Contra Shadow IA no Setor da Saúde, norma do CFM vigora a partir de 26/08

Imagine um radiologista que, antes de assinar um laudo complexo, submete as imagens a um modelo de IA generativa acessado pelo celular pessoal

Fonte: Assessoria - Publicada em 25 de agosto de 2026 às 19:53

O primeiro marco específico para o setor de saúde lidar com a Inteligência Artificial passa a vigorar no país a partir de 26/08. Isso é importante porque está presente no País o uso de ferramentas de IA por indivíduos ou grupos dentro de uma organização de saúde sem o conhecimento, a aprovação ou a supervisão institucional, que conforme esclarece Rafael Dias da Cunha, advogado do Toro Advogados, é o fenômeno da Shadow IA.

- Imagine um radiologista que, antes de assinar um laudo complexo, submete as imagens a um modelo de IA generativa acessado pelo celular pessoal. Ou uma enfermeira que digita os sintomas de um paciente numa ferramenta de chatbot para orientar a conduta de enfermagem. Ou um gestor de operadora que alimenta uma planilha com dados de beneficiários numa IA para análise de sinistros. Nenhuma dessas situações é hipotética. Todas estão ocorrendo agora, cotidianamente, e nenhuma delas passou pelo crivo de qualquer comitê de ética, departamento jurídico ou política de governança institucional.

O grau de problemas gerados pela Shadow IA (uso não oficial de inteligência artificial) no setor de saúde no Brasil é crítico e considerado de alto risco. A prática envolve profissionais inserindo dados confidenciais de pacientes em chatbots ou ferramentas externas sem o crivo da TI ou conformidade institucional, o que amplifica vulnerabilidades severas.

- Esse fenômeno ganha contornos dramáticos pois não se está diante de mera irregularidade administrativa ou de um problema de governança corporativa.

De acordo com o advogado, o ambiente da saúde é particularmente fértil para o crescimento da shadow AI por razões estruturais.

Os profissionais de saúde operam sob carga de trabalho elevada, prazos exíguos e recursos escassos e ferramentas de IA que parecem reduzir o tempo de elaboração de laudos, prescrições ou relatórios são adotadas instintivamente, sem que haja espaço institucional para discussão de sua adequação.

As burocracias hospitalares e das operadoras frequentemente não acompanham o ritmo da inovação tecnológica, de modo que quando um profissional percebe que determinada ferramenta de IA melhora sua produtividade, raramente existe um canal ágil para sua homologação, sendo a alternativa, então, o uso informal.

Os modelos de linguagem de larga escala, os chamados LLMs, definidos pela própria Resolução CFM nº 2.454/2026 como subclassificação de IA generativa capaz de compreender e gerar linguagem em formato escrito, com aplicações que incluem assistentes virtuais para profissionais e ferramentas de auxílio na redação de documentos clínicos tornaram-se amplamente acessíveis, gratuitos ou de baixo custo, logo, não é mais necessário ter conhecimento técnico especializado para interagir com sistemas sofisticados de IA.

A grande maioria dos hospitais, clínicas, operadoras e demais organizações do setor de saúde no Brasil ainda não dispõe de políticas formais sobre o uso de IA, de modo que, diante dessa lacuna normativa interna, o uso informal floresce e isso ocorre mesmo após a publicação da Resolução CFM nº 2.454/2026.

E muitos profissionais não enxergam no uso de um chatbot para auxiliar na redação de um laudo um risco jurídico concreto, pois a aparente normalidade da interação (afinal, é apenas "perguntar para uma IA") mascara a complexidade das implicações legais envolvidas, inclusive a responsabilidade ético-profissional integral que a Resolução CFM nº 2.454/2026 expressamente mantém sobre o médico.

Rafael Dias expõe que quando um profissional insere dados de pacientes em uma ferramenta de IA generativa externa, sem base legal identificada, sem aviso de privacidade adequado, sem Avaliação de Impacto à Proteção de Dados (AIPD) e sem contrato de operador com o fornecedor da ferramenta, praticamente todos os princípios da LGPD previstos no art. 6º da referida legislação podem estar sendo violados, dentre os quais destacamos a finalidade, adequação, necessidade, transparência e segurança.

Responsabilidade dos Desenvolvedores e Fornecedores de IA

De acordo com o integrante do Toro Advogados, uma dimensão frequentemente negligenciada no debate sobre shadow AI é a responsabilidade das empresas que desenvolvem e disponibilizam as ferramentas utilizadas informalmente pelos profissionais de saúde.

A maioria dos termos de serviço dessas plataformas estabelece expressamente que o usuário é responsável pelo uso que faz da ferramenta, vedando aplicações em contextos de alto risco sem supervisão humana adequada. Tais cláusulas, contudo, podem ser questionadas à luz do CDC quando a relação for de consumo, e sua eficácia para eximir completamente o fornecedor de responsabilidade é juridicamente controvertida.