IA e marcação CE: o que verificar no software de saúde

A Comissão Europeia voltou a colocar o Regulamento da Inteligência Artificial (Regulamento da IA) como quadro jurídico central para a utilização de sistemas de IA na UE, enquanto o BOE (o Boletín Oficial del Estado, o jornal oficial de Espanha) mantém o foco em conteúdos formativos e de temário ligados ao RGPD e à LOPDGDD (a lei orgânica espanhola de proteção de dados). Este contexto obriga as clínicas e os consultórios privados em Espanha a rever, antes de comprarem ou renovarem tecnologia, duas frentes ao mesmo tempo: se o software entra no perímetro de «dispositivo médico» com marcação CE e que papel assume a clínica (responsável pelo tratamento) quando o fornecedor integra IA que trata dados de saúde, segundo o quadro descrito pela Comissão Europeia e os conteúdos sobre proteção de dados publicados no BOE.

O que muda com o Regulamento da IA numa clínica privada

A Comissão Europeia resume que o Regulamento da IA estabelece um quadro jurídico abrangente para regular a IA na UE, a par de outras normas do ambiente digital, com uma abordagem de governação e de obrigações em função do risco do sistema (segundo a Comissão Europeia, na sua documentação de divulgação sobre o Regulamento da IA).

Para uma clínica, a implicação prática imediata não é «implementar IA», mas sim classificar o que já compra ou utiliza: agendas com triagem automatizada, transcrição de voz para texto, assistentes que redigem relatórios, chatbots internos, soluções de codificação ou ferramentas de apoio à decisão integradas em plataformas clínicas. Embora a documentação da Comissão não funcione como guia setorial da saúde, marca um ponto de controlo para a gerência: qualquer solução que se anuncie como IA ou incorpore automatização avançada exige diligência nas compras e nos contratos.

Quem deve fazer o quê: fornecedor, clínica e subcontratantes

Na prática, a clínica costuma atuar como cliente e utilizadora do sistema e, em matéria de proteção de dados, como responsável pelo tratamento dos dados de saúde quando decide as finalidades e os meios (um enquadramento coerente com a abordagem do RGPD que aparece nos temários publicados no BOE). O fornecedor do software pode ser subcontratante e, além disso, no quadro do Regulamento da IA, poderá ter obrigações próprias enquanto fornecedor do sistema.

Implicação para a gerência: ao negociar um contrato ou uma renovação, convém exigir ao fornecedor que concretize por escrito que componentes são IA, para que finalidades são utilizados e que papel assume cada parte, sem dar por adquirido que «se o software é de saúde, já está tudo coberto». A Comissão Europeia descreve o Regulamento da IA como um quadro de regulação geral da IA; por isso, o enquadramento concreto pode depender da forma como o sistema é utilizado na clínica.

Marcação CE e software de saúde: porque continua a ser um filtro de compra

A marcação CE funciona como sinal regulatório quando o software é comercializado como dispositivo médico ou cumpre os requisitos para o ser. No ecossistema normativo citado nas fontes, o Real Decreto 192/2026 (um decreto espanhol), segundo a referência publicada pelo portal espanhol Noticias Jurídicas, inclui uma menção explícita a situações em que determinados produtos não poderão ostentar a marcação CE, num contexto de introdução acelerada e excecional no mercado.

Sem entrar em casuística técnica, essa referência serve de lembrete para uma clínica: marcação CE e «software de saúde» não são sinónimos, e podem existir cenários em que um produto não tenha marcação CE. O responsável pelas compras deve tratá-lo como um requisito documental e de diligência devida, e não como um pormenor comercial.

O que verificar numa compra ou renovação

Do ponto de vista da gestão, o que importa é pedir evidências e deixar rasto documental. Ao avaliar um software que afete processos clínicos ou o tratamento de informação de saúde, a clínica deveria solicitar ao fornecedor, no mínimo:

• Declaração sobre se o produto tem marcação CE e, se aplicável, em que condições é comercializado.
• Documentação da utilização prevista (para evitar que uma ferramenta de «gestão» seja utilizada como se tivesse uma finalidade clínica regulada).
• Âmbito funcional real: se inclui módulos de IA (p. ex., resumo do processo clínico, classificação automática, extração de dados), para alinhar a utilização com o que foi contratado.

