IA na clínica: o que a Resolução CFM 2.454/2026 passa a exigir

Muitas clínicas já usam inteligência artificial sem chamar isso de inteligência artificial. Transcrição automática da consulta, triagem de mensagens de pacientes, sugestão de conduta dentro do sistema de prontuário, apoio na leitura de exame de imagem. A ferramenta entrou pela porta da eficiência e ficou.

A partir do fim de agosto de 2026, esse uso passa a ter regra própria. A Resolução CFM nº 2.454, de 11 de fevereiro de 2026, publicada no Diário Oficial da União em 27 de fevereiro, normatiza o uso da inteligência artificial na medicina e cria deveres que alcançam tanto o médico quanto a instituição.

Quando a resolução entra em vigor?

O art. 23 é a regra de transição:

"Esta resolução entra em vigor após decorridos 180 (cento e oitenta) dias da data de sua publicação."

A resolução não traz data-calendário expressa. Contados os cento e oitenta dias da publicação de 27 de fevereiro de 2026, o prazo se encerra na última semana de agosto de 2026, e a leitura prudente é trabalhar com 26 de agosto de 2026 como marco, adotando a contagem mais restritiva. Houve retificação publicada em 5 de março de 2026, que ajustou a redação do art. 16 quanto à referência à proteção de dados.

Um ponto merece atenção de quem pretende esperar: o art. 21 estende a resolução aos sistemas já em uso e aos modelos de inteligência artificial em desenvolvimento.

"As disposições desta resolução aplicam-se também aos modelos, sistemas e aplicações de IA em desenvolvimento ou em uso nas instituições médicas na data da vigência."

Não há grandfathering. O sistema que já está rodando entra na regra no primeiro dia.

O que o médico passa a ser obrigado a fazer?

O art. 4º lista os deveres, e o inciso V é o de impacto mais direto na rotina:

"Constituem deveres do médico na utilização de sistemas de IA na medicina: I - empregar a IA exclusivamente como ferramenta de apoio, mantendo-se como responsável final pelas decisões clínicas, diagnósticas, terapêuticas e prognósticas; [...] V - registrar no prontuário do paciente o uso de sistemas como apoio à decisão médica."

Registro no prontuário deixa de ser boa prática e passa a ser dever. Na prática, isso exige campo próprio no sistema de prontuário eletrônico, padronização de como o registro é feito e treinamento da equipe, porque registro inconsistente entre profissionais é o mesmo que ausência de registro quando o caso é analisado depois.

O art. 3º, em contrapartida, assegura direitos ao médico, entre eles recusar sistemas sem validação científica adequada ou certificação regulatória pertinente, e preservar a autonomia profissional, "não sendo obrigado a seguir, de forma automática ou acrítica, recomendações geradas por sistemas de IA".

O paciente precisa ser informado?

Sim, e há duas obrigações distintas no art. 5º:

"§ 1° O paciente tem o direito de ser informado, de forma clara e acessível, quando modelos, sistemas e aplicações de IA forem utilizados como apoio relevante em seu cuidado, diagnóstico ou tratamento. § 2° É vedado ao médico delegar à IA a comunicação de diagnósticos, prognósticos ou decisões terapêuticas, sem a devida mediação humana."

O § 3º acrescenta o direito de recusa informada ao uso de inteligência artificial, o que significa que a clínica precisa ter fluxo para registrar essa recusa e conduta alternativa quando ela ocorrer. O art. 11 reforça o dever de explicar ao paciente que o sistema serve de apoio e não substitui a decisão humana.

Esse conjunto tem efeito prático em automações de atendimento. Robô que responde dúvida clínica, informa resultado de exame ou orienta conduta sem mediação de médico deixa de ser apenas um risco de imagem e passa a ser um problema ético-disciplinar identificável.

O que a clínica precisa ter estruturado?

Aqui está a parte que costuma ser subestimada, porque não depende do médico individualmente. O art. 12 exige avaliação prévia de risco:

"As instituições médicas, públicas ou privadas, que desenvolverem ou utilizarem modelos, sistemas e aplicações de IA deverão realizar uma avaliação preliminar com a finalidade de definir seu grau de risco."

Os critérios estão no parágrafo único e no art. 13, que classifica as aplicações em risco baixo, médio, alto ou inaceitável, conforme o Anexo II, e determina que o nível seja informado ao usuário. Um sistema que influencia diretamente decisão clínica crítica tende ao nível alto, com exigência proporcional de controle.

