A Lei de IA do Colorado: Implicações para os prestadores de cuidados de saúde

A inteligência artificial (IA) está a ser cada vez mais integrada nas operações de cuidados de saúde, desde funções administrativas, como agendamento e faturação, até à tomada de decisões clínicas, incluindo diagnósticos e recomendações de tratamento. Embora a IA ofereça benefícios significativos, as preocupações relativas a preconceitos, transparência e responsabilização levaram a respostas regulatórias. A Lei de Inteligência Artificial do Colorado (a Lei), que entrará em vigor em 1 de fevereiro de 2026, impõe requisitos de governança e divulgação às entidades que implementam sistemas de IA de alto risco, particularmente aquelas envolvidas em decisões consequentes que afetam os serviços de saúde e outras áreas críticas.

Dada a ampla aplicabilidade da lei, incluindo o seu potencial alcance extraterritorial para entidades que realizam negócios no Colorado, os prestadores de cuidados de saúde devem avaliar proativamente a sua utilização de IA e preparar-se para o cumprimento das regulamentações futuras. Abaixo, discutimos a intenção da lei, a que tipos de IA ela se aplica, a regulamentação futura, o impacto potencial sobre os prestadores, os requisitos legais de conformidade e os mecanismos de aplicação.

1. O que a lei procura proteger?

A lei visa principalmente mitigar a discriminação algorítmica, definida como a tomada de decisões baseada em IA que resulta em tratamento diferenciado ilegal ou impacto desigual sobre indivíduos com base em determinadas características, como raça, deficiência, idade ou proficiência linguística. A lei visa impedir que a IA reforce preconceitos existentes ou tome decisões que prejudiquem injustamente determinados grupos.

Exemplos de discriminação algorítmica nos cuidados de saúde

• Problemas de acesso aos cuidados de saúde: os sistemas de agendamento por telefone com inteligência artificial podem não reconhecer certos sotaques ou processar com precisão falantes de outras línguas que não o inglês, tornando mais difícil para falantes não nativos de inglês agendar consultas médicas.
• Ferramentas de diagnóstico e recomendações de tratamento tendenciosas: Algumas ferramentas de diagnóstico de IA podem recomendar tratamentos diferentes para pacientes de diferentes etnias, não por causa de evidências médicas, mas devido a preconceitos nos dados de treino. Por exemplo, um modelo de IA treinado principalmente com dados de pacientes brancos pode não detectar sinais precoces de doenças que se apresentam de forma diferente em pacientes negros ou hispânicos, resultando em recomendações de tratamento imprecisas ou menos eficazes para populações historicamente marginalizadas.
• Ao abordar essas e outras desigualdades impulsionadas pela IA, a lei visa garantir que os sistemas automatizados não reforcem ou agravem as disparidades existentes no acesso e nos resultados dos cuidados de saúde.

2. Que tipos de IA são abordados pela lei?

A lei aplica-se amplamente às empresas que utilizam IA para interagir com ou tomar decisões sobre os residentes do Colorado. Embora certos sistemas de IA de alto risco — aqueles que desempenham um papel substancial na tomada de decisões importantes — estejam sujeitos a requisitos mais rigorosos, a lei impõe obrigações à maioria dos sistemas de IA utilizados na área da saúde.

Definições-chave na lei

• «Sistema de Inteligência Artificial»significa qualquer sistema baseado em máquinas que gera resultados — tais como decisões, previsões ou recomendações — que podem influenciar ambientes do mundo real.
• «Decisão consequencial» significa uma decisão que afeta materialmente o acesso ou o custo dos cuidados de saúde, seguros ou outros serviços essenciais para o consumidor.
• «Sistema de IA de alto risco» significa qualquer ferramenta de IA que tome ou influencie substancialmente uma decisão consequente.
• «Fator substancial» significa um fator que auxilia na tomada de uma decisão consequente ou é capaz de alterar o resultado de uma decisão consequente e é gerado por um sistema de IA.
• «Desenvolvedores»significa criadores de sistemas de IA.
• «Implementadores»significa utilizadores de sistemas de IA de alto risco.

3. Como os prestadores de cuidados de saúde podem garantir a conformidade?

Embora a lei estabeleça obrigações gerais, regulamentos específicos ainda estão por vir. O Procurador-Geral do Colorado foi encarregado de desenvolver regras para esclarecer os requisitos de conformidade. Esses regulamentos podem abordar:

• Gestão de riscos e estruturas de conformidade para sistemas de IA.
• Requisitos de divulgação para o uso de IA em aplicações voltadas para o consumidor.
• Orientação sobre a avaliação e mitigação da discriminação algorítmica.

