Dano à segurança do doente por erro de modelo
Uma previsão errada ou omitida pode afetar diretamente o diagnóstico e o tratamento — o modo de falha de maior risco de todos.
ISO/IEC 42001 por setor
ISO/IEC 42001 para saúde e IA médica
A IA apoia o diagnóstico, a triagem, a imagiologia, as decisões clínicas e a administração de doentes — onde um erro é um evento de segurança do doente, não um ticket de bug. A ISO/IEC 42001 dá aos prestadores de cuidados de saúde e aos programadores de IA médica um sistema de governança auditável que se articula com as obrigações de MDR/IVDR, de segurança do doente e de dados de saúde.
Porque é de alto risco
EU AI Act — Annex I & Annex III, alto risco
A IA médica carrega a carga de conformidade mais rigorosa
A IA que é um componente de segurança de um dispositivo médico ou de diagnóstico in vitro recai sob a via de produto do EU AI Act (Annex I), ligada à conformidade MDR/IVDR — estas obrigações aplicam-se a partir de 2 de agosto de 2028. A IA usada para triar ou despachar cuidados de saúde de emergência é de alto risco ao abrigo do Annex III. Além do AI Act existem a documentação técnica e a avaliação clínica de MDR/IVDR, as expectativas das agências de medicamentos e da FDA para software como dispositivo médico, os deveres de segurança do doente e as regras do GDPR para dados de saúde de categoria especial. A ISO 42001 complementa a via do dispositivo — não a substitui — governando o sistema de gestão de IA à sua volta.
Os riscos
Onde a IA médica gera exposição
Na saúde, o custo de errar na governança de IA mede-se em danos ao doente:
Enviesamento demográfico em modelos clínicos
Conjuntos de dados que sub-representam grupos produzem modelos que têm pior desempenho para eles, aprofundando as iniquidades em saúde.
Proveniência e qualidade dos dados
Dados clínicos de treino com origem, base de consentimento ou qualidade pouco claras comprometem a segurança e a legalidade.
Excesso de confiança do clínico
O enviesamento de automação — clínicos a acatarem a IA sem revisão significativa — erode a supervisão humana que a lei exige.
Deriva pós-comercialização
O desempenho do modelo degrada-se à medida que as populações, os dispositivos e a prática mudam; sem monitorização passa despercebido.
Explicabilidade a clínicos e doentes
Decisões que não podem ser explicadas são difíceis de confiar, de agir sobre ou de defender.
Como a ISO/IEC 42001 o cobre
Os controlos e modelos que mais importam aqui
O kit mapeia cada risco para um controlo específico do Annex A e um documento pronto a usar:
| Annex A control | Toolkit document | Why it matters |
|---|---|---|
| A.5 — Avaliação de impacto | AI Impact Assessment (RISK-TPL-01) | Avalie os efeitos sobre doentes e clínicos antes da implementação — alimenta diretamente a documentação clínica e de risco de MDR. |
| A.6 — Ciclo de vida e validação | V&V Plan and Report + Model Card + Technical Documentation Pack (VV-PLN-01 / VV-REC-01 / LIFE-TPL-05 / LIFE-TPL-04) | Validação e documentação rigorosas que se alinham com os ficheiros técnicos do dispositivo. |
| A.7 — Qualidade, proveniência e enviesamento dos dados | Data Quality Assessment + Provenance Log + Bias and Fairness Record (DATA-TPL-03 / DATA-TPL-02 / DATA-TPL-05) | Demonstre dados clínicos representativos, bem obtidos e legais, e equidade monitorizada entre grupos. |
| A.9.3 — Supervisão humana | Human Oversight Plan (USE-PLN-01) | Mantenha um clínico significativamente no circuito e proteja-se contra o enviesamento de automação. |
| A.6.2 / Cláusula 9 — Monitorização | Monitoring Plan & KPI Register (MON-PLN-01) | Monitorização de desempenho pós-comercialização e deteção de deriva — esperadas tanto pelo AI Act como pelos reguladores de dispositivos. |
| A.8.4 — Resposta a incidentes | AI Incident Response Procedure (INC-PRO-01) | Um fluxo definido de severidade e escalonamento para eventos de IA relevantes para a segurança, com preservação de provas. |
Como lá chegar
Da IA clínica a um sistema auditável e seguro
- 1
Registe todos os sistemas de IA clínicos e administrativos, com um responsável e uma ligação a qualquer ficheiro de conformidade do dispositivo.
- 2
Realize avaliações de impacto, enviesamento e qualidade dos dados; valide e documente cada modelo.
- 3
Incorpore supervisão do clínico, transparência e um processo de incidentes de nível de segurança.
- 4
Monitorize o desempenho pós-comercialização e a deriva, e alinhe o AIMS com as provas de MDR/IVDR.
Perguntas
Saúde e IA médica — respostas rápidas
A ISO 42001 substitui o MDR/IVDR ou a aprovação da FDA?
Não. A IA de dispositivo médico continua a precisar da sua via regulatória. A ISO 42001 governa o sistema de gestão de IA à volta do dispositivo — avaliação de impacto e de enviesamento, governança de dados, supervisão, monitorização e resposta a incidentes — e as suas provas complementam a documentação técnica que essas vias exigem.
Quando é que as obrigações do AI Act se aplicam à IA médica?
A IA que é um componente de segurança de um dispositivo ao abrigo do MDR/IVDR segue a via de produto com obrigações a partir de 2 de agosto de 2028; a IA de triagem de emergência é do Annex III com obrigações a partir de 2 de dezembro de 2027. Os requisitos substantivos não mudaram — o prazo é para construir o sistema.
Somos um hospital que usa IA clínica comprada, não um fabricante — isto aplica-se?
Sim. Enquanto implementador, é responsável pela supervisão humana, pela monitorização e por usar a IA dentro do seu uso previsto. A ISO 42001 dá aos prestadores os controlos do lado do implementador para o fazer de forma defensável.
Relacionado
Continue a ler
Governe a IA médica ao padrão de segurança do doente
O kit inclui os controlos de impacto, validação, qualidade dos dados, supervisão, monitorização e incidentes que a IA médica exige — prontos a adaptar e a articular com a documentação do seu dispositivo.