IA na medicina: o que a Resolução CFM 2.454/2026 exige do médico e da clínica

A IA é instrumento de apoio, e o médico continua sendo o responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas (art. 4º, I). A decisão sobre diagnóstico, prognóstico, prescrição ou qualquer ato médico cabe sempre ao médico, que pode acolher ou rejeitar a sugestão do sistema (art. 18, § 2º). As soluções de IA “não são soberanas”, e a supervisão humana é obrigatória (art. 15, parágrafo único).

Isso exige julgamento crítico sobre o que a ferramenta entrega, avaliando a coerência com o quadro clínico, a evidência científica e as boas práticas (art. 4º, II). Vale notar que a Lei do Ato Médico (Lei nº 12.842/2013) teve vetado o inciso que tornaria o diagnóstico nosológico privativo do médico; a âncora da decisão humana com IA é a própria resolução.

No campo ético-profissional, o médico permanece integralmente responsável pelos atos praticados com apoio de IA (art. 7º), e o descumprimento dos deveres da resolução sujeita o profissional a sanções éticas, sem prejuízo das responsabilidades civil e penal (art. 8º). A norma também traz proteções que interessam à defesa:

• o médico pode recusar sistemas sem validação científica adequada ou sem certificação regulatória pertinente (art. 3º, III);
• não pode ser obrigado a seguir recomendações da IA de forma automática ou acrítica (art. 3º, IV);
• é protegido contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema, desde que comprovado o uso diligente, crítico e ético (art. 3º, V);
• não será penalizado por deixar de seguir a IA se atuar conforme os preceitos técnicos e éticos (art. 19, § 1º).

A proteção do art. 3º, V depende de prova. Veja também o artigo médico que usa inteligência artificial responde pelo erro?.

O médico deve registrar no prontuário o uso de sistemas de IA como apoio à decisão médica (art. 4º, V). A norma exige o registro do uso; anotar também o raciocínio clínico, inclusive quando o médico diverge da sugestão do sistema, é a forma mais segura de demonstrar o julgamento crítico que ela cobra. Transcrição e resumo automáticos pedem revisão antes da assinatura.

O paciente tem o direito de ser informado, de forma clara e acessível, quando a IA for apoio relevante no seu cuidado, diagnóstico ou tratamento (art. 5º, § 1º). Em outro ponto, a resolução determina que qualquer utilização seja comunicada e explicada ao paciente (art. 11). Diante das duas redações, a orientação prudente é comunicar sempre. Além disso:

• é vedado delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem mediação humana (art. 5º, § 2º);
• o médico deve respeitar a recusa informada do paciente ao uso da tecnologia (art. 5º, § 3º).

Instituições médicas que desenvolvem ou utilizam IA devem fazer uma avaliação preliminar do grau de risco de cada solução (art. 12), classificada como baixo, médio, alto ou inaceitável (art. 13). Quem desenvolver ou contratar um sistema, seja a instituição ou o próprio médico, deve estabelecer processos internos de governança (art. 14), e cabe ao diretor técnico a fiscalização e as diretrizes de segurança, ética e transparência no uso da IA (Anexo III, item III). Onde houver sistema próprio, exige-se uma Comissão de IA e Telemedicina subordinada à diretoria técnica (art. 14, parágrafo único).

As regras alcançam também os sistemas que já estavam em uso na data da vigência (art. 21). O primeiro passo é o inventário: quais ferramentas com IA a clínica usa hoje, inclusive as que vieram dentro do prontuário eletrônico ou da agenda. Na contratação, o Anexo III orienta preferir soluções com parametrização acessível e interfaces auditáveis (item V), e o contrato deve assegurar acesso às informações sobre funcionamento, limitações e riscos do sistema, que a resolução coloca como direito do médico (art. 3º, II).

Dado referente à saúde é dado pessoal sensível (LGPD, art. 5º, II), e seu tratamento só ocorre nas hipóteses do art. 11 da LGPD. A resolução acrescenta: zelar pela confidencialidade e segurança dos dados usados pela IA (art. 6º), compartilhá-los apenas quando estritamente necessário (art. 6º, § 1º) e não usar ferramentas sem padrões mínimos de segurança compatíveis com dados sensíveis (art. 6º, § 3º).

Quando o fornecedor trata os dados em nome da clínica, atua como operador e deve seguir as instruções do controlador (LGPD, art. 39). Dado identificável de paciente não deve ir para ferramenta genérica de IA sem contrato.

Veja também: prontuário, sigilo e LGPD na clínica e contratos médicos.