Responsabilidade da inteligência artificial na clínica: estação de leitura de exames com alerta do software

Neste artigo:

O enquadramento jurídico: a IA não funciona à margem da lei
Dados de saúde: o risco começa antes da decisão clínica
Quando a inteligência artificial influencia um diagnóstico
Quem responde quando o algoritmo falha?
Supervisão humana: confirmar não é supervisionar
Ferramentas generativas no dia a dia da equipa
Como prevenir a responsabilidade: o que a clínica deve fazer

Um sistema de IA não deteta uma alteração numa imagem radiológica. Um resumo clínico gerado automaticamente entra no processo do utente com um erro. Quem responde?

A pergunta já não é teórica. A inteligência artificial está a entrar na prática clínica, mas a inovação tecnológica não elimina a responsabilidade jurídica. Perceber como funciona a responsabilidade pela inteligência artificial na saúde é hoje uma questão de gestão de risco para qualquer clínica.

A IA apoia a interpretação de exames, ajuda a redigir relatórios, organiza informação clínica, automatiza tarefas administrativas e responde a questões dos utentes. Para as clínicas, é uma oportunidade real de modernização. Contudo, a rapidez com que estas soluções são adotadas nem sempre é acompanhada por uma avaliação rigorosa dos riscos jurídicos, técnicos e organizacionais.

O problema surge quando a tecnologia deixa de ser apenas um instrumento de apoio e passa a influenciar decisões com consequências para a saúde, a segurança, a privacidade ou os direitos dos utentes.

Nesse momento, não basta saber se o sistema falhou. É preciso determinar quem tinha o dever de prevenir o risco, quem devia validar o resultado, que obrigações foram incumpridas e se existe responsabilidade pelos danos causados. Não há uma regra única. Mas há uma certeza: usar inteligência artificial não cria uma zona de ausência de responsabilidade.

O enquadramento jurídico: a IA não funciona à margem da lei

O uso de IA numa clínica deve ser analisado à luz de vários diplomas que se complementam. Entre eles, o Regulamento (UE) 2024/1689, relativo à inteligência artificial (conhecido como AI Act), o Regulamento Geral sobre a Proteção de Dados (RGPD), a legislação dos dispositivos médicos e as normas portuguesas sobre direitos dos utentes e responsabilidade civil.

O Regulamento da Inteligência Artificial cria um quadro europeu baseado no risco. Distingue categorias de sistemas e impõe obrigações proporcionais à sua finalidade, às suas características e ao seu impacto potencial.

Nem todas as ferramentas de IA usadas numa clínica são de risco elevado. Uma solução que organiza agendas ou revê a redação de um documento administrativo não tem o mesmo enquadramento de um sistema de apoio ao diagnóstico ou integrado num dispositivo médico.

A classificação exige uma análise concreta. O artigo 6.º do regulamento define os critérios para considerar um sistema de risco elevado, incluindo os relacionados com produtos abrangidos por legislação europeia de harmonização e os casos do anexo III.

Há ainda um ponto de calendário. O Regulamento (UE) 2026/1744, de 8 de julho de 2026, alterou o regime original, incluindo os prazos de aplicação de certas obrigações dos sistemas de risco elevado. A avaliação jurídica deve, por isso, partir da versão consolidada e do calendário aplicável à categoria concreta do sistema. Não se deve assumir que todas as obrigações do texto inicial se aplicam nas mesmas datas.

Seja qual for a classificação, a clínica continua obrigada às restantes normas da sua atividade. Não ser de risco elevado não significa poder ser usada sem controlo. Mantêm-se as obrigações de proteção de dados, confidencialidade, segurança e responsabilidade profissional.

O ponto de partida é uma pergunta simples: para que finalidade vai ser usada a ferramenta e que consequências pode ter a sua falha?

Dados de saúde: o risco começa antes da decisão clínica

Muitas falhas não acontecem no diagnóstico. Acontecem antes, quando a informação clínica é transmitida para uma plataforma externa.

