A primeira lei geral de IA dos Estados Unidos está em vigor — e o Colorado concordou em não aplicá-la
Desde 30 de junho de 2026 está em vigor no Colorado a primeira lei geral de inteligência artificial dos Estados Unidos. Ela alcança decisões sobre serviços de saúde — e o procurador-geral do estado assinou nos autos o compromisso de não aplicá-la.
Quase tudo o que se publicou sobre essa lei nos últimos meses diz que ela foi revogada. A revogação existe, está assinada, e não vale ainda.
O que a lei exige
A SB 24-205 foi sancionada em 17 de maio de 20242. Ela cria deveres para quem desenvolve e para quem opera sistemas de IA usados em decisão consequencial, definida como a que tem efeito jurídico material ou similarmente significativo sobre a oferta, a negativa, o custo ou os termos de oito domínios — entre eles, expressamente, health-care services1.
Para quem opera, o núcleo está no § 6-1-1703(4)(b): diante de decisão consequencial adversa ao consumidor, é preciso entregar a razão principal da decisão, oportunidade de corrigir dado pessoal incorreto e oportunidade de recorrer — recurso que deve permitir revisão humana “if technically feasible”, e ainda assim salvo quando a oportunidade de recurso “não for do melhor interesse do consumidor”1. O § 6-1-1704(1) obriga a informar a pessoa de que ela está interagindo com um sistema de IA1, e o § 6-1-1702(5) dá ao desenvolvedor até noventa dias para comunicar ao procurador-geral a discriminação algorítmica que vier a descobrir1.
Traduzido para o cotidiano: uma operadora, um hospital ou uma healthtech que use IA como fator substancial numa negativa de cobertura ou de acesso a serviço de saúde no Colorado deve, no texto da lei em vigor hoje, dizer por que negou, deixar corrigir o dado errado e abrir recurso — com um humano no fim, se der.
Por que ela vale hoje, e não em 2027
O texto de 2024 mandava aplicar as obrigações “on and after February 1, 2026”1. Em sessão extraordinária, a SB 25B-004 — sancionada em 26 de agosto de 2025 — riscou essa data e escreveu “JUNE 30, 2026” em cada um dos três dispositivos operativos3. Foi o único adiamento aprovado: a tentativa da sessão regular de 2025, a SB 25-318, foi arquivada em comissão em 5 de maio daquele ano4.
Em 14 de maio de 2026 o governador sancionou a SB 26-189, que revoga e reedita a part 17 inteira5. A revogação, porém, não é imediata. A SECTION 5 do ato diz: “Except as otherwise provided in subsection (2) of this section, this act takes effect January 1, 2027”. A subsection (2) nomeia, uma a uma, as provisões que passam a valer desde a sanção — e a SECTION 1, que é onde mora a revogação, não está entre elas. A subsection (3) fecha o ponto: “This act applies to consequential decisions made on or after January 1, 2027”5.
Somados os dois atos, a conta é aritmética. As obrigações de 2024 passaram a valer em 30 de junho de 2026 e permanecem na lei até 31 de dezembro. São seis meses de vigência real, no vão entre a lei que foi adiada e a que ainda não começou.
E ninguém está aplicando
Em 9 de abril de 2026, a x.AI LLC processou o procurador-geral do Colorado — x.AI LLC v. Philip J. Weiser, nº 1:26-cv-01515, Distrito do Colorado7. Em 24 de abril, os Estados Unidos ingressaram como autor-interveniente, invocando o direito incondicional de intervenção do 42 U.S.C. § 2000h-26. No mesmo dia, as partes protocolaram moção conjunta com estipulação de suspensão temporária da aplicação7.
O gatilho combinado não é uma data: xAI terá 28 dias, contados da adoção final da regulamentação da lei ou da legislação que a substituir, para pedir a liminar8.
E quando o procurador-geral para, não sobra ninguém. O § 6-1-1706 dá a ele autoridade exclusiva, e o texto afasta a ação privada com todas as letras: “this part 17 does not provide the basis for, and is not subject to, a private right of action”1. Em compensação, a mesma seção cria defesa afirmativa para quem descobre e corrige a violação — por revisão interna, teste adversarial ou retorno de usuário — e cumpre um referencial reconhecido de gestão de risco de IA, como o NIST AI RMF ou a ISO/IEC 420011.
