← Voltar pra home

Resolução CFM 2.454/2026: o que muda para médicos e hospitais a partir de 26 de agosto

·9 min de leitura·Por Equipe GetBio

Resolução CFM 2.454/2026: o que muda para médicos e hospitais a partir de 26 de agosto

Em 26 de agosto de 2026 entra em vigor a Resolução CFM nº 2.454/2026, a primeira norma nacional dedicada exclusivamente ao uso de inteligência artificial na medicina. Aprovada pelo Conselho Federal de Medicina em 11 de fevereiro, publicada no Diário Oficial da União em 27 de fevereiro e retificada em 5 de março, a regra alcança hospitais, clínicas, laboratórios, consultórios, plataformas de telemedicina, serviços assistenciais de operadoras e cada médico individualmente — inclusive quem usa IA em um aplicativo no celular pessoal durante o atendimento. O detalhe mais sensível: o artigo 21 não prevê período de carência. Sistemas já contratados, em desenvolvimento ou em produção precisam estar em conformidade no dia da vigência.

O que a resolução é (e o que ela não é)

A Resolução 2.454/2026 não cria uma nova agência reguladora, não substitui a Anvisa e não impõe certificação técnica prévia aos modelos de IA. O que ela faz é disciplinar, do ponto de vista ético e deontológico, a prática médica quando há inteligência artificial envolvida — e, por tabela, as instituições onde essa prática acontece.

O instrumento é uma resolução de conselho profissional. A fiscalização cabe aos Conselhos Regionais de Medicina (CRMs), e o descumprimento pode gerar sanções éticas cumuláveis com responsabilidades civil e penal já existentes. O alcance sobre planos de saúde, fabricantes de software e laboratórios de IA é indireto — só passa a importar quando a ferramenta entra em contato com ato médico, segundo análise publicada pela Associação Paulista de Medicina (APM, agosto de 2026).

A resolução também se soma, sem substituir, à LGPD e ao PL 2338/2023, parado na Câmara dos Deputados aguardando votação após as eleições de outubro. Para o médico, isso significa que a partir de 26/08 ele responde simultaneamente por três camadas: o regime do CFM, a LGPD e, quando entrar em vigor, o marco geral de IA.

Os cinco deveres do médico (art. 4º)

O artigo 4º lista cinco obrigações que se aplicam a todo médico, em qualquer especialidade, sempre que usar IA. O Instituto Carlos Chagas, em análise técnica voltada para o médico praticante (Instituto Carlos Chagas, agosto de 2026), resume assim:

  1. Responsabilidade final pela decisão clínica. A IA é apoio. Diagnóstico, prognóstico, prescrição e comunicação de resultado ao paciente são atos médicos e continuam sendo do profissional. A máquina sugere, o médico decide.
  2. Julgamento crítico permanente. O médico tem o dever de avaliar se a recomendação do sistema faz sentido clínico antes de aplicá-la. Aceitar cegamente a saída do modelo passa a ser, em si, uma violação ética.
  3. Atualização sobre a ferramenta. Conhecer capacidades, limitações, vieses e evidência científica do sistema utilizado. Desconhecer o que se usa deixa de ser defensável.
  4. Sistemas em conformidade. O sistema precisa atender a normas éticas, técnicas, legais e regulatórias vigentes. Antes de adotar, o médico precisa verificar a validação científica e a certificação pertinente.
  5. Registro em prontuário. O uso de IA como apoio relevante ao diagnóstico ou tratamento passa a ser um campo do prontuário. Não anotar pode ser questionado tanto eticamente quanto em eventual processo cível.

Esses cinco itens não são recomendações. São deveres deontológicos com consequência direta em eventual processo ético no CRM.

Paciente, classificação de risco e o que isso muda na prática

A resolução cria três direitos novos do paciente que dialogam com a LGPD e com o Código de Ética Médica: ser informado, de forma clara e acessível, sempre que a IA for usada como apoio relevante em seu cuidado; poder recusar esse uso, sem prejuízo do atendimento; e não receber diagnóstico, prognóstico ou decisão terapêutica diretamente da IA. A comunicação desses atos continua sendo pessoal e intransferível — um sistema não pode dizer ao paciente que ele tem câncer.

Há uma sutileza que vale destacar. O texto fala em "apoio relevante". Um sistema de agendamento, uma ferramenta de sumarização de prontuário para uso interno, uma checagem ortográfica em laudo — usos periféricos e de baixo risco não exigem, pela leitura da norma, o mesmo rito de um sistema de apoio diagnóstico.

A coluna vertebral prática da resolução é justamente a classificação de risco prevista no Anexo II. Toda instituição médica, pública ou privada, que desenvolva ou utilize soluções de IA precisa fazer uma avaliação preliminar e classificar cada sistema em um dos quatro níveis: baixo, médio, alto ou inaceitável, considerando impacto em direitos fundamentais, criticidade do contexto, autonomia do modelo e sensibilidade dos dados. A diferença entre um nível e outro não é burocracia — é o que define que tipo de evidência documental, auditoria, monitoramento e governança a instituição vai precisar manter.

A avaliação de impacto algorítmico é instrumento diferente da avaliação preliminar, e o artigo 12 deixa isso explícito: a primeira é feita uma vez, antes de o sistema operar; a segunda acompanha os efeitos durante toda a vida útil da ferramenta. Cumprir só a primeira é o erro mais provável dos próximos meses, segundo o advogado especialista em saúde digital ouvido pela reportagem da Associação Paulista de Medicina.

