Shadow IA no setor da saúde: dados, riscos e responsabilidades
Imagine um radiologista que, antes de assinar um laudo complexo, submete as imagens a um modelo de IA generativa acessado pelo celular pessoal. Ou uma enfermeira que digita os sintomas de um paciente numa ferramenta de chatbot para orientar a conduta de enfermagem. Ou um gestor de operadora que alimenta uma planilha com dados de beneficiários numa IA para análise de sinistros. Nenhuma dessas situações é hipotética. Todas estão ocorrendo agora, cotidianamente, e nenhuma delas passou pelo crivo de qualquer comitê de ética, departamento jurídico ou política de governança institucional.
Esse é o fenômeno da shadow AI (a inteligência artificial sombra), conceituada como o uso de ferramentas de IA por indivíduos ou grupos dentro de uma organização sem o conhecimento, a aprovação ou a supervisão institucional. O termo deriva do conceito mais amplo de shadow IT, conhecido desde os anos 2000, quando colaboradores começaram a usar softwares e serviços de nuvem não homologados pelas equipes de tecnologia de suas empresas.
No setor da saúde, o fenômeno ganha contornos dramáticos pois não estamos diante de mera irregularidade administrativa ou de um problema de governança corporativa. Falamos de um cenário em que dados de saúde, que estão entre os mais sensíveis que uma pessoa pode ter, e são processados por ferramentas externas, muitas vezes sediadas no exterior, sem qualquer avaliação de impacto à privacidade, sem cláusulas contratuais de proteção e sem mecanismos de auditoria. E onde eventuais erros podem custar vidas.
Fatores de Proliferação
O ambiente da saúde é particularmente fértil para o crescimento da shadow AI por razões estruturais, dentre os quais citamos:
a) Profissionais de saúde operam sob carga de trabalho elevada, prazos exíguos e recursos escassos e ferramentas de IA que parecem reduzir o tempo de elaboração de laudos, prescrições ou relatórios são adotadas instintivamente, sem que haja espaço institucional para discussão de sua adequação.
b) Burocracias hospitalares e das operadoras frequentemente não acompanham o ritmo da inovação tecnológica, de modo que quando um profissional percebe que determinada ferramenta de IA melhora sua produtividade, raramente existe um canal ágil para sua homologação, sendo a alternativa, então, o uso informal.
c) Modelos de linguagem de larga escala, os chamados LLMs, definidos pela própria Resolução CFM nº 2.454/2026 como subclassificação de IA generativa capaz de compreender e gerar linguagem em formato escrito, com aplicações que incluem assistentes virtuais para profissionais e ferramentas de auxílio na redação de documentos clínicos tornaram-se amplamente acessíveis, gratuitos ou de baixo custo, logo, não é mais necessário ter conhecimento técnico especializado para interagir com sistemas sofisticados de IA.
d) A grande maioria dos hospitais, clínicas, operadoras e demais organizações do setor de saúde no Brasil ainda não dispõe de políticas formais sobre o uso de IA, de modo que, diante dessa lacuna normativa interna, o uso informal floresce e isso ocorre mesmo após a publicação da Resolução CFM nº 2.454/2026, cujos destinatários têm 180 dias a partir de fevereiro de 2026 para se adequar.
e) Muitos profissionais não enxergam no uso de um chatbot para auxiliar na redação de um laudo um risco jurídico concreto, pois a aparente normalidade da interação (afinal, é apenas “perguntar para uma IA”) mascara a complexidade das implicações legais envolvidas, inclusive a responsabilidade ético-profissional integral que a Resolução CFM nº 2.454/2026 expressamente mantém sobre o médico.
Marco Normativo em Construção
O direito brasileiro não dispõe ainda de uma legislação geral e exaustiva sobre inteligência artificial, sendo que o debate legislativo no Congresso Nacional avançou em anos recentes, mas sem que uma lei de IA abrangente e com força vinculante plena tenha sido promulgada no momento da elaboração deste artigo. O que existe é um conjunto de diplomas normativos que, articulados, formam um mosaico aplicável ao fenômeno da shadow AI, ao qual se somam, com crescente relevância e especificidade, as normas editadas pelos próprios setores regulados.
A LGPD é o instrumento normativo mais diretamente aplicável à shadow AI na saúde pois os dados de saúde, incluindo histórico clínico, diagnósticos, exames, tratamentos, condições de saúde física ou mental, são classificados como dados pessoais sensíveis (art. 5º, II), sujeitos a regime jurídico mais rigoroso.
Sendo assim, quando um profissional insere dados de pacientes em uma ferramenta de IA generativa externa, sem base legal identificada, sem aviso de privacidade adequado, sem Avaliação de Impacto à Proteção de Dados (AIPD) e sem contrato de operador com o fornecedor da ferramenta, praticamente todos os princípios da LGPD previstos no art. 6º da referida legislação podem estar sendo violados, dentre os quais destacamos a finalidade, adequação, necessidade, transparência e segurança.