O procurador-geral não perdeu essa disputa. Ele concordou. Vigência e exigibilidade, que quase sempre andam juntas, aqui se separaram — e é essa separação, não a lei, que é a notícia.
O argumento que parou a lei
Vale ler o que o governo federal americano foi a juízo sustentar, porque o argumento é sobre o mecanismo central da norma.
A SB 24-205 obriga desenvolvedor e operador a tomar cuidado razoável contra discriminação algorítmica. A petição de intervenção diz que esse dever, na prática, exige olhar para o resultado por grupo e corrigi-lo: “The developer or deployer then must determine whether a disparate impact exists and attempt to correct the disparate impact via racial (or other protected-class-based) engineering” (§ 50)6. Daí a conclusão de que a lei “compels AI developers and deployers to discriminate based on race, sex, religion, or other protected characteristics” (§ 48)6. E há o outro lado da tese: a lei também “authorizes developers and deployers to engage in what would otherwise be illegal ‘algorithmic discrimination’ if the purpose is ‘to increase diversity’” (§ 56)6.
Os Estados Unidos pedem declaração de inconstitucionalidade por violação da cláusula de igual proteção e liminar impedindo a aplicação6.
A petição trata health-care services apenas como um dos domínios alcançados, sem exemplo clínico6. Mas é aí que a disputa deixa de ser abstrata, porque em saúde a disparidade de desempenho de algoritmo por grupo não é hipótese jurídica.
O caso mais citado da literatura é de 2019: um algoritmo comercial usado para identificar pacientes com necessidades de saúde complexas — “amplamente usado” e alcançando milhões de pessoas — previa custo em vez de doença. Como se gasta menos com o cuidado de pacientes negros, o resultado foi que, num mesmo escore de risco, esses pacientes estavam consideravelmente mais doentes que os brancos. Corrigir a distorção elevaria a proporção de pacientes negros indicados para ajuda adicional de 17,7% para 46,5%11. O que o processo do Colorado discute é justamente se corrigir esse tipo de disparidade pode ser exigido por lei.
Onde isso encontra o Brasil
O Brasil chegou ao mesmo território por outra porta, e a comparação dos textos é direta.
O Colorado obriga quem opera o sistema — a empresa. A Resolução CFM nº 2.454/2026 obriga o médico: “no campo da responsabilidade ético-profissional, o médico permanece integralmente responsável pelos atos médicos por ele praticados mediante a utilização de modelos, sistemas e aplicações de IA” (art. 7º)10.
Sobre avisar, os dois dizem a mesma coisa com alcances diferentes. O § 6-1-1704(1) do Colorado manda informar que se está interagindo com um sistema de IA1; o art. 11 da resolução manda mais do que informar: “Qualquer utilização de IA deverá ser comunicada e explicada aos pacientes, reforçando-se que tais sistemas servem de apoio ao médico, mas não substituem a autoridade e a decisão final humana sobre o cuidado”10.
E há um ponto em que os textos divergem de forma que se lê a olho nu. No Colorado, a revisão humana do recurso é devida “if technically feasible”1 — inviabilidade técnica é escapatória escrita no dispositivo. No art. 18, §2º da resolução brasileira não há condicional nenhuma: “A decisão sobre diagnóstico, prognóstico, prescrição, ou qualquer ato médico, caberá sempre ao médico, que pode acolher ou rejeitar as sugestões da IA conforme seu julgamento”10.
A resolução entra em vigor em 26 de agosto de 2026 — catorze dias depois desta peça, e a linha está no Mapa Regulatório. O que a norma brasileira exige, artigo por artigo, e como ela se compara ao calendário europeu está em Agosto de 2026: a Europa adiou, o Brasil não.
Ressalva de método. A ordem judicial que homologou a estipulação não foi aberta por nós, e as duas análises jurídicas que a datam divergem entre si — a divergência está registrada no aparato, nas fontes 8 e 989. Também não conferimos no andamento processual se a suspensão continua de pé nesta data: o último evento que lemos é de 24 de abril de 20267. O que está conferido em fonte primária é o texto dos três atos legislativos do Colorado, a petição de intervenção dos Estados Unidos e os artigos citados da Resolução CFM nº 2.454.
