REGULAÇÃO DA IA CHEGA À SAÚDE, DESAFIA O MERCADO E JÁ ENFRENTA RESISTÊNCIAS
A Resolução 2.454 do
Conselho Federal de Medicina entrou em vigor ontem e, com isso, a regulação da
IA chegou à área da saúde, disciplinando o desenvolvimento e a utilização de
sistemas e aplicações de inteligência artificial por médicos e instituições
médicas.
Considerando que é a
primeira regulação setorial da IA no Brasil e que o viés regulatório é o mesmo do
projeto de lei que deverá disciplinar a tecnologia em todo o país (calibrando
requisitos e governança conforme o risco de cada aplicação), a assimilação e os
impactos da norma servem como uma espécie de laboratório e podem ajudar a
antecipar os desafios e os benefícios da adoção desse modelo em outros mercados
e setores. Por isso, é importante acompanhar com atenção o que está acontecendo
e os próximos desdobramentos.
A norma do CFM fixou um
prazo de 180 dias para adequação antes do início da vigência. A expectativa é
de que a fiscalização comece logo em seguida e exponha quem não se preparou a relevantes
riscos regulatórios e reputacionais. Diante disso, entidades do setor já
iniciaram uma ofensiva contra a resolução que inclui até mesmo uma ação
judicial coletiva pedindo a sua suspensão. As críticas vão de simples dúvidas
interpretativas à alegada extrapolação das competências do CFM.
Algumas dessas críticas dizem
respeito ao desafio que a regulação representará para instituições que enfrentam
restrições orçamentárias ou que ainda não alcançaram a maturidade no campo da
governança da integridade, da tecnologia e da gestão de pessoas e processos. Muitos
acreditam que as exigências podem, nesses casos, se mostrar excessivas ou despropositadas.
Outras críticas dizem respeito ao teor em si das normas, às dúvidas
interpretativas que podem suscitar e a certas dificuldades previstas mesmo por
instituições mais maduras e sofisticadas. Há quem diga, até mesmo, que a
regulação trará mais insegurança.
Muitas previsões da
resolução do CFM são, de fato, difíceis de cumprir na prática, como a obrigação
de informar o paciente e registrar no prontuário qualquer uso relevante de IA
na assistência. Dúvidas interpretativas circundam regras importantes e de alta
relevância prática, como as que exigem comissão de IA nas instituições que
adotarem “sistemas próprios” e as que categorizam os riscos sem esclarecer o
que seria “inaceitável”. Mas, aparentemente, as maiores resistências se devem
não ao teor em si da nova regulação, e sim de características intrínsecas que
fazem da IA generativa uma tecnologia altamente invasiva e dificílima de
governar.
A inteligência artificial generativa
é uma tecnologia de propósito geral extremamente versátil que evolui e se
dissemina rapidamente, gerando, muitas vezes, outputs inesperados como
resultado de processos não determinísticos e não auditáveis. Por tais
características, qualquer circunstância pode alterar relevantemente os fatores
a considerar na avaliação dos riscos e na definição das respectivas medidas de
mitigação. A governança de uma tecnologia desse tipo precisa, portanto, ser
altamente contextual e isso, de fato, gera a necessidade de avaliar, monitorar
e corrigir cada aplicação, considerando, no detalhe, a tecnologia utilizada, a
finalidade, a autonomia, o contexto de uso, o perfil dos usuários, o tratamento
dos dados e todos os potenciais impactos. Diante disso, é natural que
lideranças médicas em busca de indicações regulatórias mais concretas se sintam
desamparadas e tendam a rejeitar o peso de responsabilidades que as normas são
pródigas em distribuir sem detalhar como cumprir.
Só que isso tudo, em vez de
pesar contra a regulação, só demonstra o quanto é necessária, a despeito de
eventuais excessos ou inconsistências. O avanço da tecnologia e os riscos da
sua disseminação na área médica são incompatíveis com a letargia regulatória.
Pesquisas mostram que existe uma verdadeira epidemia de “shadow AI” no mundo
corporativo. Profissionais de todas as categorias estão utilizando aplicações
de IA sem autorização, validação ou orientação institucional. Na área da saúde,
essa prática expõe médicos e pacientes a enormes riscos, e é evidente que os
órgãos de regulação não podem continuar indiferentes ao fenômeno e esperar que
todas as instituições médicas reajam, por iniciativa própria, com a prontidão necessária.
Nesse contexto, uma regulação imperfeita é melhor do que regulação nenhuma. Até
porque qualquer iniciativa regulatória precisa lidar com tradeoffs que rivalizam
com a perfeição e exigem o sacrifício de interesses legítimos.
A imaturidade da governança
de muitas instituições também só reforça a pertinência da iniciativa do CFM. Um
dos objetivos da regulação é, precisamente, o de disseminar boas práticas de
governança para a contenção dos riscos de cada atividade. A crítica baseada nas
disparidades entre os destinatários até seria justa se a norma promovesse um
nivelamento às cegas. Mas não é o caso: as exigências são, no geral,
proporcionais ou proporcionalizáveis. Apenas as instituições que desenvolvem
aplicações de IA precisam ter comissão especializada e a exigência de avaliação
preliminar de riscos para cada aplicação tem, precisamente, o objetivo de
garantir que o monitoramento, a adoção de guardrails e outras medidas de
governança sejam proporcionais aos riscos identificados. Então se a adoção de
IA na minha organização traz riscos relevantes e a maturidade da governança não
está à altura, o problema não está na regulação. É a minha governança que
precisa se ajustar aos riscos das minhas atividades.
Quanto ao modo de
governar cada aplicação de IA, a verdade é que não é possível nem recomendável
esperar muito mais da regulação. Se a IA é altamente versátil e o seu uso é
altamente contextual, atraindo riscos que só poderão ser identificados e
tratados em cada aplicação concreta, a regulação precisa se restringir a
orientações gerais para não incorrer em um casuísmo que, na generalidade dos
casos, não terá como não ser inadequado por falta de aderência ou
desproporcional por excesso de rigor. Diante disso, quem quiser detalhes e
orientações mais concretas poderá se valer de consultoria especializada e de frameworks
reconhecidos (como ISO e NIST), se valendo das lacunas e indeterminações da
norma do CFM para adaptar aquelas orientações à realidade de cada negócio e
atividade.
Quanto à fiscalização, o
esperado, se a nova regulação vier a prevalecer, é que todos, reguladores e
regulados, se disponham a aprender no processo e transformem as suas interações
em uma oportunidade privilegiada para o diálogo e a cooperação. Se for assim, os
desafios da inovação se traduzirão em uma governança mais madura e não
precisaremos ter medo nem da IA nem da sua regulação.