O que muda nas instituições: Comissão de IA e governança

Para instituições que adotam sistemas próprios, a resolução cria uma estrutura nova de governança que não existia no CFM até então: a Comissão de IA e Telemedicina, prevista no parágrafo único do artigo 14 e detalhada no Anexo III. A comissão deve ter coordenação médica, ser subordinada à diretoria técnica e ter atribuições definidas por escrito.

O diretor técnico da instituição passa a ser, formalmente, o responsável pela fiscalização interna das diretrizes de segurança, ética e transparência. Para hospitais de médio e grande porte, isso significa rever organograma e descrever, em documento próprio, quem responde pelo quê dentro do programa de IA.

A resolução também impõe obrigações contratuais concretas para quem compra software de terceiros. O Anexo III, itens V e VIII, exige que os sistemas sejam auditáveis e que órgãos de fiscalização — CRMs, Ministério Público, entidades de defesa do paciente — tenham acesso a relatórios técnicos. Em termos práticos, contratos com fornecedores de IA em saúde vão precisar, nos próximos 30 dias, de cláusulas explícitas sobre auditabilidade, segurança da informação, notificação de incidentes e vedação ao uso secundário dos dados para treinamento de outros modelos (Mannrich Vasconcelos, agosto de 2026).

O que ficou de fora

Uma resolução de conselho profissional tem limites estruturais que é importante reconhecer. Três pontos ficaram de fora ou foram apenas tangenciados pelo texto, segundo análise dos advogados ouvidos pelo JOTA:

  1. Planos de saúde e operadores. As regras se aplicam à prática médica. Operadoras que usam IA em triagem, autorização de procedimentos ou auditoria de contas só são alcançadas indiretamente, quando a ferramenta apoia decisão clínica de um profissional credenciado.
  2. Mecanismos de reparação. A norma é ética e administrativa. O que acontece se um paciente for prejudicado por erro de sistema ainda é regido pelo Código Civil, pelo CDC e pela jurisprudência sobre responsabilidade civil do médico. A resolução pode servir como parâmetro para avaliar o dever de cuidado, mas não cria um regime de indenização próprio.
  3. Certificação técnica dos modelos. Diferente do que propõem o EU AI Act europeu e o PL 2338/2023 brasileiro, a resolução não institui uma avaliação prévia de conformidade técnica dos modelos. O ônus de demonstrar que o sistema é adequado recai sobre quem o adota — o que é coerente com a lógica de conselho profissional, mas transfere custo de due diligence para hospitais, clínicas e médicos.

Esses limites não enfraquecem a norma. Apenas mostram que ela é uma peça em um quebra-cabeça maior, e que virá acompanhada de ajustes contratuais, revisão de processos e, em muitos casos, da primeira conversa séria sobre governança de IA que algumas instituições de saúde vão ter.

Plano prático de 30 dias

Para uma clínica ou hospital que descobre agora a norma, o exercício mínimo é o seguinte:

  1. Inventário de IA em uso. Levantar todo sistema com IA em produção ou em contratação, incluindo módulos embarcados em softwares já licenciados. Vale conversar com cada especialidade.
  2. Classificação preliminar de risco. Aplicar o Anexo II a cada sistema e documentar a metodologia. Um chatbot de agendamento não pode receber a mesma profundidade documental que um algoritmo de triagem em pronto-socorro.
  3. Cruzamento com LGPD. Mapear cada sistema contra o registro de operações de tratamento (art. 37 da LGPD), verificando base legal, finalidade e prazo de retenção. Dados de saúde são sensíveis por definição.
  4. Revisão de contratos. Rever cláusulas de auditabilidade, segurança, notificação de incidentes e vedação a uso secundário de dados para treinamento de outros modelos.
  5. Constituição da Comissão de IA, quando aplicável, com ato formal, vinculação à diretoria técnica e atribuições por escrito.
  6. Prontuário, termos de uso e aviso de privacidade. Ajustar para contemplar o registro do uso de IA e o dever de informação ao paciente.

O mais seguro é começar pelo inventário e pela classificação, porque eles definem a profundidade de tudo o que vem depois. O tempo é curto.

Considerações finais

A Resolução CFM 2.454/2026 é um marco regulatório do tamanho da transformação que a medicina brasileira está vivendo. Na prática, ela institucionaliza a IA como parte do ato médico e cria, pela primeira vez, um regime deontológico nacional aplicável a sistemas que vão desde um corretor ortográfico até um algoritmo de apoio diagnóstico. Para o médico, a mensagem é direta: a ferramenta mudou, a responsabilidade não. Para a instituição, a mensagem é que governança de IA deixou de ser tema de inovação e virou tema de compliance.

O que vale acompanhar nos próximos meses: como os CRMs vão fiscalizar — a capacidade é desigual entre estados e o risco de aplicação heterogênea é real; como o PL 2338/2023 vai dialogar com a norma, caso seja aprovado após as eleições de outubro; como fornecedores de software vão se adaptar, já que cláusulas de auditabilidade e vedação a uso secundário de dados vão encarecer contratos e tirar outros do mercado; e como a ANPD vai cruzar a nova metodologia do seu Sandbox Regulatório em IA com o que o CFM exige (Radar de Privacidade HDPO, edição 17).

O blog GetBio continua acompanhando os movimentos da fronteira entre IA e saúde, regulação e os efeitos práticos para empresas e profissionais brasileiros. Para mais análises sobre lançamentos de modelos, casos de uso em PMEs e o cenário regulatório, volte à página inicial do blog e confira os outros posts da série.

Fontes citadas neste post: