Resolução CFM 2.454/2026: o que muda para o médico e a clínica que usam inteligência artificial

A Resolução CFM 2.454/2026 entrou em vigor em 26 de agosto e o registro do uso de inteligência artificial no prontuário virou dever do médico. Veja o que a clínica precisa documentar.

Desde 26 de agosto de 2026 o uso de inteligência artificial na medicina passou a ter norma própria em todo o país. A Resolução CFM nº 2.454, de 11 de fevereiro de 2026, publicada no Diário Oficial da União em 27 de fevereiro, entrou em vigor após o prazo de 180 dias previsto no seu artigo 23. Para o médico que já usa transcrição automática de consulta, apoio ao diagnóstico por imagem ou assistente de redação de documentos clínicos, e principalmente para quem dirige tecnicamente uma clínica ou um hospital, a norma cria deveres que não existiam de forma expressa até agora.

Este artigo separa o que a resolução exige do médico, individualmente, do que ela exige da instituição, e aponta onde estão os pontos de atenção que já viraram objeto de questionamento judicial. O foco é prático: o que precisa estar documentado se o Conselho Regional de Medicina bater à porta.

O que é a Resolução CFM 2.454/2026 e desde quando ela vale

A resolução normatiza a pesquisa, o desenvolvimento, a governança, a auditoria, o monitoramento, a capacitação e o uso de sistemas de inteligência artificial na medicina. Ela foi aprovada na 5ª Sessão Plenária Extraordinária do CFM, em 11 de fevereiro de 2026, publicada no DOU de 27 de fevereiro (Edição 39, Seção 1, página 158) e retificada no DOU de 5 de março de 2026.

Três informações de calendário resolvem a dúvida mais comum sobre vigência:

• a norma entrou em vigor em 26 de agosto de 2026, pelo decurso dos 180 dias do artigo 23;
• ela alcança também os sistemas que já estavam em desenvolvimento ou em uso na data da vigência, por força do artigo 21, ou seja, não há grandfathering para a ferramenta que a clínica já vinha usando;
• a fiscalização do cumprimento cabe ao Conselho Regional de Medicina da jurisdição (artigo 15), o que coloca o tema dentro do processo ético-profissional, e não apenas no campo da conformidade administrativa.

O alcance da definição é largo e convém não subestimá-lo. O Anexo I trata como sistema de IA tanto os algoritmos de apoio à decisão clínica quanto os embarcados em dispositivos médicos e as plataformas usadas na gestão em saúde, e define separadamente a IA generativa e os modelos de linguagem de larga escala, com menção expressa a assistentes que produzem relatos médicos ou auxiliam na redação de documentos clínicos. Um assistente de texto usado para redigir evolução ou relatório está dentro do escopo.

Os deveres do médico: cinco obrigações do artigo 4º

O artigo 4º lista o que passou a ser dever ético do profissional:

• empregar a IA exclusivamente como ferramenta de apoio, mantendo-se responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas;
• exercer julgamento crítico sobre as recomendações do sistema, avaliando coerência com o quadro clínico, com as evidências disponíveis e com as boas práticas;
• manter-se atualizado quanto a capacidades, limitações, riscos e vieses conhecidos das ferramentas que utiliza;
• usar apenas sistemas que atendam às normas éticas, técnicas, legais e regulatórias vigentes no país;
• registrar no prontuário o uso de sistemas de IA como apoio à decisão médica.

O último inciso é o que muda a rotina de forma mais visível. O registro no prontuário deixou de ser recomendação de boa prática e passou a ser dever expresso. Na prática, isso significa consignar que houve apoio de IA em determinada etapa e, sobretudo, qual foi o raciocínio clínico que confirmou ou afastou a sugestão. É esse registro que permite reconstruir depois que a decisão foi humana, e ele tende a ser a peça central de defesa em uma apuração. Sobre a estrutura e o valor probatório desse documento, vale conhecer o que já tratamos sobre prontuário médico e os limites para alterá-lo.

Há ainda dois deveres fora do artigo 4º que costumam passar despercebidos. O artigo 7º, parágrafo 2º, impõe ao médico comunicar às instâncias competentes falhas, riscos relevantes ou usos inadequados que possam comprometer a segurança do paciente. E o artigo 6º, parágrafo 3º, veda o uso de sistemas que não garantam padrões mínimos de segurança da informação compatíveis com dados pessoais sensíveis, o que atinge diretamente o hábito de inserir dados clínicos identificáveis em ferramentas genéricas de uso geral.