Estas verificações não substituem o critério do assessor nem a revisão técnica, mas ajudam a que a clínica não assuma riscos por falta de verificação.

Proteção de dados: o BOE volta a pôr o RGPD em primeiro plano

O BOE publicou uma disposição (Disposição 20626 do BOE n.º 247 de 2026) que inclui como matéria de temário o Regulamento (UE) 2016/679 (RGPD) e a Lei Orgânica 3/2018 (LOPDGDD). Embora se trate de um conteúdo de temário, para o setor privado é uma pista clara: a proteção de dados continua a ser um eixo transversal em procedimentos, inspeções e cultura de cumprimento.

Numa clínica, o dado especialmente sensível é o dado de saúde. Se o software incluir IA (por exemplo, para transcrever consultas ou estruturar texto livre), o fluxo de dados pode alargar-se: fornecedores de nuvem, subcontratantes ulteriores, armazenamento temporário e reutilização para melhorar modelos. Nesse ponto, a gerência deve garantir que o contrato e a documentação do fornecedor não deixam zonas cinzentas.

Três controlos de gestão antes de «ativar» funções de IA

Com base no quadro geral do RGPD citado no BOE e no facto de o Regulamento da IA estabelecer obrigações em função do tipo de sistema (segundo a Comissão Europeia), a clínica pode organizar a revisão interna em torno de três controlos práticos:

1. Finalidade e configuração: confirmar que dados são tratados e com que finalidade quando se ativa uma função de IA (p. ex., transcrição, extração de campos).
2. Subcontratação e subcontratação ulterior: identificar se há terceiros que acedem aos dados e se estão cobertos pelo contrato de subcontratação.
3. Informação e registo interno: garantir que a clínica consegue documentar o tratamento e responder a pedidos ou incidentes, de forma coerente com o quadro RGPD/LOPDGDD.

O que significa para a clínica na contratação e na auditoria de fornecedores

Em paralelo com a abordagem regulatória, a análise sobre regulação e inovação citada pelo diário espanhol elEconomista aponta uma consequência prática: o cumprimento normativo pode revelar-se gerível para as grandes empresas e dispendioso para as pequenas (segundo o documento referenciado pelo elEconomista). Transposto para as compras na área da saúde, isto pode gerar um mercado com fornecedores muito desiguais em documentação, evidências e capacidade de resposta.

Implicação para a clínica: em concursos privados ou comparações de fornecedores, não basta olhar para o preço e as funcionalidades. É preciso introduzir critérios de capacidade de cumprimento: tempos de resposta perante auditorias, clareza contratual e disponibilidade de documentação sobre a marcação CE (se aplicável) e sobre a utilização de IA (se existir).

O que fica pendente e como acompanhar sem se antecipar

A Comissão Europeia apresenta o Regulamento da IA como um quadro amplo. Para uma clínica privada, parte da operação concreta pode depender de desenvolvimentos posteriores, guias e aplicação prática no mercado (por exemplo, a forma como os fornecedores identificam as funções de IA ou a documentação que disponibilizam). Por isso, quando um fornecedor prometer «conformidade total», convém pedir referências documentais verificáveis e deixar registo do que foi entregue.

Na parte da proteção de dados, a inclusão do RGPD e da LOPDGDD em publicações do BOE não introduz, por si só, novas obrigações para a clínica, mas reforça que qualquer projeto de software de saúde com IA deve nascer com contratos, registos e controlo de acessos organizados.

Referências e ligações

• Regulamento da IA (documentação da Comissão Europeia): Comissão Europeia
• RGPD e LOPDGDD (temário publicado no BOE, Disposição 20626): BOE
• Marcação CE e limitações na introdução acelerada (referência ao Real Decreto 192/2026 no Noticias Jurídicas): Noticias Jurídicas
• Cumprimento normativo e custo para as pequenas empresas (documento referenciado pelo elEconomista): elEconomista

Este artigo resume informação pública do setor. Não constitui aconselhamento jurídico nem fiscal.