Análise da estrutura de IA na saúde do Reino Unido: deveres de produto

A falha mais sem graça em IA hospitalar também é a mais cara: uma ferramenta funciona bem o suficiente em um piloto, e depois ninguém consegue dizer quem está acompanhando seu desempenho após o lançamento. A MobiHealthNews relata que uma proposta de uma comissão do Reino Unido para regular a IA na saúde pede monitoramento ao longo do ciclo de vida, notificação de incidentes de segurança em IA, requisitos mais fortes de cibersegurança e treinamento para usuários. Isso não é uma instrução para comprar uma pasta de políticas mais grossa. É um aviso de que a superfície operacional da IA na saúde está se tornando parte do produto.

Uma proposta com dois relógios regulatórios

A MobiHealthNews descreve a estrutura de IA em saúde do Reino Unido como uma proposta, e sua cobertura não informa uma data de entrada em vigor. Isso importa, porque “proposto” não é a mesma coisa que “aplicável”, uma distinção que tende a desaparecer em painéis de conferências.

A Legal Nodes diz que o Reino Unido está trabalhando em uma estrutura setorial específica que depende dos reguladores existentes para criar regras adaptadas à IA na saúde. Em paralelo, a Tandem Health diz que a Lei de IA da UE, Regulamento UE 2024/1689, foi adotada pelo Parlamento Europeu em março de 2024 e publicada no Jornal Oficial da União Europeia em julho de 2024, enquanto a Legal Nodes diz que a maioria das ferramentas de IA em saúde fica na categoria de alto risco, com regras se tornando aplicáveis a partir de fevereiro de 2025 e prazos importantes se estendendo até julho de 2025.

A consequência prática é familiar: fornecedores e hospitais do Reino Unido podem estar se preparando para uma estrutura setorial doméstica ao mesmo tempo em que vendem para, compram de ou se comparam ao regime da UE. A resposta sensata não é fingir que os dois sistemas são idênticos. É desenhar as evidências uma vez e depois mapeá-las cuidadosamente para cada exigência: documentação de dispositivo médico, governança de IA, revisão de segurança clínica, documentação de privacidade e garantia para compras.

O monitoramento pertence ao arquivo do produto

A ASCO AI in Oncology relata que a Health AI Partnership propôs uma Estrutura de Divulgação de Fornecedores de IA para sistemas de saúde, cobrindo o que uma ferramenta faz, como foi testada, o que acontece com os dados da organização, o que a integração exige, quanto custa e quem a monitora após o lançamento. Essa última pergunta é onde muitos pilotos viram problemas de aquisição. Se o monitoramento não tiver preço, equipe e suporte técnico definidos, o hospital comprou uma promessa sem nenhum painel por trás.

Para fornecedores, portanto, o monitoramento do ciclo de vida deve ser planejado antes que a equipe de vendas prometa a implantação. Um contrato deve ser capaz de identificar o uso pretendido, os usuários pretendidos, as populações afetadas, as evidências de teste, os compromissos de tratamento de dados e a responsabilidade pelo monitoramento pós-lançamento, porque essas são as perguntas que, segundo a ASCO, as equipes de compras estão sendo incentivadas a fazer.

Para hospitais, o mesmo ponto funciona ao contrário: não aceite uma demonstração como evidência de que a ferramenta pode ser operada com segurança no seu ambiente. Pergunte quem recebe os sinais de desempenho, quem pode pausar o uso e o que o fornecedor deve fornecer quando o sistema mudar.

Incidentes, controles cibernéticos e treinamento não são missões secundárias

A MobiHealthNews relata que a proposta do Reino Unido pede notificação de incidentes de segurança em IA, requisitos mais fortes de cibersegurança e treinamento de usuários. Lido de forma simples, isso significa que a resposta a incidentes não pode começar quando um clínico levanta uma preocupação em uma reunião. Os produtos precisam apoiar investigação, revisão de segurança e escalonamento de maneiras que as equipes clínicas, de governança da informação e de fornecedores consigam realmente usar. A lei talvez ainda não detalhe cada item, mas o arquivo de compras não vai gostar de espaços em branco.

A Layer3 Labs observa que, segundo o GDPR do Reino Unido e da UE, dados de saúde são dados de categoria especial, o processamento é proibido por padrão, e as organizações precisam tanto de uma condição do Artigo 9 quanto de uma base legal do Artigo 6 antes de usar IA em dados de pacientes ou de saúde. Seu guia também aponta deveres específicos de IA relacionados a avaliações de impacto, contratos com fornecedores, transferências internacionais e decisões automatizadas.

Na prática, a notificação de incidentes e a cibersegurança estão ligadas à conformidade com privacidade, não ao lado dela. Se um fornecedor não consegue explicar para onde vão os dados de saúde, o que dizem os termos do processador e como o acesso offshore é controlado, a conversa sobre segurança de IA já ganhou um problema de proteção de dados.

As discussões sobre escopo ficarão mais estreitas

A Digital Colliers diz que a primeira pergunta regulatória para fornecedores de IA em saúde na Europa é se o sistema é um dispositivo médico, observando que IA destinada ao diagnóstico, tratamento ou monitoramento de doença ou lesão, ou à tomada de decisão clínica, geralmente é classificada dessa forma na UE. A Legal Nodes diz separadamente que a Lei de IA da UE coloca a maioria das ferramentas de IA em saúde na categoria de alto risco. Esses não são testes idênticos, e esse é exatamente o incômodo.

Um produto pode enfrentar análise como dispositivo médico, deveres da Lei de IA, obrigações do GDPR e escrutínio de compras hospitalares ao mesmo tempo. A preparação útil, portanto, é prosaica. Mantenha uma declaração de uso pretendido que as equipes de produto, regulatório e vendas não possam reescrever silenciosamente. Mantenha evidências de teste que nomeiem a população e o contexto, não apenas a métrica. Inclua o treinamento de usuários na implantação, especialmente quando a ferramenta afetar decisões clínicas ou operacionais. Acompanhe o próximo passo da proposta do Reino Unido, mas não espere o primeiro aviso de fiscalização para descobrir que monitoramento, notificação, segurança e treinamento deveriam ter sido projetados no plano de lançamento.