Quando um agente de IA na saúde precisa de registro na Anvisa?

Um agente de IA na saúde não precisa de registro porque usa inteligência artificial. Ele precisa quando a finalidade declarada pelo fabricante o transforma em dispositivo médico. Este guia mostra onde a Anvisa desenha essa linha: o que a RDC 657/2022 e a RDC 751/2022 dizem, o que a agência já respondeu oficialmente sobre assistentes virtuais e o que vem por aí na Agenda Regulatória 2026-2027.

A pergunta que decide tudo: a finalidade declarada

A RDC 657/2022 define software como dispositivo médico (SaMD) como o software que atende à definição de dispositivo médico, "destinado a uma ou mais indicações médicas, e que realizam essas finalidades sem fazer parte de hardware de dispositivo médico" (art. 2º, VII). A definição inclui aplicativos móveis e software licenciado por assinatura, hospedado centralmente.

A mesma resolução exclui do enquadramento cinco casos (art. 1º, §2º): software para bem-estar; software relacionado na lista de produtos não regulados da Anvisa; software usado exclusivamente para gerenciamento administrativo e financeiro em serviço de saúde; software que processa dados demográficos e epidemiológicos sem finalidade clínica, diagnóstica ou terapêutica; e software embarcado em dispositivo médico já sob vigilância sanitária.

O ponto que mais importa para agentes de IA vem do documento oficial de Perguntas e Respostas da Anvisa sobre a RDC 657/2022: "não se trata de taxatividade se o software utilizar IA ou ML, mas sim deve ser observada a finalidade de uso do dispositivo" (resposta 111). Usar inteligência artificial não torna um produto dispositivo médico; declarar uma finalidade médica, sim. A pergunta regulatória não é "o agente usa IA?", e sim "o que o fabricante declara que ele faz?".

O que a Anvisa já respondeu sobre assistentes virtuais

O documento de Perguntas e Respostas registra consultas reais muito próximas do que hoje chamamos de agente de IA. Em uma delas (resposta 26), uma plataforma com aplicativo e assistente virtual, incluindo chatbot, teleatendimento e interação por voz com modelos preditivos, foi analisada pela Anvisa. A conclusão: limitada a agenda, marcação, prontuário eletrônico, registro da situação do paciente e comunicação, a solução não se enquadra nas regras e não constitui dispositivo médico passível de regularização.

Na resposta 9, o mesmo raciocínio para telemedicina: softwares que realizam somente funções de prontuário, agenda, transmissão de dados e comunicação, por vídeo, áudio ou texto, não são dispositivos médicos. O diagnóstico e a sugestão de tratamento feitos pelo médico, sem auxílio do software, não mudam esse enquadramento.

A resposta 24 desenha a fronteira mais fina: software que realiza prescrição de medicamento é SaMD; mas "se o software somente servir para comunicar ao paciente a prescrição feita por um médico, neste caso a função é de comunicação" e não há enquadramento. Quem decide a conduta é o médico; o software que apenas transporta essa decisão permanece fora do regime de dispositivos médicos.

Quando o agente vira dispositivo médico

Se a finalidade declarada inclui informar decisões clínicas, o produto é SaMD e a classificação de risco vem da Regra 11 do Anexo I da RDC 751/2022. O software destinado a prestar informações utilizadas para a tomada de decisões com fins terapêuticos ou de diagnóstico é classe II; sobe para classe III se essas decisões puderem causar deterioração grave do estado de saúde ou uma intervenção cirúrgica, e para classe IV se puderem causar morte ou deterioração irreversível. Software de monitoramento de processos fisiológicos é classe II, ou III quando envolve parâmetros vitais com risco imediato. Qualquer outro SaMD é classe I.

