, para que tarefas, com que supervisão humana, com que critérios de validação e o que fazer perante um resultado duvidoso.
- Formar a equipa e rever as regras sempre que mudem a tecnologia, a finalidade ou o contexto de uso.
- Documentar tudo. Decisões, avaliações, medidas e controlos. É esta documentação que permite demonstrar diligência perante um utente, a autoridade de controlo ou um tribunal.
A automatização não elimina a responsabilidade profissional, não dispensa a proteção de dados e não substitui os deveres de informação, confidencialidade e segurança. Quando a tecnologia entra em processos clínicos, a necessidade de controlo é ainda maior.
A questão não é se a clínica deve usar IA. É em que condições pode fazê-lo de forma legal, segura e responsável. Uma clínica juridicamente preparada não é a que usa mais tecnologia. É a que consegue demonstrar que cada ferramenta tem uma finalidade legítima, foi escolhida com critério e respeita a segurança, a dignidade e os direitos dos utentes.
Na saúde, inovação e responsabilidade andam juntas. A verdadeira modernização começa quando a tecnologia vem acompanhada de compliance, governação, formação e responsabilidade.
Se a sua clínica já usa ou pretende adotar ferramentas de inteligência artificial, a Legal In ajuda a avaliar os riscos, rever contratos e criar as regras internas certas. Fale connosco.
Fontes: Regulamento (UE) 2024/1689, Regulamento (UE) 2016/679 (RGPD), Lei n.º 58/2019, Regulamento (UE) 2017/745, Regulamento (UE) 2017/746 e Lei n.º 15/2014.
FAQS (Perguntas Frequentes)
-
Pode, mas só depois de avaliar a ferramenta. Os dados de saúde são uma categoria especial no RGPD. A clínica tem de conhecer as condições do fornecedor, ter uma base jurídica adequada, garantir a segurança e, quando aplicável, fazer uma avaliação de impacto sobre a proteção de dados.
-
Sim. O Regulamento (UE) 2024/1689 tem aplicação geral desde 2 de agosto de 2026, sem prejuízo de disposições com calendários próprios. As obrigações concretas dependem do tipo de sistema, da sua finalidade e do papel da clínica.
-
Depende dos factos. O algoritmo não elimina a responsabilidade da clínica nem a transfere automaticamente para o fornecedor. O profissional pode responder se validar sem critério um resultado errado, e a clínica se não tiver procedimentos de controlo e formação adequados.
-
Só dentro de regras definidas pela clínica. Introduzir relatórios, exames ou fotografias clínicas numa plataforma externa pode ser uma divulgação indevida de dados. A clínica deve ter uma política interna que diga que ferramentas são autorizadas e que informação pode ser usada.
-
Depende do sistema, da finalidade e do impacto na decisão. Não há obrigação de informar sobre cada uso administrativo, mas a intervenção da IA em decisões clínicas relevantes não deve ser ocultada. O utente deve poder compreender a decisão e exercer os seus direitos.
-
Definir a finalidade, avaliar os dados tratados, verificar o enquadramento legal (incluindo dispositivos médicos), rever o contrato com o fornecedor, criar regras internas, formar a equipa e documentar todas as decisões.
Veja Também