Os prestadores de cuidados de saúde devem acompanhar os desenvolvimentos à medida que o quadro regulamentar evolui, para garantir que as suas práticas relacionadas com a IA estejam em conformidade com a legislação estadual.

4. Como a lei poderia afetar as operações de cuidados de saúde?

A lei exigirá que os prestadores de cuidados de saúde avaliem especificamente como utilizam a IA em várias áreas operacionais, uma vez que a lei se aplica amplamente a qualquer sistema de IA que influencie a tomada de decisões. Dado o papel crescente da IA nos cuidados aos pacientes, nas funções administrativas e nas operações financeiras, as organizações de cuidados de saúde devem antecipar as obrigações de conformidade em vários domínios.

Faturamento e cobranças

• Os sistemas de faturação e processamento de reclamações baseados em IA devem ser revistos quanto a potenciais preconceitos que possam visar desproporcionalmente grupos demográficos específicos de pacientes para esforços de cobrança de dívidas.
• Os implementadores devem garantir que os seus sistemas de IA não criem inadvertidamente barreiras financeiras para grupos específicos de pacientes.

Agendamento e acesso do paciente

• Os assistentes de agendamento com tecnologia de IA devem ser projetados para acomodar pacientes com deficiências e proficiência limitada em inglês, a fim de evitar discriminação inadvertida e atrasos no acesso aos cuidados de saúde.
• Os prestadores de serviços devem avaliar se as suas ferramentas de IA priorizam determinados pacientes em detrimento de outros, de uma forma que possa ser considerada discriminatória.

Tomada de decisão clínica e diagnóstico

• As ferramentas de diagnóstico de IA devem ser validadas para garantir que não produzam resultados tendenciosos para diferentes grupos demográficos.
• As organizações de saúde que utilizam ferramentas de triagem assistidas por IA devem estabelecer protocolos para revisar as recomendações geradas pela IA, a fim de garantir a imparcialidade e a precisão.

5. Se você usa IA, com o que precisa estar em conformidade?

A lei estabelece obrigações diferentes para desenvolvedores e implementadores. Na maioria dos casos, os prestadores de serviços de saúde serão «implementadores» de sistemas de IA, em oposição a desenvolvedores. Os prestadores de serviços de saúde deverão examinar minuciosamente as relações contratuais com os desenvolvedores para garantir a alocação adequada de riscos e o compartilhamento de informações à medida que implementam ferramentas de IA nas suas operações.

• Obrigações dos desenvolvedores (fornecedores de IA)
  • Divulgações aos implementadores: Os programadores devem fornecer transparência sobre os dados de treino do sistema de IA, os preconceitos conhecidos e os casos de uso pretendidos.
  • Mitigação de riscos: Os programadores devem documentar os esforços para minimizar a discriminação algorítmica.
  • Avaliações de impacto: Os desenvolvedores devem avaliar se o sistema de IA apresenta riscos de discriminação antes de implementá-lo.

• Obrigações dos implementadores (por exemplo, prestadores de cuidados de saúde)
  • Dever de evitar a discriminação algorítmica
    • Os implementadores de sistemas de IA de alto risco devem tomar as precauções razoáveis para proteger os consumidores contra riscos conhecidos ou previsíveis de discriminação algorítmica.
  • Política e Programa de Gestão de Riscos
    • Os implementadores devem adotar uma política e um programa de gestão de riscos que identifique, documente e mitigue os riscos de discriminação algorítmica.
    • O programa deve ser iterativo, atualizado regularmente e alinhado com estruturas reconhecidas de gestão de riscos de IA.
    • Os requisitos variam de acordo com o tamanho do implementador, a complexidade, o âmbito do sistema de IA e a sensibilidade dos dados.
  • Avaliações de impacto (revisões regulares e desencadeadas por eventos)
    • Requisitos de tempo: Os implementadores devem realizar avaliações de impacto:
      • Antes de implementar qualquer sistema de IA de alto risco.
      • Pelo menos uma vez por ano para cada sistema de IA de alto risco implementado.
      • No prazo de 90 dias após qualquer modificação intencional e substancial no sistema de IA.
    • Conteúdo obrigatório: Cada avaliação de impacto deve incluir a finalidade, o uso pretendido e os benefícios do sistema de IA, uma análise dos riscos de discriminação algorítmica e medidas de mitigação, uma descrição dos dados processados (entradas, saídas e quaisquer dados de personalização), métricas de desempenho e limitações do sistema, medidas de transparência (incluindo divulgações ao consumidor) e detalhes sobre monitorização e salvaguardas pós-implementação.
    • Requisitos especiais para modificações: Se for realizada uma avaliação de impacto devido a uma modificação substancial, ela também deve incluir uma explicação de como o uso real do sistema de IA se alinhou ou se desviou da sua finalidade originalmente pretendida.
  • Notificações e transparência
    • Aviso público: Os implementadores devem publicar uma declaração no seu site descrevendo os sistemas de IA de alto risco que utilizam e como gerem os riscos de discriminação.
    • Avisos aos pacientes/funcionários: Antes de um sistema de IA tomar uma decisão importante, os indivíduos devem ser notificados sobre a sua utilização.
    • Explicação pós-decisão: Se a IA contribuir para uma decisão adversa, os responsáveis pela sua implementação devem explicar o seu papel e permitir que o indivíduo recorra ou corrija dados imprecisos.
    • Notificações ao Procurador-Geral: Se for constatado que a IA causou discriminação algorítmica, os implementadores devem notificar o Procurador-Geral no prazo de 90 dias.

