Healthtech: quando o aplicativo de saúde precisa de aval da Anvisa

Healthtech é a startup que usa tecnologia em saúde: aplicativos de acompanhamento de doenças, triagem de sintomas, apoio ao diagnóstico por imagem, monitoramento remoto de pacientes. Quando o software tem finalidade médica, ele entra na mesma categoria de um aparelho de hospital: é dispositivo médico.

A Agência Nacional de Vigilância Sanitária (Anvisa) regula esse software pela RDC 657/2022, em vigor desde julho de 2022, e pela RDC 751/2022, que define as classes de risco. A regra vale para aplicativos de celular e para programas vendidos por assinatura e hospedados na nuvem.

Quando o aplicativo é dispositivo médico

O critério é a finalidade declarada pelo fabricante. Software destinado a prevenção, diagnóstico, tratamento, reabilitação ou anticoncepção é dispositivo médico, mesmo sem nenhum aparelho físico. Já o software que controla o hardware de um equipamento é regularizado junto com esse equipamento.

A RDC 657/2022 deixa de fora cinco grupos: os softwares de bem-estar, os listados pela Anvisa como não regulados e os de gestão administrativa e financeira de serviços de saúde. Também ficam fora os que processam dados demográficos e epidemiológicos sem finalidade clínica e os embarcados em aparelhos.

Os exemplos da própria Anvisa ajudam. Um aplicativo que monta séries de exercícios para hipertrofia ou condicionamento é de bem-estar. Um chatbot que pergunta sintomas e encaminha o paciente ao especialista é software médico de classe I e precisa de notificação.

Distribuir software médico sem regularização é infração sanitária, mesmo de graça. A exceção é o hospital ou a clínica que desenvolve software de classe I ou II para uso próprio: fica dispensado, desde que guarde os registros de validação e não venda nem doe o programa.

Classe de risco, notificação e registro

A regra 11 da RDC 751/2022 trata do software. O que apoia decisões de diagnóstico ou tratamento é classe II, e sobe para III ou IV conforme a gravidade do dano que uma decisão errada pode causar. O monitoramento de sinais vitais com risco de perigo imediato é classe III.

Classes I e II passam por notificação. O formulário é enviado sem análise técnica prévia, o processamento leva, em regra, até 30 dias, e o dossiê técnico fica com a empresa. A Anvisa pode pedir os documentos e fiscalizar a qualquer momento.

Classes III e IV exigem registro, com análise técnica. O relatório inclui a arquitetura do software, os controles de cibersegurança, a verificação e a validação, o gerenciamento de risco e a avaliação clínica, com a descrição dos algoritmos. O registro vale 10 anos e pode ser renovado.

O fabricante também declara conformidade com as normas internacionais de ciclo de vida de software, de usabilidade e de gestão de risco. O software que usa inteligência artificial para chegar à finalidade médica apresenta ainda um relatório que justifica a técnica escolhida.

Quem tem dúvida sobre a classe pode enviar à Anvisa o formulário de enquadramento de software. Para testar uma solução nova com regras flexíveis, existe o sandbox regulatório.

Empresa, atualizações e dados

A empresa que fabrica software médico precisa de Autorização de Funcionamento de Empresa (AFE) da Anvisa, pela RDC 16/2014, e de licença da vigilância sanitária local. Também precisa de responsável técnico e responsável legal, e segue as boas práticas de fabricação da RDC 665/2022.

Para as classes III e IV, o registro só sai com o certificado de boas práticas de fabricação emitido pela Anvisa. O detentor é sempre uma empresa no Brasil. O software estrangeiro entra por meio de importador, com documento de registro ou de livre comércio do país de origem.

Nem toda atualização vai à Anvisa. Correções de erros, ajustes visuais e atualizações de segurança dispensam pedido. Novas funções ou indicações clínicas, mudanças que afetam segurança e desempenho e uma nova identidade visual exigem petição de alteração.

Dados de saúde são sensíveis pela Lei Geral de Proteção de Dados. Por isso, muitas healthtechs ficam fora do regime simplificado da LGPD para startups. Quem nasce de pesquisa em universidade pública segue ainda as regras da spin-off acadêmica.

O primeiro passo prático é escrever a finalidade de uso do software com precisão, porque é ela que define a classe de risco. Com a classe definida, a startup sabe se basta a notificação ou se precisa preparar o registro, o certificado de boas práticas e a avaliação clínica.