Relatórios, exames, imagens radiológicas, fotografias clínicas, prescrições e antecedentes podem ser dados relativos à saúde, uma categoria especial protegida pelo artigo 9.º do RGPD. O seu tratamento deve respeitar os princípios do artigo 5.º: licitude, transparência, limitação das finalidades, minimização, integridade e confidencialidade.

Um erro comum a prevenir é usar uma ferramenta generativa pública para resumir um processo clínico, elaborar um relatório ou preparar uma comunicação, com informação identificável do utente e sem avaliação prévia. Ser gratuita, conhecida ou apresentada como profissional não torna uma ferramenta adequada para dados de saúde.

Antes de introduzir dados clínicos numa ferramenta de IA, a clínica deve:

identificar a base de licitude do artigo 6.º do RGPD e uma condição válida do artigo 9.º, n.º 2;
verificar as condições contratuais, os prazos de conservação, a segurança, os subcontratantes e eventuais transferências internacionais;
distinguir o uso dos dados para prestar o serviço da sua reutilização para treinar ou aperfeiçoar modelos, que exige análise própria;
avaliar se é necessária uma avaliação de impacto sobre a proteção de dados (artigo 35.º) e garantir medidas de segurança adequadas (artigo 32.º).

Retirar o nome do utente também não basta. Uma imagem, uma data ou uma combinação de características clínicas podem permitir identificar a pessoa, direta ou indiretamente.

A proteção de dados não se resolve depois da implementação. É uma condição da utilização responsável da ferramenta. Desenvolvemos este tema no artigo sobre inteligência artificial nas clínicas e no artigo sobre RGPD nas clínicas de saúde.

Quando a inteligência artificial influencia um diagnóstico

O risco jurídico cresce quando a IA apoia o diagnóstico, interpreta exames, identifica patologias ou sugere recomendações clínicas.

Estes sistemas ajudam a detetar padrões e a analisar grandes volumes de informação. Mas os resultados dependem da qualidade dos dados, das características do sistema, das condições de uso e dos limites do próprio modelo.

Um algoritmo pode não identificar uma alteração relevante, dar um falso positivo, não reconhecer um caso atípico ou ser menos fiável em certos grupos de pessoas. A aparência de precisão de um resultado informático não o torna correto, completo ou adequado ao caso.

O problema agrava-se quando o profissional confia excessivamente no sistema e deixa de fazer uma avaliação crítica. Se um software de apoio à leitura de imagens radiológicas não sinaliza uma alteração, isso não prova que não haja patologia. O profissional deve atuar de acordo com a sua competência, com a finalidade prevista do sistema e com as regras clínicas e técnicas aplicáveis.

A mesma lógica vale para a medicina dentária, a medicina estética ou qualquer outra área. Uma recomendação automatizada não dispensa a avaliação individual do utente nem uma decisão profissional fundamentada.

Importa também verificar se o software tem finalidade médica e se está abrangido pelo Regulamento (UE) 2017/745, relativo aos dispositivos médicos, ou, quando aplicável, pelo Regulamento (UE) 2017/746, relativo aos dispositivos médicos para diagnóstico in vitro. Não basta o fornecedor falar em "inteligência artificial médica". A clínica deve confirmar que o produto serve a finalidade pretendida, conhecer as instruções do fabricante e garantir que a equipa compreende as suas limitações.

A IA pode apoiar a decisão clínica. Não deve tornar-se um mecanismo de validação automática de decisões que exigem avaliação profissional.

Quem responde quando o algoritmo falha?

É a questão mais complexa. Não existe uma resposta universal segundo a qual a responsabilidade cabe sempre ao profissional, à clínica ou ao fornecedor. Tudo depende dos factos, das obrigações de cada interveniente, da conduta adotada, dos danos e do nexo de causalidade.

O profissional de saúde pode ser responsabilizado quando atua com negligência, ignora sinais relevantes, aceita sem validação uma recomendação manifestamente inadequada ou falha os deveres de diligência que lhe são exigíveis. Se um resultado automatizado suscita dúvidas ou contradiz outros elementos clínicos, deve ser avaliado criticamente.