Pequenos implementadores (aqueles com menos de 50 funcionários) que não treinam modelos de IA com os seus próprios dados estão isentos de muitas dessas obrigações de conformidade.

6. Como é que a lei é aplicada?

• Apenas o Procurador-Geral do Colorado tem autoridade para fazer cumprir a lei.
• Existe uma presunção refutável de conformidade se os implementadores seguirem estruturas reconhecidas de gestão de riscos de IA.
• Não existe direito de ação privada, o que significa que os consumidores não podem processar diretamente ao abrigo da lei.

Os prestadores de cuidados de saúde devem tomar medidas precoces para avaliar a sua utilização da IA e implementar medidas de conformidade.

Considerações finais: o que os profissionais de saúde devem fazer agora

• A lei representa uma mudança significativa na regulamentação da IA, especialmente para prestadores de cuidados de saúde que dependem cada vez mais de ferramentas baseadas em IA para o atendimento ao paciente, funções administrativas e operações financeiras.
• Embora a lei tenha como objetivo aumentar a transparência e mitigar a discriminação algorítmica, ela também impõe obrigações de conformidade substanciais. As organizações de saúde terão que avaliar o uso da IA, implementar protocolos de gestão de risco e manter documentação detalhada.
• Dado o cenário regulatório em evolução, os prestadores de cuidados de saúde devem adotar uma abordagem proativa, auditando os sistemas de IA existentes, treinando a equipa sobre os requisitos de conformidade e estabelecendo estruturas de governança alinhadas com as melhores práticas. À medida que a regulamentação pelo Procurador-Geral do Colorado avança, manter-se informado sobre requisitos regulatórios adicionais será fundamental para garantir a conformidade e evitar riscos de fiscalização.
• Em última análise, a lei reflete uma tendência mais ampla em direção à regulamentação da IA, que provavelmente se estenderá além das fronteiras estaduais. As organizações de saúde que investirem agora na governança da IA não só mitigarão os riscos legais, mas também manterão a confiança dos pacientes em um setor cada vez mais impulsionado pela IA.
• Se os prestadores de cuidados de saúde planeiam integrar sistemas de IA nas suas operações, é essencial realizar uma análise jurídica aprofundada para determinar se a lei se aplica aos seus casos de uso específicos. Isso também deve incluir uma revisão cuidadosa e negociação de contratos de serviço com desenvolvedores de IA para garantir que o prestador tenha informações suficientes e cooperação do desenvolvedor para cumprir a lei e distribuir adequadamente os riscos entre as partes.

A conformidade não é um processo único para todos. Ela requer uma avaliação cuidadosa das ferramentas de IA, suas funções e seu potencial para influenciar decisões importantes. As organizações devem trabalhar em estreita colaboração com consultores jurídicos para navegar pelas complexidades da lei, implementar estruturas de gestão de risco e estabelecer protocolos para conformidade contínua. À medida que as regulamentações de IA evoluem, a avaliação jurídica proativa será crucial para garantir que os prestadores de cuidados de saúde não apenas cumpram os requisitos regulamentares, mas também mantenham práticas de IA éticas e equitativas, alinhadas com os padrões mais amplos do setor.

A Foley está aqui para ajudá-lo a lidar com os impactos de curto e longo prazo decorrentes das mudanças regulatórias. Temos os recursos para ajudá-lo a navegar por essas e outras considerações jurídicas importantes relacionadas às operações comerciais e questões específicas do setor. Entre em contacto com os autores, o seu parceiro de relacionamento da Foley, o nosso Setor de Saúde e Ciências da Vidaou ao nosso Setor de Tecnologia Inovadora em caso de dúvidas.