Os direitos do médico: o artigo 3º protege a autonomia e a carreira

A resolução não é só um rol de obrigações. O artigo 3º assegura ao médico o direito de:

• ter acesso a informações claras sobre funcionamento, finalidades, limitações, riscos e grau de evidência científica dos sistemas usados;
• recusar sistemas sem validação científica adequada, sem certificação regulatória pertinente ou que contrariem princípios éticos, técnicos ou legais;
• preservar a autonomia profissional, não podendo ser obrigado a seguir de forma automática ou acrítica as recomendações da IA;
• ser protegido contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema, desde que comprovado o uso diligente, crítico e ético da ferramenta.

Os artigos 18 e 19 reforçam esse desenho: a decisão sobre diagnóstico, prognóstico, prescrição ou qualquer ato médico cabe sempre ao médico, nenhum profissional pode ser penalizado por não seguir a orientação de uma solução de IA quando atua conforme os preceitos técnicos e éticos, e as instituições não devem impor metas ou políticas que subordinem as condutas dos médicos.

Esse último ponto merece leitura atenta por quem é médico contratado ou credenciado. Se a instituição condiciona produtividade, remuneração ou permanência à aderência a uma recomendação algorítmica, existe agora um dispositivo ético expresso a invocar. E, no sentido inverso, a proteção do artigo 3º, inciso V, é condicional: ela depende de o médico conseguir comprovar o uso diligente e crítico, o que remete outra vez ao registro em prontuário. Quem não documenta perde o benefício da regra que existe para protegê-lo. A responsabilidade do profissional pelo ato praticado com apoio da ferramenta continua sendo o eixo do tema, como já detalhamos em médico que usa inteligência artificial responde pelo erro.

O que o paciente precisa saber, e o que não pode ser delegado à máquina

O artigo 5º organiza a transparência na relação com o paciente em três comandos. O paciente tem direito de ser informado, de forma clara e acessível, quando a IA for usada como apoio relevante no seu cuidado, diagnóstico ou tratamento. É vedado ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas sem mediação humana. E o paciente pode recusar de forma informada o uso da tecnologia, recusa que precisa ser respeitada.

O artigo 10 acrescenta que a entrada da IA não afasta os direitos já existentes do paciente, entre eles o direito à segunda opinião e o direito de não ser submetido a intervenção experimental sem consentimento específico. Na prática do consultório, isso recomenda revisar o termo de consentimento para incluir, quando for o caso, a participação de sistemas de IA em etapas relevantes do atendimento, com linguagem compreensível e possibilidade real de recusa.

O que a clínica e o hospital precisam ter: avaliação de risco e governança

Aqui está a parte mais pesada da norma, e a que exige decisão de gestão. O artigo 12 determina que toda instituição médica, pública ou privada, que desenvolver ou utilizar sistemas de IA realize uma avaliação preliminar de risco antes do uso. Essa avaliação considera o impacto potencial nos direitos fundamentais e na saúde dos pacientes, a criticidade do contexto de uso, a complexidade e o grau de autonomia do modelo, a finalidade pretendida, o nível de intervenção humana no resultado e a quantidade e a sensibilidade dos dados envolvidos.

O artigo 13 manda categorizar cada solução por nível de risco e informar essa classificação ao usuário. O Anexo II descreve as faixas:

• baixo risco: aplicações sem influência decisória direta em diagnóstico ou tratamento, tipicamente administrativas ou de apoio, como agendamento de consultas, gestão de insumos, chatbots de informação geral sem aconselhamento clínico personalizado e sumarização de literatura para uso interno;
• médio risco: sistemas que apoiam decisões clínicas ou operacionais importantes sem executá-las de forma autônoma, em que o erro do algoritmo pode ser detectado e corrigido pelo profissional antes de gerar dano;
• alto risco: aplicações que influenciam diretamente decisões críticas ou executam ações automatizadas com consequências clínicas relevantes, sujeitas aos processos mais rigorosos de validação, auditoria regular e monitoramento contínuo.

Um detalhe técnico merece registro porque produzirá dúvida na aplicação: o artigo 13 menciona quatro níveis, incluindo o inaceitável, mas o Anexo II descreve apenas três. A resolução prevê, no artigo 22, que dúvidas de interpretação suscitadas pelos Conselhos Regionais sejam dirimidas pelo CFM, com regime de transição quando a solução criar novo dever. Enquanto isso não vem, a leitura prudente é classificar pela descrição do Anexo II e documentar o critério adotado, em vez de deixar a lacuna resolver-se sozinha.

A classificação não é estática. As soluções de baixo risco devem ser monitoradas e revistas periodicamente, e reclassificadas se o contexto ou a tecnologia mudarem. As de médio risco exigem monitoramento regular e avaliação de desempenho e de viés em intervalos apropriados.

A Comissão de IA e Telemedicina e o papel do diretor técnico

O artigo 14 exige que a instituição ou o médico que desenvolver ou contratar um sistema de IA estabeleça processos internos de governança, com as medidas do Anexo III. E o parágrafo único acrescenta uma exigência estrutural: nas instituições de saúde que adotarem sistemas próprios de IA é necessária a criação de uma Comissão de IA e Telemedicina, sob coordenação médica e subordinada à diretoria técnica.

Entre as medidas do Anexo III, três têm efeito direto no dia a dia da direção técnica:

• transparência, com relatórios em linguagem clara sobre desempenho do sistema, limitações conhecidas, vieses identificados e medidas de mitigação;
• prevenção e mitigação de vieses, com monitoramento contínuo dos resultados e análise estratificada para identificar diferenças de acurácia entre grupos, adoção imediata de medidas corretivas e descontinuação do sistema nos casos graves em que o viés não possa ser eliminado;
• governança interna, com previsão expressa de que o diretor técnico da instituição é o responsável pela fiscalização e pelas diretrizes de segurança, ética e transparência no uso da IA.

Esse terceiro ponto concentra risco pessoal em uma única figura. O diretor técnico responde perante o CRM, e a resolução acaba de acrescentar um item à sua lista de deveres. Vale ler esta norma em conjunto com o que já tratamos sobre a responsabilidade do diretor técnico na Resolução CFM 2.467/2026, porque as duas se somam sobre a mesma pessoa.

O Anexo III prevê ainda o acesso de órgãos de controle a relatórios de auditoria, de monitoramento e a informações de configuração dos sistemas, mediante solicitação de autoridade competente. A recomendação prática é organizar essa documentação antes de ser solicitada, e não durante uma diligência.

Dados de saúde: o que muda em relação ao que já se exigia

Os artigos 6º, 16 e 17 tratam da proteção de dados. Eles não substituem a legislação geral de proteção de dados pessoais, eles a pressupõem e acrescentam o filtro ético do Conselho. O compartilhamento de dados sensíveis com sistemas de IA deve ocorrer de forma adequada às finalidades informadas ao titular e apenas quando estritamente necessário, com base legal idônea. O uso de dados para treinamento, validação ou aprimoramento de modelos deve observar princípios éticos e científicos e as regras de proteção de dados. E os ambientes computacionais envolvidos devem ser protegidos contra destruição, perda, alteração, acesso não autorizado e vazamento, com medidas compatíveis com o estado da arte e com a criticidade dos dados.

A consequência prática para a clínica é que a contratação de uma ferramenta de IA deixou de ser uma decisão apenas de tecnologia ou de custo. Ela envolve verificar validação científica, certificação regulatória, padrões de segurança da informação, destino dos dados usados em treinamento e cláusulas contratuais que permitam auditoria. Fornecedor que não entrega essas informações inviabiliza o cumprimento do dever que recai sobre o médico e sobre o diretor técnico, e não sobre ele.

Publicidade médica e IA: o artigo 7º, parágrafo 3º

Um dispositivo curto trata de tema que cresce rápido. O artigo 7º, parágrafo 3º, determina que o uso de sistemas de IA aplicados à medicina com finalidade mercantil, publicitária ou promocional observe rigorosamente as normas éticas de publicidade médica. Conteúdo gerado ou modificado por IA para divulgação profissional, incluindo imagem sintética, permanece sujeito às mesmas vedações que valem para qualquer peça publicitária do médico. A ferramenta muda o processo de produção, não o padrão ético do resultado.