Lembramos que a Agência Nacional de Proteção de Dados (ANPD) tem competência inequívoca para fiscalizar e sancionar esse tipo de violação, com multas de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração (art. 52 da LGPD), sendo que a transferência internacional de dados merece destaque especial pois a maioria das ferramentas de IA generativa amplamente utilizadas opera em servidores no exterior. Logo, o envio de dados sensíveis de pacientes brasileiros a esses servidores sem as salvaguardas previstas nos arts. 33 a 36 da LGPD constitui infração autônoma e de elevada gravidade.
Neste sentido, a Resolução CFM nº 2.454/2026 dialoga diretamente com essa preocupação ao estabelecer, em seu art. 6º, que o médico deve zelar pela confidencialidade, integridade e segurança dos dados de saúde utilizados por sistemas de IA sendo vedado utilizar ferramentas que não garantam padrões mínimos de segurança compatíveis com dados pessoais sensíveis.
Primeiro Marco Específico
A Resolução CFM nº 2.454, publicada em 27/022026 e com vigor a partir de 180 dias dessa data, representa um divisor de águas no ordenamento normativo sobre IA e saúde no Brasil. Trata-se da primeira norma deontológica específica, abrangente e estruturada sobre o tema, editada por um conselho profissional com poder de fiscalização e sanção.
Seu art. 1º estabelece o objetivo de promover “o desenvolvimento tecnológico e a eficiência dos serviços médicos de modo seguro, transparente, isonômico e ético, em benefício dos pacientes e com estrita observância de seus direitos fundamentais.” Para o fenômeno da shadow AI, os dispositivos mais diretamente relevantes são o dever de utilizar apenas sistemas que atendam às normas vigentes (art. 4º, IV); a vedação ao uso de ferramentas sem padrões mínimos de segurança (art. 6º, § 3º); a responsabilidade integral e intransferível do médico (art. 7º); O dever de registrar no prontuário o uso de IA (art. 4º, V); a obrigação de informar o paciente (art. 5º, § 1º e art. 11); a classificação de riscos e a Avaliação de Impacto Algorítmico (arts. 12 e 13 e Anexo II); a exigência de Comissão de IA e Telemedicina nas instituições (art. 14, parágrafo único).
O descumprimento dos deveres previstos na resolução sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal (art. 8º). A resolução, portanto, não é meramente declaratória: é norma com dentes.
Responsabilidade das Instituições de Saúde
Os hospitais, clínicas e operadoras respondem objetivamente pelos atos de seus prepostos (art. 932, III, do Código Civil), portanto, a shadow AI praticada por empregados ou colaboradores não exonera a instituição de responsabilidade, pelo contrário, a ausência de políticas preventivas pode ser interpretada como culpa in vigilando e culpa in eligendo.
Deste modo, a Resolução CFM nº 2.454/2026 reforça esse entendimento ao exigir que as instituições médicas estabeleçam processos internos de governança (art. 14), criem Comissão de IA e Telemedicina (art. 14, parágrafo único) e implementem mecanismos de auditoria especializada e monitoramento contínuos (art. 9º, § 2º). A instituição que não adota essas medidas após o prazo de adaptação fixado pela resolução não pode alegar boa-fé em eventual demanda.
Responsabilidade dos Desenvolvedores e Fornecedores de IA
Uma dimensão frequentemente negligenciada no debate sobre shadow AI é a responsabilidade das empresas que desenvolvem e disponibilizam as ferramentas utilizadas informalmente pelos profissionais de saúde.
A maioria dos termos de serviço dessas plataformas estabelece expressamente que o usuário é responsável pelo uso que faz da ferramenta, vedando aplicações em contextos de alto risco sem supervisão humana adequada. Tais cláusulas, contudo, podem ser questionadas à luz do CDC quando a relação for de consumo, e sua eficácia para eximir completamente o fornecedor de responsabilidade é juridicamente controvertida.
Ressalta-se que a Resolução CFM nº 2.454/2026, ao definir “distribuidor” como a pessoa que disponibiliza um sistema de IA para que terceiro o opere (Anexo I, item IX), e ao incluir a “responsabilização e reparação de danos” como princípio fundamental (Exposição de Motivos, item VII) afirmando que “em caso de dano decorrente de falha de um sistema de IA, deverão ser adotadas medidas para reparação integral do paciente lesado, sem prejuízo de responsabilização dos desenvolvedores ou fornecedores” sinaliza que a cadeia de responsabilidade pelo uso de IA na saúde não se encerra no médico ou na instituição.
*Rafael Dias da Cunha é Professor e Advogado no Escritório Toro & Advogados Associados.