O art. 14 é o dispositivo central para a pessoa jurídica:

"A instituição médica ou o médico que desenvolver ou contratar um modelo, sistema e/ou aplicações de IA deverá estabelecer processos internos de governança aptos a garantir a segurança, a qualidade e a ética, incluindo as seguintes medidas contidas no Anexo III. Parágrafo único. Em instituições de saúde que adotarem sistemas próprios de IA é necessária a criação de uma Comissão de IA e Telemedicina sob a coordenação médica e subordinada a diretoria técnica cuja função é assegurar o cumprimento do anexo III e garantir o uso ético do sistema e dos usuários."

Duas leituras importam. A primeira: contratar ferramenta de terceiro já aciona o dever de governança, porque o texto alcança quem desenvolve ou contrata.

A segunda: a exigência de comissão formal, pela literalidade, recai sobre quem adota sistema próprio, enquanto quem apenas usa solução de mercado permanece sujeito ao caput e ao Anexo III. Essa distinção ainda não foi objeto de manifestação específica do Conselho, o que recomenda cautela em vez de leitura restritiva.

O Anexo III traz oito itens de governança. Entre eles, transparência com relatórios periódicos sobre desempenho, limitações conhecidas e vieses identificados, monitoramento e mitigação de vieses discriminatórios, com descontinuação do sistema em casos graves em que o viés não possa ser eliminado, gestão do ciclo de vida da solução e acesso de órgãos de controle a relatórios de auditoria e informações de configuração.

O item III do mesmo anexo atribui ao Diretor Técnico a responsabilidade pela fiscalização e pelas diretrizes de segurança, ética e transparência.

O art. 9º, § 2º, fecha o desenho: "As instituições médicas deverão implementar mecanismos de auditoria especializada e monitoramento contínuos".

E os dados dos pacientes?

O art. 6º trata do tema em três camadas, e a terceira é uma vedação direta:

"§ 1° É dever do médico assegurar que o compartilhamento de dados pessoais dos pacientes, sobretudo os sensíveis, com modelos, sistemas e aplicações de IA ocorra de forma adequada às finalidades informadas aos titulares ou a seus representantes legais ou convencionais, e apenas quando estritamente necessário, observando-se as bases legais idôneas. [...] § 3° É vedado ao médico utilizar modelos, sistemas e aplicações de IA que não garantam padrões mínimos de segurança da informação compatíveis com os dados pessoais sensíveis."

Isso conversa diretamente com a Lei nº 13.709/2018, que classifica dado referente à saúde como dado pessoal sensível no art. 5º, II, e restringe seu tratamento às hipóteses do art. 11. A hipótese da alínea "f" do inciso II autoriza o tratamento sem consentimento para "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária".

O detalhe que gera exposição real: usar dados de pacientes para treinar ou aprimorar modelo não é tutela da saúde daquele titular. O art. 6º, § 2º, da resolução exige base legal para essa finalidade, e a base da tutela da saúde não cobre esse uso. Cláusula de contrato de software que autoriza o fornecedor a usar dados da clínica para melhorar seu produto merece leitura específica antes da assinatura, não depois.

Não há, até agora, norma da Autoridade Nacional de Proteção de Dados dedicada a inteligência artificial em saúde ou a prontuário eletrônico. O regime aplicável continua sendo a LGPD, as resoluções gerais da autoridade, entre elas a que trata de comunicação de incidentes de segurança, e os arts. 6º, 16 e 17 da própria resolução do Conselho.

Quem responde quando a ferramenta erra?

O art. 7º não deixa margem:

"No campo da responsabilidade ético-profissional, o médico permanece integralmente responsável pelos atos médicos por ele praticados mediante a utilização de modelos, sistemas e aplicações de IA."

O art. 8º prevê que o descumprimento sujeita o médico às sanções éticas cabíveis, sem prejuízo das responsabilidades civil e penal, e o art. 15 atribui a supervisão ao Conselho Regional de Medicina da jurisdição. Em compensação, o art. 3º, V, protege o profissional contra responsabilização indevida por falhas atribuíveis exclusivamente ao sistema, desde que comprovado uso diligente, crítico e ético da ferramenta.

Essa condicional é o ponto que liga responsabilidade e documentação. Uso diligente que não foi registrado é uso que precisa ser provado por outros meios, o que costuma ser difícil anos depois.