A classe define o regime (arts. 6º e 7º da RDC 751/2022). Classes I e II seguem por notificação: o formulário vai à Anvisa, mas o dossiê técnico permanece com a empresa (art. 10 da RDC 657/2022). Classes III e IV exigem registro, com relatório técnico que inclui arquitetura de software e hardware, interoperabilidade, controles de cibersegurança, verificação e validação, gerenciamento de risco e avaliação clínica (art. 12), além de declaração de conformidade com as normas IEC 62304 (ciclo de vida de software), IEC 62366-1 (usabilidade) e ISO 14971 (gestão de risco), ou versões equivalentes (art. 13).

Sobre prazos e custos de entrada, o documento de Perguntas e Respostas registra: as petições seguem os prazos da Lei 6.360/1976, de 90 dias, e a RDC 743/2022 fixou 30 dias para notificações. A empresa peticionante precisa de Autorização de Funcionamento (AFE) em atividade adequada e, no regime de registro, o fabricante precisa de Certificação de Boas Práticas de Fabricação. E um aviso que costuma ser esquecido: distribuir SaMD sem regularização, mesmo gratuitamente, é infração sanitária.

A camada própria da inteligência artificial

Quando a IA é usada para atingir o propósito médico do produto, a Anvisa exige um relatório específico (respostas 50 e 111): o racional que justifica a técnica aplicada, o tamanho e a descrição das bases usadas em aprendizado, treinamento e verificação, a origem e a quantidade dos dados e a justificativa estatística para o tamanho das bases. A ausência dessas informações pode motivar não anuência ou indeferimento.

Sobre aprendizado contínuo, a posição registrada é direta (resposta 115): não há SaMD com IA de código aberto em aprendizado contínuo regularizado. Um produto assim seria tratado como tecnologia inovadora e precisaria demonstrar segurança e eficácia, com mecanismos de proteção contra desvios do código validado. Na prática, o código é fixado antes da submissão, e mudanças relevantes de algoritmo passam por petição de alteração (art. 16 da RDC 657/2022).

O horizonte regulatório também já aparece. A lista preliminar de temas da Agenda Regulatória 2026-2027 inclui a revisão da RDC 657/2022, com a justificativa de que "itens referentes à inteligência artificial e à aprendizagem de máquinas devem ser incorporados à RDC", além da harmonização com práticas internacionais. Até lá, vale a regra atual: a finalidade declarada manda.

Onde a Lisa se posiciona

O desenho da Lisa foi feito para operar do lado da comunicação, no mesmo enquadramento que a Anvisa já reconheceu como fora do regime de dispositivos médicos. Nada chega ao paciente sem aprovação humana; o agente não escolhe conduta nem tratamento; o conteúdo clínico é, literalmente, o que a equipe aprovou; dúvidas clínicas vão para a fila humana, com o contexto da conversa. É o mesmo desenho descrito no artigo técnico sobre os limites dos guard rails da Lisa.

A iniciativa Lisa ANVISA Ready organiza essa prontidão regulatória e de segurança clínica: se uma finalidade futura exigir enquadramento como SaMD, a arquitetura de versões congeladas, aprovação explícita e rastreabilidade já conversa com o que a RDC 657/2022 pede em verificação, validação e gerenciamento de mudanças.

Checklist antes de lançar um agente de IA em saúde

1. Escreva a finalidade declarada do produto, por extenso, no escopo. Ela é o documento que a Anvisa lê primeiro.
2. Pergunte se o agente informa ou sugere decisão diagnóstica ou terapêutica, ou se apenas comunica o que o médico decidiu. Só o primeiro caso vira SaMD.
3. Se for SaMD, estime a classe pelo impacto de uma decisão errada: morte ou dano irreversível aponta para IV; deterioração grave, para III; os demais casos, para II.
4. Verifique se a IA aprende em produção. Se aprende, prepare-se para o regime de tecnologia inovadora; se não, fixe e versione o código antes de qualquer submissão.
5. Confirme os pré-requisitos da empresa: AFE em atividade adequada e, para registro, Certificação de Boas Práticas de Fabricação.
6. Em caso de dúvida, use o canal formal de enquadramento de software da Anvisa antes do lançamento, não depois.