A ação judicial que pede a suspensão da resolução

Antes mesmo da entrada em vigor, a norma foi questionada em juízo. Em 21 de agosto de 2026 foi protocolada ação coletiva na 21ª Vara Federal Cível da Seção Judiciária do Distrito Federal, movida pela Confederação Nacional de Saúde, pela Federação Nacional dos Estabelecimentos de Serviços de Saúde e pelo Sindicato Brasiliense de Hospitais, Casas de Saúde e Clínicas, com pedido de urgência para suspender os efeitos da resolução.

A tese central é de competência: as entidades sustentam que o CFM tem atribuição técnico-disciplinar dirigida à conduta do médico e à proteção da relação médico-paciente, e que essa competência não alcança a organização interna de pessoas jurídicas, requisitos de engenharia de sistemas nem a criação de regimes próprios de classificação de risco de produtos tecnológicos. Alegam ainda sobreposição com atribuições de Anvisa, ANPD e ANS, e ausência de análise de impacto regulatório, consulta ou audiência pública antes da edição.

O que isso significa para quem administra um serviço de saúde hoje, enquanto não há decisão:

• a resolução está em vigor. Ação ajuizada não suspende norma, e sem decisão judicial que produza esse efeito o dever de cumprimento permanece;
• os deveres do médico (artigos 3º a 8º) são os menos expostos ao questionamento, porque estão no núcleo pacífico da competência do Conselho. São a prioridade natural de adequação;
• as obrigações institucionais (avaliação de risco, comissão, governança) são as efetivamente controvertidas. Não é prudente ignorá-las, mas é razoável dimensionar o esforço e documentar as decisões enquanto o cenário jurídico se define;
• decisões de contratação e de investimento em compliance de IA feitas agora merecem acompanhar o andamento do processo, porque o resultado pode alterar o alcance das exigências institucionais.

Checklist: o que revisar no serviço nos próximos dias

• Inventariar todas as ferramentas de IA em uso, incluindo as contratadas por área e as adotadas informalmente por profissionais, que são justamente as que não passam por avaliação nenhuma.
• Fazer e documentar a avaliação preliminar de risco de cada solução, com a classificação adotada e o critério que levou a ela.
• Ajustar o modelo de prontuário para permitir o registro do uso de IA como apoio à decisão, com campo próprio e sem depender da memória de quem atende.
• Revisar o termo de consentimento quanto à informação sobre uso de IA e à possibilidade de recusa.
• Definir formalmente quem responde pela governança de IA, verificando se o caso exige a Comissão de IA e Telemedicina do artigo 14, parágrafo único.
• Auditar os contratos com fornecedores, buscando validação científica, certificação, padrões de segurança, tratamento de dados em treinamento e direito de auditoria.
• Rever políticas internas de produtividade que possam ser lidas como imposição de conduta subordinada a recomendação algorítmica, vedação do artigo 19, parágrafo 2º.
• Estabelecer o fluxo de comunicação de falhas previsto no artigo 7º, parágrafo 2º, com registro do que foi comunicado, a quem e quando.
• Padronizar a resposta a solicitações de auditoria de órgãos de controle, com documentação organizada e revisão jurídica antes do envio.

Como o escritório atua

O Dr. Alessandro Caldonazo e sua equipe atuam na defesa de médicos, dentistas, clínicas e hospitais. Em temas de conformidade regulatória e ética profissional, o trabalho envolve a leitura da norma aplicada à realidade concreta do serviço, a estruturação da documentação que sustenta a conduta do profissional, a revisão de contratos de tecnologia sob a ótica da responsabilidade do médico e do diretor técnico, a resposta a notificações do Conselho e a defesa em sindicância e em processo ético-profissional.

A frente preventiva costuma decidir o resultado, porque o material que existe no dia da notificação é o material que existe. Conheça o trabalho do escritório na defesa de médicos em processos ético-profissionais.

Se a sua clínica ou o seu hospital já utiliza ferramentas de inteligência artificial e precisa organizar a avaliação de risco, a governança interna e o registro que sustenta a conduta médica, o caminho é agendar uma consulta para análise do caso concreto. O atendimento é feito mediante consulta previamente agendada, presencial em Campinas ou por videoconferência.

Fontes

• Resolução CFM nº 2.454, de 11 de fevereiro de 2026, íntegra
• Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais
• CREMERJ, entrada em vigor das regras de IA na medicina em 26 de agosto de 2026
• APM, ação judicial que pede a suspensão da resolução

Perguntas frequentes sobre a Resolução CFM 2.454/2026 e o uso de inteligência artificial na medicina

Postagens Recentes na Página :