A Resolução CFM 2.454/2026 entrou em vigor em agosto, com classificação de risco dos sistemas de IA, registro em prontuário, dever de informar o paciente e governança institucional.
O que aconteceu
A Resolução CFM nº 2.454/2026, publicada pelo Conselho Federal de Medicina no Diário Oficial da União em 27 de fevereiro de 2026, trazia prazo de 180 dias para entrar em vigor. Esse prazo terminou no fim de agosto, e desde 26 de agosto de 2026 as regras sobre o uso de inteligência artificial na prática médica são exigíveis de médicos e instituições.
A norma classifica os sistemas de IA em quatro níveis de risco (baixo, médio, alto e inaceitável), levando em conta o impacto sobre direitos fundamentais, a complexidade do modelo, o grau de autonomia e a sensibilidade dos dados. A decisão final continua sendo do médico, que deve registrar em prontuário o uso da tecnologia como suporte à decisão, e a IA não pode comunicar diagnóstico, prognóstico ou decisão terapêutica. O paciente deve ser informado, de forma clara e acessível, sempre que a IA for utilizada. As instituições que desenvolvem ou utilizam sistemas próprios precisam ter processos internos de governança e, quando aplicável, uma Comissão de IA e Telemedicina sob coordenação médica, vinculada à diretoria técnica, sempre em conformidade com a LGPD.
Quando a resolução foi publicada, comentei aqui que a pergunta central era de quem é a responsabilidade quando algo dá errado. Com a norma em vigor, a pergunta ganha um lado mais prático: o que a clínica consegue mostrar, em documento, se o conselho ou um paciente perguntar como a IA é usada ali dentro? Eu vejo muitos consultórios usando transcrição automática de consulta, resumo de prontuário e ferramentas de apoio a laudo sem que ninguém tenha decidido formalmente adotar essas soluções. Elas simplesmente chegaram junto com a atualização do sistema.
O primeiro ponto de atenção é o registro. Se a IA serviu de suporte à decisão, isso precisa constar do prontuário. Parece burocracia, mas é o que protege o médico: a própria resolução afasta a responsabilização indevida por falhas atribuíveis exclusivamente ao sistema quando o profissional usou a ferramenta com diligência e senso crítico. Sem registro, fica muito difícil demonstrar essa diligência anos depois, numa sindicância ou num processo.
O segundo é a informação ao paciente. Um aviso genérico escondido no termo de consentimento dificilmente cumpre a exigência de informação clara e acessível. Na minha experiência, vale revisar o termo, a política de privacidade e o roteiro da recepção, e preparar a equipe para responder quando o paciente perguntar. Isso conversa diretamente com a LGPD, porque dado de saúde é dado sensível e o vazamento dele tem peso próprio.
O terceiro é o contrato com o fornecedor, onde costuma estar o erro mais caro. Muitos contratos de software de saúde não dizem onde os dados ficam, se são usados para treinar o modelo, qual é o nível de risco da ferramenta nem quem responde por falha. Hospitais e clínicas maiores devem ainda avaliar se precisam instituir a comissão e documentar a governança. Minha sugestão é fazer um inventário das ferramentas em uso, classificar o risco de cada uma e ajustar contratos e documentos. É um trabalho de poucas semanas que evita chegar a uma discussão ética ou a uma ação de indenização sem nada para mostrar.
Ler a notícia original →