A clínica responde numa perspetiva organizacional. Cabe-lhe garantir, dentro das obrigações aplicáveis, que as ferramentas são adequadas à atividade, que a equipa tem formação, que os acessos à informação são controlados e que há procedimentos para validar resultados e responder a falhas. Introduzir IA sem avaliar riscos previsíveis, sem definir quem a pode usar ou sem mecanismos de supervisão pode revelar falhas organizacionais relevantes.

O fornecedor ou fabricante pode também ser chamado a responder, consoante o caso, por defeitos do produto, incumprimento contratual, falhas de segurança ou violação de obrigações legais.

Em Portugal, a apreciação pode convocar os artigos 483.º e seguintes do Código Civil (responsabilidade civil extracontratual) e os artigos 798.º e seguintes (responsabilidade contratual), bem como regimes especiais aplicáveis ao caso.

A responsabilidade pode envolver mais do que um interveniente. Isso não significa que todos respondam. É indispensável analisar a conduta de cada um, os deveres que lhe cabiam, os danos e o nexo causal.

Na prática, comprar um sistema reconhecido no mercado não transfere para o fornecedor todos os riscos. A escolha da ferramenta, a sua integração na atividade e a forma como é usada continuam a exigir diligência. Rever a cobertura do seguro de responsabilidade civil da clínica faz parte dessa análise.

Supervisão humana: confirmar não é supervisionar

A supervisão humana é essencial quando um sistema pode influenciar decisões com consequências para a saúde e os direitos dos utentes. Mas ter formalmente um profissional responsável não significa, por si só, que haja supervisão efetiva.

Se um colaborador se limita a aceitar todas as recomendações do algoritmo, sem compreender os seus limites nem verificar a informação, a intervenção humana torna-se meramente aparente.

Supervisão efetiva pressupõe que a pessoa responsável:

compreende a finalidade do sistema e sabe interpretar os resultados;
reconhece as suas limitações e as situações que exigem análise adicional;
tem capacidade real para questionar, rejeitar ou não usar a recomendação.

O Regulamento da Inteligência Artificial estabelece requisitos próprios de supervisão humana para os sistemas de risco elevado abrangidos pelo seu regime. O artigo 4.º contém também regras sobre a literacia em IA das pessoas que operam ou utilizam estes sistemas em nome dos prestadores e dos responsáveis pela implantação, tendo em conta a experiência, a formação e o contexto de utilização.

Numa clínica, isto traduz-se em procedimentos concretos. A equipa precisa de saber quando pode usar a ferramenta, que resultados exigem validação, como agir perante informação contraditória e quem intervém quando é detetada uma falha.

A supervisão humana não é uma assinatura num documento nem uma confirmação automática. É uma parte efetiva do processo de trabalho.

Ferramentas generativas no dia a dia da equipa

Nem todos os riscos vêm de sistemas de diagnóstico. Muitos surgem em tarefas aparentemente simples: redigir um relatório, resumir uma consulta, preparar uma resposta a um utente ou rever um documento interno.

Uma ferramenta generativa pode inventar referências legais, alterar o sentido de uma informação, omitir elementos importantes ou apresentar como verdadeiro um facto não confirmado. Se o resultado entrar num documento clínico ou administrativo sem verificação, o erro propaga-se e pode afetar decisões posteriores.

Por isso, a clínica deve ter uma política interna de utilização de IA que identifique as ferramentas autorizadas, as finalidades permitidas, os dados que podem ser introduzidos e as tarefas com validação obrigatória. Deve também definir regras para rever conteúdos, identificar erros, comunicar incidentes e proteger informação confidencial.

A formação é decisiva. Não basta disponibilizar uma ferramenta e presumir que todos conhecem os seus limites. Sem governação e formação, o uso informal da IA cria riscos que a direção da clínica só descobre quando ocorre um incidente. Como escrevemos a propósito da Mente Jurídica, a IA acelera o trabalho, mas não substitui o critério humano.

Como prevenir a responsabilidade: o que a clínica deve fazer

A prevenção começa antes de contratar ou implementar a ferramenta.

Definir a finalidade. Tarefas administrativas, produção de conteúdos, apoio à decisão clínica ou finalidade médica específica. Esta distinção determina o enquadramento regulamentar e os controlos necessários.
Analisar os dados e as condições de uso. Dados de saúde, base jurídica, garantias contratuais, acessos, conservação e transferências internacionais.
Verificar a documentação do fornecedor. Finalidade prevista, limitações conhecidas e eventual aplicação do regime dos dispositivos médicos e do Regulamento da IA.
Organizar a equipa. Definir responsabilidades internas, formar os colaboradores, estabelecer supervisão humana e criar procedimentos para registar, comunicar e corrigir falhas.
Avaliar o impacto. Quando o tratamento de dados apresentar um risco elevado para os direitos e liberdades das pessoas, ponderar a avaliação de impacto sobre a proteção de dados.
Documentar. A clínica deve conseguir demonstrar que avaliou os riscos, escolheu a ferramenta com critério e adotou medidas proporcionais.
Rever periodicamente. Os sistemas são atualizados, as finalidades mudam e os riscos evoluem. A avaliação não termina no momento da aquisição.

Não se trata de criar burocracia. Trata-se de garantir que a inovação entra na clínica de forma controlada, segura e juridicamente fundamentada.

Quando um algoritmo falha, é preciso apurar se houve defeito do sistema, uso inadequado, falha de supervisão, incumprimento das regras de proteção de dados ou deficiência organizacional. A responsabilidade determina-se pelas circunstâncias concretas, sem presumir que cabe sempre a um único interveniente.

A IA não substitui os deveres de diligência, confidencialidade, informação e responsabilidade inerentes aos cuidados de saúde. A verdadeira inovação mede-se também pela capacidade de prevenir erros, proteger os utentes e demonstrar que a tecnologia é usada de forma responsável.

A Legal In apoia clínicas na análise das obrigações legais, na identificação de riscos e na organização dos procedimentos para um uso responsável da inteligência artificial. Fale connosco.

Fontes: Regulamento (UE) 2024/1689, Regulamento (UE) 2026/1744, Regulamento (UE) 2016/679 (RGPD), Regulamento (UE) 2017/745 e Regulamento (UE) 2017/746.

FAQS (Perguntas Frequentes)

Depende dos factos. Pode responder o profissional, se validou sem critério um resultado errado, a clínica, se não tinha procedimentos, formação ou supervisão adequados, ou o fornecedor, por defeito do produto ou incumprimento contratual. É preciso analisar a conduta de cada um, os danos e o nexo de causalidade.
Não. Adquirir um sistema reconhecido no mercado não transfere para o fornecedor todos os riscos. A escolha da ferramenta, a forma como é integrada na clínica e o modo como é usada continuam a exigir diligência.
Não. O Regulamento da Inteligência Artificial segue uma abordagem baseada no risco. Uma ferramenta para agendas não tem o mesmo enquadramento de um sistema de apoio ao diagnóstico. Mas mesmo uma ferramenta que não é de risco elevado continua sujeita às regras de proteção de dados, confidencialidade e responsabilidade profissional.
É mais do que confirmar o resultado. A pessoa responsável deve compreender a finalidade do sistema, interpretar os resultados, reconhecer as suas limitações e ter capacidade real para questionar ou rejeitar a recomendação.
Sim. O Regulamento (UE) 2026/1744 alterou o regime original, incluindo os prazos de certas obrigações dos sistemas de risco elevado. A avaliação deve partir da versão consolidada e do calendário aplicável à categoria concreta do sistema.
Definir a finalidade de cada ferramenta, avaliar os dados tratados, verificar a documentação do fornecedor, formar a equipa, estabelecer supervisão humana e procedimentos para falhas, documentar as decisões e rever tudo periodicamente.