O que isso significa
Os dois caminhos partem de pontos de vista diferentes, e vão enxergar riscos distintos. O caminho brasileiro enxerga de uma forma muito particular: ele coloca o médico no centro. A lógica é que o ato médico continua sendo o ato médico, independente da ferramenta. A responsabilidade ética e legal termina no profissional, fiscalizado pelo Conselho Regional de Medicina. Isso enxerga com clareza o quê? A impossibilidade de transferir a decisão clínica para o sistema. O risco de diluição da responsabilidade — o "não fui eu, foi o algoritmo, a culpa não é minha". A proteção da relação médico-paciente e do julgamento clínico como uma barreira de segurança.
O caminho americano já está tendo um outro olhar. Os Estados Unidos partem da proteção do consumidor e da obrigação da empresa que opera o sistema. A execução é estatal, do procurador-geral. Não há ação privada. A lei está sob disputa constitucional. Isso vai enxergar com clareza outros pontos: o risco de decisões automatizadas em massa, sem transparência e sem recurso efetivo; o viés sistêmico, no impacto desigual sobre grupos; a necessidade de governança técnica e organizacional do lado de quem constrói e comercializa a ferramenta. Então, esse caminho é muito distinto do caminho inicial brasileiro.
Cada caminho vai iluminar, em contrapartida, um ponto cego do outro, na minha visão. O brasileiro subestima o poder e a responsabilidade estrutural das empresas, que existe e não está sendo usado. Já o americano vai subestimar o caráter intransferível da decisão médica.
No Colorado, a revisão humana é um direito condicional. O que isso quer dizer? Quem recebeu a negativa pode reclamar com a empresa que opera essa IA, e a empresa, pela lei regulamentada do Colorado, pode alegar que tecnicamente não é viável que seja feita uma revisão humana. Ela tem essa possibilidade.
Já no Conselho Federal de Medicina não há essa possibilidade, porque é um ato médico. A regulamentação não abre uma brecha de ser tecnicamente viável ou não, porque toda decisão, todo o peso da responsabilidade, já é feito por um humano, que é o médico. Então não há essa brecha de uma revisão humana — e nem a questão de, no caso do Colorado, a pessoa solicitar uma revisão humana da decisão feita por IA e quem a opera dizer que não é tecnicamente viável que essa revisão aconteça.
Bom, a lei está em vigor. O fato de o procurador-geral ter dito que não vai aplicá-la enquanto o processo judicial corre não suspende a lei. Só significa que, nesse momento, o estado não vai fiscalizar e nem multar.
Sendo uma diretora técnica, tem que levar em consideração o seguinte: a lei continua válida, o risco real continua existindo, ignorar é uma péssima gestão de risco. Então, portanto, eu trataria a lei como obrigatória. Pegaria os sistemas de IA de alto risco, implementaria os controles exigidos, documentaria as decisões, jamais ignoraria a lei e criaria um passivo desnecessário.
Aliás, de forma complementar, a própria lei reforça esse caminho — é um incentivo institucional. Claro que quem se organiza e documenta a gestão de risco fica numa posição muito melhor do que quem simplesmente ignora, pois a lei oferece essa defesa afirmativa a quem fez a identificação, corrigiu falhas internamente, adotou um framework reconhecido. Então, é importantíssima essa proatividade.
Em medicina o argumento perde a força. O viés algorítmico em saúde não é especulação — é um achado repetidamente documentado. Um exemplo muito citado é o algoritmo da Optum, que usava custo de saúde como proxy de necessidade e por isso subestimava sistematicamente a gravidade de pacientes negros, reduzindo o acesso a programas de gestão de cuidado para pacientes de alto risco. Existem outros casos bem estabelecidos e já conhecidos: oxímetros de pulso com menor acurácia na pele mais escura, modelos de risco cardiovascular, ferramentas de triagem que reproduzem disparidades históricas de acesso.
Vários sistemas em uso já corrigem de propósito essas disparidades, justamente para não retirar o cuidado, não retirar a atenção devida de grupos que o modelo subestima. Nesse contexto, chamar a correção de engenharia baseada em raça inverte a lógica clínica. Em medicina, o dever é não causar dano — e deixar de corrigir um viés conhecido pode ser uma conduta que causa dano. É inadmissível.
Dra. Cassiana Meyer