Os arts. 18 e 19 completam a proteção da autonomia. A decisão sobre diagnóstico, prognóstico, prescrição ou qualquer ato médico "caberá sempre ao médico", nenhum profissional pode ser penalizado por não seguir a orientação do sistema, e as instituições "não devem impor metas ou políticas que subordinem as condutas dos médicos". Política interna de produtividade atrelada à aceitação de sugestões automatizadas passa a ser um problema jurídico da instituição.

O que a resolução não exige

Vale registrar, porque circula muita informação imprecisa. A resolução não menciona registro na Anvisa. O que ela prevê é o direito do médico de recusar sistema sem validação científica adequada ou certificação regulatória pertinente, sem indicar autoridade ou tipo de registro. Também não há corte por porte da instituição: as graduações são pelo risco da aplicação e pela titularidade do sistema, não por faturamento ou número de profissionais.

E não existe lei geral de inteligência artificial em vigor no país. O projeto que trata do tema foi aprovado no Senado Federal e segue em revisão na Câmara dos Deputados. Enquanto isso, para a medicina, o regime vinculante é a resolução do Conselho combinada com a LGPD e com as regras gerais de responsabilidade civil.

Há ainda um efeito colateral pouco comentado. O art. 7º, § 3º, submete o uso de inteligência artificial com finalidade mercantil, publicitária ou promocional às normas de publicidade médica. Clínica que anuncia diagnóstico assistido por IA como diferencial comercial precisa revisar o material à luz da resolução de publicidade médica em vigor.

Conclusão

A Resolução CFM nº 2.454/2026 não proíbe o uso de inteligência artificial na medicina. Ela impõe rastreabilidade: registro no prontuário, informação ao paciente, classificação de risco por aplicação, governança documentada com responsável identificado e base legal adequada para o uso de dados. Quem já usa a ferramenta tem menos trabalho de decisão e mais de documentação, e o prazo se encerra na última semana de agosto de 2026.

O desenho concreto dessas medidas depende do porte da estrutura, do tipo de solução adotada, da forma de contratação e do volume de dados sensíveis envolvidos.

Uma avaliação com a equipe de Direito Médico do Manassés Lopes Advogados permite mapear as ferramentas em uso, classificar risco, ajustar contratos com fornecedores e montar a governança exigida antes da vigência. A mesma lógica de diligência aparece em due diligence na compra de clínica médica.

Perguntas frequentes sobre a Resolução CFM 2.454/2026

Quando a Resolução CFM 2.454/2026 entra em vigor?

O art. 23 prevê vigência após cento e oitenta dias da publicação, ocorrida em 27 de fevereiro de 2026. A resolução não fixa data-calendário, e a contagem leva à última semana de agosto de 2026. A leitura prudente é adotar 26 de agosto de 2026 como marco.

É obrigatório registrar no prontuário que houve uso de inteligência artificial?

Sim. O art. 4º, V, estabelece o dever de registrar no prontuário do paciente o uso de sistemas como apoio à decisão médica.

O paciente precisa ser avisado do uso de IA?

Sim, quando a ferramenta for usada como apoio relevante ao cuidado, diagnóstico ou tratamento, conforme o art. 5º, § 1º. O paciente também tem direito de recusar esse uso, pelo § 3º do mesmo artigo, e é vedado delegar à IA a comunicação de diagnóstico, prognóstico ou decisão terapêutica sem mediação humana.

Clínica que só usa ferramenta de terceiro também precisa de governança?

Sim. O art. 14 alcança a instituição ou o médico que desenvolver ou contratar solução de IA, com as medidas do Anexo III. A Comissão de IA e Telemedicina, pela literalidade do parágrafo único, é exigida de quem adota sistema próprio.

A resolução vale para sistemas que já estão em uso?

Sim. O art. 21 aplica a resolução aos modelos, sistemas e aplicações em desenvolvimento ou em uso nas instituições médicas na data da vigência.

É possível usar dados de pacientes para treinar um sistema de IA?

Depende de base legal própria. O art. 6º, § 2º, exige observância de princípios éticos, científicos e de proteção de dados, e a hipótese de tutela da saúde prevista na LGPD não cobre treinamento de modelo, por não se destinar ao cuidado daquele titular.

Quem responde se a ferramenta errar?

O médico permanece integralmente responsável pelos atos que praticar com apoio de IA, na forma do art. 7º. O art. 3º, V, o protege contra responsabilização por falha atribuível exclusivamente ao sistema, desde que comprovado uso diligente, crítico e ético, o que reforça a importância do registro.